ГОСТ 28147-89

Взломан.

Когда и кем?

пруф можно про взлом

На Crypto-2008 был представлен взлом хэш-функции, основанной на этом шифре. Атакующий имеет значительно больший уровень свободы, чем ему обычно допускается.

А подробнее, что произошло?

Гугл выдаёт высосаный (даже не из пальца) бред. Да и вообще, еслиб его в 2008 взломали, то в 2010 его бы не пытались впихнуть в ISO/IEC

FSE 2011.

Множество новых атак на основе самоподобия работают против всех ключей ГОСТа и позволяют взламывать полнораундовый ГОСТ с 256-битным ключом, а не только для слабых ключей, как было ранее.

Эти новые атаки могут рассматриваться как примеры новой общей парадигмы криптоанализа блочных шифров, называемой «редукция алгебраической сложности», с обобщением этих атак на множество частных случаев атак с известными неподвижными точками, скольжением, инволюциями и циклами. Важно, что среди семейства всех этих атак есть такие, которые позволяют проводить криптоанализ ГОСТ без всяких отражений и без каких-либо симметричных точек, которые проявляются в ходе вычислений.

Алгебраические атаки на блочные и потоковые шифры могут быть представлены в виде проблемы решения большой системы булевых алгебраических уравнений, которая следует геометрии и структуре частной криптографической схемы.

Шта за векипедя.

ГОСТ имеет серьёзные изъяны и теперь не обеспечивает уровня стойкости, требуемого ISO. Множество атак на ГОСТ представлено в рамках подтверждения парадигмы редуцирования алгебраической сложности.

ИМХО в случае с ISO была чистая политика.

http://www.cryptopro.ru/blog/2013/08/27/gost-28147-89-ne-speshi-ego-khoronit-...

Итак, для начитавшихся желтой прессы:

ГОСТ 28147-89 взломан. На языке криптолога это значит, что найдена атака, позволяющая получить ключ быстрее, чем метордом полного перебора ключей. В случае ГОСТа, ЕМНИП, атака была в 256 раз быстрее. Т.е. вместо 200 миллиардов лет атакующему понадобится всего лишь миллиард.

А что касается хеша на его базе - то его стоит выкинуть по 2 причинам:

1) Блоки подстановки не зафиксированы стандартом. Тем же страдает и сам шифр. В результате вместе с идентификатором алгоритма приходится передавать еще 64 байта данных, что очень неудобно.

2) Делать хеши из шифров - в принципе бред. Схема Меркла—Дамгарда, применяемая в данном случае, предполагает одностороннюю функцию сжатия, в какой-то мере обладающую такой же стойкостью к коллизиям, как и хеш. функция шифрования с ключом в виде доп. входа таковой не является и вставляется в эту схему с применением костылей.

И тем не менее шифр удовлетворяет определению криптостойкости.

В 2012 году принят новый стандарт.

Гугл молчит

Вы правы, молчит. И не только гугл.

http://protect.gost.ru/document.aspx?control=7&id=139177

Стандарт все еще действует.

Заменили только стандарты хэш-функции и цифровой подписи.