En criptografía , FEAL ( algoritmo de cifrado rápido de datos ) es un cifrador de bloques propuesto como alternativa al estándar de cifrado de datos (DES) y diseñado para ser mucho más rápido en software. El algoritmo basado en Feistel fue publicado por primera vez en 1987 por Akihiro Shimizu y Shoji Miyaguchi de NTT . El cifrado es susceptible a varias formas de criptoanálisis y ha actuado como catalizador en el descubrimiento del criptoanálisis diferencial y lineal .
Se han realizado varias revisiones diferentes de FEAL, aunque todas son cifrados Feistel , utilizan la misma función básica de ronda y funcionan en un bloque de 64 bits . Uno de los primeros diseños se denomina ahora FEAL-4 , que tiene cuatro rondas y una clave de 64 bits .
Desde el principio se encontraron problemas con FEAL-4: Bert den Boer relató una debilidad en una sesión preliminar no publicada en la misma conferencia donde se presentó por primera vez el cifrado. Un artículo posterior (den Boer, 1988) describe un ataque que requiere entre 100 y 10 000 textos simples seleccionados , y Sean Murphy (1990) encontró una mejora que necesita solo 20 textos simples seleccionados. Los métodos de Murphy y den Boer contienen elementos similares a los utilizados en el criptoanálisis diferencial .
Los diseñadores respondieron duplicando el número de rondas, FEAL-8 (Shimizu y Miyaguchi, 1988). Sin embargo, ocho rondas también resultaron insuficientes: en 1989, en la conferencia Securicom, Eli Biham y Adi Shamir describieron un ataque diferencial al cifrado, mencionado en (Miyaguchi, 1989). Gilbert y Chassé (1990) publicaron posteriormente un ataque estadístico similar al criptoanálisis diferencial que requiere 10.000 pares de textos claros seleccionados.
En respuesta, los diseñadores introdujeron un cifrado de ronda variable, FEAL-N (Miyaguchi, 1990), donde "N" era elegido por el usuario, junto con FEAL-NX , que tenía una clave más grande de 128 bits. El criptoanálisis diferencial de Biham y Shamir (1991) mostró que tanto FEAL-N como FEAL-NX podían romperse más rápido que la búsqueda exhaustiva de N ≤ 31. Los ataques posteriores, precursores del criptoanálisis lineal, podían romper versiones bajo el supuesto de texto plano conocido , primero (Tardy-Corfdir y Gilbert, 1991) y luego (Matsui y Yamagishi, 1992), este último rompiendo FEAL-4 con 5 textos planos conocidos, FEAL-6 con 100 y FEAL-8 con 2 15 .
En 1994, Ohta y Aoki presentaron un ataque criptoanalítico lineal contra FEAL-8 que requería 2 12 textos simples conocidos. [1]