Xoodoo 置换算法的优缺点
一、Xoodoo置换简介
Xoodoo是由Keccak团队（Joan Daemen等）于2018年设计的一组384位密码置换。它是Xoodyak（NIST轻量级密码竞赛决赛算法）和Xoofff（Farfalle构造实例）的核心底层原语。
设计理念 ：Xoodoo的设计思路借鉴了Keccak-p的设计哲学，但在维度上参照了Gimli，以兼顾安全性与在低端处理器上的效率。其核心目标是实现"在从嵌入式低端设备到高端服务器处理器的广泛平台上都能高效运行"。
状态与轮函数 ：Xoodoo的状态由12个32比特字 （共384比特）构成，排列为3个平面（planes），每个平面为4×32比特。这个结构使其在32位低端处理器上也能高效实现。
每轮轮函数由以下5个步骤映射组成：
| 步骤 | 名称 | 作用 |
|---|---|---|
| θ（theta） | 混合层 | 列奇偶混合，实现扩散 |
| ρ_west | "西部"平面平移层 | 平面间位移 |
| ι（iota） | 轮常量加法 | 打破对称性，防止滑动攻击 |
| χ（chi） | 非线性层 | 3比特S盒并行处理，提供非线性 |
| ρ_east | "东部"平面平移层 | 另一方向的平面位移 |
Xoodoo的标准轮数为12轮 。轮索引采用从高到低的编号方式（从12递减到0），这一设计专门用于抵御滑动攻击（slide attacks）。
安全分析 ：Xoodoo采用宽轨迹策略（wide trail strategy） 来抵御差分和线性密码分析。研究已证明：4轮最小轨迹权重为80，6轮至少为132，12轮至少为264。第三方分析表明，Xoodoo不太可能受到不变子空间攻击 的威胁。目前已发现4轮不可能差分区分器，但对完整12轮Xoodoo的有效攻击尚未见报道。
二、Xoodoo置换的优缺点分析
优点
1. 卓越的跨平台性能
Xoodoo的384比特状态和32比特字长设计，使其在从低端嵌入式设备到高端服务器 的广泛平台上都能高效运行。它既没有S盒也没有ARX盒层，全部由简单的逻辑和移位操作实现，在GPU等并行架构上也能充分利用缓存优势。
2. 良好的硬件实现效率
Xoodoo的状态可存储在12个32位寄存器 中，非常适合低端32位设备。其衍生变体Xoodoo-NC（非密码级哈希）在硬件上实现了极低的逻辑深度和很高的时钟频率，吞吐率/面积比优于同类方案。
3. 设计简洁且安全裕度充足
轮函数仅由5个简单步骤组成，设计清晰、易于实现和验证。完整的12轮Xoodoo具有充足的安全裕度 ------目前所有公开攻击（包括代数攻击、功能密码分析、旋转密码分析等）均仅针对降轮版本（如6轮或更少），尚未威胁到完整轮数的Xoodoo。
4. 与Farfalle构造的天然契合
Xoodoo的较窄宽度与Farfalle构造的高度并行性相结合，使其在需要并行处理的场景下尤为高效。这一特性也是Xoofff能够成为高效deck函数的关键。
5. 良好的雪崩效应
Xoodoo具有优秀的比特扩散特性：其变体Xoodoo-NC在2.5轮后即可实现全比特依赖和准严格雪崩准则，2轮后即可达到约90%的比特依赖度。
缺点
1. 固有的结构对称性风险
Xoodoo的多个步骤（特别是θ和χ）具有高度对称性 。虽然设计者通过轮常量添加（ι步骤）和特殊的轮索引编号来缓解这一问题，但对称性本身仍是密码分析的一个潜在弱点------它可能为滑动攻击等利用结构规律的攻击提供便利。
2. 安全证明的局限性
虽然Xoodoo的差分/线性轨迹下界已通过XooTools工具 进行了树搜索证明，但这些下界的搜索空间随权重阈值呈指数增长。对于更高轮数或更严格的安全边界，完全的数学证明仍然困难。
3. 相对较新的密码分析历史
与Keccak-f（SHA-3）等经过多年广泛 scrutiny 的置换相比，Xoodoo的公开密码分析历史相对较短。虽然目前没有发现完整轮数的有效攻击，但其长期安全性仍需更多时间的检验。
4. 特定场景下的轮数权衡
Xoodoo的标准轮数为12轮，但在某些模式（如Farfalle）中实际使用的是6轮版本 。这种轮数减少虽然提升了速度，但也意味着安全边际的降低------已有针对6轮Xoodoo-AE的密钥恢复攻击报道。用户在使用降轮版本时需要格外谨慎地评估安全需求。
5. 与Keccak生态的兼容性成本
虽然Xoodoo借鉴了Keccak的设计哲学，但其状态结构和轮函数与Keccak-f并不完全兼容。这意味着已有的Keccak优化代码和硬件设计不能直接复用，需要为Xoodoo重新进行工程实现和验证。
总结
Xoodoo是一个在设计上精心权衡了安全性、性能和实现复杂度 的密码置换。它继承了Keccak的安全设计理念，同时借鉴Gimli的紧凑维度，在跨平台效率 和硬件友好性 方面表现突出。其主要不足在于结构对称性带来的潜在风险 和相对较短的公开分析历史。总体而言，对于需要轻量级、高性能密码原语的场景（如物联网、嵌入式安全、高效AEAD方案），Xoodoo是一个非常有吸引力的选择。