Мережа Файстеля

Мережа Файстеля (конструкція Файстеля) — різновид блочного шифру з певною ітеративною структурою. Багато сучасних алгоритмів використовують мережу Файстеля як основу.

В 1973 році Горст Файстель (англ. Horst Feistel) в журналі Scientific American опублікував статтю «Криптографія і комп'ютерна безпека»(«Cryptography and Computer Privacy»), в якій розкрив деякі важливі аспекти шифрування, а також ввів конструкцію, названу пізніше мережею Файстеля. Ця схема була використана в проєкті Lucifer фірми IBM, над яким працював Файстель і Дон Коперсміт (Don Coppersmith). Цей проєкт був скоріше експериментальним, але став базисом для DES. Ітеративна структура алгоритму дозволяла спростити його реалізацію в апаратному середовищі.

блок відкритого тексту ділиться на 2 рівні частини ( $L_{0},\ R_{0})$
в кожному раунді вираховується ( $i=1\ldots n$ — номер раунду)

$L_{i}\ =\ R_{i-1}\oplus f(L_{i-1},K_{i-1})$
$R_{i}\ =\ L_{i-1}$ ,

де $f$ — деяка функція, а $K_{i-1}$ — ключ $i$ -го раунду. Результатом виконання $n$ раундів є $(L_{n},\ R_{n})$ . Але зазвичай в $n$ -му раунді перестановка $L_{n}$ і $R_{n}$ не виконуються, що дозволяє використовувати ту ж процедуру і для розшифрування, просто інвертувавши порядок використання раундової ключової інформації:

$L_{i-1}\ =\ R_{i}\oplus f(L_{i},\ K_{i-1})$
$R_{i-1}\ =\ L_{i}$ ,

Невеликі зміни дозволяють досягнути повної ідентичності процедур шифрування та розшифрування. Одною із переваг такої моделі є застосовність алгоритму незалежно від функції $f$ , і вона може бути довільної складності.

При великому розмірі блоків шифрування (128 біт і більше) реалізація такої мережі Файстеля на 32-розрядних архітектурах може викликати складнощі, тому використовуються модифіковані варіанти цієї конструкції. У звичайних ситуаціях використовуються мережі з 4 гілками. На малюнку показано найбільш розповсюджені модифікації. Також існують схеми, в яких довжини половинок $L_{0}$ і $R_{0}$ не збігаються. Вони називаються незбалансованими.