Pas un standard.Ouvert à la revue.

XAES-512 s’appuie sur Protectstar Extended AES, publié pour la première fois en 2007. Il utilise une matrice d’état 4×16 (512 bits) au lieu de la matrice 4×4 (128 bits) utilisée par l’AES standard, et conserve inchangés AddRoundKey, MixColumns et la S-box SubBytes de Rijndael ; les décalages ShiftRows, le nombre de tours et l’expansion de clé sont étendus.

Aujourd’hui, le nom signifie “Extended Algorithm, Enhanced Security.” XAES-512 n’est pas AES tel que défini par FIPS 197 et ne le remplace pas.

XAES-512 fournit une construction authentifiée unique — et non plusieurs modes d’opération librement sélectionnables. La confidentialité est assurée par le mode Counter (CTR) ; l’intégrité et l’authenticité sont assurées par HMAC-SHA-512 selon le schéma Encrypt-then-MAC (composition générique selon Bellare–Namprempre). Le tag d’authentification est vérifié avant chaque déchiffrement.

Le format du message est défini comme Wire Format v1 (profil 0x02). Les données associées (Associated Data) sont incluses dans l’authentification.

Une clé est dérivée du mot de passe avec PBKDF2-HMAC-SHA-512 — avec un sel aléatoire pour chaque message et 220 000 itérations (profil 0x02). HKDF-SHA-512 sépare ensuite les clés de chiffrement et d’authentification. Les mots de passe sont encodés en UTF-8 et normalisés Unicode NFC afin que des entrées identiques produisent la même clé sur toutes les plateformes.

Le champ d’itérations transmis dans l’en-tête est plafonné (limite d’implémentation), de sorte qu’un message ne puisse pas imposer un calcul excessif avant la vérification du tag.

Le nombre de tours suit la dérivation issue de Rijndael décrite dans le document : le plus grand nombre de mots entre taille de bloc et taille de clé est déterminant. Pour un bloc de 512 bits, cela correspond à 16 mots → 22 tours ; le profil 0x02 ajoute deux tours supplémentaires en lien avec la structure ShiftRows étendue, soit 24 tours au total.

Processus KeyExpansion étendu basé sur la spécification Rijndael :

KeyExpansion(byte Key[4*Nk], word W[Nb*(Nr+1)])
{
  for (i = 0; i < Nk; i++)
    W[i] = (Key[4*i], Key[4*i+1], Key[4*i+2], Key[4*i+3]);

  for (i = Nk; i < Nb*(Nr+1); i++) {
    temp = W[i-1];
    if (i % Nk == 0 || (i % Nk == 4 && Nk > 6))
      temp = SubByte(RotByte(temp)) ^ Rcon[i / Nk];
    else if ((i % Nk == 8 || i % Nk == 12) && Nk > 6)
      temp = SubByte(temp);
    W[i] = W[i-Nk] ^ temp;
  }
}

Avec les décalages standard {0,1,2,3}, la variante 512 bits n’atteint la diffusion complète dans la mesure de diffusion structurelle incluse qu’après 6 tours. Les décalages sélectionnés {0,1,4,5} l’atteignent dans cette mesure après 4 tours.

L’énoncé sur la diffusion peut être reproduit au moyen de l’outil diffusion_check.py inclus dans le bundle. Le fichier core-kats.json contient des tests à réponse connue supplémentaires pour le core cipher.