Não é um padrão.Aberto para revisão.

XAES-512 se baseia no Protectstar Extended AES, lançado pela primeira vez em 2007. Ele usa uma matriz de estado 4×16 (512 bits) em vez da matriz 4×4 (128 bits) usada pelo AES padrão, e mantém inalterados AddRoundKey, MixColumns e a S-box SubBytes de Rijndael; os deslocamentos ShiftRows, o número de rodadas e a expansão de chave são estendidos.

Hoje, o nome significa “Extended Algorithm, Enhanced Security.” XAES-512 não é AES conforme definido pelo FIPS 197 e não é um substituto para ele.

XAES-512 fornece uma única construção autenticada — não vários modos de operação livremente selecionáveis. A confidencialidade é fornecida pelo modo Counter (CTR); integridade e autenticidade são fornecidas por HMAC-SHA-512 seguindo o esquema Encrypt-then-MAC (composição genérica segundo Bellare–Namprempre). A tag de autenticação é verificada antes de cada descriptografia.

O formato da mensagem é definido como Wire Format v1 (perfil 0x02). Os dados associados (Associated Data) são incluídos na autenticação.

Uma chave é derivada da senha usando PBKDF2-HMAC-SHA-512 — com um salt aleatório para cada mensagem e 220.000 iterações (perfil 0x02). Em seguida, HKDF-SHA-512 separa as chaves para criptografia e autenticação. As senhas são codificadas em UTF-8 e normalizadas em Unicode NFC para que entradas idênticas produzam a mesma chave em diferentes plataformas.

O campo de iterações transmitido no cabeçalho é limitado (limite de implementação), de modo que uma mensagem não consiga forçar computação excessiva antes da verificação da tag.

O número de rodadas segue a derivação baseada em Rijndael descrita no documento: o maior número de palavras entre o tamanho do bloco e o tamanho da chave é decisivo. Para um bloco de 512 bits, isso corresponde a 16 palavras → 22 rodadas; o perfil 0x02 acrescenta mais duas rodadas em conexão com a estrutura ShiftRows estendida, resultando em 24 rodadas no total.

Processo KeyExpansion estendido baseado na especificação Rijndael:

KeyExpansion(byte Key[4*Nk], word W[Nb*(Nr+1)])
{
  for (i = 0; i < Nk; i++)
    W[i] = (Key[4*i], Key[4*i+1], Key[4*i+2], Key[4*i+3]);

  for (i = Nk; i < Nb*(Nr+1); i++) {
    temp = W[i-1];
    if (i % Nk == 0 || (i % Nk == 4 && Nk > 6))
      temp = SubByte(RotByte(temp)) ^ Rcon[i / Nk];
    else if ((i % Nk == 8 || i % Nk == 12) && Nk > 6)
      temp = SubByte(temp);
    W[i] = W[i-Nk] ^ temp;
  }
}

Com os deslocamentos padrão {0,1,2,3}, a variante de 512 bits atinge difusão completa na medição estrutural de difusão incluída somente após 6 rodadas. Os deslocamentos selecionados {0,1,4,5} a atingem nessa medição após 4 rodadas.

A afirmação sobre difusão pode ser reproduzida usando a ferramenta diffusion_check.py no bundle. O arquivo core-kats.json contém testes adicionais de resposta conhecida para o core cipher.