Не стандарт.Открыто для проверки.

XAES-512 основан на Protectstar Extended AES, впервые опубликованном в 2007 году. Он использует матрицу состояния 4×16 (512 бит) вместо матрицы 4×4 (128 бит), применяемой в стандартном AES, и сохраняет без изменений AddRoundKey, MixColumns и S-box SubBytes из Rijndael; смещения ShiftRows, число раундов и расширение ключа увеличены.

Сегодня название означает “Extended Algorithm, Enhanced Security.” XAES-512 не является AES в определении FIPS 197 и не заменяет его.

XAES-512 предоставляет единую аутентифицированную конструкцию — а не несколько свободно выбираемых режимов работы. Конфиденциальность обеспечивается режимом Counter (CTR); целостность и подлинность обеспечиваются HMAC-SHA-512 по схеме Encrypt-then-MAC (универсальная композиция согласно Bellare–Namprempre). Тег аутентификации проверяется перед каждым расшифрованием.

Формат сообщения определен как Wire Format v1 (профиль 0x02). Связанные данные (Associated Data) включаются в аутентификацию.

Ключ выводится из пароля с помощью PBKDF2-HMAC-SHA-512 — со случайной солью для каждого сообщения и 220 000 итераций (профиль 0x02). Затем HKDF-SHA-512 разделяет ключи для шифрования и аутентификации. Пароли кодируются в UTF-8 и нормализуются по Unicode NFC, чтобы одинаковые входные данные давали один и тот же ключ на разных платформах.

Поле количества итераций, передаваемое в заголовке, ограничено сверху (ограничение реализации), поэтому сообщение не может навязать чрезмерные вычисления до проверки тега.

Число раундов следует производному от Rijndael выводу, описанному в документе: решающим является большее количество слов из размера блока и размера ключа. Для 512-битного блока это 16 слов → 22 раунда; профиль 0x02 добавляет еще два раунда в связи с расширенной структурой ShiftRows, что дает всего 24 раунда.

Расширенный процесс KeyExpansion на основе спецификации Rijndael:

KeyExpansion(byte Key[4*Nk], word W[Nb*(Nr+1)])
{
  for (i = 0; i < Nk; i++)
    W[i] = (Key[4*i], Key[4*i+1], Key[4*i+2], Key[4*i+3]);

  for (i = Nk; i < Nb*(Nr+1); i++) {
    temp = W[i-1];
    if (i % Nk == 0 || (i % Nk == 4 && Nk > 6))
      temp = SubByte(RotByte(temp)) ^ Rcon[i / Nk];
    else if ((i % Nk == 8 || i % Nk == 12) && Nk > 6)
      temp = SubByte(temp);
    W[i] = W[i-Nk] ^ temp;
  }
}

Со стандартными смещениями {0,1,2,3} 512-битный вариант достигает полной диффузии во включенном структурном измерении только после 6 раундов. Выбранные смещения {0,1,4,5} достигают ее в этом измерении после 4 раундов.

Утверждение о диффузии можно воспроизвести с помощью инструмента diffusion_check.py из пакета. Файл core-kats.json содержит дополнительные тесты с известными ответами для core cipher.