Опубликована финальная реализация алгоритма BLAKE3, предлагающего криптографическую хеш-функцию, рассчитанную на такие применения, как проверка целостности файлов, аутентификация сообщений и формирование данных для криптографических цифровых подписей. BLAKE3 не предназначена для хэширования паролей (для паролей рекомендуется использовать медленные хэш-функции yescrypt, bcrypt, scrypt или Argon2), так как нацелена на максимально быстрое вычисление хэшей. Рассматриваемая хэш-функция нечувствительна к размеру хэшируемых данных и защищена от атак по подбору коллизий и нахождению прообраза. Эталонная реализация BLAKE3 опубликована под двойной лицензией - общественное достояние (CC0) и Apache 2.0.
Ключевым отличием новой хеш-функции является очень высокая производительность вычисления хэша при сохранении надёжности на уровне SHA-3. По умолчанию размер результирующего хэша в BLAKE3 составляет 32 байта (256 бит), но он может быть расширен до произвольных значений. В тесте на генерацию хэша для файла, размером 16 КБ, BLAKE3 опережает SHA3-256 в 15 раз, SHA-256 - в 12 раз, SHA-512 - в 8 раз, SHA-1 - в 6 раз, а BLAKE2b - в 4 раза. Значительный отрыв сохраняется и при обработке очень больших объёмов данных, например, BLAKE3 оказался быстрее SHA-256 в 8 раз при вычислении хеша для 1ГБ случайных данных.
Алгоритм разработан известными специалистами по криптографии (Jack O'Connor, Jean-Philippe Aumasson, Samuel Neves, Zooko Wilcox-O'Hearn) и продолжает развитие алгоритма BLAKE2 и применяет для кодирования дерева цепочек блоков механизм Bao. В отличие от BLAKE2 (BLAKE2b, BLAKE2s), в BLAKE3 для всех платформ предложен единый алгоритм, не привязанный к разрядности и размеру хэша.
Повышения производительности удалось добиться благодаря сокращению числа раундов с 10 до 7 и раздельному хэшированию блоков кусочками по 1 Кб. По заявлению создателей, они нашли убедительное математическое доказательство, что можно обойтись 7 раундами вместо 10 при сохранении того же уровня надёжности (для наглядности можно привести пример с перемешиванием фруктов в миксере - через 7 секунд фрукты уже полностью перемешаны и дополнительные 3 секунды не скажутся на консистенции смеси). При этом некоторые исследователи выражают сомнение, полагая, что даже если в настоящее время 7 раундов достаточно для противостояниям всем известным атакам на хэши, то дополнительные 3 раунда могут оказаться полезны в случае выявления новых атак в будущем.
Что касается разделения на блоки, то в BLAKE3 поток разбивается на кусочки по 1 Кб и каждый кусочек хэшируется независимо. На основе хэшей кусочков на базе бинарного дерева Меркла формируется один большой хэш. Указанное разделение позволяет решить проблему с распараллеливанием обработки данных при вычислении хэша - например, можно использовать 4-поточные SIMD-инструкции для одновременного вычисления хэшей 4 блоков. Традиционные хэш-функции SHA-* обрабатывают данные последовательно.
Особенности BLAKE3:
- Высокая производительность;
- Обеспечение распараллеливания вычислений на любое число потоков и SIMD-каналов;
- Возможность инкрементального обновления и верифицированной обработки потоков;
- Применение в режимах PRF, MAC, KDF, XOF и как обычный хэш;
- Единый алгоритм для всех архитектур, быстрый как на системах x86-64, так и на 32-разрядных процессорах ARM.
Основные отличия BLAKE3 от BLAKE2:
- Использование бинарной древовидной структуры, позволяющей добиться неограниченного паралеллизма при вычислении хэша.
- Отсутствие дополнительных накладных расходов при хешировании с ключом за счёт использования области, ранее занимаемой блоком параметров ключа.
- Встроенный механизм работы в форме функции с удлиняемым результатом (XOF, Extendable Output Function), допускающей распараллеливание и позиционирование (seek).