Non uno standard.Aperto alla revisione.

XAES-512 si basa su Protectstar Extended AES, pubblicato per la prima volta nel 2007. Usa una matrice di stato 4×16 (512 bit) invece della matrice 4×4 (128 bit) usata da AES standard e mantiene invariati AddRoundKey, MixColumns e la S-box SubBytes di Rijndael; gli offset ShiftRows, il numero di round e l’espansione della chiave sono estesi.

Oggi il nome sta per “Extended Algorithm, Enhanced Security.” XAES-512 non è AES come definito da FIPS 197 e non ne è un sostituto.

XAES-512 fornisce un’unica costruzione autenticata — non diverse modalità operative liberamente selezionabili. La riservatezza è fornita dalla modalità Counter (CTR); integrità e autenticità sono fornite da HMAC-SHA-512 secondo lo schema Encrypt-then-MAC (composizione generica secondo Bellare–Namprempre). Il tag di autenticazione viene verificato prima di ogni decifratura.

Il formato del messaggio è definito come Wire Format v1 (profilo 0x02). I dati associati (Associated Data) sono inclusi nell’autenticazione.

Una chiave viene derivata dalla password usando PBKDF2-HMAC-SHA-512 — con un salt casuale per ogni messaggio e 220.000 iterazioni (profilo 0x02). HKDF-SHA-512 separa poi le chiavi per cifratura e autenticazione. Le password sono codificate in UTF-8 e normalizzate Unicode NFC, in modo che input identici producano la stessa chiave su piattaforme diverse.

Il campo delle iterazioni trasmesso nell’header è limitato superiormente (limite di implementazione), così un messaggio non può imporre un carico di calcolo eccessivo prima della verifica del tag.

Il numero di round segue la derivazione basata su Rijndael descritta nel documento: è decisivo il numero di parole più grande tra dimensione del blocco e dimensione della chiave. Per un blocco a 512 bit, questo valore è 16 parole → 22 round; il profilo 0x02 aggiunge due round ulteriori in relazione alla struttura ShiftRows estesa, per un totale di 24 round.

Processo KeyExpansion esteso basato sulla specifica Rijndael:

KeyExpansion(byte Key[4*Nk], word W[Nb*(Nr+1)])
{
  for (i = 0; i < Nk; i++)
    W[i] = (Key[4*i], Key[4*i+1], Key[4*i+2], Key[4*i+3]);

  for (i = Nk; i < Nb*(Nr+1); i++) {
    temp = W[i-1];
    if (i % Nk == 0 || (i % Nk == 4 && Nk > 6))
      temp = SubByte(RotByte(temp)) ^ Rcon[i / Nk];
    else if ((i % Nk == 8 || i % Nk == 12) && Nk > 6)
      temp = SubByte(temp);
    W[i] = W[i-Nk] ^ temp;
  }
}

Con gli offset standard {0,1,2,3}, la variante a 512 bit raggiunge la diffusione completa nella misurazione strutturale inclusa solo dopo 6 round. Gli offset selezionati {0,1,4,5} la raggiungono in questa misurazione dopo 4 round.

L’affermazione sulla diffusione può essere riprodotta usando lo strumento diffusion_check.py nel bundle. Il file core-kats.json contiene ulteriori known-answer test per il core cipher.