费斯妥密码

许多现代对称块密码都使用了Feistel网络，密码学家们对Feistel密码的结构和特性进行了广泛的探索。具体来说，Michael Luby和Charles Rackoff分析了Feistel块密码结构，并证明了如果轮函数是一个密码学上安全的伪随机函数，用_Ki作为种子，那么3轮就足以使块密码成为一个伪随机换算，而4轮就足以使其成为一个"强"伪随机换算(这意味着即使对一个获得其逆换算的谕令访问权的对手来说，它仍然是伪随机的)。由于Luby和Rackoff的这一非常重要的结果，Feistel密码有时被称为Luby-Rackoff块密码。进一步的理论研究对该构造进行了概括，并定义了更精确的安全性限制。

让F {displaystyle {\rm {F}}是轮函数，让K 1 ，K 2 ，...，K n {displaystyle K_{1}，K_{2}，\ldots ,K_{n}}分别是轮1 ，2 ，...，n {displaystyle 1,2,\ldots ,n}的子键。

那么基本操作如下。

将明文块分割成两个相等的片段，( L 1 {\displaystyle L_{1}} , R 1 {\displaystyle R_{1}} )

对于每一轮i=1,2,...,n {\displaystyle i=1,2,\dots ,n}。，计算

L i + 1 = R i {\displaystyle L_{i+1}=R_{i}\,}。

R i + 1 = L i ⊕ F ( R i , K i ) {\displaystyle R_{i+1}=L_{i}\oplus {\rm {F}}(R_{i},K_{i})} .

那么密文是 ( R n + 1 , L n + 1 ) {\displaystyle (R_{n+1},L_{n+1})} 。(通常R n {\displaystyle R_{n}}和L n {\displaystyle L_{n}}这两块在最后一轮之后不会交换。)

密文的解密 ( R n , L n ) {\displaystyle (R_{n},L_{n})}是通过计算 i = n , n - 1 , ... , 1 {\displaystyle i=n,n-1,\ldots ,1}来完成的。

R i = L i + 1 {\displaystyle R_{i}=L_{i+1}\,}。

L i = R i + 1 ⊕ F ( L i + 1 , K i ) {\displaystyle L_{i}=R_{i+1}/\oplus {\rm {F}}(L_{i+1},K_{i})} .

那么 ( L 1 , R 1 ) {\displaystyle (L_{1},R_{1})}又是明文。

这个模型的一个优点是，圆函数F {\displaystyle {\rm {F}}不一定是可逆的，可以很复杂。

该图说明了加密过程。解密只需要将子键K n , K n - 1 , ... , K 1 {\displaystyle K_{n},K_{n-1},\ldots ,K_{1}}的顺序颠倒过来，使用相同的过程；这是加密和解密之间的唯一区别。

非平衡Feistel密码使用一种修改过的结构，其中L 1 {\displaystyle L_{1}}和R 1 {\displaystyle R_{1}}的长度不相等。MacGuffin密码是这种密码的一个实验性例子。

Feistel结构还被用于除块密码器以外的其他密码算法中。例如，最佳非对称加密填充（OAEP）方案在某些非对称密钥加密方案中使用简单的Feistel网络来随机化密码文本。

Feistel或改性Feistel：Blowfish、Camellia、CAST-128、DES、FEAL、ICE、KASUMI、LOKI97、Lucifer、MARS、MAGENTA、MISTY1、RC5、TEA、Triple DES、Twofish、XTEA、GOST 28147-89。

通用Feistel：CAST-256，MacGuffin，RC2，RC6，Skipjack。