В криптографии FEAL ( Быстрый алгоритм шифрования данных ) — это блочный шифр , предложенный в качестве альтернативы стандарту шифрования данных (DES) и разработанный для гораздо более быстрого программного обеспечения. Алгоритм на основе Фейстеля был впервые опубликован в 1987 году Акихиро Симидзу и Сёдзи Миягучи из NTT . Шифр восприимчив к различным формам криптоанализа и послужил катализатором в открытии дифференциального и линейного криптоанализа .
Было несколько различных версий FEAL, хотя все они являются шифрами Фейстеля , используют одну и ту же базовую функцию раунда и работают с 64-битным блоком . Одна из самых ранних разработок сейчас называется FEAL-4 , она имеет четыре раунда и 64-битный ключ .
Проблемы с FEAL-4 были обнаружены с самого начала: Берт ден Бур рассказал об уязвимости в неопубликованной сессии rump на той же конференции, где шифр был впервые представлен. Более поздняя статья (den Boer, 1988) описывает атаку, требующую 100–10000 выбранных открытых текстов , а Шон Мерфи (1990) нашел улучшение, требующее всего 20 выбранных открытых текстов. Методы Мерфи и ден Бура содержат элементы, похожие на те, которые используются в дифференциальном криптоанализе .
Разработчики ответили удвоением числа раундов, FEAL-8 (Shimizu and Miyaguchi, 1988). Однако восьми раундов также оказалось недостаточно — в 1989 году на конференции Securicom Эли Бихам и Ади Шамир описали дифференциальную атаку на шифр, упомянутую в (Miyaguchi, 1989). Жильбер и Шассе (1990) впоследствии опубликовали статистическую атаку, похожую на дифференциальный криптоанализ, для которой требуется 10000 пар выбранных открытых текстов.
В ответ на это разработчики ввели шифр с переменным раундом FEAL-N (Miyaguchi, 1990), где «N» выбиралось пользователем, вместе с FEAL-NX , который имел больший 128-битный ключ. Дифференциальный криптоанализ Бихама и Шамира (1991) показал, что и FEAL-N, и FEAL-NX могут быть взломаны быстрее, чем исчерпывающий поиск для N ≤ 31. Более поздние атаки, предшественники линейного криптоанализа, могли взломать версии при предположении известного открытого текста , сначала (Tardy-Corfdir и Gilbert, 1991), а затем (Matsui и Yamagishi, 1992), последний взломал FEAL-4 с 5 известными открытыми текстами, FEAL-6 со 100 и FEAL-8 с 2 15 .
В 1994 году Охта и Аоки представили линейную криптоаналитическую атаку на FEAL-8, которая требовала 212 известных открытых текстов. [1]