Просмотр кода страницы ГОСТ Р 34.11-94

{{Карточка хеш-функции
|название      = ГОСТ Р 34.11-94
|изображение   = 
|создатель     = ГУБС [[ФАПСИ]] и [[Всероссийский научно-исследовательский институт стандартизации|ВНИИС]]
|создан        = [[1994]]
|опубликован   = 23 мая [[1994]]
|отменён       = [[1 января]] [[2013 год]]а<ref>{{cite web | url = http://base.consultant.ru/cons/cgi/online.cgi?req=doc;base=EXP;n=539072 | title = Приказ Росстандарта от 7 августа 2012 г. № 216-ст | accessdate = 2013-05-31 | archive-date = 2016-03-04 | archive-url = https://web.archive.org/web/20160304085429/http://base.consultant.ru/cons/cgi/online.cgi?req=doc;base=EXP;n=539072 | deadlink = no }}</ref><ref>«... следует отметить, что отмена национального стандарта в области криптографической защиты информации не является основанием для приостановления или аннулирования действия сертификата СКЗИ, реализующего алгоритмы, определяемые данным стандартом ...» {{cite web | url = https://www.tc26.ru/info/34.10-2012_34.11-2012/ | title = ТК26 | lang = ru | accessdate = 2013-05-31 | archiveurl = https://web.archive.org/web/20131207133525/https://www.tc26.ru/info/34.10-2012_34.11-2012/ | archivedate = 2013-12-07 | deadlink = yes }}</ref>
|преемник      = [[ГОСТ Р 34.11-2012]] «Стрибог», [[ДСТУ 7564:2014]] «Kupyna»
|размер хеша   = 256 бит
|число раундов = 1
|тип           = [[хеш-функция]]
}}

'''ГОСТ Р 34.11-94''' «''Информационная технология. Криптографическая защита информации. Функция хэширования''» — устаревший [[Россия|российский]] [[криптография|криптографический]] [[Государственный стандарт|стандарт]] вычисления [[хеш-функция|хеш-функции]], основанный на ГОСТ Р 34.10-94. В странах [[СНГ]] переиздан и используется как [[межгосударственный стандарт]] ''ГОСТ 34.311-95''.

Стандарт определяет алгоритм и процедуру вычисления хеш-функции для последовательности символов. Этот стандарт является обязательным для применения в качестве алгоритма хеширования в государственных организациях [[РФ]] и ряде коммерческих организаций.

До 2013 г. ЦБ РФ требовал использовать ГОСТ Р 34.11-94 для электронной подписи предоставляемых ему документов<ref>{{cite web
 |author        = А.В.Войлуков
 |date = 1995-01-31
 |url           = http://docs.cntd.ru/document/9015853
 |title         = ПРИКАЗ ЦБ РФ от 31.01.1995 N 02-13 "О вводе в действие в системе Центрального Банка Российской Федерации государственных стандартов Российской Федерации"
 |description   = ПРИКАЗ ЦБ РФ № 02-13
 |lang          = ru
 |accessdate    = 2019-01-21
 |deadlink      = yes
}}</ref>.

С [[1 января]] [[2013 год]]а заменён [[РФ]] на [[Стрибог (хеш-функция)|ГОСТ Р 34.11-2012]] «Стрибог»<ref>{{cite web | url = http://docs.cntd.ru/document/902368268 | title = Приказ Росстандарта от 7 августа 2012 года № 216-ст | accessdate = 2020-01-11 | archive-date = 2020-01-11 | archive-url = https://web.archive.org/web/20200111085336/http://docs.cntd.ru/document/902368268 | deadlink = no }}</ref>, а с [[1 июня]] [[2019 год]]а в странах [[СНГ]] на [[Стрибог (хеш-функция)|ГОСТ 34.11-2018]]<ref>{{cite web | url = http://docs.cntd.ru/document/551995653 | title = Приказ Росстандарта от 4 декабря 2018 года № 1060-ст | accessdate = 2020-01-11 | archive-date = 2020-01-11 | archive-url = https://web.archive.org/web/20200111084923/http://docs.cntd.ru/document/551995653 | deadlink = no }}</ref>.

До [[1 января]] [[2022 год]]а используется на [[Украина|Украине]] совместно с [[ДСТУ 4145-2002]] для целей [[Электронная подпись|электронной цифровой подписи]]<ref>{{cite web | url = https://zakon.rada.gov.ua/laws/show/z1172-19 | title = Приказ Госспецсвязи Украины от 19 ноября 2019 года № 3563/5/610 | accessdate = 2020-01-11 | archive-date = 2020-01-11 | archive-url = https://web.archive.org/web/20200111084925/https://zakon.rada.gov.ua/laws/show/z1172-19 | deadlink = no }}</ref>.

== Вводные обозначения ==
Для описания алгоритма хеширования будем использовать следующие обозначения:
* <math>\mathcal{f}0\mathcal{g}^j</math> — блок длиной j бит, заполненный нулями.
* <math>\mathcal{j}M\mathcal{j}</math> — длина блока M в битах по модулю 2<sup>256</sup>.
* <math>\mathcal{k}</math> — слияние ([[конкатенация]]) двух блоков в один.
* <math>+</math> — сложение двух блоков длиной 256 бит по модулю 2<sup>256</sup>
* <math>\oplus</math> — побитное сложение ([[XOR]]) двух блоков одинаковой длины.

Далее будем считать, что младший (нулевой) бит в блоке находится справа, старший — слева.

== Описание ==
Основой описываемой хеш-функции является шаговая функция хеширования <math>H_{out}\ =\ f(H_{in}, m)</math>
где <math>H_{out}</math>, <math>H_{in}</math>, <math>m</math> — блоки длины 256 бит.

Входное сообщение <math>M</math> разделяется на блоки <math>m_{n}, m_{n-1}, m_{n-2}, ... , m_{1}</math> по 256 бит.
В случае если размер последнего блока <math>m_{n}</math> меньше 256 бит,
то к нему приписываются слева нули для достижения заданной длины блока.

Каждый блок сообщения, начиная с первого, подаётся на шаговую функцию для вычисления промежуточного значения хеш-функции: <br />
<math>H_{i+1}=f(H_{i}, m_{i})</math> <br />
Значение <math>H_1</math> можно выбрать произвольным.

После вычисления <math>H_{n+1}</math> конечное значение хеш-функции получают
следующим образом:
* <math>H_{n+2}\ =\ f(H_{n+1},\ L)</math>, где L — Длина сообщения M в битах по модулю <math>2^{256}</math>
* <math>h\ =\ f(H_{n+2},\ K)</math>, где K — Контрольная сумма сообщения M: <math>m_1 + m_2 + m_3 + ... + m_n</math>

h — значение хеш-функции сообщения M

[[Файл:GOST-hash-calculation.svg]]

'''Алгоритм:'''
# Инициализация:
## <math>h\ := H_1</math> — Начальное значение хеш-функции. То есть — 256 битовый IV вектор, определяется пользователем.
## <math>\Sigma\ :=\ 0</math> — Контрольная сумма
## <math>L\ :=\ 0</math> — Длина сообщения
# Функция сжатия внутренних итераций: для i = 1 … n — 1 выполняем следующее (пока <math>|M|>256</math>):
## <math>h\ :=\ f(h,\ m_i)</math> — итерация метода последовательного хеширования
## <math>L\ :=\ L\ +\ 256</math> — итерация вычисления длины сообщения
## <math>\Sigma\ :=\ \Sigma\ +\ m_i</math> — итерация вычисления контрольной суммы
# Функция сжатия финальной итерации:
## <math>L\ :=\ L\ +\ \mathcal{j}\ m_n\ \mathcal{j}</math> — вычисление полной длины сообщения
## <math>m_n\ :=\ \mathcal{f}0\mathcal{g}^{256\ -\ \mathcal{j} m_n \mathcal{j}} \mathcal{k} m_n</math> — набивка последнего блока
## <math>\Sigma\ :=\ \Sigma\ +\ m_n</math> — вычисление контрольной суммы сообщения
## <math>h\ :=\ f(h,\ m_n)</math>
## <math>h\ :=\ f(h,\ L)</math> — MD — усиление
## <math>h\ :=\ f(h,\ \Sigma)</math>
# Выход. Значением хеш-функции является h,

Замечание: так как длина сообщения участвует в хешировании, то нет необходимости указывать в передаваемом сообщении количество добавленных нулей к блоку <math>m_n</math>.

== Особенности ГОСТ Р 34.11-94 ==
* При обработке блоков используются преобразования по алгоритму [[ГОСТ 28147—89]];
* Обрабатывается блок длиной 256 бит, и выходное значение тоже имеет длину 256 бит.
* Определяет контрольную сумму, рассчитанную по всем блокам исходного сообщения, которая является частью финального вычисления хеша, что несколько затрудняет коллизионную атаку.
* Применены меры борьбы против поиска коллизий, основанном на неполноте последнего блока.
* Обработка блоков происходит по алгоритму шифрования [[ГОСТ 28147—89]], который содержит преобразования на S-блоках, что существенно осложняет применение метода дифференциального криптоанализа к поиску коллизий.

== Алгоритм вычисления шаговой функции хеширования ==
Шаговая функция хеширования <math>f</math> отображает два блока длиной 256 бит в один блок длиной 256 бит: <math>H_{out}\ =\ f(H_{in},\ m)</math> и состоит из трех частей:
[[Файл:GOST-step-hash-function.svg|left]]
* Генерирование ключей <math>K_1,\ K_2,\ K_3,\ K_4</math>
* Шифрующее преобразование — шифрование <math>\ H_{in}</math> с использованием ключей <math>K_1,\ K_2,\ K_3,\ K_4</math>
* Перемешивающее преобразование результата шифрования

=== Генерация ключей ===
В алгоритме генерации ключей используются:
* Два преобразования блоков длины 256 бит:
** Преобразование <math>A(Y)=A(y_4\ \mathcal{k}\ y_3\ \mathcal{k}\ y_2\ \mathcal{k}\ y_1) = (y_1 \oplus y_2)\ \mathcal{k}\ y_4\ \mathcal{k}\ y_3\ \mathcal{k}\ y_2</math>, где <math>y_1,\ y_2,\ y_3,\ y_4</math> — подблоки блока ''Y'' длины 64 бит.
** Преобразование <math>P(Y) = P(y_{32} \mathcal{k} y_{31} \mathcal{k} \dots \mathcal{k} y_1) = y_{\varphi(32)} \mathcal{k} y_{\varphi(31)} \mathcal{k} \dots \mathcal{k} y_{\varphi(1)}</math>, где <math>\varphi (i + 1 + 4(k - 1))= 8i + k,\ i = 0, \dots, 3,\ k = 1, \dots, 8</math>, а <math>y_{32},\ y_{31},\ \dots,\ y_{1}</math> — подблоки блока ''Y'' длины 8 бит.
* Три константы:
 C<sub>2</sub> = 0
 C<sub>3</sub> = 0xff00ffff000000ffff0000ff00ffff0000ff00ff00ff00ffff00ff00ff00ff00
 C<sub>4</sub> = 0

Алгоритм:
# <math>U\ :=\ H_{in},\quad V\ :=\ m,\quad W\ :=\ U\ \oplus\ V,\quad K_1\ =\ P(W)</math>
# Для j = 2,3,4 выполняем следующее:
#: <math>U := A(U) \oplus C_j,\quad V := A(A(V)),\quad W := U \oplus V,\quad K_j = P(W)</math>

=== Шифрующее преобразование ===
После генерирования ключей происходит шифрование <math>H_{in}</math> по [[ГОСТ 28147—89]] в режиме простой замены на ключах <math>K_i </math> (для <math>i:= 1, 2, 3, 4</math>),
процедуру шифрования обозначим через E (Примечание: функция шифрования E по ГОСТ 28147 шифрует 64 битные данные 256 битным ключом). Для шифрования <math>H_{in}</math> разделяют на четыре блока по 64 бита:
<math>H_{in} = h_4 \mathcal{k} h_3 \mathcal{k} h_2 \mathcal{k} h_1 </math> и зашифровывают каждый из блоков:
* <math>s_1 = E(h_1, K_1)</math>
* <math>s_2 = E(h_2, K_2)</math>
* <math>s_3 = E(h_3, K_3)</math>
* <math>s_4 = E(h_4, K_4)</math>
После чего блоки собирают в 256 битный блок: <math>S = s_4 \mathcal{k} s_3 \mathcal{k} s_2 \mathcal{k} s_1</math>

=== Перемешивающее преобразование ===
На последнем этапе происходит перемешивание <math>H_{in}</math>, S и m с применением регистра сдвига, в результате чего получают <math>H_{out}</math>.

Для описания процесса преобразования сначала необходимо определить функцию ψ, которая производит элементарное преобразование
блока длиной 256 бит в блок той же длины: <math> \psi(Y) = \psi(y_{16} \mathcal{k} y_{15} \mathcal{k} ... \mathcal{k} y_2 \mathcal{k} y_1) = (y_1 \oplus y_2 \oplus y_3  \oplus y_4 \oplus y_{13} \oplus y_{16}) \mathcal{k} y_{16} \mathcal{k} y_{15} \mathcal{k} ... \mathcal{k} y_3 \mathcal{k} y_2</math>, где <math>y_{16}, y_{15}, ... , y_{2}, y_{1}</math> — подблоки блока Y длины 16 бит.

[[Файл:GOST-psi-function.svg]]

Перемешивающее преобразование имеет вид <math>H_{out} = {\psi}^{61}(H_{in} \oplus \psi(m \oplus {\psi}^{12}(S)))</math>, где <math>{\psi}^i</math> означает [[Композиция функций|суперпозицию]] <math>\psi\circ\psi\circ\cdots\circ\psi</math> длины ''i''. Другими словами, преобразование <math>\psi</math> представляет собой [[регистр сдвига с линейной обратной связью]], а индекс ''i'' указывает на количество его раундов.

[[Файл:GOST-R-34.11-94-shuffle-transformation.svg]]

== Узлы замены (S-блоки) ==
{{основная статья|S-блок (информатика)}}
{{см. также|ГОСТ 28147-89#Узлы замены (S-блоки)}}
Параметром используемого в качестве шифрующего преобразования <math>E(h, K)</math> алгоритма [[ГОСТ 28147-89]] является таблица из восьми узлов замены (S-блоков).
ГОСТ Р 34.11-94 не фиксирует значения S-блоков и стартового вектора H<sub>1</sub>, что породило несовместимые реализации хеш-функции.

Широкое распространение получили два набора параметров, полагающие стартовый вектор равным нулю:
 H<sub>1</sub>=0x00000000 00000000 00000000 00000000 00000000 00000000 00000000 00000000,
но имеющие значения S-блоков, указанные ниже.
=== Узлы замены, определённые документом RFC 4357 ===

===== Идентификатор: id-GostR3411-94-TestParamSet =====
OID: 1.2.643.2.2.30.0
{| class="standard"
 ! rowspan="2" |Номер S-блока
 ! colspan=16 | Значение
 |-
 !0!! 1!! 2!! 3!! 4!! 5!! 6!! 7!! 8!! 9!! A!! B!! C!! D!! E!! F
 |-
 !1
 |4|| A|| 9|| 2|| D|| 8|| 0|| E|| 6|| B|| 1|| C|| 7|| F|| 5|| 3
 |-
 !2
 |E|| B|| 4|| C|| 6|| D|| F|| A|| 2|| 3|| 8|| 1|| 0|| 7|| 5|| 9
 |-
 !3
 |5|| 8|| 1|| D|| A|| 3|| 4|| 2|| E|| F|| C|| 7|| 6|| 0|| 9|| B
 |-
 !4
 |7|| D|| A|| 1|| 0|| 8|| 9|| F|| E|| 4|| 6|| C|| B|| 2|| 5|| 3
 |-
 !5
 |6|| C|| 7|| 1|| 5|| F|| D|| 8|| 4|| A|| 9|| E|| 0|| 3|| B|| 2
 |-
 !6
 |4|| B|| A|| 0|| 7|| 2|| 1|| D|| 3|| 6|| 8|| 5|| 9|| C|| F|| E
 |-
 !7
 |D|| B|| 4|| 1|| 3|| F|| 5|| 9|| 0|| A|| E|| 7|| 6|| 8|| 2|| C
 |-
 !8
 |1|| F|| D|| 0|| 5|| 7|| A|| 4|| 9|| 2|| 3|| E|| 6|| B|| 8|| C
 |}
Эти узлы замены определены в «приложении А» стандарта ГОСТ Р 34.11-94 для целей тестирования<ref name="gostAppA">
{{cite web
 |date = 1994-05-23
 |url           = http://protect.gost.ru/document.aspx?control=7&id=134550
 |title         = ГОСТ Р 34.11-94, ПРИЛОЖЕНИЕ А
 |lang          = ru
 |accessdate    = 2010-10-28
 |archiveurl    = https://www.webcitation.org/65rOcbW5y?url=http://protect.gost.ru/document.aspx?control=7
 |archivedate   = 2012-03-02
}}</ref>, с рекомендацией использовать их только в проверочных примерах. Тем не менее, они получили большое распространение. Например, они описаны в RFC 5831 и их использует в своих приложениях [[ЦБ РФ]].<ref>{{Книга:Шнайер Б.: Прикладная криптография|часть=14.1 ГОСТ|страницы=373—377}}</ref>

===== Идентификатор: id-GostR3411-94-CryptoProParamSet =====
OID: 1.2.643.2.2.30.1
{| class="standard"
 ! rowspan="2" |Номер S-блока
 ! colspan=16 | Значение
 |-
 !0!! 1!! 2!! 3!! 4!! 5!! 6!! 7!! 8!! 9!! A!! B!! C!! D!! E!! F
 |-
 !1
 |A|| 4|| 5|| 6|| 8|| 1|| 3|| 7|| D|| C|| E|| 0|| 9|| 2|| B|| F
 |-
 !2
 |5|| F|| 4|| 0|| 2|| D|| B|| 9|| 1|| 7|| 6|| 3|| C|| E|| A|| 8
 |-
 !3
 |7|| F|| C|| E|| 9|| 4|| 1|| 0|| 3|| B|| 5|| 2|| 6|| A|| 8|| D
 |-
 !4
 |4|| A|| 7|| C|| 0|| F|| 2|| 8|| E|| 1|| 6|| 5|| D|| B|| 9|| 3
 |-
 !5
 |7|| 6|| 4|| B|| 9|| C|| 2|| A|| 1|| 8|| 0|| E|| F|| D|| 3|| 5
 |-
 !6
 |7|| 6|| 2|| 4|| D|| 9|| F|| 0|| A|| 1|| 5|| B|| 8|| E|| C|| 3
 |-
 !7
 |D|| E|| 4|| 1|| 7|| 0|| 5|| A|| 3|| C|| 8|| F|| 6|| 2|| 9|| B
 |-
 !8
 |1|| 3|| A|| 9|| 5|| B|| 4|| F|| 8|| 6|| 7|| E|| D|| 0|| 2|| C
 |}
Российская компания CryptoPro написала собственный «информационный» RFC 4357. Согласно ему реализации ГОСТ Р 34.11-94 должны использовать набор S-блоков, разработанный этой компанией. В известной открытой библиотеке OpenSSL начиная с версии 1.0.0 в качестве плагина появилась хеш функция ГОСТ Р 34.11-94 именно с этими параметрами. Так же данные узлы замен используются в ПО «Верба-О»<ref name = СryptoPRO_OIDs>{{Cite web |url=http://cpdn.cryptopro.ru/content/csp36/html/group___pro_c_s_p_ex_CP_PARAM_OIDS.html |title=Идентификаторы криптографических параметров алгоритмов |access-date=2020-02-21 |archive-date=2013-07-28 |archive-url=https://web.archive.org/web/20130728082154/http://cpdn.cryptopro.ru/content/csp36/html/group___pro_c_s_p_ex_CP_PARAM_OIDS.html |deadlink=no }}</ref>

== Формат вывода ==
Согласно ГОСТ стандарту, результатом хеш-функции является 256-битное число.
Стандарт не указывает, как оно должно выводиться.
Разные реализации используют различные форматы вывода, что вкупе с двумя распространёнными S-блоками усиливает путаницу.

ГОСТ Р 34.11-94 в «приложении А»<ref name="gostAppA"/> оперирует с [[Little-endian]] числами. Многие реализации (в частности ''rhash'', ''mhash'' library, консольная утилита [[openssl]]) выводят 32 байта результирующего хеша в шестнадцатеричном представлении, в порядке, в каком они располагаются в памяти — младшие байты первыми. Данное представление оправдывается тем, что оно используется при выводе хеш сумм таких широко распространённых алгоритмов как: [[MD5]], [[SHA-1]], [[Tiger (хеш-функция)|Tiger]], [[Whirlpool (хеш-функция)|Whirlpool]] и др.
 GOST("This is message, length=32 bytes") =
  B1C466D37519B82E8319819FF32595E047A28CB6F83EFF1C6916A815A637FFFA

В приведённых в стандарте примерах<ref name="gostAppA"/> результирующий хеш записывается как шестнадцатеричное представление 256-битного Little-endian числа. Тем самым, получается обратный порядок байт (старшие разряды первыми). Такой же порядок использует, в частности, программа ''gostsum'', поставляющаяся с исходниками библиотеки OpenSSL.
 H = FAFF37A6 15A81669 1CFF3EF8 B68CA247 E09525F3 9F811983 2EB81975 D366C4B1

== Примеры ==

=== Подробный пример из стандарта ===
Вычислим хеш сообщения «This is message, length=32 bytes» с «тестовым» набором параметров.

Так как длина сообщения равна 256 битам, то нет необходимости дописывать нули.
В шестнадцатеричном виде данное сообщение представляется последовательностью байт
 54 68 69 73 20 69 73 20 6D 65 73 73 61 67 65 2C 20 6C 65 6E 67 74 68 3D 33 32 20 62 79 74 65 73

Эта последовательность рассматривается как [[Little-endian]] 256-битное число
  M = 0x73657479622032333D6874676E656C202C6567617373656D2073692073696854

Вычисляем <math>H_{2} = f(H_{1}, M)</math>:
* Генерация ключей
 K<sub>1</sub>=0x733D2C20 65686573 74746769 79676120 626E7373 20657369 326C6568 33206D54
 K<sub>2</sub>=0x110C733D 0D166568 130E7474 06417967 1D00626E 161A2065 090D326C 4D393320
 K<sub>3</sub>=0x80B111F3 730DF216 850013F1 C7E1F941 620C1DFF 3ABAE91A 3FA109F2 F513B239
 K<sub>4</sub>=0xA0E2804E FF1B73F2 ECE27A00 E7B8C7E1 EE1D620C AC0CC5BA A804C05E A18B0AEC
* Шифрующее преобразование
 S<sub>1</sub>=0x42ABBCCE 32BC0B1B
 S<sub>2</sub>=0x5203EBC8 5D9BCFFD
 S<sub>3</sub>=0x8D345899 00FF0E28
 S<sub>4</sub>=0xE7860419 0D2A562D
 S =0xE7860419 0D2A562D 8D345899 00FF0E28 5203EBC8 5D9BCFFD 42ABBCCE 32BC0B1B
* Перемешивающее преобразование
 H<sub>2</sub>=0xCF9A8C65 505967A4 68A03B8C 42DE7624 D99C4124 883DA687 561C7DE3 3315C034

Вычисляем <math>H_{3} = f(H_{2}, L)</math>:
 L = 0x00000000 00000000 00000000 00000000 00000000 00000000 00000000 00000100
* Генерация ключей
 K<sub>1</sub>=0xCF68D956 9AA09C1C 8C3B417D 658C24E3 50428833 59DE3D15 6776A6C1 A4248734
 K<sub>2</sub>=0x8FCF68D9 809AA09C 3C8C3B41 C7658C24 BB504288 2859DE3D 666676A6 B3A42487
 K<sub>3</sub>=0x4E70CF97 3C8065A0 853C8CC4 57389A8C CABB50BD E3D7A6DE D1996788 5CB35B24
 K<sub>4</sub>=0x584E70CF C53C8065 48853C8C 1657389A EDCABB50 78E3D7A6 EED19867 7F5CB35B
* Шифрующее преобразование
 S =0x66B70F5E F163F461 468A9528 61D60593 E5EC8A37 3FD42279 3CD1602D DD783E86
* Перемешивающее преобразование
 H<sub>3</sub>=0x2B6EC233 C7BC89E4 2ABC2692 5FEA7285 DD3848D1 C6AC997A 24F74E2B 09A3AEF7

Вычисляем <math>H_{4} = f(H_{3}, \Sigma\ )</math>:
 <math> \Sigma\ </math> = 0x73657479622032333D6874676E656C202C6567617373656D2073692073696854
* Генерация ключей
 K<sub>1</sub>=0x5817F104 0BD45D84 B6522F27 4AF5B00B A531B57A 9C8FDFCA BB1EFCC6 D7A517A3
 K<sub>2</sub>=0xE82759E0 C278D95E 15CC523C FC72EBB6 D2C73DA8 19A6CAC9 3E8440F5 C0DDB66A
 K<sub>3</sub>=0x77483AD9 F7C29CAA EB06D1D7 641BCAD3 FBC3DAA0 7CB555F0 D4968080 0A9E56BC
 K<sub>4</sub>=0xA1157965 2D9FBC9C 088C7CC2 46FB3DD2 7681ADCB FA4ACA06 53EFF7D7 C0748708
* Шифрующее преобразование
 S =0x2AEBFA76 A85FB57D 6F164DE9 2951A581 C31E7435 4930FD05 1F8A4942 550A582D
* Применяя перемешивающее преобразование, получаем результат хеширования:
 H<sub>4</sub>=0xFAFF37A6 15A81669 1CFF3EF8 B68CA247 E09525F3 9F811983 2EB81975 D366C4B1

Данное Little-endian число в машинной памяти представляется строкой байт:
 B1 C4 66 D3 75 19 B8 2E 83 19 81 9F F3 25 95 E0 47 A2 8C B6 F8 3E FF 1C 69 16 A8 15 A6 37 FF FA

В записи &#171;младшие байты первыми&#187; имеем
 ГОСТ("This is message, length=32 bytes") = B1C466D37519B82E8319819FF32595E047A28CB6F83EFF1C6916A815A637FFFA

=== Второй пример из стандарта ===
В [[Big-endian]] представлении
 M = 0x7365747962203035203D206874676E656C20736168206567617373656D206C616E696769726F206568742065736F70707553
 H = 0x0852F5623B89DD57AEB4781FE54DF14EEAFBC1350613763A0D770AA657BA1A47

Этот же пример в [[Little-endian]]
 ГОСТ("Suppose the original message has length = 50 bytes") = 471ABA57A60A770D3A76130635C1FBEA4EF14DE51F78B4AE57DD893B62F55208

=== Другие примеры ===
Примеры<ref>[http://gosthash.chat.ru/ Тестовые векторы ГОСТ Р 34.11-94] {{Wayback|url=http://gosthash.chat.ru/ |date=20130330035751 }}{{ref-ru}}</ref>{{проверить авторитетность|23|03|2021|комм=Да и домен chart.ru продаётся, ссылка в никуда, получается.|обс=Обсуждение:ГОСТ_Р_34.11-94#Необходим_ли_раздел_"Другие_примеры"?}} в этом разделе приведены в [[little-endian]] представлении, используемом программами ''mhash'', ''RHash'', ''ReHash''.

=== ГОСТ хеш с «тестовым» набором параметров ===
 GOST ("") = CE85B99CC46752FFFEE35CAB9A7B0278ABB4C2D2055CFF685AF4912C49490F8D
 GOST ("a") = D42C539E367C66E9C88A801F6649349C21871B4344C6A573F849FDCE62F314DD
 GOST ("abc") = F3134348C44FB1B2A277729E2285EBB5CB5E0F29C975BC753B70497C06A4D51D
 GOST ("message digest") = AD4434ECB18F2C99B60CBE59EC3D2469582B65273F48DE72DB2FDE16A4889A4D
 GOST (128 символов "U") = 53A3A3ED25180CEF0C1D85A074273E551C25660A87062A52D926A9E8FE5733A4
 GOST (1000000 символов "a") = 5C00CCC2734CDD3332D3D4749576E3C1A7DBAF0E7EA74E9FA602413C90A129FA

Малейшее изменение сообщения в подавляющем большинстве случаев приводит к совершенно другому хешу вследствие [[лавинный эффект|лавинного эффекта]]. К примеру, при изменении в следующей фразе dog на cog получится:

 GOST("[[The quick brown fox jumps over the lazy dog]]") =
  77B7FA410C9AC58A25F49BCA7D0468C9296529315EACA76BD1A10F376D1F4294

 GOST("The quick brown fox jumps over the lazy cog") =
  A3EBC4DAAAB78B0BE131DAB5737A7F67E602670D543521319150D2E14EEEC445

=== Набор параметров CryptoPro ===
 GOST("") = 981E5F3CA30C841487830F84FB433E13AC1101569B9C13584AC483234CD656C0
 GOST("a") = E74C52DD282183BF37AF0079C9F78055715A103F17E3133CEFF1AACF2F403011
 GOST("abc") = B285056DBF18D7392D7677369524DD14747459ED8143997E163B2986F92FD42C
 GOST("message digest") = BC6041DD2AA401EBFA6E9886734174FEBDB4729AA972D60F549AC39B29721BA0
 GOST("The quick brown fox jumps over the lazy dog") =
   9004294A361A508C586FE53D1F1B02746765E71B765472786E4770D565830A76
 GOST("This is message, length=32 bytes") =
   2CEFC2F7B7BDC514E18EA57FA74FF357E7FA17D652C75F69CB1BE7893EDE48EB
 GOST("Suppose the original message has length = 50 bytes") =
   C3730C5CBCCACF915AC292676F21E8BD4EF75331D9405E5F1A61DC3130A65011
 GOST(128 символов "U") = 1C4AC7614691BBF427FA2316216BE8F10D92EDFD37CD1027514C1008F649C4E8
 GOST(1000000 символов "a") = 8693287AA62F9478F7CB312EC0866B6C4E4A0F11160441E8F4FFCD2715DD554F

== Оценка криптостойкости ==
В [[2008 год]]у командой экспертов из Австрии и Польши была обнаружена техническая уязвимость,
сокращающая поиск [[Коллизия хеш-функции|коллизий]] в 2<sup>23</sup>
раз.<ref>[http://www.heise-online.co.uk/security/European-cryptologists-attack-hash-functions--/news/111370 European cryptologists attack hash functions] {{Wayback|url=http://www.heise-online.co.uk/security/European-cryptologists-attack-hash-functions--/news/111370 |date=20080901143646 }}{{ref-en}}</ref><ref>«Cryptanalysis of the GOST Hash Function», [https://online.tu-graz.ac.at/tug_online/voe_main2.getVollText?pDocumentNr=80200&pCurrPk=36649 PDF]{{Недоступная ссылка|date=2018-06|bot=InternetArchiveBot }} Lecture Notes in Computer Science, 2008, Volume 5157/2008, 162—178, DOI: 10.1007/978-3-540-85174-5_10</ref>
Количество операций, необходимое для нахождения коллизии, таким образом, составляет 2<sup>105</sup>,
что, однако, на данный момент практически не реализуемо. Проведение [[Коллизия хеш-функции|коллизионной]] атаки на практике имеет смысл только в случае цифровой подписи документов, причём, если взломщик может изменять неподписанный оригинал.

== Использование ==
Функция используется при реализации систем цифровой подписи на базе асимметричного криптоалгоритма по стандарту [[ГОСТ Р 34.10-2001]].
Сообщество российских разработчиков СКЗИ согласовало используемые в Интернет параметры ГОСТ Р 34.11-94, см. RFC 4357.

* Использование в [[Сертификат (криптография)|сертификатах]] открытых ключей.<ref>
{{cite web
 |author        = Leontiev, S., Ed. and D. Shefanovskij, Ed.
 |date = 2006-05
 |url           = http://tools.ietf.org/html/rfc4491
 |title         = Using the GOST&nbsp;R&nbsp;34.10-94, GOST&nbsp;R&nbsp;34.10-2001 and GOST&nbsp;R&nbsp;34.11-94 Algorithms with the Internet X.509 Public Key Infrastructure Certificate and CRL Profile
 |description   = RFC 4491
 |lang          = en
 |accessdate    = 2009-06-12
 |archiveurl    = https://www.webcitation.org/65dTAZWsl?url=http://tools.ietf.org/html/rfc4491
 |archivedate   = 2012-02-22
}}</ref>
* Использование для защиты сообщений в [[S/MIME]] ([[Cryptographic Message Syntax]], [[PKCS#7]]).<ref>
{{cite web
 |author        = Leontiev, S., Ed. and G. Chudov, Ed.
 |date = 2006-05
 |url           = http://tools.ietf.org/html/rfc4490
 |title         = Using the GOST&nbsp;28147-89, GOST&nbsp;R&nbsp;34.11-94, GOST&nbsp;R&nbsp;34.10-94, and GOST&nbsp;R&nbsp;34.10-2001 Algorithms with Cryptographic Message Syntax (CMS)
 |description   = RFC 4490
 |lang          = en
 |accessdate    = 2009-06-12
 |archiveurl    = https://www.webcitation.org/61ApMs3Si?url=http://tools.ietf.org/html/rfc4490
 |archivedate   = 2011-08-24
}}</ref>
* Использование для защиты соединений в [[TLS]] ([[SSL]], [[HTTPS]], [[WEB]]).<ref>
{{cite web
 |author        = Leontiev, S., Ed. and G. Chudov, Ed.
 |date = 2008-12
 |url           = http://tools.ietf.org/html/draft-chudov-cryptopro-cptls
 |title         = GOST&nbsp;28147-89 Cipher Suites for Transport Layer Security (TLS)
 |description   = Internet-Drafts, work in progress
 |lang          = en
 |accessdate    = 2009-06-12
 |archiveurl    = https://www.webcitation.org/61ApNeHa4?url=http://tools.ietf.org/html/draft-chudov-cryptopro-cptls-04
 |archivedate   = 2011-08-24
}}</ref>
* Использование для защиты сообщений в [[XML Signature]] ([[XML Encryption]]).<ref>
{{cite web
 |author        = S. Leontiev,
                      P. Smirnov,
                      A. Chelpanov
 |date = 2008-12
 |url           = http://tools.ietf.org/html/draft-chudov-cryptopro-cpxmldsig
 |title         = Using GOST&nbsp;28147-89, GOST&nbsp;R&nbsp;34.10-2001, and GOST&nbsp;R&nbsp;34.11-94 Algorithms for XML Security
 |description   = Internet-Drafts, work in progress
 |lang          = en
 |accessdate    = 2009-06-12
 |archiveurl    = https://www.webcitation.org/61ApOGMn8?url=http://tools.ietf.org/html/draft-chudov-cryptopro-cpxmldsig-07
 |archivedate   = 2011-08-24
}}</ref>
* Защита целостности Интернет адресов и имён ([[DNSSEC]]).<ref>
{{cite web
 |author        = V.Dolmatov, Ed.
 |date = 2009-04
 |url           = http://tools.ietf.org/html/draft-dolmatov-dnsext-dnssec-gost
 |title         = Use of GOST signature algorithms in DNSKEY and RRSIG Resource Records for DNSSEC
 |description   = Internet-Drafts, work in progress
 |lang          = en
 |accessdate    = 2009-06-12
 |archiveurl    = https://www.webcitation.org/65dTB4226?url=http://tools.ietf.org/html/draft-dolmatov-dnsext-dnssec-gost-01
 |archivedate   = 2012-02-22
}}</ref>

== Примечания ==
{{примечания|2}}

== Ссылки ==
* Текст стандарта {{ГОСТ|Р 34.11-94}}
* Текст стандарта {{ГОСТ|34.311-95}}
* [https://web.archive.org/web/20061010004030/http://www.ssl.stu.neva.ru/psw/crypto/GOST_R_34.11-94_Pub.pdf ГОСТ Р 34.11 — 94. Функция хеширования. Краткий анализ.]

{{Хеш-алгоритмы}}

[[Категория:ГОСТ]]
[[Категория:ГОСТ Р]]
[[Категория:Криптографические хеш-функции]]
[[Категория:Стандарты криптографии]]