SHA-3

SHA-3（セキュアハッシュアルゴリズム3 ）は、セキュアハッシュアルゴリズム標準ファミリの最新^[4]メンバーであり、2015年8月5日にNISTによってリリースされました。 ^{[5] [6] [7]}同じ標準シリーズの一部ですが、SHA-3はSHA-1やSHA-2のMD5のような構造とは内部的に異なります。

SHA-3は、Guido Bertoni、Joan Daemen、Michaël Peeters、Gilles Van AsscheによってRadioGatúnを基に設計された、より広範な暗号プリミティブファミリKeccak（/ ˈ k ɛ tʃ æ k /または/ ˈ k ɛ tʃ ɑː k /）^{[8] [9]}のサブセットです。Keccakの作者は、 NISTによって（まだ）標準化されていない関数の追加用途を提案しており、ストリーム暗号、認証暗号化システム、特定のアーキテクチャでハッシュを高速化する「ツリー」ハッシュ方式、^{[10] [11]}およびAEAD暗号KeyakとKetjeが含まれています。^{[12] [13]}

Keccakはスポンジ構築と呼ばれる新しいアプローチに基づいています。^[14]スポンジ構築は、幅広いランダム関数またはランダム順列に基づいており、任意の量のデータ（スポンジ用語では「吸収」）を入力し、任意の量のデータ（「圧縮」）を出力し、以前のすべての入力に関して疑似ランダム関数として機能します。これにより、大きな柔軟性がもたらされます。

2022年現在、NISTはSHA-2を撤回したり、改訂されたセキュアハッシュ標準から削除する予定はありません。^[15] SHA-3の目的は、必要に応じて現在のアプリケーションでSHA-2を直接置き換えることができ、NISTの全体的なハッシュアルゴリズムツールキットの堅牢性を大幅に向上させることです。^[16]

メッセージのサイズが小さい場合、Keccak アルゴリズムと SHA-3 関数の作成者は、調整されたパラメータと余分なオーバーヘッドのない新しいツリー ハッシュ モードを備えた、より高速な関数 KangarooTwelve を使用することを推奨しています。

Keccakアルゴリズムは、Guido Bertoni、Joan Daemen （ Vincent RijmenとともにRijndael暗号を共同設計した人物でもある）、Michaël Peeters、Gilles Van Asscheの成果である。これは、以前のハッシュ関数設計PANAMAとRadioGatúnに基づいている。PANAMAは、1998年にDaemenとCraig Clappによって設計された。PANAMAの後継であるRadioGatúnは、Daemen、Peeters、Van Asscheによって設計され、2006年にNISTハッシュワークショップで発表された。^[17]参照実装のソースコードは、 CC0権利放棄によりパブリックドメインに提供された。^[18]

2006年、NISTは新しいハッシュ標準SHA-3を作成するためにNISTハッシュ関数コンペティションを開催し始めました。SHA- 3はSHA-2に代わるものではありません。SHA-2に対する重大な攻撃が公に実証されていないためです^{[更新が必要]} 。MD5 、SHA-0、SHA-1に対する攻撃が成功したため、^{[19] [20]} NISTは代替の異なる暗号ハッシュの必要性を感じ、それがSHA-3になりました。

準備期間の後、2008年末までに入学願書を提出することになっていた。Keccakは51人の候補者の1人として受け入れられた。2009年7月、14のアルゴリズムが第2ラウンドに選ばれた。Keccakは2010年12月の最終ラウンドに進んだ。^[21]

コンテスト中、参加者は発見された問題に対処するためにアルゴリズムを「微調整」することが許可されました。Keccakに加えられた変更は次のとおりです。^{[22] [23]}

• 安全性をより重視するため、弾丸の数は12 + ℓから12 + 2ℓに増加されました。
• メッセージのパディングは、より複雑なスキームから、以下に説明する単純な 10 ^* 1 パターンに変更されました。
• レートr は、最も近い 2 の累乗に切り捨てられるのではなく、セキュリティ制限まで増加されました。

2012年10月2日、ケチャックがコンテスト優勝者に選ばれた。^[8]

2014年にNISTはFIPS 202「SHA-3標準：順列ベースのハッシュと拡張可能な出力関数」の草案を公開した。 ^[24] FIPS 202は2015年8月5日に承認された。^[25]

2015年8月5日、NISTはSHA-3がハッシュ標準になったと発表した。^[26]

2013年初頭、NISTはSHA-3規格の「容量」（全体的な強度と速度のパラメータ）について、提出されたものとは異なる値を選択すると発表した。^{[27] [28]}この変更は混乱を引き起こした。

ハッシュ関数のコンペティションでは、少なくとも SHA-2 インスタンスと同程度のセキュリティを持つハッシュ関数が求められました。つまり、dビットの出力は、衝突攻撃に対してd /2 ビットの耐性と、原像攻撃に対してdビットの耐性を持つ必要があり、これはdビットの出力で達成可能な最大値です。Keccak のセキュリティ証明では、「容量」cに基づいてセキュリティ レベルを調整でき、衝突攻撃と原像攻撃の両方に対してc /2 ビットの耐性を提供します。元のコンペティション ルールを満たすために、Keccak の著者はc = 2 dを提案しました。発表された変更は、すべての形式の攻撃に対して同じd /2 ビットのセキュリティを受け入れ、 c = d を標準化することでした。これにより、各反復でハッシュされる入力がdビット追加されるため、Keccak の速度が向上します。ただし、ハッシュ関数はもはや SHA-2 と同じ原像攻撃耐性を持つ代替品ではなく、半分に削減されるため、量子コンピューティングの進歩に対して脆弱になり、実質的にさらに半分に削減されます。^[29]

2013 年 9 月、Daniel J. Bernstein はNISTハッシュ フォーラム メーリング リスト^[30]で、SHA-3 仕様には含まれていないものの、元々 Keccak のデフォルトとして提案されていた 576 ビット容量にセキュリティを強化することを提案しました。^[31]これにより、少なくとも SHA3-224 と SHA3-256 には SHA-2 の前身と同じプリイメージ耐性が提供されますが、SHA3-384 と SHA3-512 は SHA-2 の前身よりもプリイメージ耐性が大幅に低下します。9 月下旬、Keccak チームは、SHA-3提案で既にオプションとしてc = 256 を設定することで 128 ビットのセキュリティを提案したと述べて応答しました。 ^[32]削減された容量は彼らの意見では正当でしたが、否定的な反応を考慮して、すべてのインスタンスで容量をc = 512ビットに上げることを提案しました。これは、256ビットのセキュリティレベルまでのこれまでの標準と同等であり、妥当な効率性を提供しますが、^{[33] SHA2-384およびSHA2-512が提供する384ビット/512ビットのプリイメージ耐性はありません。著者は、「256ビットを超える}セキュリティ強度レベルを主張したり、それに依存したりすることは意味がありません」 と述べています。

2013 年 10 月初旬、ブルース・シュナイアー氏は、アルゴリズムの受け入れに悪影響を及ぼす可能性があるとして NIST の決定を批判し、次のように述べました。

空気中に不信感が漂いすぎている。NISTは、誰も信頼せず、誰も（強制された人を除いて）使用しないアルゴリズムを公開するリスクを負っている。^[34]

彼は後に以前の発言を撤回し、次のように述べた。

NIST がアルゴリズムに「内部変更」を加えたと書いたのは誤りでした。それは私のずさんな発言でした。Keccak 順列は変更されていません。NIST が提案したのは、パフォーマンスの名の下にハッシュ関数の容量を減らすことでした。Keccak の優れた機能の 1 つは、高度に調整可能であることです。^[34]

独立系ソフトウェア開発会社の暗号学者兼上級開発者であるポール・クロウリー氏は、Keccak は調整可能であるはずであり、1 つのプリミティブ内で異なるセキュリティ レベルを設定する理由はないとして、この決定への支持を表明しました。また、次のように付け加えました。

確かに、参加者に一定のセキュリティレベルを要求しておきながら、それとは異なる基準を定めて規格を発表したのは、コンテストにとって少々残念なことです。しかし、コンテストを再開する以外に、今それを修正する方法はありません。間違いをそのままにしておくよう要求しても、誰にとっても状況は改善されません。^[35]

Keccakに内部変更が加えられた可能性があるという混乱があったが、元のチームによって解決され、NISTのSHA-3の提案はKeccakファミリーのサブセットであり、コンテストに提出された参照コードを使用してテストベクトルを生成でき、この提案は彼らとNISTハッシュチームとの間の一連の議論の結果であると述べた。^[36]

この論争を受けて、2013年11月にNISTのジョン・ケルシーは、すべてのSHA-2ドロップイン置換インスタンスについて、元のc = 2 d^{提案に戻すことを提案した。 [37]この元に戻りは、その後のドラフト[38]}と最終リリースで確認された。 ^[5]

SHA-3 はスポンジ構造^[14]を採用しており、この構造ではデータがスポンジに「吸収」され、その結果が「絞り出され」ます。吸収フェーズでは、メッセージ ブロックが状態のサブセットにXOR され、その後、順列関数 を使用して全体が変換されます。(順列というと混乱するかもしれません。これは技術的には状態空間の順列、つまり要素を含むセットの順列ですが、状態ベクトルのビットを単に順列する以上のことを行います。^[要出典] )「絞り出し」フェーズでは、出力ブロックが同じ状態のサブセットから、状態変換関数 と交互に読み取られます。書き込まれて読み取られる状態の部分のサイズは「レート」( と表記) と呼ばれ、入出力の影響を受けない部分のサイズは「容量」( と表記) と呼ばれます。容量によって方式のセキュリティが決まります。最大のセキュリティ レベルは容量の半分です。 ${\displaystyle f}$${\displaystyle f}$${\displaystyle 2^{1600}\approx 4.4\cdot 10^{481}}$${\displaystyle f}$${\displaystyle r}$${\displaystyle c}$

入力ビット文字列、パディング関数、幅 のビットブロックを操作する置換関数、レート、出力長 が与えられた場合、容量 が得られ、長さ のビット文字列を生成するスポンジ構造は次のように機能します。^{[6] : 18}${\displaystyle N}$${\displaystyle パッド}$${\displaystyle f}$${\displaystyle b}$${\displaystyle r}$${\displaystyle d}$${\displaystyle c=br}$${\displaystyle Z={\text{スポンジ}}[f,pad,r](N,d)}$${\displaystyle Z}$${\displaystyle d}$

• pad関数を使用して入力Nを埋め込むと、長さが（整数）で割り切れるパディングされたビット文字列Pが生成されます。${\displaystyle r}$${\displaystyle n={\text{len}}(P)/r}$
• Pをn個の連続するrビットの断片P ₀ , ..., P _{n −1}に分割する
• 状態Sをbゼロビットの文字列に初期化する
• 入力を状態に吸収する：各ブロックP _iについて：
  • P _{i の}末尾をcビットのゼロ文字列で拡張し、長さbの文字列を生成する。
  • SとXORする
  • ブロック順列fを結果に適用し、新しい状態Sを生成する。
• Zを空の文字列に初期化する
• Zの長さはdより小さいです:
  • Sの最初のrビットをZに追加する
  • Zがまだdビット未満の場合、 f をSに適用し、新しい状態Sを生成します。
• Zをdビットに切り捨てる

内部状態Sには、Zに出力される情報に加えてcビットの追加情報が含まれているため、SHA-2、SHA-1、MD5、およびMerkle-Damgård 構造に基づくその他のハッシュが受けやすい長さ拡張攻撃を防ぐことができます。

SHA-3では、状態Sは5×5のwビットワード配列（w = 64）で構成され、 b = 5×5× w = 5×5×64 =合計1600ビットです。Keccakは、1ビットまでのより小さな2の累乗ワードサイズw（合計25ビットの状態）に対しても定義されています。小さな状態サイズは暗号解読攻撃のテストに使用でき、中間の状態サイズ（w = 8、200ビットからw = 32、800ビットまで）は実用的な軽量アプリケーションで使用できます。^{[12] [13]}

SHA3​​-224、SHA3-256、SHA3-384、および SHA3-512 インスタンスの場合、r はdより大きいため、圧縮フェーズで追加のブロック順列は必要ありません。状態の先頭のdビットが目的のハッシュです。ただし、SHAKE128 と SHAKE256 では任意の出力長が許可されるため、最適な非対称暗号化パディングなどのアプリケーションで役立ちます。

メッセージをrビットのブロックに均等に分割するには、パディングが必要です。SHA-3 は、パディング機能でパターン 10…01 を使用します。つまり、1 ビット、その後に 0 個以上の 0 ビット (最大r − 1 )、最後に 1 ビットが続きます。

r − 1 個のゼロ ビットの最大値は、最後のメッセージ ブロックの長さがr − 1ビットのときに発生します。その後、最初の 1 ビットの後に別のブロックが追加され、最後の 1 ビットの前にr − 1 個のゼロ ビットが含まれます。

メッセージの長さがすでにrで割り切れる場合でも、2つの1ビットが追加されます。^{[6] : 5.1 この場合、1ビットのブロックに続いて}r -2個の0ビットのブロックと別の1ビットを含む別のブロックがメッセージに追加されます。これは、rで割り切れる長さのメッセージがパディングのように見えるもので終わる場合、それらのビットが削除されたメッセージと同じハッシュが生成されないようにするために必要です。

最初の 1 ビットが必要なのは、末尾のいくつかの追加の 0 ビットのみが異なるメッセージでは同じハッシュが生成されないようにするためです。

最後の 1 ビットの位置は、どのレートrが使用されたかを示します (マルチレート パディング)。これは、セキュリティ証明が異なるハッシュ バリアントに対して機能するために必要です。これがないと、同じ短いメッセージの異なるハッシュ バリアントは、切り捨てまで同じになります。

ブロック変換fは、SHA-3ではKeccak-f[1600]であり、 XOR、AND、NOT演算を使用する順列であり、ソフトウェアとハ​​ードウェアの両方で簡単に実装できるように設計されています。

これは、任意の 2 の累乗ワードサイズ(w = 2 ^ℓビット) に対して定義されます。メインの SHA-3 サブミッションでは、64 ビット ワード ( ℓ = 6)が使用されます。

状態は5 × 5 × wのビット配列と考えることができます。リトル エンディアンのビット番号規則と行優先のインデックスを使用して、a [ i ][  j ][ k ]を入力のビット(5 i + j ) × w + kとします。つまり、iは行、j は列、k はビットを選択します。

インデックス演算は、最初の 2 つの次元については 5 を法として実行され、3 番目の次元についてはw を法として実行されます。

基本的なブロック順列関数は、 5 つのステップからなる12 + 2 ℓラウンドで構成されます。

θ（シータ）

5 w ( w = 64の場合は 320 ) の 5 ビット列のそれぞれのパリティを計算し、規則的なパターンで 2 つの近くの列に排他的論理和をとります。正確には、 a [ i ][  j ][ k ] ← a [ i ][  j ][ k ] ⊕ parity(a[0...4][ j -1][ k ]) ⊕ parity(a[0...4][ j +1][ k −1])

ρ（ロー）

25 ワードのそれぞれを、異なる三角数0、1、3、6、10、15、...でビット単位で回転します。正確には、 a [0][0] は回転せず、すべての0 ≤ t < 24に対して、a [ i ][  j ][ k ] ← a [ i ][  j ][ k −( t +1)( t +2)/2]となります。${\displaystyle {\begin{pmatrix}i\\j\end{pmatrix}}={\begin{pmatrix}3&2\\1&0\end{pmatrix}}^{t}{\begin{pmatrix}0\\1\end{pmatrix}}}$

π（パイ）

25 個の単語を固定パターンで並べ替えます。a [3 i +2 j ][ i ] ← a [  i ][ j ]。

χ (カイ)

x ← x ⊕ (¬ y & z )を使用して、行に沿ってビット単位で結合します。正確には、a [ i ][  j ][ k ] ← a [ i ][  j ][ k ] ⊕ (¬ a [ i ][  j + 1 ][ k ] & a [ i ][  j + 2 ][ k ])です。これは SHA-3 で唯一の非線形演算です。

ι（イオタ）

ラウンド定数を状態の 1 ワードに排他的論理和します。正確には、ラウンドnでは、0 ≤ m ≤ ℓに対して、[0][0][2 ^m −1]が次数 8 のLFSRシーケンスのビットm + 7 nと XOR されます。これにより、他の手順で保持されている対称性が破壊されます。

長いメッセージのSHA-3ハッシュの速度は、 f = Keccak-f[1600]の計算と、 Sと拡張P _{iのXOR演算、つまり}b = 1600ビットの演算によって左右されます。ただし、拡張P _{iの最後の}cビットはいずれにしても0であり、0とのXORはNOPであるため、 rビットのみのXOR演算を実行すれば十分です（SHA3-224の場合はr = 1600 − 2 × 224 = 1152ビット、SHA3-256の場合は1088ビット、SHA3-384の場合は832ビット、SHA3-512の場合は576ビット）。rが低いほど（逆にc = b − r = 1600 − rが高いほど）、ハッシュの効率は悪くなりますが、ハッシュの安全性は高まります。これは、計算コストの高いfを適用する前に、メッセージのビット数が少なくなり、状態に XOR できる（迅速な操作）ためです。著者らは、Keccak-f[1600] と 1024 ビットの XOR を組み合わせたソフトウェア実装の速度を次のように報告しています。^[1]これは、SHA3-256 にほぼ相当します。

• IA-32、Intel Pentium 3で57.4cpb [ ^39]
• IA-32+MMX、Intel Pentium 3 で 41 cpb
• IA-32+SSE、Intel Core 2 Duo、または AMD Athlon 64 で 20 cpb
• 一般的な x86-64 ベースのマシンでは 12.6 cpb
• IA-64では6～7cpb ^[1]

x86-64上のSHA3-256について、BernsteinはCPUに応じて11.7～12.25 cpbと測定しています。^{[40] : 7} SHA-3は、Keccak関数をより高速に計算するための命令を持たない命令セットアーキテクチャ(CPU)では遅いと批判されてきました。SHA2-512はSHA3-512の2倍以上高速で、SHA-1は3.2GHzで動作するIntel Skylakeプロセッサでは3倍以上高速です。^[41]著者らはこの批判に応えて、SHA3-256とSHA3-512の代わりにSHAKE128とSHAKE256を使用することを提案しましたが、その代償として原像耐性は半分に削減されます(衝突耐性は維持されます)。これにより、パフォーマンスはSHA2-256とSHA2-512と同等になります。

しかし、ハードウェア実装では、SHA-3は他のすべての最終候補よりも著しく高速であり、^[42] SHA-2やSHA-1よりも高速です。^[41]

2018年現在、ARMのARMv8 ^[43]アーキテクチャには、Keccakアルゴリズムをより高速に実行できるようにする特別な命令が含まれており、IBMのz/Architecture ^{[44]には、SHA-3とSHAKEの完全な実装が1つの命令に含まれています。RISC} -VにKeccak固有の命令を追加するための拡張提案もあります。 ^[45]

NIST標準では、メッセージMと出力長dに対して次のインスタンスを定義している：^{[6] ：20、23}

以下の定義では

• ケッカック[ c ]( N , d ) = スポンジ[ケッカック-f[1600], pad10 ^* 1, r ]( N , d ) ^{[6] : 20}
• ケチャック-f[1600] = ケチャック-p[1600, 24] ^{[6] : 17}
• cは容量
• rはレート = 1600 − c
• Nは入力ビット文字列である

SHA-3 インスタンスは、SHA-2 の代替品であり、同一のセキュリティ プロパティを持つことが意図されています。

SHAKEは要求されたビット数をスポンジから生成するため、拡張可能な出力関数（XOF）となる。例えば、SHAKE128（M、256）は、128ビットのセキュリティ強度を持つ256文字のビットストリームを持つハッシュ関数として使用できる。任意の長さを疑似乱数ジェネレーターとして使用できる。あるいは、SHAKE256（M、128）は、128ビットの長さと128ビットの耐性を持つハッシュ関数として使用できる。^[6]

すべてのインスタンスはメッセージにいくつかのビットを追加し、その右端はドメイン分離サフィックスを表します。この目的は、Keccakハッシュ関数の異なるアプリケーションで同じハッシュ出力を生成するメッセージを構築できないようにすることです。次のドメイン分離サフィックスが存在します：^{[6] [46]}

2016年12月にNISTは、SHA-3由来の追加関数を説明した 新しい文書NIST SP.800-185 ^{[47]を公開しました。}

• X はメインの入力ビット文字列です。ゼロを含む任意の長さにすることができます。

• L は、要求された出力の長さをビット単位で表す整数です。

• N は関数名ビット文字列であり、NIST が cSHAKE に基づく関数を定義するために使用します。cSHAKE 以外の関数が必要ない場合は、N は空の文字列に設定されます。

• S はカスタマイズ ビット文字列です。ユーザーはこの文字列を選択して関数のバリアントを定義します。カスタマイズが不要な場合は、S は空の文字列に設定されます。

• K はゼロを含む任意の長さのキービット文字列です。

^{• Bは並列ハッシュのブロックサイズ（バイト単位）です。0 < B < 2 2040}となる任意の整数になります。

2016年に、SHA-3関数とKeccakアルゴリズムを作成した同じチームが、ツリーハッシュを使用することで並列実行が可能になる、より高速な短縮ラウンド（SHA-3の24ラウンドから12ラウンドと14ラウンドに短縮）の代替案であるKangarooTwelveとMarsupilamiFourteenを導入しました。^[49]

これらの関数は、並列処理に関して、FIPS 標準化 Keccak ベースの並列化可能なハッシュ関数である ParallelHash とは異なり、小さいメッセージ サイズの場合は ParallelHash よりも高速です。

ラウンド数を減らしたのは、Keccak に重点を置いた膨大な暗号解読の取り組みによって正当化される。この取り組みでは、12 ラウンドの Keccak に近いものに対しては実用的な攻撃は生まれなかった。これらの高速アルゴリズムは SHA-3 の一部ではない (後から開発されたもの) ため、FIPS に準拠していない。しかし、同じ Keccak 順列を使用しているため、12 ラウンドに減らされた SHA-3 に対する攻撃がない限りは安全である。^[49]

KangarooTwelveは、Keccakの高性能な短縮ラウンド（24ラウンドから12ラウンド）バージョンであり、128ビットのセキュリティ^{[50]を持ちながら、} Skylake CPUで1バイトあたり0.55サイクルという高いパフォーマンスを発揮すると主張しています。^{[51]このアルゴリズムは}IETF RFCドラフトです。^[52]

KangarooTwelve のわずかなバリエーションである MarsupilamiFourteen は、14 ラウンドの Keccak 順列を使用し、256 ビットのセキュリティを主張しています。256 ビットのセキュリティは実際には 128 ビットのセキュリティよりも有用ではありませんが、一部の標準では必須となる場合があります。^{[50] 128 ビットは、現在のハードウェアに対するブルートフォース攻撃を阻止するのにすでに十分なため、ユーザーが}古典的コンピューターの速度の大幅な向上を心配しない限り、256 ビットのセキュリティを持つことは実用的な価値を追加しません。量子コンピューターに対する耐性については、以下を参照してください。

KangarooTwelveとMarsupilamiFourteenはSHAKEに似た拡張出力関数であり、異なる出力長を持つ共通メッセージに対して密接に関連した出力を生成します（長い出力は短い出力の延長です）。このような特性はSHA-3やParallelHashなどのハッシュ関数では見られません（XOFバリアントを除く）。^[6]

2016年に、KeccakチームはFarfalle構造と呼ばれる別の構造と、Keccak-p順列を使用したFarfalleのインスタンスであるKravatte ^[53] 、および2つの認証暗号化アルゴリズムKravatte-SANEとKravatte-SANSE ^{[54]をリリースしました。}

RawSHAKEは、まだ標準化されていないツリーハッシュ用のSakuraコーディングの基礎となっている。Sakuraは、単一ノードに1111のサフィックスを使用し、これはSHAKEと同等であり、ツリーの形状に応じて他のサフィックスが生成される。^{[46] : 16}

一般的な結果（グローバーのアルゴリズム）によれば、量子コンピュータはで構造化原像攻撃を実行できるが、古典的なブルートフォース攻撃には 2 ^{d が}必要である。構造化原像攻撃は第 2 の原像攻撃^[29]を意味し、したがって衝突攻撃 を意味する。量子コンピュータは^[55]で誕生日攻撃 を実行し、したがって衝突耐性を破ることもできる（ただし、これには異論がある）。^[56]最大強度が になり得ることに注目すると、SHA-3 の量子セキュリティの上限 ^{[57]は次のようになる。}${\displaystyle {\sqrt {2^{d}}}=2^{d/2}}$${\displaystyle {\sqrt[{3}]{2^{d}}}=2^{d/3}}$${\displaystyle c/2}$

SHA-2で使用されているMerkle-Damgård構造は崩壊し、その結果量子衝突耐性があることが示されているが^{[58] 、SHA-3で使用されるスポンジ構造については、著者らはブロック関数}fが効率的に可逆でない場合にのみ証明を提供している。しかし、Keccak-f[1600]は効率的に可逆であるため、彼らの証明は適用されない。^{[59] [オリジナル研究]}

以下のハッシュ値はNIST.govからのものである: ^[60]

SHA3​​-224("")
6b4e03423667dbb73b6e15454f0eb1abd4597f9a1b078e3f5b5a6bc7
SHA3​​-256("")
a7ffc6f8bf1ed76651c14756a061d662f580ff4de43b49fa82d80a4b80f8434a
SHA3​​-384("")
0c63a75b845e4f7d01107d852e4c2485c51a50aaaa94fc61995e71bbee983a2ac3713831264adb47fb6bd1e058d5f004
SHA3​​-512("")
a69f73cca23a9ac5c8b567dc185a756e97c982164fe25859e0d1dcc1475c80a6 15b2123af1f5f94c11e3e9402c3ac558f500199d95b6d3e301758586281dcd26
SHAKE128("", 256)
7f9c2ba4e88f827d616045507605853ed73b8093f6efbc88eb1a6eacfa66ef26
SHAKE256("", 512)
46b9dd2b0ba88d13233b3feb743eeb243fcd52ea62b81b82b50c27646ed5762fd75dc4ddd8c0f200cb05019d67b592f6fc821c49479ab48640292eacb3b7c4be

1 ビットを変更すると、出力の各ビットが 50% の確率で変更され、雪崩効果が発生します。

SHAKE128(「素早い茶色のキツネが怠け者の犬を飛び越える」、256)
f4202e3c5852f9182a0430fd8144f0a74b95e7417ecae17db0f8cfeed0e3e66e
SHAKE128(「素早い茶色のキツネは怠け者のドフを飛び越える」、256)
853f4538be0db9621a6cea659a06c1107b1f83f02b13d18297bd39d7411cf10c

以下の表では、内部状態とは次のブロックに繰り越されるビット数を意味します。

AVX-512VL （ OpenSSLから、Skylake-X CPU上で実行）を使用したSHA3-256の最適化された実装では、大きなメッセージで1バイトあたり約6.4サイクルを達成し、 ^[66] Skylake CPUでAVX2を使用した場合は1バイトあたり約7.8サイクルを達成します。 ^[67]他のx86、Power、ARM CPUでのパフォーマンスは、使用される命令と正確なCPUモデルに応じて1バイトあたり約8〜15サイクルまで変化します。^{[68] [69] [70]}一部の古いx86 CPUでは1バイトあたり最大25〜40サイクルになります。^[71]

以下は SHA-3 をサポートする暗号化ライブラリのリストです。

• Rustのsha3
• ぼたん
• バウンシーキャッスル
• 暗号++
• ライブラリgcrypt
• イラクサ
• オープンSSL
• ウルフSSL
• MIRACL 暗号化 SDK
• Golang のx/crypto/sha3
• libkeccak

Apple A13 ARMv8 6コアSoC CPUコアは、ARMv8.2-SHA暗号拡張セットの特殊命令（EOR3、RAX1、XAR、BCAX）を使用してSHA-3（およびSHA-512）を高速化するサポート^[72]を備えています。^[73]

一部のソフトウェアライブラリは、 CPUのベクトル化機能を使用してSHA-3の使用を高速化します。たとえば、Crypto++はx86でSSE2を使用してSHA3を高速化できます。 ^[74]また、OpenSSLは多くのx86システムでMMX、AVX-512 、またはAVX-512VLを使用できます。 ^[75]また、POWER8 CPUは、PowerISA 2.07で定義されている2x64ビットベクトル回転を実装しており、SHA-3実装を高速化できます。^{[76] ARMの実装のほとんどは、}スカラーコードの方が高速であるため、Neonベクトル命令を使用していません。ただし、ARM実装はSVEおよびSVE2ベクトル命令を使用して高速化できます。これらは、たとえば富士通A64FX CPUで使用できます。 ^[77]

IBM z/Architectureは、2017年からMessage-Security-Assist Extension 6の一部としてSHA-3をサポートしています。^[78]プロセッサは、各コアに組み込まれたハードウェアアシストエンジンを使用して、KIMDおよびKLMD命令を介してSHA-3およびSHAKEアルゴリズム全体の完全な実装をサポートします。

イーサリアムはKeccak-256ハッシュ関数を使用している（これはBertoniらによるSHA-3コンテストの優勝作品のバージョン3に基づいており、最終的なSHA-3仕様とは異なる）。^[79]

• Ethash – Keccakベースのハッシュ

• ソロモン、MG (2019)。『Ethereum For Dummies 』。Wiley。ISBN 978-1-119-47411-1. 2024年11月20日閲覧。

• Keccakのウェブサイト
• SHA-3 標準