Википедия:Кандидаты в добротные статьи/28 октября 2019

Завершённые обсуждения кандидатов в добротные статьи

• Начинающим
• Сообщество
• Порталы
• Избранное
• Проекты
• Запросы
• Оценивание

В добротные статьи

13 октября

14 октября

15 октября

16 октября

17 октября

18 октября

19 октября

20 октября

21 октября

22 октября

23 октября

24 октября

25 октября

26 октября

27 октября

28 октября

29 октября

30 октября

31 октября

1 ноября

2 ноября

3 ноября

 | 

Здесь находятся завершившиеся обсуждения. Просьба не вносить изменений.

Ферхат-паша (великий визирь)

Статья о великом визире, занимавшем этот пост дважды. — Зануда 05:14, 28 октября 2019 (UTC)

• Комментарий: Субашей по тексту или викифицировать или пояснить надо. — --с уважением, Lapsy 11:17, 29 октября 2019 (UTC)
  • Сделано.-- Зануда (с чужого компа)

Итог

Статья избрана. Требованиям ВП:ТДС соответствует. — --с уважением, Lapsy 10:56, 6 ноября 2019 (UTC)

Halka

Добрый день! Это моя первая статья, которую я номинирую на статус добротной статьи. В данной статье описывается блочный шифр Halka, главной особенностью которого является использование мультипликативной инверсии на основе LFSR для 8-битных S-блоков. Статья содержит такие разделы, как: История, Алгоритм, Подробная информация о раунде, Мультипликативная инверсия с использованием LFSR, Криптоанализ, Примечания, Литература и Ссылки. — Student zaschitainformacii (обс.) 14:48, 28 октября 2019 (UTC)

Исправленные замечания

• Спасибо за статью! Некоторые замечания:

1. В русской википедии не принято использовать прямые ссылки на другие языковые разделы (см. ВП:МЕЖЪЯЗ), следует переделать их с использованием шаблона {{iw5}} или подобного.
2. На иллюстрацию, использованную в статье, отсутствует обоснование добросовестного использования (cм. ВП:КДИ), да и то, что файл является незаменяемым в данном случае сомнительно. Скорее всего, этому файлу следует сделать свободный аналог или убрать его.
3. В карточке имя автора помечено как Sourav Das, на википедии принято писать имена людей на русском, поэтому данное имя следует транскрибировать.
4. Сноска «Облегчённая криптография» на текущий момент ведёт в никуда.
5. Текст раздела «Алгоритм», как и «алгоритмическое описание» — практически дословный перевод куска статьи, что формально считается нарушением авторского права. Данный раздел (и другие подобные, значительная часть статьи это перевод оригинального текста Sourav Das) стоит переработать.
6. В «алгоритмическом описании» функции «generateRoundKeys», «addRoundKey» и т. д. используются, хотя они не были толком определены где либо. По данному отрывку невозможно понять, что на самом деле происходит в алгоритме.
7. В разделе «Подробная информация о раунде» отсутствует ссылка на АИ, и в целом по статье не выполняется требование «АИ после каждого нетривиального утверждения и в конце каждого абзаца», это следует исправить (см. ВП:ТДС-6).
8. Повсеместно используются понятия, которые нигде не вводятся. «Конкретный раунд состоит из XOR с раундовым ключом» — что такое раундовый ключ, откуда он взялся? Возможно, это стандартные термин для специалистов в защите информации, но в целом следует всё же уделять больше внимания моментам, где в статью вводится новый термин и, по возможности, уточнять его смысл.
9. Аналогично для операций — по видимому, $\oplus$ обозначает побитовое исключающее или (кстати, его лучше как-то так или в другом русскоязычном варианте и называть, а не «XOR»), а $\vert \vert$ — обычное побитовое или, но в статье это нигде не поясняется.
10. Про перестановку говорится, что она случайная, а дальше указывается таблица с некоторой конкретной перестановкой. Как это вообще следует понимать? Это как из распространённой шутки: «const int rnd_int = 4; // truly random number, selected by fair dice roll». Если перестановка фиксирована и всегда производится по таблице, то к чему фраза про случайность? По видимому, имелось в виду, что эта перестановка была сгенерирована некоторым случайным образом, а не что она является случайным, тогда это стоит уточнить (но нужен АИ). Саму перестановку я бы убрал, она, на мой взгляд, энциклопедически не значима. То же самое относится к S-блоку ниже, никакой пользы статье от 256 случайных байт, записанных в таблицу 16x16 нет.
11. Я уверен, что под «мультипликативной инверсией» (тоже межъязыковая ссылка почему-то) имеется в виду что-то, что называется по другому и это что-то также следует в явном виде определить, прежде чем использовать в тексте статьи. Скажем, я думаю, имеется в виду обратный элемент по умножению, но обратный к чему и в каком кольце нужно уточнять.
12. Раздел «Hardware Mode» (кстати, что вообще значит это название?) содержит некий алгоритм, описанный на английском языке. Это плохо, у нас википедия на русском и соответственно описание алгоритма тоже должно быть на русском.

Это общие замечания, с которыми я предлагаю пока поработать. Когда разберёмся с ними, перечитаю статью и приведённые источники, которые, я надеюсь, добавятся и посмотрим, что можно дальше делать. Общий комментарий — статья, на мой взгляд, перегружена специфической терминологией и очень тяжело читается. adamant (обс./вклад) 22:35, 17 ноября 2019 (UTC)

• Добрый вечер! Спасибо за сделанные комментарии.

1. Изменила, спасибо, что подсказали, как исправить.
2. Иллюстрацию убрала =)
3. Транскрибировала, теперь ок.
4. Спасибо, что заметили. Настроила.
5. Поправила.
6. Это определения и вспомогательные процедуры из AES, на основе которого разработан Halka. Добавила такой комментарий.
7. Добавлены ссылки на АИ.
8. Блочный шифр SP-сети использует свой ключ, получаемый из начального. Это основа, которая описана здесь: блочный шифр.
9. Это стандартное обозначение для исключающего "или", но на всякий случай, это я тоже указала. Даже во многих русскоязычных источниках и учебной литературе XOR обозначают именно так.
10. Перестановки действительно случайны. Таблица с конкретной перестановкой представлена в качестве примера (указала это в названии), иллюстрирующего отображение перестановок, которое уже не является случайным. Также я считаю, что не стоит убирать пример перестановки и S-блока, так как блочный шифр типа SP-сеть состоит их S-боксов(блоков) и P-блоков(перестановок), а данные таблицы помогают проиллюстрировать возможное построение SP-сети.
11. Понятие "мультипликативная инверсия" существует и используется в русскоязычной литературе по криптографии, поэтому заменять не стала. Инвертирование по отношению к примитивному многочлену (указано в начале статьи). А по какому модулю, хз, ни в одной статье автора не указано :D
12. Переименовала в "Аппаратный режим". Алгоритм перевела :)

Student zaschitainformacii (обс.) 22:29, 23 ноября 2019 (UTC)

• Хорошо, продолжаем.

1. Возможно ли выделить в статье раздел, где будет в максимально доступном (для неспециалиста в криптографии) виде описываться постановка задачи, а также используемые обозначения? Если они все описаны в какой-то основной статье, можно также проставить шаблон {{основная статья}}. Мне сложно оценить, насколько большим будет такой раздел, но если это можно сделать достаточно сжато, то лучше сделать.
2. У вас всё ещё встречаются ссылки напрямую на английскую википедию. Например, с мультипликативного инвертирования — исправьте, пожалуйста, все такие ссылки.
3. Ссылка на мультипликативную инверсию, вообще говоря, явно ведёт не туда, куда имелось в виду — в английской статье, на которую идёт ссылка, почти целиком статья посвящена обратному элементу над $\mathbb {Q}$ и их расширениями.
4. Статья логический элемент в рувики присутствует, зачем поверх неё лежит {{не переведено}} — не понятно.
5. Думаю, лучше всё же не использовать сноски для ссылок на другие вики-проекты. Наверно, в данном случае стоит прописать ссылку как «в облегчённой криптографии», чтоб был задел на статью по этой теме.
6. «трансформация при шифровании при которой Round Key XOR’ится c $S$» — если пишете «раундовый ключ», то лучше не отходить от такого обозначения и везде называть его именно так.
7. «Преобразование S-блока» — уточнения о том, что обозначается через $||$ так и не появилось.
8. Писать «XOR’ится» не очень энциклопедично. Следует перефразировать на что-то вроде «к состоянию $S$ применяется XOR с раундовым ключом $K_{i}$».
9. В разделе «Алгоритм» используется обозначение $S$, а в следующем разделе — обозначение $S_{i}$. Следует их согласовать между собой.
10. Обозначение $s_{k}^{i}\leftarrow s_{j}^{i}$ не очень удачное, так как по нему не сразу видно, что $(j,k)$ — пара из перестановки. Я думаю, здесь следует выделить какую-нибудь стандартную нотацию для перестановок (например, пусть мы работаем с перестановкой $p_{0},p_{1},\dots ,p_{63}$) и записать это так, чтобы было сразу видно, что применяется перестановка: $s_{k}^{i}\leftarrow s_{p_{k}}^{i}$. Пример конкретной перестановки я бы всё же убрал — он не несёт энциклопедической ценности, а лишь может вводить в заблужение. Кстати, если перестановка случайная — следует уточнить, в какой момент она генерируется. Это происходит на каждом раунде независимо?
11. Не ясно, что значит фраза «каждый бит из каждого 8-битного S-блока влияет на один и только один бит в каждом из восьми 8-битных S-блоков на следующем уровне». Её смысл можно отобразить формулой?..
12. Смысл раздела «Мультипликативная инверсия с использованием LFSR» не ясен. Откуда вообще берётся LFSR и как это связано с тем, что описано в разделе «Алгоритм»? Мультипликативная инверсия чего именно, в каком кольце, и с какой целью вычисляется? Я думаю, что статья должна быть написана таким образом, чтобы ответы на эти вопросы были ясны человеку, который заранее не знаком с криптографической кухней.

𝓪𝓭𝓪𝓶𝓪𝓷𝓽 (обс./вклад) 08:07, 24 ноября 2019 (UTC)

• И снова здравствуйте! Спасибо за оперативный ответ, помощь и комментарии.

1. Скорее нет, чем да. Halka - блочный шифр из огромного множества блочных шифров. Что это и для чего нужно описано здесь: блочный шифр. Это достаточно объемная статья, поэтому коротко объяснить точно не получится, скорее, написать новую статью :D Но зачем, если и так есть замечательная статья блочный шифр сама по себе.
2. По-моему, это был единственный момент, который остался? Исправила.
3. Спасибо, Вы правильно заметили! Теперь нормально. Ссылаюсь только один раз в самом начале и куда нужно.
4. Точно, не видела, убрала.
5. Cделано. Кстати! я думаю, в скором времени такая статья появится, её напишет кто-то из моих одногруппников. Дело в том, что все эти статьи на вики по защитке - это наша домашка по "Защите информации" в институте :с
6. Согласна, переписала.
7. Теперь появилось :)
8. Поправила.
9. В алгоритме S это же переменная, а S_i в описании о раунде так и определено как состояние в i-м раунде. Согласование тут не требуется.
10. Обозначение в тексте статьи, на мой взгляд, весьма понятное и не перегруженное. Формула показывает, какие биты текущего уровня влияют на следующие, то есть j-ые на i-ые, что и написано. По поводу второго вопроса, хз, в статье не указано. Могу написать письмо автору, чтобы пояснил. Соответственно, перестановку из статьи тоже пока не убираем.
11. Ее смысл и отображен формулой, о которой мы выше говорим))))
12. Раздел Алгоритм повествует о чисто математическом принципе работы шифра. А регистр сдвига LFSR помогает реализовать этот алгоритм на железе. Об этом и речь в hardware разделе. По поводу второго вопроса могу написать автору. Но никакого АИ у нас не будет

P.S. Эх, чувствую, что если Вы будете продолжать докапываться (͡° ͜ʖ ͡°) в том же духе, я не закрою защитку до нового года :D Student zaschitainformacii (обс.) 14:48, 24 ноября 2019 (UTC)

• 1. Статья блочный шифр несёт в себе намного больше информации, чем нужно для написания введения в эту статью. Я не предлагаю пересказывать всю мотивацию, историю и т. д., но дать постановку вкратце (хотя бы формульно) и пояснить основные обозначения, мне кажется, можно было бы. Например, в разделе «Постановка» в статье Алгоритм Шрайера — Симса, я вкратце даю некоторые определения и поясняю обозначения, хотя они и есть в любой книге по теории групп.

1. Modular multiplicative inverse — про обратный элемент ${\bmod {m}}$, где $m$ — обычное число, а у вас ведь здесь многочлены обращаются, я так понимаю? Это, конечно, ближе по смыслу, но всё ещё ведёт немного не туда.
2. «XOR with Round Key» — не лучшее название для этапа в раунде, лучше перевести.
3. «Ее смысл и отображен формулой, о которой мы выше говорим» — что-то я не очень понял. То есть, фраза просто о том, что это именно перестановка, а не что либо ещё? Тогда её лучше просто убрать, чтоб не запутывала.
4. Я не могу из статьи понять, какое вообще LFSR имеет отношение к алгоритму, в самом алгоритме его нет. Если он помогает его реализовать, то следует выделить отдельный раздел, в котором описывается, каким образом. Из оригинальной статьи я так понял, что multiplicative inverse каким-то образом связано с этим S-box, но каким? Из статьи на википедии я не могу извлечь ответ на этот вопрос.
5. Указание на то, что значительная часть текста является прямым переводом и нарушает авторские права Sourav Das я уже сделал. Похоже, ситуация сохраняется, поэтому укажу конкретнее:
   1. «Подробная информация о раунде» — дословный перевод страницы 7 статьи Sourav Das,
   2. «Мультипликативная инверсия с использованием LFSR» — перевод разных кусков статьи, в частности, страницы 3 на Hardware Mode, страницы 4 на «аппаратную реализацию», страницы 5-6 на «Параметризацию» и «S-блок»,
   3. «Криптоанализ» — значительная часть раздела напрямую заимствована из страниц 8-9 работы Sourav Das.

Это всё следует переделывать, статья с ВП:КОПИВИО не может быть избрана.

P.S. К сожалению, я больше заинтересован в том, чтобы статья была достаточно качественной, чем в том, чтобы вы своевременно сдали вашу домашку.

P.P.S. @Colt browning: буду очень признателен, если найдёте возможным также прокомментировать данную номинацию. adamant (обс./вклад) 16:11, 24 ноября 2019 (UTC)

• Спасибо за оперативный ответ!

1. По поводу введения с теоркой. Посмотрела разнообразные статусные статьи на вики по данной теме, например, Blowfish, Khufu, Skipjack. Здесь, как у вас, такого нет, - история, описание алгоритма и погнали! Если вам очень хочется введение из статьи о блочных шифрах, подскажите, о чем писать. Потому что мне не очень ясен этот момент.
2. Итак, алгоритм Евклида находит обратный элемент и его реализация связана со сдвиговым регистром. Вот это: Extended_Euclidean_algorithm (Раздел Simple algebraic field extensions, там рассказывается про инверсию для многочленов). Но как на это сослаться?
3. Убрала.
4. В разделе "Мультипликативная инверсия с LFSR" описывается как LFSR используется для реализации алгоритма. В самом начале раздела преобразование записывается математически. Дальше рассказывается как используется LFSR для реализации алгоритма (Со слов "На вход принимаются... " начинается описание аппаратной реализации мультипликативной инверсии с lfsr). Это и показывает их связь.
5. Переделала.

Student zaschitainformacii (обс.) 20:27, 24 ноября 2019 (UTC)

• Ладно, давайте к введению позже вернёмся, пока есть более насущные вещи. На счёт обратного элемента — действительно, раздел выглядит подходящим. Я бы на en:Extended Euclidean algorithm#Simple algebraic field extensions и сослался через соответствующий шаблон. На счёт LFSR — я всё ещё не могу понять, какое он вообще имеет отношение к шифру. Ну, описан некоторый алгоритм, вычисляющий мультипликативную инверсию через LFSR, но сама мультипликативная инверсия в каком месте нужна? Выше говорится, что она является главной особенностью алгоритма, ниже описано, как её вычислять. А инверсию чего именно вычисляют и зачем? adamant (обс./вклад) 21:08, 24 ноября 2019 (UTC)

• 1. Первое и главное: никогда не используйте в TeXовских формулах звёздочку для обозначения умножения! В частности, в пункте "Преобразование S-блока" её можно просто удалить. (Я вижу, в источнике так; неважно, всё равно.)
  2. В настоящий момент из статьи не видна значимость её предмета, поскольку не представлен ни один независимый источник, рассматривающий шифр Halka. К счастью, такие источники существуют: например, этот обзор посвящает шифру небольшой, но отдельный подраздел.
  3. Ссылка в сноске, озаглавленная "Algebraic attack", не работает, а одноимённая ссылка ниже ведёт на страницу с сообщением об ошибке.
  4. Ссылка в сноске на K. Nyberg тоже не работает, а в ссылке на статью Carlet вылезло что-то лишнее.
  5. Да, прямой перевод не свободных источников -- это нарушение авторского права. А злоупотребление автопереводчиком -- ещё и прямо путь к ошибкам: "a few more common attacks" -- это не "несколько более распространённых атак", а "ещё несколько распространённых атак"; не «каждый бит из каждого 8-битного S-блока влияет на один и только один бит в каждом из восьми 8-битных S-блоков на следующем уровне», а «8 бит из каждого 8-битного S-блока переходят в различные S-блоки на следующем уровне» (это же видно в примере перестановки!).
  6. Вопреки написанному в статье и здесь, я не нашёл ни в викистатье про AES, ни в самом стандарте (во всяком случае, в pdfке, на которую ссылается викистатья) ни одну из упомянутых функций, кроме AddRoundKey.
  7. В статье Sourav Das описывается общая идея шифра и конкретный пример (но, как я понимаю, в принципе далеко не единственный возможный) его реализации. В частности, конкретный многочлен, конкретная перестановка, конкретный S-блок -- всё это относится только к конкретному примеру. Можно взять другой примитивный многочлен, это тоже будет реализация Halka. В номинированной статье это разделение отражено очень смутно.
  8. Насчёт multiplicative inverse: если я правильно понял статью Sourav Das и стандарт AES, мы работаем в поле GF(2⁸), элементы которого также можно представить многочленами с коэффициентами из GF(2), причём сами многочлены берутся по модулю ещё какого-то многочлена -- неприводимого и со старшим членом x⁸ (подобно тому, как это делается в разделе Конечное поле#Поле из девяти элементов; биты вроде бы соответствуют восьми младшим коэффициентам многочлена). Главный вопрос -- действительно, какое отношение это имеет к шифру?
  9. Вообще, информация в статье подаётся беспорядочно. Многочисленные неясности, отмеченные коллегой adamant, проистекают именно из этого факта. Например, если я правильно понял, описание преобразования S-блока размазано по всей статье: в преамбуле говорится, что у S-блоков вычисляется мультипликативная инверсия; в разделе "Алгоритм" внезапно вбрасывается многочлен, который в конкретной реализации шифра используется для представления поля, в котором мы берём инверсию; далее без комментариев используется преобразование S-блока G(...), которое, видимо, и состоит в взятии мультипликативной инверсии (в источнике как-то неясно это написано); а далее уже описывается сама мультипликативная инверсия (это, может, и было бы нормально, если бы остальные части не были так разбросаны).

  Словом, статью вполне реально доработать до статуса, но в данный момент она нехороша. — Браунинг (обс.) 21:39, 24 ноября 2019 (UTC)

  • «Первое и главное» — вот это я понимаю, расстановка приоритетов :) adamant (обс./вклад) 21:48, 24 ноября 2019 (UTC)

• Спасибо за ваши комментарии! Я даже не успеваю на них реагировать. А c кем еще можно это все обсуждать, кто-то может помочь доработать статью? А то я новичок и одна немного не вывожу:D Просто вдруг есть какая-то страница на вики, где можно найти единомышленников, с которыми это все тоже можно обсуждать. Хотя вот вы тоже нереально помогаете, thx) И вот что делать с вопросами, которые у вас и меня возникают, но на которые в оригинальной статье нет конкретного ответа? Например про функции и что-то еще?

Student zaschitainformacii (обс.) 03:38, 25 ноября 2019 (UTC)

• • Рецепт один: хорошо понять источник, отделить важное от неважного и изложить своими словами. Например, по-видимому, названия пресловутых функций неважны, они чисто условные и больше нигде не используются (их можно вообще не упоминать); разделение блока на 8-битные куски и последующая конкатенация не так важны, как то, что происходит в середине (применение S-блока); а вот мультипликативная инверсия с использованием LFSR важна, поскольку позволяет что-то важное (я не понял пока, что именно) сделать с аж восьмибитными S-блоками, затратив на это сравнительно мало ресурсов (поэтому и написано про использование в RFID и т. п.), но при этом конкретный алгоритм, скорее всего, не так уж и важен для викичитателей -- важно, что он есть и обладает такими-то характеристиками. К сожалению, лучше вас тут вряд ли кто-то разберётся в этом материале (поскольку только у вас есть серьёзная мотивация), однако можно опереться на других людей вне Википедии, которым пришлось прочитать и понять источник, в частности, в репозитории https://github.com/jcsf/LightweightBlockCiphers.Thesis.2018 имеется реализация Halka. (О, да это же чья-то прошлогодняя дипломная работа! Если раздобыть саму работу, т.е. убедиться, что она была напечатана и защищена, то это можно и в статье использовать.) Я думаю, у вас всё получится. — Браунинг (обс.) 09:52, 25 ноября 2019 (UTC)

• Окей) Займусь этим на выходных

Student zaschitainformacii (обс.) 17:17, 25 ноября 2019 (UTC) 17:16, 25 ноября 2019 (UTC)

Адамант:

1. Пофиксила ссылку на мультипликативную инверсию.
2. Добавила в разделе алгоритм объяснение, что для преобразования s-блока необходимо взятие мультипликативной инверсии.

Браунинг:

1. вроде ок
2. Спасибо за предложенный обзор, добавила в разделе про мультипликативную инверсию информацию оттуда.
3. Ccылку на алгебраическую атаку убрала, сослалась на страницу из википедии.
4. Поправила ссылки.
5. Эти выражения были уже убраны :D
6. По вашему предложению были убраны названия пресловутых функций)
7. Все конкретные примеры были убраны, осталась только общая идея шифра.
8. Взаимосвязь мультипликативной инверсии с шифром Halka теперь отражена в разделе Алгоритм.
9. Поправила. В разделе алгоритм объяснила, в какой момент вычисляется мультипликативная инверсия, а ниже описан сам алгоритм взятия инверсии.

По последней части: в статье была отражена важность использования мультипликативной инверсии на основе lfsr в начале раздела про инверсию.

Student zaschitainformacii (обс.) 13:08, 1 декабря 2019 (UTC)

Так. Я прочитал обновлённый раздел "Алгоритм", и у меня появилось архиважное содержательное замечание. Состояние S (очевидно, от слова state) и S-блок (от слова substitution) — это разные вещи. Состояние — это блок (block) из 8 8-битных кусков. 8-битный S-блок (S-box) — это преобразование одного 8-битного куска в другой, которое, с одной стороны, может быть представлено таблицей (в статье-источнике это сделано для примера, но в реальных устройствах держать в памяти лишние 256 байтов может быть слишком затратно), а с другой — реализовано в виде основанной на LFSR схемы (состоящей из пресловутых 138 логических элементов). "Преобразование S-блока" — это преобразование, являющееся (или называющееся, без разницы) S-блоком, а не процесс изменения S-блока на какой-то другой. Нет, даже ещё хуже: в контексте описания самого шифра Halka S — это то, что я сказал (нынешнее состояние шифруемого 64-битного блока), а в контексте описания S-блока на основе LSFR S — это нынешнее состояние преобразуемого 8-битного куска. В общем, надо опять всё довольно сильно переписать с учётом этого. Не принимайте мои слова на веру, перечитайте источники и убедитесь, что я не ошибся (или ошибся). — Браунинг (обс.) 14:52, 1 декабря 2019 (UTC)

• Спасибо за замечание! Да, всё верно: есть преобразование, есть шифруемый блок, а есть 8-битный кусок, который надо мультипликативно инвертировать. Поправила разделы "Алгоритм" и "Мультипликативная инверсия с использованием LFSR", переобозначила эти три сущности разными символами, чтобы не было путаницы.

Student zaschitainformacii (обс.) 19:05, 1 декабря 2019 (UTC)

В целом, по-моему, стало лучше.

• Надо всё-таки понять, как по-русски пишут называют S-box transform. "Преобразование S-блока" — плохо, потому что кажется, что преобразуется сам S-блок; "S-блоковое преобразование" — не по-русски. Как пишут в литературе про AES?
• В преамбуле: "Главной особенностью является вычисление для 8-битных S-блоков мультипликативной инверсии по отношению к примитивным многочленам на основе LFSR, требующего 138 логических элементов" — если я правильно понял, взятие мультипликативной инверсии — это и есть преобразование S-блока; возможно, лучше сказать что-то вроде "S-блок, основанный на...". Главное, из нынешнего текста кажется, что вся особенность — это мультипликативная инверсия на основе LFSR. Но всё ведь немного шире: сама идея мультипликативной инверсии позаимствована из AES, а тут особенность — комбинация: 8-битный S-блок (в смысле, преобразование, работающее с 8 битами, а не с 4, как во многих шифрах, рассчитанных на криптографию в непроизводительных устройствах) + мультипликативная инверсия (что обеспечивает хорошие криптографические свойства) + её реализация на основе LFSR, позволяющая аппаратно реализовать S-блоковое преобразование в 138 логических элементах — это мало, если верить автору. То есть важно сочетание всех трёх составляющих. Или хотя бы первой и третьей (целых 8 бит + всего 138 логических элементов).
• "До появления Halka было предложено довольно много блочных шифров" — ага, например, AES, который более значим, чем все названные шифры вместе взятые. Автор статьи-источника-то перечисляет только недавно предложенные блочные шифры.
• Раздел "Применение" я бы переименовал в "Возможное применение", поскольку по факту-то шифр пока нигде не используется.
• Фраза "Алгоритмическое описание блочного шифра Halka приведено ниже" — прямой перевод источника, и это очевидно даже без заглядывания в источник, потому что мы буквально в предыдущем предложении сказали, что Halka 3 блочный шифр, не надо это тут же повторять. Если где-то ещё остался прямой перевод, лучше переделать, не дожидаясь указаний.
• "Значение промежуточного этапа шифрования" — выглядит так, как будто у этапа есть значение. Странновато.
• Правильно, что вернули описание особенности перестановки; мне кажется, запись перестановки формулой стоит либо выкинуть, либо записать так, как предложил adamant выше.

Продолжение следует. — Браунинг (обс.) 18:15, 2 декабря 2019 (UTC)

• "соответствующая особенность <...> составляет не меньше 253" — не по-русски.
• Моё замечание, что главная особенность Halka состоит в сочетании "всего 138 лог. эл. на целых 8 бит", применимо и к началу раздела про мультипликативную инверсию. Кроме того, здесь надо чётко напомнить, что в шифре это используется в S-блоке, сейчас это как-то неясно написано.
• "Для 8-битной LFSR" — LFSR вроде мужского рода, "регистр"?
• "Затем преобразование запускается в обратном направлении." — непонятно, с какого состояния и сколько раз. То ли с состояния W(t+p) и пока не получится W(t), то ли наоборот; и LFSR что, можно взять и провернуть в обратном направлении?
• Характеристический многочлен LFSR упомянут, не считая преамбулы, только один раз — в разделе про аппаратную реализацию. Надо раньше, ведь именно многочлен определяет, как конкретно устроен LFSR. Вообще, кстати, неплохо бы где-то в одном месте написать, какие именно сущности нужно выбрать, чтобы зафиксировать конкретный вариант Halka (многочлен, на нём основан LFSR, что вместе с чем-то там ещё даёт S-box, и т. д.).
• "Триггеры сканирования", шлюзы — это какая-то стандартная терминология?
• NOT и NAND надо бы викифицировать. Кстати, так лучше — записывать названия логических элементов простыми шрифтом, а не в теге math, как почему-то сделано с XOR.
• "Это обеспечивает логику управления для указания завершения 255 циклов." — и опять: неестественные фразы — признак прямого перевода источника... В других местах тоже видно. Это, собственно, пожалуй, основная претензия к разделу про криптоанализ.

— Браунинг (обс.) 20:43, 2 декабря 2019 (UTC)

• • LFSR можно взять и повернуть в обратном направлении. Это ведь по сути линейная рекуррента — если есть выражение $S_{n}=c_{1}S_{n-1}+c_{2}S_{n-2}+\dots +c_{L}S_{n-L}$, то отсюда можно выразить $S_{n-L}$, если это то, что имеется в виду под обратным направлением. Правда в данной статье LSFR почему-то задан не как обычная рекуррента, а в матричном виде и в общем случае чтоб такое развернуть, нужно иметь обратную матрицу (что, в принципе, не проблема — матрица то константная, небось, можно и заранее обратить над $\mathbb {F} _{2}$). Но вообще в данном случае совершенно не ясно, откуда этот LSFR берётся и как он связан с мультипликативной инверсией, так что алгоритм выглядит как «сначала пойдём сюда, потом пойдём туда и готово». Кстати, если формально взглянуть на алгоритм, начинаем мы в $W(t+p)$, а заканчиваем в $W(t+255-p)$, что, видимо, эквивалентно $W(t-p)$. Учитывая, что $W(t)$ называется «начальным» состоянием это, вероятно, как раз то, что нам нужно, если правильно определить, как матрица $A$ и вектор $W(t+p)$ соответствуют изначально поставленной задаче считать мультипликативную инверсию.
    Видимо, там где-то загнали под ковёр, что матрица $A$ такова, что умножение на неё вектора $W(t)$ соответствует умножению многочлена, чьи коэффициенты уложены в $W(t)$, на некоторый многочлен $G$, являющийся образующим в мультипликативной группе $GF(2^{n})$ с её представлением в виде остатков по модулю некоторого примитивного многочлена степени $n$ (отсюда и возврат в начало через $2^{n}-1$ циклов, малая теорема Ферма для конечных полей по сути). В случае классической линейной рекурренты $G=x$, кстати. Короче, этот Сурав Дас решил забросать умными словами и загадочными формулировками тривиальную вещь. Typical applied science. adamant.pwn — contrib/talk 00:04, 4 декабря 2019 (UTC)
    • То есть, ещё раз — весь инновационный алгоритм, описанный в том разделе, выглядит так: Если вам известен $W=Q\cdot P\in GF(p^{n})$, а вы хотите посчитать $W'=Q\cdot P^{-1}\in GF(p^{n})$, то умножайте $W$ на первообразный элемент $G$ пока не получите $Q$, а потом делите на первообразный элемент $G$, пока не окажется, что вы сделали $p^{n}-1$ действий в сумме. Но это всё сдобрено сленгом типа LFSR и подобного. Конечно, найти источник по криптографии, где это написано человеческим языком вряд ли получится, так что придётся пересказывать то, что есть… adamant.pwn — contrib/talk 00:14, 4 декабря 2019 (UTC)

Спасибо за замечания. Часть1:

1. Сделано.
2. Cделано.
3. Сделано.
4. Сделано.
5. Сделано.
6. Cделано.
7. Cделано.

Часть2:

1. Сделано.
2. Сделано.
3. Cделано.
4. C момента W(t), пока общее число составит 255. Про обратное направление, автор статьи описывает какие-то логические схемы вокруг lfsr, которые обеспечивают обратное преобразование. Но непонятно, как это работает.
5. Сделано.
6. Сделано.
7. Cделано.
8. Сделано.

Student zaschitainformacii (обс.) 22:48, 3 декабря 2019 (UTC)

• Статья сейчас выглядит значительно лучше, чем когда я в последний раз её осматривал. Но некоторые замечания ещё есть.

1. «с условием, что все биты текущего блока переходят в различные биты блока следующего уровня» — что именно значит это условие? Браунинг выше написал, что «8 бит из каждого 8-битного S-блока переходят в различные S-блоки на следующем уровне» — мне кажется, это не соответствует текущей формулировке?

   Мои "8-битные S-блоки" — это, конечно, имеются в виду 8-битные фрагменты текущего состояния шифруемого блока. Но да, ой, я при предыдущем чтении пропустил неверную формулировку: не просто в различные биты (это, действительно, любая перестановка так устроена), а из каждого 8-битного фрагмента биты расходятся по разным 8-битным фрагментам на следующем уровне. Мне лично помогли рисунки вот в этой статье. — Браунинг (обс.) 10:08, 4 декабря 2019 (UTC)

2. Что такое «последняя трансформация» для $V_{25}$ и $K_{25}$?
3. Многочлен $x^{8}+x^{4}+x^{3}+x^{2}+1$ — он вшит в алгоритм или это только пример и на его месте может быть любой примитивный многочлен степени $8$?
4. Раздел «Математическое описание» про мультипликативную инверсию — как всё написанное в этом разделе относится к мультипликативной инверсии? Откуда берётся матрица LFSR?
5. Раздел «Реализуемый алгоритм» — неплохо бы названия переменных привести к тому же формату, что и в разделе «Алгоритм» выше, обрамить их в TeX.
6. Мне в целом вообще не понятен алгоритм, описанный в разделе «Реализуемый алгоритм». Какое преобразование, какое обратное направление, о чём речь вообще? Что такое $t$, $p$ и $p'$?

adamant.pwn — contrib/talk 23:39, 3 декабря 2019 (UTC)

Добрый день! Спасибо за замечания.

1. Сделано.
2. Сделано.
3. Можно использовать любой, но для этого многочлена получается наименьшее количество логических элементов - 138.
4. Обозначено в предложении "Для вычисления мультипликативной инверсии ..." Таким образом, последняя формула математического описания $W(t+m')=W(t+255-m)$ - и есть формула мультипликативной инверсии для входного значения $W(t+m)$. Это указано сразу после неё.
5. Предполагается, что она известна, так как имеется LFSR, который мы сами вводим в аппаратную реализацию, следовательно, про него все известно.
6. Исправила. Да, $p$ - это $m$ из раздела "Математическое описание". Для того, чтобы не было путаницы, исправила это.

Student zaschitainformacii (обс.) 16:10, 4 декабря 2019 (UTC)

• Я уточню вопросы по поводу мультипликативной инверсии.

Пожалуйста, дайте точное определение мультипликативной инверсии, которое используется в статье. Мне не ясно, почему $W(t-m)$ является инверсией $W(t+m)$ в обозначениях статьи; adamant.pwn — contrib/talk 18:35, 4 декабря 2019 (UTC)

Укажите, какая именно матрица $A$ используется в выбранном LFSR (видимо, en:Linear-feedback shift register#Matrix forms, как ниже указал Браунинг?), и каким именно образом элемент поля $GF(2^{n})$ представляется в виде вектора $W(t)$ (видимо, используется представление поля в виде остатков по модулю характеристического многочлена LFSR и коэффициенты этого остатка складываются в вектор?); adamant.pwn — contrib/talk 18:35, 4 декабря 2019 (UTC)

Что касается второго вопроса: мне кажется, поскольку в Halka вся машинерия с $GF(2^{n})$ позаимствована из AES, нет необходимости расписывать всё здесь. Тем более что самый лаконичный и содержательный ответ — "как в разделе Конечное поле#Мультипликативная группа поля из 16 элементов, только на 4 бита, а 8, и многочлен другой". Это и на вопрос про определение мультипликативной инверсии отвечает. — Браунинг (обс.) 22:02, 4 декабря 2019 (UTC)

• А я вот не думаю, что отвечает. Потому что в моём понимании $W(t-m)$ является инверсией от $W(t+m)$ только в том случае когда $W(t)=1$, а здесь это не так и, видимо, под мультипликативной инверсией понимается не то же самое, что обратный элемент в $GF(2^{8})$. На Конечное поле#Мультипликативная группа поля из 16 элементов следует хотя бы сослаться в таком случае, чтоб было ясно, почему мы вдруг об элементах поля говорим как о векторах. Но вопрос даже не столько о представлении поля в целом, сколько о его связи с LFSR и его характеристическим многочленом. adamant.pwn — contrib/talk 22:35, 4 декабря 2019 (UTC)
  • Секундочку. В статье же нет никакого $W(t-m)$. (Не комментирую остальное, связанное с этой частью статьи, пока не разберёмся здесь.) — Браунинг (обс.) 15:30, 5 декабря 2019 (UTC)
    • В статье есть $W(t+255-m)$. С учётом того, что сдвиг на 255 ничего не меняет, это как раз $W(t-m)$ по смыслу. adamant.pwn — contrib/talk 15:35, 5 декабря 2019 (UTC)
• Так что делать-то? Вы меня запутали :с Student zaschitainformacii (обс.)
  • См. ниже про $W(t)$, меня устроит, если эта неопределённость исчезнет. adamant.pwn — contrib/talk 15:17, 5 декабря 2019 (UTC)

Откуда берётся $W(t)$ и, в частности, некий момент времени $t$? В разделе «Алгоритм» инверсия считается непосредственно от 8-битных блоков, никакого «начального состояния $W(t)$» там нет. adamant.pwn — contrib/talk 18:35, 4 декабря 2019 (UTC)

• Cтранный вопрос, неясна суть. В разделе Алгоритм просто говорится, что необходимо взять мультипликативную инверсию от 8-битного куска, а $W(t)$ возникает уже, когда мы описываем способ взятия мультипликативной инверсии. Поэтому $W(t)$ и не должно фигурировать в разделе Алгоритм. Что такое $W(t)$ - это какое-то типо нулевое состояние lfsr. Student zaschitainformacii (обс.)
  • Оно должно фигурировать там. Если алгоритм, описанный в «Реализуемый алгоритм» вызывается как подпрограмма в основном алгоритме, то надо указать, чему равны оба его аргумента. На это можно было бы закрыть глаза, если бы выбор $W(t)$ был чисто техническим и ни на что не влиял, но это ведь не так. Если алгоритм примет на вход $Q=W(t)$ и $P=QD=W(t+m)$, то вернёт он $W(t-m)=QD^{-1}=Q^{2}P^{-1}$, а не $P^{-1}$, как того ожидаешь когда говорят о мультипликативной инверсии. Нужно разобраться с этим. adamant.pwn — contrib/talk 15:17, 5 декабря 2019 (UTC)
    • Так. Да. Подтверждаю: это серьёзная проблема. Более того, W(t) гарантированно не единичный элемент: в статье выбрано значение 0x16, которое не кодирует единичный элемент ни в какой из очевидных кодировок (единичный был бы 0x01 или что-то вроде 0x80). Возможное решение: алгоритм из статьи в действительности вычисляет разом инверсию и последующее аффинное преобразование (кстати, и правда, откуда оно взялось?) — но я в этом сооовершенно не уверен. — Браунинг (обс.) 16:16, 5 декабря 2019 (UTC)

• Про аффинное преобразование уже обсуждалось. Оно взялось из AES, как тут. Student zaschitainformacii (обс.) 11:41, 6 декабря 2019 (UTC)

Я ещё раз прочитал статью Сурав Дас и увидел там такое предложение: «Throughout the rest of the paper referring to LFSR would mean a maximum length LFSR with a given primitive polynomial». В статье нигде нет указаний на то, что у нас maximum length LFSR (судя по Регистр сдвига с линейной обратной связью#Периодичность, это следует из того, что многочлен примитивный), но мне кажется, что на это следует указать прямым текстом, а также пояснить, что это значит, потому что именно из этого факта следует, что мы в какой-то момент обязательно обнаружим $W(t)$ в ходе прямого LFSR. adamant.pwn — contrib/talk 18:35, 4 декабря 2019 (UTC)

• Сделано. Student zaschitainformacii (обс.)

И ещё пара общих замечаний:

Вы пишете, что $A^{2^{n}-1}\cdot W(t)=W(t)\implies A^{2^{n}-1}=1$. Во-первых, такого следствия в общем случае нет, возможно $W(t)$ просто является собственным вектором $A$. Если оно есть в данном конкретном случае, это стоит обосновать. Во-вторых, само равенство $A^{2^{n}-1}$ лишено смысла — слева от него стоит матрица, а справа от него число. Единичную матрицу традиционно обозначают как $E$ или $I$. При этом стоит отметить, что у Сурав Дас здесь явная путаница в понятиях, сначала он пишет, что $A$ — это матрица, а потом что $A^{2^{n}-1}$ — это единичный элемент (видимо, поля $GF(2^{n})$?), я не знаю, как это следует трактовать, надо смотреть на то, как алгоритм описан в других АИ; adamant.pwn — contrib/talk 18:35, 4 декабря 2019 (UTC)

• Сделано. Student zaschitainformacii (обс.)
  • Обозначение единичной матрицы (да, это матрица, по крайней мере, можно представить в таком виде) — мелочь, важнее пункт "во-первых", который не исправлен. — Браунинг (обс.) 15:30, 5 декабря 2019 (UTC)
    • Матрица там так устроена, что $j$-я строка $A^{i}$ это коэффициенты остатка от $x^{i+j}$ по модулю характеристического многочлена, так что там действительно будет единичная матрица, т.к. $x^{2^{n}-1}\equiv 1{\pmod {P}}$. Конечно, ни один уважающий себя индиец об этом в своих статьях не напишет и это тоже если и указывать, то на основе статьи, которую я привёл ниже. adamant.pwn — contrib/talk 15:41, 5 декабря 2019 (UTC)

• Адамант прав. Student zaschitainformacii (обс.) 11:10, 6 декабря 2019 (UTC)
  • Адамант снова прокомментировал пункт "во-вторых", а пункт "во-первых" остался не исправлен (насколько я понимаю, он лечится условием "для любого W(t)"). — Браунинг (обс.) 11:57, 6 декабря 2019 (UTC)
    • Я прокомментировал пункт "во-первых". adamant.pwn — contrib/talk 14:28, 6 декабря 2019 (UTC)
      • Тогда я не понял. Указанная импликация неверна. Правая часть верна, но лишь благодаря конкретному виду матрицы A — либо действительно вследствие левой части, но только если уточнить, что левая часть верна для любого W(t). — Браунинг (обс.) 14:39, 6 декабря 2019 (UTC)
        • Да, наверно следует указать, что левая часть выполнена для любого $W(t)$, тогда импликация будет нормальной, т.к. $W(t)$ пробегает все элементы поля. adamant.pwn — contrib/talk 14:50, 6 декабря 2019 (UTC)

Сейчас, похоже, наконец-то правильно описано ограничение на «случайную перестановку». Так как она оказалось очень трудной для перевода и восприятия, было бы идеально ещё сделать картинку, иллюстрирующую фразу «все биты одной 8-битной части текущего блока $V_{i}$ переходят в биты различных 8-битных частей блока следующего уровня» по аналогии с теми, которые расположены в статье, на которую дал ссылку Браунинг (но это уже немного выходит за ВП:ТДС). adamant.pwn — contrib/talk 18:35, 4 декабря 2019 (UTC)

• Это задача со звёздочкой, она необязательна) Student zaschitainformacii (обс.)

О каком именно аффинном преобразовании и в каком векторном пространстве идёт речь в разделе «Алгоритм»? adamant.pwn — contrib/talk 18:35, 4 декабря 2019 (UTC)

• Это ясно из литературы и викиссылки, которые находятся в этом же предложении. Там дважды указан явный вид (константная матрица) для аффинного преобразования. Student zaschitainformacii (обс.)
  • Из «AES-подобное» не очевидно, что используется то же самое преобразование, что в SubBytes из AES, стоит на это более явно указать. Кстати, S-блок это само преобразование, как сейчас указано в статье, или это «таблица замен», с помощью которой оно проводится, как указано в статье про AES? Если второе, то что в этой таблице хранится? Для каждого байта заранее посчитан байт, который получится после преобразования? Вроде ни в одной из статей это явно не указано. adamant.pwn — contrib/talk 15:09, 5 декабря 2019 (UTC)

• Да, это преобразование. Почему вам не очевидно? Если написано "нелинейное преобразование (S-блок)" и ссылка прям на преобразование SubBytes. Как на это указать еще более явно? По викиссылке о преобразовании рассказано достаточно подробно. Student zaschitainformacii (обс.) 11:10, 6 декабря 2019 (UTC)
  • S-блоки, они же SubBytes(), есть в разных шифрах, и они, как правило, разные. Многочлен у нас не такой, как в AES, почему бы и аффинному преобразованию не быть другому? Тем более что в статье указан xor со значением 0x24, что в AES не упоминается. Мне кажется, мы этого не поймём, пока не разберёмся, что за "инверсию" вычисляет алгоритм. — Браунинг (обс.) 11:57, 6 декабря 2019 (UTC)

• На матричное представление LFSR неплохо бы дать викиссылку (поскольку это сейчас раздел английской статьи, надо перевести этот раздел в русскую статью, либо в крайнем случае сделать в русской статье заголовок раздела и поставить туда {{в планах}}). У меня лично вопросы остались к "реализуемому алгоритму". (Кстати, превращать там S-box в W-box — это было уже лишнее.) Я (тоже) так и не понял про обратное преобразование. Про прямое преобразование понятно: начинаем с такого-то состояния, выполняем до тех пор, пока не получим такое-то. А про обратное преобразование такого не написано. И дальше пункт 5 ещё подразумевает, что мы выполняем LFSR туда-обратно (или только обратно? Непонятно, потому что тело цикла не выделено), пока в сумме не получится ровно 255 — а что мы меняем между итерациями этого внешнего цикла перебора? — Браунинг (обс.) 17:29, 4 декабря 2019 (UTC)

• Если прямое преобразование было сделано $k$ раз, то обратное делаем $255-k$. Сначала делается только прямое, потом только обратное, здесь всё достаточно прозрачно, вроде. adamant.pwn — contrib/talk 18:37, 4 декабря 2019 (UTC)
  • Не знаю, не знаю, я вот не понимаю, почему бы не расписать в статье этот пункт про обратное преобразование так же ясно, как и предыдущий, про прямое. Плюс ещё вопрос про внешний цикл остаётся. Тогда, кстати, станет понятнее, откуда взялось $m'$. — Браунинг (обс.) 22:02, 4 декабря 2019 (UTC)
    • Сделано. Student zaschitainformacii (обс.)

Мда, знатно этот вредный индиец накрутил всю эту лабуду с W(t)... Выкинуть бы это к чёрту да написать своими словами: вот, мол, генератор мультипликативной группы поля $GF(2^{8})$, вот домножение на него, реализованное с помощью LFSR... Но непонятно, с опорой на что. К сожалению, книжка, которую индиец посылает читать про LFSR, говорит лишь, что feedback shift register позволяет вычислять линейные рекуррентные последовательности в конечном поле, а что это соответствует домножению на порождающий элемент -- это лишний логический шаг, который мы делать не вправе. — Браунинг (обс.) 22:02, 4 декабря 2019 (UTC)

• Да это не индиец. Просто в теории кодирования принят свой специфический язык и в терминах общей алгебры они без крайней необходимости не пишут. Вот хотя бы Алгоритм Берлекэмпа — Мэсси: замечательная процедура для поиска минимальной линейной рекурренты, которой удовлетворяет последовательность чисел. Работает для последовательностей над примерно любыми полями, а что мы в статьях обычно видим? Байки про регистры сдвига для очень частного случая $GF(2)$, потому что общий случай мало кому интересен. Пойти чтоли переработать статью про него… adamant.pwn — contrib/talk 22:47, 4 декабря 2019 (UTC)
• На счёт лишнего логического шага — это сейчас уже unpublishably unoriginal факт. Если немного покопать, можно легко найти публикацию, которая его формулирует (с. 108, лемма 2.1). adamant.pwn — contrib/talk 23:48, 4 декабря 2019 (UTC)
  • Я за позицию Браунинга не дописывать лишние логические шаги. Сурав Дас не очень заморачивался математически доказывать и обосновывать свой алгоритм, не думаю, что я вправе это делать. Я думаю, что и обычному викичитателю это тоже не так интересно. Student zaschitainformacii (обс.)
    • Я думаю, вы неверно поняли позицию Браунинга. Мы не можем сами додумывать что-то. Конкретно факт о том, что один шаг LFSR соответствует умножению на $x$ (как и тот факт, что $x$ является первообразным элементом в таком представлении поля) по модулю характеристического многочлена додумывать не надо, т.к. я привёл АИ, на основании которого его можно внести. adamant.pwn — contrib/talk 14:49, 5 декабря 2019 (UTC)
• Между прочим, я тут загнал в гуглопереводчик аннотацию той японской статьи, на которую я давал ссылку, и выяснилось, что там говорится, что шифр не так устойчив к дифференциальному криптоанализу, как заявлял автор. Стоит добавить об этом хоть одну фразу. — Браунинг (обс.) 15:51, 5 декабря 2019 (UTC)

• И ещё. У меня организационное предложение: не актуальную часть обсуждения (где-то до реплики 16:10, 4 декабря 2019 включительно) загнать в {{скрытый блок}}, а в остальной части обсуждения заменить нумерованные списки на ненумерованные (нумерация всё равно разъехалась) и добавить подписи к каждому пункту. — Браунинг (обс.) 15:51, 5 декабря 2019 (UTC)
  • Я не против. adamant.pwn — contrib/talk 15:56, 5 декабря 2019 (UTC)
    • Спасибо за попытку сделать обсуждение более понятным. К сожалению, я ужасно путаюсь, потому что одни и те же вопросы вы обсуждаете в разных ветках и это какой-то ад. Поэтому постараюсь ответить здесь на все ваши вопросы. То есть на те вопросы, которые я не прокомментировала выше. В дальнейшем прошу писать ниже и списочком, а лучше вписывайтесь в какой-то один список, пока я не оставлю новый ответ. Как это и было раньше. Это, как мне кажется, намного удобнее и чтобы понять, что конкретно вы спрашиваете и просите исправить, на что именно мне нужно отвечать. Спасибо за понимание.

Итак, мультипликативная инверсия определяется в определенном поле. Это поле Галуа по модулю многочлена. Записывается так: GF(2⁸) = GF(2)[x]/(x⁸ + x⁴ + x³ + x + 1), Rijndael's finite field. Вот пример: $0x95=10010101=x^{7}+x^{4}+x^{2}+1$, $0x8A=10001010=x^{7}+x^{3}+x$. Если перемножить эти два многочлена и результат поделить столбиком на $x^{8}+x^{4}+x^{3}+x+1$, найти остаток от деления, то он будет равен $-2x^{7}-2x^{6}-2x^{4}-2x^{3}-1=-1=1$. Получили единичку, это значит, что они обратны друг другу по модулю $x^{8}+x^{4}+x^{3}+x+1$. Кстати, нам понадобится именно такое представление дальше, например, $0x16=010110$

По поводу вопроса об initial_seed = W(t). В статье явным образом не говорится, что это единичный элемент, однако на странице 6 в статье приведён пример конкретного S-блока и то, что там называется initial_seed'ом, является единичным элементом. Возможно, это подразумевалось автором или он считал, что это очевидно из самого названия initial seed. В статье в конкретном примере initial_seed = 0x16, в таблице подстановки этому значению соответствует число 0x32, и после того как его проXORить с данным константным значением 0x24, получится вновь 0x16. Совпадение? Не думаю. Initial_seed может быть любым - это просто параметр для построения шифра. Кстати, полезная викистраница про это: S-box AES

W(t), по всей видимости, в LFSR это вектор из ноликов и единичек, соответствующих тому значению, которое хранит каждый отдельный триггер в LFSR. Функцией обратной связи для LFSR является многочлен $x^{8}+x^{4}+x^{3}+x+1$, по модулю которого рассматривается поле.

Аффинное преобразование в статье не описывается вообще.

Student zaschitainformacii (обс.) 13:13, 6 декабря 2019 (UTC)

• tl;dr: видимо, adamant прав, наша "инверсия" не инверсия $W(t+m)^{-1}$, а $W(t)^{2}W(t+m)^{-1}$. Пара поправок: аффинное преобразование в статье не только не описывается, но и не упоминается, откуда оно взялось вообще? И многочлен у нас немножко другой (это не затрагивает остального рассуждения). — Браунинг (обс.) 13:40, 6 декабря 2019 (UTC)
  • Ой, да, перепутала. Про аффинное преобразование вообще тогда упоминание уберу. На страницах 3-4 оригинальной статьи сформулирована и доказана теорема, что реализуемый на LFSR алгоритм будет возвращать мультипликативную инверсию. Student zaschitainformacii (обс.) 13:52, 6 декабря 2019 (UTC)
    • На страницах 3-4 он доказывает, что на выходе будет получено $W(t+m')$ такой что $m+m'=2^{n}-1$. Почему, собственно, $W(t+m')$ это мультипликативная инверсия $W(t+m)$ он никак не обосновывает и есть все основания полагать, что это просто неверное утверждение. adamant.pwn — contrib/talk 14:35, 6 декабря 2019 (UTC)
      • Да. (Или не неверное утверждение, а крайне неортодоксальная терминология.) — Браунинг (обс.) 14:39, 6 декабря 2019 (UTC)
  • Упс, стоп. Я попробовал закодить этот алгоритм и воспроизвести S-блок из статьи, и у меня ничего не получилось. Точнее, S[0x16] = 0x32 получилось, а остальное нет (вместо 2c, 20, dc... получаю 2d, ae, 23...). Что ставит под сомнение выводы, основывающиеся на этом совпадении. :( Код с Гитхаба, на который я давал ссылку выше, к сожалению, не поможет, поскольку там S-блок взят целиком из статьи. — Браунинг (обс.) 14:15, 6 декабря 2019 (UTC)
    • А вы авторитетный источник? Я не могу ответить, потому что Адамант ввел свои обозначения. Что такое D? Что я понимаю. У нас есть начальное состояние. Через 255 шагов LFSR возвращает нас к начальному состоянию. При помощи этого свойства и XORа находится мультипликативная инверсия. Мы все уже несколько раз перечитали эту статью. О какой другой мультипликативной инверсии может идти речь, кроме той, что есть в литературе по AES, а именно: Let $c=a^{-1}$, the multiplicative inverse in GF(2^8) ??? Ничего больше я понять не могу.
      • Это тупик. Давайте не пытаться запутывать самих себя. Student zaschitainformacii (обс.) 14:25, 6 декабря 2019 (UTC)
        • Вопрос риторический, ответ ожидаемый: не АИ я, не АИ. D — можно считать P=QD определением. "О какой другой мультипликативной инверсии может идти речь" — так вот именно этого мы и не понимаем! Потому что это определённо не та инверсия. Если вы понимаете, то сможете написать на любом языке программирования программу, которая воспроизводит S-блок из статьи. Я вот не осилил. — Браунинг (обс.) 14:36, 6 декабря 2019 (UTC)
      • $D$ это некоторый элемент $GF(2^{8})$ такой что $W(t+m)=D\cdot W(t)$ и, соответственно, $W(t)=D\cdot W(t-m)$. Можно считать, что $D=x^{m}$ по модулю примитивного многочлена. adamant.pwn — contrib/talk 14:41, 6 декабря 2019 (UTC)
• На самом деле есть компромиссный вариант: выкинуть всю конкретику и оставить общие слова с атрибуцией ("По утверждению автора, вычисляется мультипликативная инверсия..."). Не знаю, сочетается ли это с ВП:ТДС-4. Может, и сочетается, поскольку это всё вторичными источниками (описывающими именно Halka) всё равно не освещено. — Браунинг (обс.) 14:36, 6 декабря 2019 (UTC)
  • Ваш вариант мне абсолютно по душе. Но, кстати, я нашла статью c абсолютно таким же математическим описанием и примитивным многочленом(чорт, не могу скинуть ссылку на сайхаб, но вот doi: 10.1109/ICCE-TW.2015.7217019), мне тут показалось, что про обычную инверсию и говорится, потому что они пытаются to compute the multiplicative inverse of any non-zero element in Galois Field — Эта реплика добавлена участником Student zaschitainformacii (о • в) 14:51, 6 декабря 2019 (UTC)
    • Так у этих-то парней начальное состояние 00000001, а не как у некоторых индийцев. — Браунинг (обс.) 14:51, 6 декабря 2019 (UTC)
    • Короче, что оставить и что убрать? Мы все равно ничего не поняли :D Student zaschitainformacii (обс.) 14:51, 6 декабря 2019 (UTC)
      • В общем, я думаю, ситуация здесь такова, что на самом деле Сурав Дас самовольно расширяет понятие мультипликативной инверсии и на самом деле работает не с ней, а с некоторым параметрическим семейством инверсно-подобных преобразований, каждое из которых всё ещё называет мультипликативной инверсией. Скорее всего, этот произвольно выбранный $W(t)$ действительно служит некоторым замещением для аффинного преобразования из AES, но так как это явно нигде не прописано, внести в статью мы это также не можем. Так что, видимо, следует обойтись добавлением в статью того, что данное преобразование является мультипликативной инверсией «по утверждению автора» (я уже внёс это в статью). adamant.pwn — contrib/talk 15:32, 6 декабря 2019 (UTC)
        • Подтверждением того, что $W(t)$ служит заменой аффинному преобразованию служит, например, такая строчка: «Using a different initial seed, this also gets a free linear transformation for Halka S-box». Я думаю, на её основании можно уточнить в статье, что произвольно выбранный $W(t)$ позволяет «автоматически» проводить линейное преобразование после взятия инверсии. adamant.pwn — contrib/talk 15:38, 6 декабря 2019 (UTC)
        • В общем, я попробовал расписать подробнее этот момент на основе того, что Сурав Дас пишет у себя про параметризацию, думаю сейчас вопрос $W(t)$ решён более менее приемлемым образом. adamant.pwn — contrib/talk 15:52, 6 декабря 2019 (UTC)
    • У них то же математическое описание потому что они его скопировали у Sourav Das, вон и ссылки в примечаниях есть. А начальное состояние действительно 00000001, так что инверсия честная получается. adamant.pwn — contrib/talk 15:00, 6 декабря 2019 (UTC)
  • Я (снова) посмотрел статью, автор явно в курсе того, что «мультипликативная инверсия» у него определена неоднозначно (см. секцию Parametrization) и он в этом проблем не видит. В принципе, можно оставить конкретику, но указанную атрибуцию добавить к «Для вычисления мультипликативной инверсии заданного входного вектора…». То есть, что это уважаемый автор статьи заявляет, что нам нужно именно $W(t+m')$ искать. adamant.pwn — contrib/talk 15:18, 6 декабря 2019 (UTC)
• За. Статья прошла достаточно долгий путь и, на мой взгляд, она сейчас намного лучше, чем была изначально. Единственное, что ещё — Браунинг выше упомянул, что в [1] в преамбуле заявляют о некоторых проблемах с устойчивостью к дифференциальному анализу, если это так, то действительно стоит упомянуть об этом в статье. adamant.pwn — contrib/talk 16:05, 6 декабря 2019 (UTC)
  • Спасибо, сделано) Student zaschitainformacii (обс.) 16:53, 6 декабря 2019 (UTC)

Итог

Статья избрана. Требованиям ВП:ТДС соответствует. Статья прошла долгий и сложный путь, но в итоге пришла к статусу. Поздравляю! — Красный^{хотите поговорить?} 19:57, 7 декабря 2019 (UTC)