Просмотр кода страницы Стрибог (хеш-функция)

{{о|хеш-функции|древнерусском божестве|Стрибог}}
{{Карточка хеш-функции
|название      = Стрибог
|разработчики  = [[ФСБ России]],<br>[[ИнфоТеКС|ОАО «ИнфоТеКС»]]
|опубликован   = [[2012]]
|стандарты     = ГОСТ 34.11-2018, ГОСТ Р 34.11-2012, ИСО/МЭК 10118-3:2018, RFC 6986
|размер хеша   = 256 или 512 бит
|тип           = [[хеш-функция]]
|число раундов = 12
}}
'''«Стрибог»''' ({{lang-en|STREEBOG<ref>[https://www.iso.org/standard/67116.html 17. Dedicated Hash-Function 11 (STREEBOG-512)] {{Wayback|url=https://www.iso.org/standard/67116.html |date=20200122123851 }} // ISO/IEC 10118-3:2018 IT Security techniques — Hash-functions — Part 3: Dedicated hash-functions.</ref>}}) — [[криптография|криптографический]] алгоритм вычисления [[Хэш-функция|хеш-функции]] с размером блока входных данных 512 [[бит]] и размером [[хеш-код]]а 256 или 512 [[бит]].

Описывается в ГОСТ 34.11-2018 «Информационная технология. Криптографическая [[Информационная безопасность|защита информации]]. Функция хэширования» — действующем [[Межгосударственный стандарт|межгосударственном]] [[криптография|криптографическом]] [[стандарт]]е.

Разработан Центром защиты информации и специальной связи [[Федеральная служба безопасности Российской Федерации|ФСБ России]] с участием [[ИнфоТеКС|ОАО «ИнфоТеКС»]] на основе национального стандарта Российской Федерации ГОСТ Р 34.11-2012 и введен в действие с [[1 июня]] [[2019 год]]а приказом [[Федеральное агентство по техническому регулированию и метрологии|Росстандарта]] № 1060-ст от [[4 декабря]] [[2018 год]]а.

Стандарт ГОСТ Р 34.11-2012 разработан и введён в качестве замены устаревшему стандарту [[ГОСТ Р 34.11-94]]:
{{начало цитаты}}
Необходимость разработки <…> вызвана потребностью в создании хэш-функции, соответствующей современным требованиям к криптографической стойкости и требованиям стандарта [[ГОСТ Р 34.10-2012]] на [[Электронная цифровая подпись|электронную цифровую подпись]].
{{конец цитаты|источник=Текст стандарта. Введение.}}

Название хеш-функции — «[[Стрибог]]», по имени славянского божества, — часто используется вместо официального названия стандарта, хотя в его тексте явно не упоминается (см. [[#Интересные факты|ниже]]).

== Концепции построения хэш-функции «Стрибог» ==
В соответствии с требованиями, высказанными на конференции РусКрипто-2010, в работе, посвящённой новой хеш-функции<ref>Матюхин Д. В., Шишкин В. А., Рудский В. И. Перспективный алгоритм хеширования // Доклад на конференции РусКрипто’2010, 2010.</ref>:
* у новой хеш-функции не должно быть свойств, которые позволяли бы применить известные атаки;
* в хеш-функции должны использоваться изученные конструкции и преобразования;
* вычисление хеш-функции должно быть эффективным, занимать мало времени;
* не должно быть лишних преобразований, усложняющих конструкцию хеш-функции. Причем каждое используемое в хеш-функции преобразование должно отвечать за определённые криптографические свойства.

В той же работе вводятся «универсальные» требования, касающиеся трудоемкости атак на хеш-функцию:
{| class="standard"
 |Задача
 |Сложность
 |-
 |построение прообраза
 |<math>\gtrapprox</math> 2<sup>n</sup>
 |-
 |построение коллизии
 |<math>\gtrapprox</math> 2<sup>n/2</sup>
 |-
 |построение второго прообраза
 |<math>\gtrapprox</math> 2<sup>n</sup>/(длина сообщения)
 |-
 |удлинение прообраза
 ||<math>\gtrapprox</math> 2<sup>n</sup>
 |}

== Сравнение ГОСТ Р 34.11-2012 и ГОСТ Р 34.11-94 ==
* В ГОСТ Р 34.11-2012 размер блоков сообщения и внутреннего состояния хеш-функции составляет 512 бит против 256 бит в ГОСТ Р 34.11-94.
* Новый стандарт определяет две функции хеширования с длинами хеш-кода 256 и 512 бит, в то время как в старом стандарте длина хеш-кода может быть только 256 бит. Возможность вариации выходного хеша может быть полезна в случае встроенных реализаций с ограниченными ресурсами или наличия каких-то дополнительных требований в области криптографии.
* Основное отличие современной хеш-функции от старой — [[Односторонняя функция сжатия|функция сжатия]]. В ГОСТ Р 34.11-2012 используется функции сжатия, в основе которой лежат три преобразования: нелинейное биективное преобразование (обозначается S), [[перестановка]] байт (обозначается P), [[Линейное отображение|линейное преобразование]] (обозначается L). В ГОСТ Р 34.11-94 используется функция сжатия, основанная на симметричном [[Блочный шифр|блочном шифре]] ГОСТ Р 28147-89, также эта функция использует операции перемешивания.
* При вычислении новой хеш-функции, если размер сообщения не кратен размеру обрабатываемого блока (для современного стандарта — 512 бит, для старого стандарта — 256 бит), то такой блок дополняется вектором (00 … 01). При вычислении старой хеш-функции неполный блок дополняется значением (00 … 0). Считается, что дополнение (00 … 01) лучше, чем (00 … 0), с криптографической точки зрения, так как дополнения значением (00 … 0) приводит к атакам Оракула дополнения<ref>Serge Vaudenay (2002). «Security Flaws Induced by CBC Padding Applications to SSL, IPSEC, WTLS…». Advances in Cryptology — EUROCRYPT 2002, Proc. International Conference on the Theory and Applications of Cryptographic Techniques. Springer Verlag (2332): 534—545.</ref>. В случае ненулевого дополнения была доказана стойкость к подобным атакам<ref>Kenneth G. Paterson; Gaven J. Watson (2008). «Immunising CBC Mode Against Padding Oracle Attacks: A Formal Security Treatment». Security and Cryptography for Networks — SCN 2008, Lecture Notes in Computer Science. Springer Verlag (5229): 340—357.</ref>.
* Ещё одно отличие состоит в том, что стандарт ГОСТ Р 34.11-94 не определял значение инициализационного вектора, в то время как в стандарте ГОСТ Р 34.11-2012 значение инициализационного вектора фиксировано и определено в стандарте: для хеш-функции с размером выходного хеша 512 бит это вектор (00 … 0), для хеш-функции с размером выходного хеш-кода 256 бит — (000000010 … 100000001) (все байты равны 1).

== Функция сжатия ==
В хеш-функции важным элементом является функция сжатия. В ГОСТ Р 34.11-2012 функция сжатия основана на [[функция Миагути — Пренеля|конструкции Миагути — Пренеля]]. Схема конструкции Миагути — Пренеля: h, m — вектора, поступающие на вход функции сжатия; g(h, m) — результат функции сжатия; E — блочный шифр с длиной блока и ключа 512 бит. В качестве блочного шифра в хеш-функции ГОСТ Р 34.11-2012 взят XSPL-шифр. Этот шифр состоит из следующих преобразований:
* сложение по модулю 2;
* преобразование замены или подстановки. Обозначается S-преобразование;
* преобразование перестановки. Обозначается P-преобразование;
* линейное преобразование. Обозначается L-преобразование.

Преобразования, используемые в новой хеш-функции, должны быть хорошо изучены. Поэтому в блочном шифре E используются преобразования X, S, P, L, которые хорошо изучены.

Важным параметром блочного шифра является то, как выбирается ключ, который будет использовать на каждом раунде. В блочном шифре, используемом в ГОСТ Р 34.11-2012, ключи <math>K_{1}</math>, <math>K_{2}</math>, … , <math>K_{13}</math> для каждого из 13 раундов генерируются с помощью самой функции шифрования.

<math>C_{1}</math>, <math>C_{2}</math>, … , <math>C_{12}</math> — итерационные константы, которые являются 512 битовыми векторам. Их значения указаны в соответствующем разделе стандарта.

== Описание ==
В основу хеш-функции положена итерационная конструкция [[Структура Меркла — Дамгора|Меркла — Дамгора]] с использованием MD-усиления. Под MD-усилением понимается дополнение неполного блока при вычислении хеш-функции до полного путём добавления вектора (0 … 01) такой длины, чтобы получился полный блок. Из дополнительных элементов нужно отметить следующие:
* завершающее преобразование, которое заключается в том, что функция сжатия применяется к контрольной сумме всех блоков сообщения по модулю 2<sup>512</sup>;
* при вычислении хеш-кода на каждой итерации применяются разные функции сжатия. Можно сказать, что функция сжатия зависит от номера итерации.

Описанные выше решения позволяют противостоять многим известным атакам.

Кратко описание хеш-функции [[ГОСТ Р 34.10-2012|ГОСТ Р 34.11-2012]] можно представить следующим образом. На вход хеш-функции подается сообщение произвольного размера. Далее сообщение разбивается на блоки по 512 бит, если размер сообщения не кратен 512, то оно дополняется необходимым количеством бит. Потом итерационно используется функция сжатия, в результате действия которой обновляется внутреннее состояние [[Хеш-функция|хеш-функции]]. Также вычисляется [[контрольная сумма]] блоков и число обработанных бит. Когда обработаны все блоки исходного сообщения, производятся ещё два вычисления, которые завершают вычисление хеш-функции:
* обработка функцией сжатия блока с общей длиной сообщения.
* обработка функцией сжатия блока с контрольной суммой.

В работе Александра Казимирова и Валентины Казимировой<ref>{{Cite web |url=http://eprint.iacr.org/2013/556.pdf |title=Источник |access-date=2013-12-01 |archive-date=2013-12-03 |archive-url=https://web.archive.org/web/20131203010938/http://eprint.iacr.org/2013/556.pdf |deadlink=no }}</ref> приведена графическая иллюстрация вычисления хеш-функции.

== Анализ ==

=== Криптостойкость ===
Криптоанализ старого стандарта выявил некоторые его слабые стороны с теоретической точки зрения. Так в одной из работ<ref>«F. Mendel, N. Pramstaller, C. Rechberger, M. Kontak, J. Szmidt» CRYPTO 2008</ref>, посвящённых криптоанализу ГОСТ Р 34.11-94, было выявлено, что сложность алгоритма построения прообраза оценивается в 2<sup>192</sup> вычислений функций сжатия, коллизии 2<sup>105</sup>, что меньше «универсальных» оценок, которые для ГОСТ Р 34.11-94 равны 2<sup>256</sup> и 2<sup>128</sup>. Хотя по состоянию на 2013 год нет большого числа работ, посвящённых криптостойкости новой хеш-функции, исходя из конструкции новой хеш-функции, можно сделать некоторые выводы о её криптостойкости и предположить{{Нет АИ|3|3|2016}}, что её криптостойкость будет выше, чем у ГОСТ Р 34.11-94:
* в разделе «Описание» из схемы видно, что все блоки сообщения суммируются по модулю 2<sup>512</sup> и уже результат суммирования всех блоков подается на вход завершающего этапа (stage3). Благодаря тому, что здесь суммирование — это не побитовое сложение, получается защита от следующих атак:
:* построение мультиколлизий;
:* удлинение прообраза;
:* дифференциальный криптоанализ;
* в функции сжатия используется конструкция Миагути — Пренели, это обеспечивает защиту от атаки, основанную на фиксированных точках, так как для конструкции Миагути — Пренели не найдено лёгких способов для поиска фиксированных точек;
* на каждой итерации при вычислении хеш-кода используются различные константы. Это затрудняет атаки на основе связанных и разностных связанных ключей, атаки скольжения и отражения.

В 2013 году на сайте «Cryptology ePrint Archive: Listing for 2013» было опубликовано две статьи, посвящённых криптоанализу новой хеш-функции. В статье «Rebound attack on Stribog»<ref>{{cite web
| author=Riham AlTawy, Aleksandar Kircanski and Amr M. Youssef
| title=Rebound attacks on Stribog
| date=2013-08-27
| url=https://eprint.iacr.org/2013/539.pdf
| lang=en
| access-date=2013-12-01
| archive-date=2013-12-03
| archive-url=https://web.archive.org/web/20131203020554/https://eprint.iacr.org/2013/539.pdf
| deadlink=no
}}</ref> исследуется устойчивость хеш-функции по отношению к атаке, называемой «The Rebound attack»; в основе этой атаки лежит «rotation cryptanalysis» и [[дифференциальный криптоанализ]]. Криптоаналитики при поиске уязвимостей использовали метод, называемый «free-start». Это означает, что при вычислении хеш-кода фиксируется некоторое состояние хеш-функции и дальше вычисления могут идти как в сторону вычисления хеш-кода, так и в сторону вычисления сообщения. Криптоаналитики сумели добиться коллизии за 5 раундов и была получена так называемая «near collision» (это означает, что были найдены два сообщения, хеш-коды которых отличны в малом количестве бит) при использовании 7,75 раунда. Также было установлено, что схема, по которой выбираются ключи для каждого раунда, добавляет устойчивости функции сжатия. Однако было показано, что коллизия возможна за 7,75 раунда, а «near collision» — за 8,75 и 9,75, соответственно.

В статье «Integral Distinguishers for Reduced-round Stribog»<ref>{{cite web
| author=Riham AlTawy and Amr M. Youssef
| title=Integral Distinguishers for Reduced-round Stribog
| date=2013-10-08
| url=https://eprint.iacr.org/2013/648.pdf
| lang=en
| access-date=2015-11-03
| archive-date=2016-03-04
| archive-url=https://web.archive.org/web/20160304193239/https://eprint.iacr.org/2013/648.pdf
| deadlink=no
}}</ref> рассматривается стойкость хеш-функции (с уменьшенным количеством раундов) по отношению к [[интегральный криптоанализ|интегральному криптоанализу]]. Авторами при исследовании функции сжатия удалось найти дифференциал за 4 раунда при вычислении в прямом направлении и за 3,5 раунда при вычислении в обратном направлении. Также было выяснено, что атака нахождения дифференциала на хеш-функцию с числом раундов 6 и 7 требует 2<sup>64</sup> и 2<sup>120</sup> среднераундовых значений, соответственно.

Для изучения криптостойкости новой хеш-функции компания «ИнфоТеКС» в ноябре 2013 года объявила о старте конкурса<ref>http://www.streebog.info/ {{Wayback|url=http://www.streebog.info/ |date=20131203025859 }} Открытый конкурс по исследованию функции</ref>; он завершился в мае 2015 года<ref>http://www.streebog.info/news/opredeleny-pobediteli-konkursa-po-issledovaniyu-khesh-funktsii-stribog/ {{Wayback|url=http://www.streebog.info/news/opredeleny-pobediteli-konkursa-po-issledovaniyu-khesh-funktsii-stribog/ |date=20150910060134 }} Определены победители конкурса по исследованию хеш-функции «Стрибог»</ref>. Победителем стала работа «The Usage of Counter Revisited: Second-Preimage Attack on New Russian Standardized Hash Function», в которой авторы представили [[Атака нахождения прообраза|атаку нахождения второго прообраза]] для хеш-функции «Стрибог-512», требующую 2<sup>266</sup> вызовов функции сжатия для сообщений длиннее 2<sup>259</sup> блоков<ref name=counter-revisited>{{cite web
| author=Jian Guo, Jérémy Jean, Gaëtan Leurent, Thomas Peyrin, Lei Wang
| date=2014-08-29
| title=The Usage of Counter Revisited: Second-Preimage Attack on New Russian Standardized Hash Function
| url=https://eprint.iacr.org/2014/675.pdf
| lang=en
| access-date=2015-11-03
| archive-date=2016-03-04
| archive-url=https://web.archive.org/web/20160304192434/https://eprint.iacr.org/2014/675.pdf
| deadlink=no
}}</ref>.

На конференции Crypto-2015 [[Алекс Бирюков]], Лео Перрин и Алексей Удовенко представили доклад, в котором говорится о том, что значения S-блока шифра «[[Кузнечик (шифр)|Кузнечик]]» и хеш-функции Стрибог не являются (псевдо)случайными числами, а сгенерированы на основе скрытого алгоритма, который докладчикам удалось восстановить методами обратного проектирования<ref>{{cite web
| author=Alex Biryukov, Léo Perrin, Aleksei Udovenko
| title=The Secret Structure of the S-Box of Streebog, Kuznechik and Stribob
| date=2015-08-14
| url=https://eprint.iacr.org/2015/812.pdf
| lang=en
| access-date=2015-11-03
| archive-date=2015-09-08
| archive-url=https://web.archive.org/web/20150908110341/http://eprint.iacr.org/2015/812.pdf
| deadlink=no
}}</ref><ref>{{cite web
| author=Alex Biryukov, Léo Perrin, Aleksei Udovenko
| title=Reverse-Engineering the S-Box of Streebog, Kuznyechik and STRIBOBr1 (Full Version)
| date=2016-01-26
| url=https://eprint.iacr.org/2016/071.pdf
| lang=en
| access-date=2017-02-22
| archive-date=2017-07-16
| archive-url=https://web.archive.org/web/20170716034825/https://eprint.iacr.org/2016/071.pdf
| deadlink=no
}}</ref>.

29 января 2019 года была опубликовано исследование «Partitions in the S-Box of Streebog and Kuznyechik»<ref>{{cite web
| author=Léo Perrin
| title=Partitions in the S-Box of Streebog and Kuznyechik
| date=2019-01-29
| url=https://eprint.iacr.org/2019/092.pdf
| access-date=2020-08-25
| archive-date=2020-11-14
| archive-url=https://web.archive.org/web/20201114112553/https://eprint.iacr.org/2019/092.pdf
| deadlink=no
}}</ref>, которое опровергает заявление авторов о случайном выборе параметров таблиц замен в алгоритмах Стрибог и Кузнечик<ref>{{cite web
| author=Virgil Security, Inc.
| title=Очередные странности в алгоритмах ГОСТ Кузнечик и Стрибог
| url=https://habr.com/ru/company/virgilsecurity/blog/439788/
| website=habr.com
| accessdate=2020-08-25
| lang=ru
| archive-date=2020-11-07
| archive-url=https://web.archive.org/web/20201107225908/https://habr.com/ru/company/virgilsecurity/blog/439788/
| deadlink=no
}}</ref>.

=== Быстродействие ===
На сайте, посвящённом VI Международной конференции «Параллельные вычисления и задачи управления» (PACO’2012), представлена статья П. А. Лебедева «Сравнение старого и нового стандартов РФ на [[Криптографическая хеш-функция|криптографическую хеш-функцию]] на ЦП и графических процессорах NVIDIA», в которой проводится сравнение быстродействия семейства криптографических хеш-функций [[ГОСТ Р 34.11-94]] и [[ГОСТ 34.11-2018|ГОСТ Р 34.11-2012]] на процессорах архитектуры x86_64 и видеокартах NVIDIA с поддержкой технологии CUDA<ref>{{cite web|author=П. А. Лебедев|title=Сравнение старого и нового стандартов РФ на криптографическую хэш-функцию на ЦП и графических процессорах NVIDIA|url=https://www.hse.ru/data/2013/08/01/1291252307/lebedev-hashes.pdf|publisher=Московский институт электроники и математики Национального исследовательского университета «Высшая школа экономики»|date=2012|accessdate=2020-08-25|lang=ru|ref=lebedev-hashes|archive-date=2021-04-18|archive-url=https://web.archive.org/web/20210418060343/https://www.hse.ru/data/2013/08/01/1291252307/lebedev-hashes.pdf|deadlink=no}}</ref>.

Для сравнения быстродействия на процессоре архитектуры x86_64 были взяты 4 разных реализации хеш-функций:
# реализация ГОСТ Р 34.11-1994 из криптографического пакета OpenSSL (версия 1.0.1c) с открытым исходным кодом. В этой реализации нет алгоритмических и программных оптимизаций;
# реализация ГОСТ Р 34.11-1994 в программе RHash (версия 1.2.9). В этой реализации есть алгоритмические и программные оптимизации, в том числе ассемблерные оптимизации;
# реализация ГОСТ Р 34.11-2012, написанная А. Казимировым<ref>{{Cite web |url=https://github.com/okazymyrov/stribog |title=GitHub — okazymyrov/stribog |access-date=2013-12-03 |archive-date=2018-06-11 |archive-url=https://web.archive.org/web/20180611020237/https://github.com/okazymyrov/stribog |deadlink=no }}</ref>;
# реализации ГОСТ Р 34.11-1994 и ГОСТ Р 34.11-2012, написанные П. А. Лебедевым.

Использовался процессор Intel Core i7-920 CPU на базовой частоте 2,67 ГГц. Результаты производительности:

 {|class="wikitable"
 |-
 ! ||colspan="2"|'''ГОСТ Р 34.11-1994'''||colspan="2"|'''ГОСТ Р 34.11-2012'''
 |-
 |Реализация №||МБ/с||Тактов/байт||МБ/с||Тактов/байт
 |-
 |1||18||143||-||-
 |-
 |2||49||52||-||-
 |-
 |3||-||-||38||67
 |-
 |4||64||40||94||27
 |}

Сравнение быстродействия старого и нового стандартов хеш-функций на GPU проводилось между реализациями П. А. Лебедева. Использовалась видеокарта NVIDIA GTX 580. Результаты производительности (8192 потока данных по 16 КБ):

{| class="wikitable"
 |-
 ! colspan="2"|ГОСТ Р 34.11-1994||colspan="2"|ГОСТ Р 34.11-2012
 |-
 |МБ/с||Тактов/байт||МБ/с||Тактов/байт
 |-
 |1697||-||608||-
 |}

На основании этих результатов сделан вывод, что хеш-функция ГОСТ Р 34.11-2012 может быть в два раза быстрее хеш-функции ГОСТ Р 34.11-94 на современных процессорах, но медленнее на графических картах и системах с ограниченными ресурсами.

Такие результаты производительности можно объяснить тем, что при вычислении новой хеш-функции используются только сложения по модулю 2 и инструкции пересылки данных. Старая хеш-функции содержит много инструкций перемешивания, которые не лучшим образом отображаются на набор команд ЦП. Но увеличенный размер состояний и таблиц подстановки хеш-функции ГОСТ Р 34.11-2012 делает её медленней на высокопараллельных вычислительных средствах, таких как графические процессоры.

Также исследование производительности новой хеш-функции было проведено её разработчиками на 64-битном процессоре Intel Xeon E5335 2 ГГц. Использовалось одно ядро. Производительность хеш-функции ГОСТ Р 34.11-2012 составила 51 такт процессора на 1 байт хешируемых данных (примерно 40 MБ/с). Полученный результат на 20 % лучше, чем у старой хеш-функции ГОСТ Р 34.11-94.

== Интересные факты ==
В конце текста стандарта приведены примеры пошагового вычисления хеша для нескольких исходных значений. Одно из таких значений — [[Шестнадцатеричная система счисления|шестнадцатеричное]] число M<sub>2</sub> длины 576 бит (72 байта) из примера 2:
{{цитата|fbe2e5f0eee3c820fbeafaebef20fffbf0e1e0f0f520e0ed20e8ece0ebe5f0f2f120fff0<br>eeec20f120faf2fee5e2202ce8f6f3ede220e8e6eee1e8f0f2d1202ce8f0f2e5e220e5d1}}
На [[ЭВМ]] архитектуры [[x86]] используется [[Порядок байтов#Порядок от младшего к старшему|порядок байт от младшего к старшему]], и подобное число в памяти будет представлено в «перевёрнутом» виде. Если преобразовать этот массив байт в текст в кодировке [[Windows-1251]], то получится немного изменённая строчка из [[Слово о полку Игореве|Слова о полку Игореве]]:
{{цитата|Се ветри, Стрибожи внуци, веютъ с моря стрелами на храбрыя плъкы Игоревы}}

В ответ на критическую статью «Watch your Constants: Malicious Streebog»<ref>{{cite web
| author=Riham AlTawy and Amr M. Youssef
| title=Watch your Constants: Malicious Streebog
| url=https://eprint.iacr.org/2013/648.pdf
| date=2013-10-08
| lang=en
| access-date=2015-11-03
| archive-date=2016-03-04
| archive-url=https://web.archive.org/web/20160304193239/https://eprint.iacr.org/2013/648.pdf
| deadlink=no
}}</ref> комитет ТК26 выпустил заметку «Об алгоритме выработки констант функции хэширования „Стрибог“»
<ref>{{cite web
| author=В.И. Рудской
| title=Об алгоритме выработки констант функции хэширования «Стрибог»
| url=https://tc26.ru/upload/medialibrary/ccd/ccdfd2b8a7dba8c16c880dd710542eee.pdf
| lang=ru
| access-date=2019-12-26
| archive-date=2019-12-26
| archive-url=https://web.archive.org/web/20191226130337/https://tc26.ru/upload/medialibrary/ccd/ccdfd2b8a7dba8c16c880dd710542eee.pdf
| deadlink=no
}}</ref>
<ref>{{cite web
| author=V. Rudskoy
| title=Note on Streebog constants origin
| url=https://tc26.ru/upload/medialibrary/efb/streebog_constants_eng%20Rudskoi.pdf
| lang=en
| access-date=2019-12-26
| archive-date=2021-03-02
| archive-url=https://web.archive.org/web/20210302113831/https://tc26.ru/upload/medialibrary/efb/streebog_constants_eng%20Rudskoi.pdf
| deadlink=no
}}</ref> в которой пояснено, что константы раундовых ключей строились как преобразование входных строк с помощью «Стрибог»-подобной хэш функции. Если преобразовать эти входные строки в текст в кодировке [[Windows-1251]], то получатся имена авторов стандарта:
{| class="standard"
 |C<sub>i</sub> = H<sub>init</sub>(M)
 |M (в шестнадцатеричной записи)
 |M<sub>cp1251</sub> (строка в [[Windows-1251]])
 |-
 |C<sub>1</sub>
 |e2e5ede1e5f0c3
 |Гребнев
 |-
 |C<sub>2</sub>
 |f7e8e2eef0e8ece8e4e0ebc220e9e5e3f0e5d1
 |Сергей Владимирович
 |-
 |C<sub>3</sub>
 |f5f3ecc4
 |Дмух
 |-
 |C<sub>4</sub>
 |f7e8e2eef0e4ede0f1eae5ebc020e9e5f0e4edc0
 |Андрей Александрович
 |-
 |C<sub>5</sub>
 |ede8e3fbc4
 |Дыгин
 |-
 |C<sub>6</sub>
 |f7e8e2eeebe9e0f5e8cc20f1e8ede5c4
 |Денис Михайлович
 |-
 |C<sub>7</sub>
 |ede8f5fef2e0cc
 |Матюхин
 |-
 |C<sub>8</sub>
 |f7e8e2eef0eef2eae8c220e9e8f0f2e8ecc4
 |Дмитрий Викторович
 |-
 |C<sub>9</sub>
 |e9eeeaf1e4f3d0
 |Рудской
 |-
 |C<sub>10</sub>
 |f7e8e2e5f0eee3c820f0e8ece8e4e0ebc2
 |Владимир Игоревич
 |-
 |C<sub>11</sub>
 |ede8eaf8e8d8
 |Шишкин
 |-
 |C<sub>12</sub>
 |f7e8e2e5e5f1eae5ebc020e9e8ebe8f1e0c2
 |Василий Алексеевич
 |}

== Применение ==
Алгоритм используется в реализации [[Дистанционное голосование|ДЭГ]] на [[Выборы президента России (2024)|выборах президента России]].<ref>{{Cite web|url=https://vybory.gov.ru/resources/static/landing_content/files/%D0%9E%D0%BF%D0%B8%D1%81%D0%B0%D0%BD%D0%B8%D0%B5_%D0%BF%D1%80%D0%BE%D1%82%D0%BE%D0%BA%D0%BE%D0%BB%D0%B0_%D1%82%D0%B0%D0%B9%D0%BD%D0%BE%D0%B3%D0%BE_%D0%B3%D0%BE%D0%BB%D0%BE%D1%81%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D1%8F_%D0%94%D0%AD%D0%93_2023.pdf|title=Описание протокола тайного голосования ДЭГ|lang=ru|website=Портал дистанционного электронного голосования ЦИК России|date=2023|publisher=ПАО "Ростелеком"|url-status=live|access-date=2024-02-29|archive-date=2024-02-23|archive-url=https://web.archive.org/web/20240223070642/https://vybory.gov.ru/resources/static/landing_content/files/%D0%9E%D0%BF%D0%B8%D1%81%D0%B0%D0%BD%D0%B8%D0%B5_%D0%BF%D1%80%D0%BE%D1%82%D0%BE%D0%BA%D0%BE%D0%BB%D0%B0_%D1%82%D0%B0%D0%B9%D0%BD%D0%BE%D0%B3%D0%BE_%D0%B3%D0%BE%D0%BB%D0%BE%D1%81%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D1%8F_%D0%94%D0%AD%D0%93_2023.pdf}}</ref>

== Примечания ==
{{примечания}}

== Ссылки ==
* Текст стандарта {{ГОСТ|Р 34.11-2012}}
* Текст стандарта {{ГОСТ|34.11-2018}}
* [[s:ГОСТ Р 34.11—2012|Текст стандарта ГОСТ Р 34.11-2012]] в [[Викитека|Викитеке]]
* [http://www.rfc-editor.org/rfc/rfc6986.txt RFC 6986 GOST R 34.11-2012: Hash Function]
* [https://eprint.iacr.org/2013/556.pdf Algebraic Aspects of the Russian Hash Standard GOST R 34.11-2012], 2013
* [https://eprint.iacr.org/2016/071.pdf Reverse-Engineering the S-Box of Streebog, Kuznyechik and STRIBOBr1 (Full Version)], 2016
{{ВС}}
{{rq|check|style|wikify|img}}
{{Хеш-алгоритмы}}

[[Категория:ГОСТ]]
[[Категория:ГОСТ Р]]
[[Категория:Криптографические хеш-функции]]
[[Категория:Стандарты криптографии]]