SNOW

בקריפטוגרפיה, SNOW היא משפחה של צפני זרם סינכרוניים הפועלים ברמה של מילים ומותאמים לתוכנה. הגרסה הראשונה שכעת נקראת SNOW 1.0^[1] פותחה בשנת 2000 על ידי Thomas Johansson ו-Patrik Ekdahl מאוניברסיטת לונד שבשוודיה. הצופן מקבל מפתח הצפנה בשני אורכים אפשריים, 128 או 256 סיביות ומפיק בכל פעימה מילה פסאודו-אקראית אחת באורך 32 סיביות המהווה חלק מזרם המפתח. את המפתח מחברים עם זרם המידע בדרך כלל ב-XOR לקבלת זרם מוצפן. SNOW יכול להפיק לכל היותר ${\displaystyle 2^{50}}$ מילים פסאודו-אקראיות עם מפתח סודי אחד.

SNOW היה מועמד לתחרות שאורגנה בשנים 2000 - 2003 על ידי NESSIE ובשל העובדה שהייתה דרישה לווקטור אתחול הוסיפו המפתחים אופציה כזו בגרסה נוספת של הצופן עם מצב הפעלה הנקרא מצב IV. בסופו של דבר SNOW 1.0 כמו שישה אלגוריתמים נוספים לא התקבלו בגלל קריפטואנליזה שהעידה על בעיות. ב-2003 פיתחו בתגובה אקדל ויוהנסון את SNOW 2.0^[2] שלא רק יותר בטוח אלא גם יותר מהיר בתוכנה ולמעשה נחשב בין הצפנים המהירים ביותר כיום. הוא היה מועמד לפרויקט eSTREAM ושימש כצופן ייחוס לצורך השוואת ביצועים. אולם בשל חולשות תאורטיות שהתגלו בו לא נכלל בפורטפוליו. SNOW 2.0 נכלל בתקן איזו ISO/IEC 18033-4 לצופן זרם.

ב-2006 הוחלט על ידי 3GPP להוסיף צופן חדש לתקן הצפנת שיחות GSM מהדור השלישי ומהדור הרביעי כחלק מהאלגוריתמים UEA2 ו-UIA2 להצפנה מאומתת והוחלט להתבסס על SNOW עם שינויים אחדים שנועדו לחזקו נגד קריפטואנליזה והוא נקרא SNOW 3G. הצופן חופשי לשימוש, אינו מוגן בפטנט ונחשב למהיר יותר מ-AES ולדעת המפתחים בעל רמת ביטחון דומה, אם כי מחקרים מראים שהוא פחות בטוח ממה שהוצהר.

צופן זרם שנקרא גם מחולל פסאודו-אקראי הוא אלגוריתם המקבל מחרוזת קלט אקראית קצרה שנקראת "גרעין" או מפתח סודי ומייצר ממנו מחרוזת פסאודו-אקראית ארוכה שנקראת "זרם מפתח". אף על פי שהאלגוריתם דטרמיניסטי זרם המפתח נראה על פניו כאקראי לכל דבר ועניין לעיני יריב בעל עוצמת חישוב מוגבלת שאינו יודע מהו הגרעין ההתחלתי, מסיבה זו הוא מכונה "פסאודו" - מדומה. ניתן להגשים מחולל כזה בשיטה ישירה עם צופן בלוקים בטוח כמו AES. פשוט מצפינים בלוק מונה כלשהו באופן רקורסיבי כשהמונה מקודם בכל הצפנה, צוברים את הפלט ההצפנה וממנו מכינים מפתח באורך הרצוי, שיטה זו פחות יעילה כי צופן בלוקים אינו מותאם למטרה זו. יתרונו של צופן זרם ייעודי הוא בפשטותו, מהירותו וקלות הטמעתו הן בתוכנה והן בחומרה ובשל כך משיג ביצועים טובים בהרבה. אחת הדרכים ליצור צופן זרם מהיר הן בחומרה והן בתוכנה היא הסתרת תהליך אי-ליניארי כמו פעולת ההחלפה הפנימית של צופן בלוקים הנקראת S-box בתוך תהליך ליניארי הנקרא LFSR, כאשר פלט המחולל בכל פעימה מתקבל על ידי מיזוג פלט שני התהליכים הפועלים במקביל. זהו העיקרון של SNOW. המרכיב האי-ליניארי בנוי ממכונת מצבים הכוללת בתוכה (בגרסה השנייה) את מנגנון ההחלפה של צופן הבלוקים ריינדל וה-LFSR הוא המרכיב הליניארי המשמש בתפקיד כפול, גם להזנת מכונת המצבים וגם להסתרת הפלט שלה שמהווה בסופו של דבר פלט המחולל.

באופן כללי SNOW כולל LFSR בעל 16 "מצבים" או תאים (Taps), כל אחד באורך 32 סיביות יחד עם פונקציית היזון מתאימה והפלט שלו משמש להזנת מכונת מצבים, המסומנת בקיצור FSM, המורכבת משני אוגרי 32 סיביות R1 ו-R2 ופונקציות לחישוב הפלט והמצב הבא (כמתואר בתרשים משמאל). תחילה מאתחלים את הצופן עם המפתח הסודי המסופק על ידי המשתמש וטוענים את וקטור האתחול אם ישנו בדרך המפורטת להלן ואז בכל פעימה 32 סיביות פלט הצופן הן תוצאת חיבור XOR של פלט ה-FSM עם כניסה ${\displaystyle 16}$ (האחרונה) של ה-LFSR. ביתר פירוט:

ה-LFSR נוצר על ידי פולינום פרימיטיבי מעל השדה ${\displaystyle \mathbb {F} _{2^{32}}}$:

${\displaystyle p(x)=x^{16}+x^{13}+x^{7}+\alpha ^{-1}}$,

והיוצר של השדה ${\displaystyle \mathbb {F} _{2^{32}}}$ שנבחר הוא:

${\displaystyle \pi (x)=x^{32}+x^{29}+x^{20}+x^{15}+x^{10}+x+1}$ מעל ${\displaystyle \mathbb {F} _{2}}$. מתקבל שדה בינארי מורחב שכל המקדמים בו הם סיביות.

כאשר ${\displaystyle \pi (\alpha )=0}$ כלומר ${\displaystyle \alpha }$ הוא שורש של הפולינום ${\displaystyle \pi }$. מתייחסים לכניסות האוגר המסומנות על ידי ${\displaystyle s_{1},s_{2},...,s_{16}}$ כאל מקדמים בייצוג פולינומי לפי בסיס ${\displaystyle \alpha }$ לדוגמה אם ${\displaystyle y\in \mathbb {F} _{2^{32}}}$ אזי אפשר לכתוב אותו ${\displaystyle (y_{31},y_{30},...,y_{1},y_{0})}$ כאשר ${\displaystyle y=y_{31}\alpha ^{31}+y_{30}\alpha ^{30}+\cdots +y_{1}\alpha +y_{0}}$.

בכל פעימה של הצופן, הכניסה הראשונה ב-LFSR שהיא ${\displaystyle s_{1}}$ נהיית קלט למכונת המצבים FSM שהפלט שלה הוא:

${\displaystyle FSM_{\text{out}}=(s_{1}\boxplus R_{1})\oplus R_{2}}$

פלט ה-FSM מחובר ב-XOR עם הכניסה האחרונה ${\displaystyle s_{16}}$ וזרם המפתח הוא: ${\displaystyle key=FSM_{\text{out}}\oplus s_{16}}$.

המצב הפנימי של מכונת המצבים מתעדכן בכל פעימה לפי:

${\displaystyle R1'=((FSM_{\text{out}}\boxplus R2)\lll 7)\oplus R1}$

${\displaystyle R2=S(R1),}$

${\displaystyle R1=R1'}$

הסמל ${\displaystyle \boxplus }$ הוא חיבור מודולו ${\displaystyle 2^{32}}$, הפעולה ${\displaystyle \lll 7}$ היא הזזה מעגלית 7 סיביות לשמאל והסמל ${\displaystyle \oplus }$ הוא XOR. הפונקציה ${\displaystyle S}$ מייצגת את תהליך ההחלפה המורכב מארבע תיבות ההחלפה בגודל ${\displaystyle 8\times 8}$ סיביות ופרמוטציה. כלומר הקלט מחולק לארבעה בתים, כל אחד עובר מיפוי אי-ליניארי לפי אחת מהתיבות ולאחר מכן התוצאה מוחלפת לפי טבלת התמורה. הקלט לתיבות ההחלפה הוא ${\displaystyle w=(w_{7},w_{6},...,w_{0})}$ סך הכול שמונה סיביות כאשר ${\displaystyle w_{7}}$ היא הסיבית המשמעותית ביותר ואילו ${\displaystyle w_{0}}$ היא הסיבית הכי פחות משמעותית. ${\displaystyle w}$ נחשב לווקטור המייצג אלמנט בשדה ${\displaystyle \mathbb {F} _{2^{8}}}$ עם פולינום הבסיס ${\displaystyle \{\beta ^{7},...,\beta ,1\}}$ שהיוצר שלו הוא פולינום אי-פריק ${\displaystyle \pi (x)=x^{8}+x^{5}+x^{3}+x+1}$ והמיפוי האי ליניארי הוא:

${\displaystyle r=w^{7}+\beta ^{2}+\beta +1}$

כאשר האריתמטיקה היא בשדה ${\displaystyle \mathbb {F} _{2^{8}}}$. לאחר ההחלפה האמורה מבצעים תמורה לפי הטבלה הבאה:

הסיבית ה-31 (הסיבית האחרונה כשהספירה מתחילה מאפס) מוחלפת בסיבית במיקום 3 (הרביעית), הסיבית במיקום ה-30 מוחלפת בסיבית ה-10 וכן הלאה.

במקרה של מפתח באורך 128 סיביות המפתח המסופק על ידי המשתמש מחולק לארבע מילים ${\displaystyle k_{1},...,k_{4}}$, במקרה של מפתח באורך 256 סיביות הוא מחולק לשמונה מילים בהתאמה. וקטור האתחול באורך 64 סיביות מחולק לשתי מילים. את מפתח ההצפנה המסופק על ידי המשתמש יחד עם וקטור האתחול אם ישנו, טוענים לתוך האוגר LFSR כדלהלן:

כאשר ${\displaystyle \mathbf {1} }$ מייצג וקטור שכולו אחדים (32 סיביות). חיבור XOR עם וקטור כזה שקול לאופרטור השלילה. אם המפתח הנבחר באורך 256 סיביות טוענים את המפתח ווקטור האתחול כך:

אם משתמשים עם הצופן במצב ללא וקטור אתחול ההנחה היא ש-${\displaystyle IV_{1}=IV_{2}=0}$. בשלב זה מפעילים את הצופן בדיוק ${\displaystyle v}$ פעמים ללא שימוש בפלט, במקום זאת הפלט מוזן בחזרה ללולאת ההיזון של ה-LFSR. במצב ההפעלה הרגיל ללא IV המשתנה ${\displaystyle v=64}$, במקרה של הפעלה עם ${\displaystyle IV}$ הוא ${\displaystyle v=32}$. בכל פעימה כל כניסות ה-LFSR מוזזות צעד אחד לימין, כלומר הכניסה השנייה מקבלת את הערך של הכניסה הראשונה, השלישית של השנייה וכן הלאה. בשלב האתחול הערך החדש של הכניסה הראשונה הוא חיבור של הכניסות ה-16, 13 ו-7 יחד עם תוצאת מכונת המצבים:

${\displaystyle s_{1}=\alpha (s_{7}\oplus s_{13}\oplus s_{16}\oplus FSM_{\text{out}})}$.

לאחר מכן הצופן עובר למצב שימוש רגיל כשאז עדכון הכניסה הראשונה מתבצע ללא פלט מכונת המצבים:

${\displaystyle s_{1}=\alpha (s_{7}\oplus s_{13}\oplus s_{16})}$.

לאחר שלב האתחול, הצופן מופעל פעם אחת ללא שימוש בפלט, ולאחר מכן הוא מוכן לשימוש, 32 הסיביות הבאות של המחולל הן:

${\displaystyle FSM_{\text{out}}\oplus s_{16}}$.

ההצפנה מבוצעת על ידי חיבור פלט המחולל עם המסר מילה אחר מילה, עד להשלמת כל המסר. הפענוח מתבצע על ידי הפעולה ההפוכה. בדרך כלל משתמשים בפעולה XOR שהיא הופכית של עצמה ולכן פענוח והצפנה זהים.

בפיתוח SNOW הושם דגש על עמידות נגד התקפת קורלציה שהיא התקפה גנרית אפקטיבית נגד כל צופן זרם שעושה שימוש ב-LFSR והיא מסתמכת על רמת מתאם מסוימת בין פלט המחולל למצב הפנימי בזמן נתון. למיטב ידיעת המפתחים כמות הזיכרון לצורך התקפה מעין זו נגד SNOW היא מעבר ליכולת הטכנולוגית הקיימת. התקפה נוספת שהצליחה במיוחד נגד A5/1 היא התקפת איזון זמן/זיכרון והיא אינה אפשרית נגד SNOW בשל העובדה שהמצב הפנימי גדול מדי. התקפה אפשרית אחרת היא מסוג Guess and Determine שאיתה הצליחו לפרוץ בין היתר את A5/1. היא פועלת בעיקרון כך; מנחשים חלק מהערכים הפנימיים ומנסים למצוא קשר או יחס כלשהו עם ערכים פנימיים אחרים בעיקר בפונקציית ההיזון. ההתקפה מצליחה אם מצליחים לנחש נכונה את כל המצב הפנימי. בפברואר 2002 פרסמו Hawkes ו-Rose התקפת ניחוש קריפטוגרפית כזו^[3] נגד SNOW בסיבוכיות מקום של ${\displaystyle 2^{95}}$ מילים ובסיבוכיות זמן של ${\displaystyle 2^{224}}$ פעולות. אף על פי שההתקפה תאורטית היא מצביעה על חולשה מסוימת כיוון שהוכח שניתן לפרוץ את הצופן בזמן נמוך מכוח גס כפי שנטען על ידי המפתחים. בין היתר ההתקפה ניצלה את העובדה שמכונת המצבים מקבלת קלט יחיד. התקפה אחרת מ-2002 של Coppersmith, Halevi, Jutla שהיא סוג של התקפת הבחנה גנרית נגד צופן זרם הכולל מיסוך אי-ליניארי^[4] מצליחה לשבור את הצופן בזמן של ${\displaystyle 2^{100}}$ פעולות ועם ${\displaystyle 2^{95}}$ מילות פלט של הצופן. ההתקפה מבוססת על ההבחנה שקיימת קורלציה בפולינום ההזנה וגם היא כמובן תאורטית. בגרסה השנייה המפתחים ניסו לפתור את הבעיות הללו.

מבחינה סכמתית ההבדל בין גרסה 1 לגרסה 2 מינורי (כמתואר בתרשים משמאל). כקודמו ה-LFSR מכיל 16 כניסות באורך 32 סיביות, אך פולינום ההזנה (feedback polynomial) השתנה. כמו כן מכונת המצבים FSM מקבלת שתי מילות קלט במקום אחת. וכמו בקודם, הפלט הוא XOR של פלט ה-FSM עם הכניסה האחרונה של ה-LFSR. פולינום ההזנה כולל כעת שני אלמנטים שונים, ${\displaystyle \alpha }$ ו-${\displaystyle \alpha ^{-1}}$, כאשר הראשון הוא שורש של פולינום פרימיטיבי ממעלה 4 מעל ${\displaystyle \mathbb {F} _{2^{8}}}$, ביתר פירוט:

${\displaystyle \pi (x)=\alpha x^{16}+x^{14}+\alpha ^{-1}x^{5}+1}$ מעל ${\displaystyle \mathbb {F} _{2^{32}}}$. האלמנט ${\displaystyle \alpha }$ הוא שורש של ${\displaystyle x^{4}+\beta ^{23}x^{3}+\beta ^{245}x^{2}+\beta ^{48}x+\beta ^{239}}$ מעל ${\displaystyle \mathbb {F} _{2^{8}}}$ וכן ${\displaystyle \beta }$ הוא שורש של ${\displaystyle x^{8}+x^{7}+x^{5}+x^{3}+1}$ מעל ${\displaystyle \mathbb {F} _{2}}$.

המצב הפנימי בזמן ${\displaystyle t}$ מיוצג על ידי ${\displaystyle s_{t+15},s_{t+14},...,s_{t}}$ כאשר ${\displaystyle s_{i}\in \mathbb {F} _{2^{32}}}$. האלמנט ${\displaystyle s_{t}}$ הימני ביותר הוא האלמנט הראשון והוא פלט ה-LFSR בכל פעימה. הזמן ${\displaystyle t=0}$ פירושו הפעימה הראשונה מיד לאחר אתחול המצב הפנימי עם המפתח. הצופן מופעל פעם אחת על ריק לפני שמתחילים לייצר את זרם המפתח, כלומר בזמן ${\displaystyle t=1}$. פלט הצופן הוא ${\displaystyle z_{1},z_{2},z_{3},....}$ מכונת המצבים FSM מכילה שני אוגרים המסומנים ${\displaystyle R1}$ ו-${\displaystyle R2}$ כל אחד מהם בעל קיבולת של 32 סיביות. תכולת האוגרים בזמן ${\displaystyle t\geq 0}$ מסומנת ${\displaystyle R1_{t}}$, ${\displaystyle R2_{t}}$ בהתאמה. הקלט ל-FSM נלקח משתי הכניסות ${\displaystyle s_{t+15},s_{t+5}}$ ב-LFSR ופלט מכונת המצבים בזמן ${\displaystyle t}$ המיוצג על ידי ${\displaystyle F_{t}}$ מחושב כדלהלן:

${\displaystyle F_{t}=(s_{t+15}\boxplus R1_{t})\oplus R2_{t}}$

פלט הצופן בזמן זה הוא

${\displaystyle z_{t}=F_{t}\oplus s_{t}}$ כאשר ${\displaystyle t\geq 1}$.

פונקציית העדכון של מכונת המצבים פועלת כך:

${\displaystyle R1_{t+1}=s_{t+5}\boxplus R2_{t},R2_{t+1}=S(R1_{t})}$ כאשר ${\displaystyle S}$ מייצג את תיבת ההחלפה.

תיבות ההחלפה של SNOW 2.0 המסומנות ${\displaystyle S(w)}$ הן בעצם פרמוטציה המבוססת על פונקציית הסבב של צופן ריינדל כדלהלן; אם ${\displaystyle w=(w_{3},w_{2},w_{1},w_{0})}$ הוא מילת קלט באורך 32 סיביות המחולקת לארבעה בתים כאשר ${\displaystyle w_{3}}$ הוא הבית החשוב, אפשר להתייחס אליה כאל וקטור (עמודה). תחילה מיישמים החלפה לפי תיבות ההחלפה של ריינדל ולאחר מכן מבצעים את הפונקציה MixColumn של ריינדל. כלומר מתייחסים למילת הקלט כאל פולינום ${\displaystyle y}$ ממעלה לכל היותר 3 מעל השדה ${\displaystyle \mathbb {F} _{2^{8}}}$ המיוצג על ידי פולינום אי-פריק ${\displaystyle x^{8}+x^{4}+x^{3}+x+1}$ מעל ${\displaystyle \mathbb {F} _{2}}$ ומכפילים בפולינום קבוע ${\displaystyle c(y)=(x+1)y^{3}+y^{2}+y+x}$ מעל ${\displaystyle \mathbb {F} _{2^{8}}[y]}$. הכפל האחרון יכול להתבצע כמו בריינדל על ידי חשבון מטריצות:

${\displaystyle {\begin{pmatrix}r_{0}\\r_{1}\\r_{2}\\r_{3}\end{pmatrix}}={\begin{pmatrix}x&x+1&1&1\\1&x&x+1&1\\1&1&x&x+1\\x+1&1&1&x\end{pmatrix}}{\begin{pmatrix}S_{R}(w_{0})\\S_{R}(w_{1})\\S_{R}(w_{2})\\S_{R}(w_{3})\end{pmatrix}}}$

התוצאה היא הבתים ${\displaystyle r_{0},r_{1},r_{2},r_{3}}$. שתי הפעולות יחד ניתנות לביצוע במשולב כמו בפסאודו קוד הבא:

${\displaystyle r_{0}={\text{MULx}}(S_{R}[w_{0}],{\text{0x1b}})\ \ \oplus \ \ S_{R}[w_{1}]\ \ \oplus \ \ S_{R}[w_{2}]\ \ \oplus \ \ {\text{MULx}}(S_{R}[w_{3}],{\text{0x1b}})\ \ \oplus \ \ S_{R}[w_{3}]}$

${\displaystyle r_{1}={\text{MULx}}(S_{R}[w_{0}],{\text{0x1b}})\ \ \oplus \ \ S_{R}[w_{0}]\ \ \oplus \ \ {\text{MULx}}(S_{R}[w_{1}],{\text{0x1b}})\ \ \oplus \ \ S_{R}[w_{2}]\ \ \oplus \ \ S_{R}[w_{3}]}$

${\displaystyle r_{2}=S_{R}[w_{0}]\ \ \oplus \ \ {\text{MULx}}(S_{R}[w_{1}],{\text{0x1b}})\ \ \oplus \ \ S_{R}[w_{1}]\ \ \oplus \ \ {\text{MULx}}(S_{R}[w_{2}],{\text{0x1b}})\ \ \oplus \ \ S_{R}[w_{3}]}$

${\displaystyle r_{3}=S_{R}[w_{0}]\ \ \oplus \ \ S_{R}[w_{1}]\ \ \oplus \ \ {\text{MULx}}(S_{R}[w_{2}],{\text{0x1b}})\ \ \oplus \ \ S_{R}[w_{2}]\ \ \oplus \ \ {\text{MULx}}(S_{R}[w_{3}],{\text{0x1b}})}$

כאשר ${\displaystyle S_{R}}$ מייצגת את תיבות ההחלפה של ריינדל והפונקציה ${\displaystyle {\text{MULx}}}$ היא פעולת הכפלה של אלמנט בשדה עם אלמנט פרימיטיבי (${\displaystyle x}$) שהיא דומה לכפל ב-2, במילים אחרות; פעולת Shift לשמאל סיבית אחת במידה שאין גלישה, או פעולת Shift ו-XOR אחד עם ערך קבוע (${\displaystyle {\text{0x1b}}}$) אם הייתה גלישה. דהיינו אם הסיבית המשמעותית ביותר הייתה '1' לפני הכפל (הפונקציה מתוארת ביתר פירוט ב-SNOW 3G להלן).

תחילה, אם מפתח ההצפנה באורך 128 סיביות או ארבע מילים ${\displaystyle k_{0},...,k_{3}}$ באורך 32 סיביות כל אחת, טוענים אותו יחד עם וקטור האתחול ${\displaystyle IV}$ באורך ארבע מילים ${\displaystyle IV_{0},...IV_{3}}$ אם ישנו, לתוך ה-LFSR לפי:

כאשר 1 מייצג וקטור שכולו אחדים (${\displaystyle {\text{0xffffffff}}}$). אם המפתח הוא 256 סיביות כלומר שמונה מילים ${\displaystyle k_{0},...,k_{7}}$ אזי הטעינה מתבצעת לפי:

לאחר מכן מאפסים את R1 ו-R2 ומפעילים את הצופן 32 פעימות (Clocks) מבלי לייצר כל פלט, אלא במקום זאת מזינים את התוצאה בחזרה לפונקציית ההזנה (כמתואר בתרשים), לכן במהלך האתחול האלמנט הבא שמוזן לתוך ה-LFSR הוא:

${\displaystyle s_{t+16}=\alpha ^{-1}s_{t+11}\oplus s_{t+2}\oplus \alpha s_{t}\oplus F_{t}}$.

בתום 32 הפעימות מבצעים פעימה נוספת ללא פלט ולאחר מכן הצופן עובר למצב הפעלה נורמלי. שבו הכניסה האחרונה ב-LFSR לאחר כל פעימה מעודכנת כך:

${\displaystyle s_{t+16}=\alpha ^{-1}s_{t+11}\oplus s_{t+2}\oplus \alpha s_{t}}$.

מכאן ואילך בכל פעימה נוצרת מילה פסאודו אקראית שהיא חלק מזרם המפתח שהצופן מייצר, עד ${\displaystyle 2^{50}}$ מילים כאלה שאז יש צורך להחליף מפתח.

ההבדלים העיקריים בין גרסה 1 לגרסה 2 הם:

• שינוי פולינום ההזנה, בעוד שב-SNOW 1.0 ניתן היה לחשב את לולאת ההזנה עם כפל יחיד ו-XOR אחד מותנה, כך שרוב הזמן בוצע רק Shift הרי שבגרסה 2 מבוצעות שתי הכפלות ו-XOR בלתי מותנה בכל אחת מהן. התוצאה היא פיזור טוב יותר של הסיביות מה שמחזק את הצופן נגד התקפת קורלציה.
• שימוש בשני קבועים שונים בלולאת ההזנה במקום אחד. למיטב ידיעת המפתחים אין אפשרות למניפולציה של פולינום ההזנה כך שנוסחת הנסיגה הליניארית שלו תהיה בעלת משקל נמוך.
• ביצוע XOR באופן קבוע ללא תלות במשתנים האחרים בפולינום ההזנה משפר ביצועים, לעומת הגרסה הקודמת שבה ה-XOR היה מותנה בסיבית המשמעותית.
• ה-FSM של הגרסה השנייה מקבל שני פרמטרים במקום אחד. מה שמקשה על התקפות בסגנון ניחוש ובדיקה, כיוון שפלט R1 תלוי כעת גם בקלט מה-LFSR.
• תיבות ההחלפה החדשות בגרסה 2 הושאלו מצופן ריינדל לעומת גרסה 1. הבחירה הזו משפרת את הפיזור כך שכל סיבית פלט מושפעת מכל סיביות הקלט, בניגוד לגרסה הקודמת.

ביטחון SNOW 2.0 טוב יותר מהגרסה המקורית אם כי גם בו התגלו חולשות לא מעטות. התקפות קירוב ליניארי^[5] והתקפות הבחנה^[6][7] שהתפרסמו מוכיחים שהצופן פחות בטוח ממה שהצהירו המפתחים.

SNOW 3G מבוסס על SNOW 2.0 והוא שוכן בליבה המבצעת הצפנה מאומתת של תקשורת סלולרית באלגוריתמים UEA2 להצפנה ו-UIA2 לאימות בדור השלישי ובדור הרביעי של GSM. הצופן פועל ברמה של מילים באורך 32 סיביות, מקבל מפתח סודי באורך 128 סיביות וכן וקטור אתחול באורך 128 סיביות. הפלט מחובר עם השיחה או הנתונים מילה אחר מילה ב-XOR והתוצאה משודרת לצד השני. בפענוח הצד המקבל פועל באופן דומה, מפעיל את הצופן עם המפתח הסודי המשותף לקבלת זרם מפתח תואם ואז מחבר שוב עם השיחה המוצפנת כדי להחזירה למצב הגלוי.

SNOW 3G כולל אוגר LFSR אחד בעל 16 כניסות (Taps) באורך 32 סיביות כל אחת, מכונת מצבים אחת הכוללת שלושה אוגרים באורך 32 סיביות ופונקציות עדכון מתאימות לפי הפירוט בהמשך. בתחילת כל שיחה טוענים את המפתח ואת וקטור האתחול לתוך המצב הפנימי והצופן מופעל 32 פעימות ללא שימוש בפלט במקום זאת הפלט מוזן בחזרה לאוגר ולאחר מכן עוברים למצב הפעלה רגיל ומייצרים בכל פעימה 32 סיביות מפתח. בשני מצבי ההפעלה של הצופן (Clocking), מצב האתחול ומצב העבודה משתמשים בשתי הפונקציות הבאות:

פונקציה להכפלת אלמנטים בשדה ${\displaystyle \mathbb {F} _{2^{8}}}$ ב-2 (או הפולינום ${\displaystyle x}$), הנקראת ${\displaystyle {\text{MULx}}(V,c)}$ מקבלת שני בתים ${\displaystyle V,c}$ ומחזירה בית אחד:

אם הסיבית המשמעותית ביותר של ${\displaystyle V}$ היא 1 מבצעים:

${\displaystyle {\text{MULx}}(V,c)\longmapsto (V\ll _{8}1)\oplus c}$

אחרת מבצעים:

${\displaystyle {\text{MULx}}(V,c)\longmapsto V\ll _{8}1}$.

הזזה שמאלה (sift left) שהיא פעולה המובנית בכל המעבדים שקולה לכפל בפולינום ${\displaystyle x}$ (או ב-'02') שהוא אלמנט פרימיטיבי בשדה ${\displaystyle \mathbb {F} _{2^{8}}}$. אם הסיבית המשמעותית ביותר של ${\displaystyle V}$ היא '1' תתרחש גלישה לאחר הזזה, במצב זה מתקבל אלמנט שאינו בשדה ${\displaystyle \mathbb {F} _{2^{8}}}$ ולכן יש צורך לבצע צימצום מודולרי עם הקבוע ${\displaystyle c}$ ולקחת את השארית. כיוון שהגלישה מאוד קטנה אין צורך בביצוע פעולת חילוק ארוכה, לכל היותר יידרש חיסור אחד כדי לקבל את השארית. בהרחבה של שדה בינארי פעולת החיסור זהה לחיבור והיא XOR.

דוגמה במספרים: ${\displaystyle {\text{MULx}}({\text{0x96}},{\text{0x1B}})={\text{0x2C}}\oplus {\text{0x1B}}={\text{0x37}}}$.

הפונקציה ${\displaystyle {\text{MULxPOW}}}$ משתמשת ב-${\displaystyle {\text{MULx}}}$ באופן רקורסיבי כדי לבצע העלאה בחזקה מודולרית של אלמנטים בשדה. היא מקבלת שני בתים ${\displaystyle V,c}$ ומעריך ${\displaystyle i}$ ומחזירה בית אחד כך:

אם ${\displaystyle i=0}$

מחזירים את ${\displaystyle V}$

אחרת מבצעים:

${\displaystyle {\text{MULxPOW}}(V,i,c)={\text{MULx}}({\text{MULxPOW}}(V,i-1,c),c)}$.

הפונקציה MULx מקבילה למעשה להכפלה באיבר פרימיטיבי של ההרחבה ממעלה 8 מעל ${\displaystyle GF(2)}$. יהי ${\displaystyle \beta }$ שורש של פולינום אי פריק ממעלה 8 מעל ${\displaystyle GF(2)[\beta ]}$ אז עבור כל אלמנט ${\displaystyle V\in GF(2^{8})}$ התוצאה של MULx מקבילה ל-${\displaystyle V\cdot \beta }$. כמו כן הפונקציה MULxPOW מקבילה להכפלה בחזקה ${\displaystyle i}$ של האיבר הפרימיטיבי: ${\displaystyle V\cdot \beta ^{i}}$.

אוגר ה-LFSR מורכב מ-16 מצבים ${\displaystyle s_{0},s_{1},...,s_{15}}$ כל אחד מכיל 32 סיביות. מכונת המצבים FSM מכילה שלושה אוגרי 32 סיביות הנקראים ${\displaystyle R_{1},R_{2},R_{3}}$. פונקציות ההחלפה ${\displaystyle S_{1}}$ ו-${\displaystyle S_{2}}$ משמשות לעדכון האוגרים ${\displaystyle R_{1}}$ ו-${\displaystyle R_{2}}$ בהתאמה (כמתואר בתרשים משמאל). תיבות ההחלפה ממפות קלט באורך 32 סיביות לפלט באורך 32 סיביות. הקלט מחולק לארבעה בתים ${\displaystyle w=w_{0}\|w_{1}\|w_{2}\|w_{3}}$ כאשר ${\displaystyle w_{0}}$ הוא הבית הכי פחות משמעותי (LSB).

את פונקציית ההחלפה ${\displaystyle S_{1}}$ מכינים על ידי הטבלה ${\displaystyle S_{R}}$ אותה משאילים מצופן ריינדל (בהמשך). הקלט מחולק לארבעה בתים אותם מפרשים כמקדמים של אלמנט בשדה ${\displaystyle GF(2^{8})}$ המוגדר על ידי הפולינום ${\displaystyle x^{8}+x^{4}+x^{3}+x+1}$. בנוסף להחלפה לפי ה-S-box של ריינדל מתבצעת הפונקציה MixColumn של ריינדל. שתי הפעולות, ההחלפה וערבוב העמודות מבוצעות במשולב כדלקמן:

את פונקציית ההחלפה ${\displaystyle S_{2}}$ מכינים על ידי הטבלה ${\displaystyle S_{Q}}$ המובאת להלן. ההחלפה מתבצעת כך

פונקציית ההיזון של ה-LFSR וכן פונקציית העדכון של ה-FSM משתמשות בפונקציות ${\displaystyle {\text{MUL}}_{\alpha }}$ ו-${\displaystyle {\text{DIV}}_{\alpha }}$ המוגדרות כך:

הטבלה ${\displaystyle S_{R}}$ מכילה 256 ערכים אפשריים באורך 8 סיביות (בתים) בבסיס הקסדצימלי מתוך תיבות ההחלפה של צופן ריינדל, כך שמתקיים ${\displaystyle S_{R}(x_{0}2^{4}+x_{1})=y_{0}2^{4}+y_{1}}$, התא המצוי בשורה ${\displaystyle x_{0}}$ ועמודה ${\displaystyle x_{1}}$ מכיל את הערך ${\displaystyle y_{0}\|y_{1}}$. לדוגמה ${\displaystyle S_{R}(42)=S_{R}({\text{0x2A}})={\text{0xE5}}=229}$:

   0  1  2  3  4  5  6  7  8  9  A  B  C  D  E  F
0 63 7C 77 7B F2 6B 6F C5 30 01 67 2B FE D7 AB 76
1 CA 82 C9 7D FA 59 47 F0 AD D4 A2 AF 9C A4 72 C0
2 B7 FD 93 26 36 3F F7 CC 34 A5 E5 F1 71 D8 31 15
3 04 C7 23 C3 18 96 05 9A 07 12 80 E2 EB 27 B2 75
4 09 83 2C 1A 1B 6E 5A A0 52 3B D6 B3 29 E3 2F 84
5 53 D1 00 ED 20 FC B1 5B 6A CB BE 39 4A 4C 58 CF
6 D0 EF AA FB 43 4D 33 85 45 F9 02 7F 50 3C 9F A8
7 51 A3 40 8F 92 9D 38 F5 BC B6 DA 21 10 FF F3 D2
8 CD 0C 13 EC 5F 97 44 17 C4 A7 7E 3D 64 5D 19 73
9 60 81 4F DC 22 2A 90 88 46 EE B8 14 DE 5E 0B DB
A E0 32 3A 0A 49 06 24 5C C2 D3 AC 62 91 95 E4 79
B E7 C8 37 6D 8D D5 4E A9 6C 56 F4 EA 65 7A AE 08
C BA 78 25 2E 1C A6 B4 C6 E8 DD 74 1F 4B BD 8B 8A
D 70 3E B5 66 48 03 F6 0E 61 35 57 B9 86 C1 1D 9E
E E1 F8 98 11 69 D9 8E 94 9B 1E 87 E9 CE 55 28 DF
F 8C A1 89 0D BF E6 42 68 41 99 2D 0F B0 54 BB 16

הטבלה ${\displaystyle S_{Q}}$ מכילה 256 ערכים אפשריים באורך 8 סיביות (בתים) בבסיס הקסדצימלי אותה מכינים על ידי פולינום דיקסון ${\displaystyle g_{49}(x)=x\oplus x_{9}\oplus x^{13}\oplus x^{15}\oplus x^{33}\oplus x^{41}\oplus x^{45}\oplus x^{47}\oplus x^{49}}$ כך שעבור קלט ${\displaystyle x}$ באורך 8 סיביות המייצג אלמנט בשדה ${\displaystyle GF(2^{8})}$ המוגדר על ידי הפולינום ${\displaystyle x^{8}+x^{6}+x^{5}+x^{3}+1}$ כל כניסה בטבלה מתאימה ל-${\displaystyle g_{49}(x)\oplus {\text{0x25}}}$:

   0  1  2  3  4  5  6  7  8  9  A  B  C  D  E  F
0 25 24 73 67 D7 AE 5C 30 A4 EE 6E CB 7D B5 82 DB
1 E4 8E 48 49 4F 5D 6A 78 70 88 E8 5F 5E 84 65 E2
2 D8 E9 CC ED 40 2F 11 28 57 D2 AC E3 4A 15 1B B9
3 B2 80 85 A6 2E 02 47 29 07 4B 0E C1 51 AA 89 D4
4 CA 01 46 B3 EF DD 44 7B C2 7F BE C3 9F 20 4C 64
5 83 A2 68 42 13 B4 41 CD BA C6 BB 6D 4D 71 21 F4
6 8D B0 E5 93 FE 8F E6 CF 43 45 31 22 37 36 96 FA
7 BC 0F 08 52 1D 55 1A C5 4E 23 69 7A 92 FF 5B 5A
8 EB 9A 1C A9 D1 7E 0D FC 50 8A B6 62 F5 0A F8 DC
9 03 3C 0C 39 F1 B8 F3 3D F2 D5 97 66 81 32 A0 00
A 06 CE F6 EA B7 17 F7 8C 79 D6 A7 BF 8B 3F 1F 53
B 63 75 35 2C 60 FD 27 D3 94 A5 7C A1 05 58 2D BD
C D9 C7 AF 6B 54 0B E0 38 04 C8 9D E7 14 B1 87 9C
D DF 6F F9 DA 2A C4 59 16 74 91 AB 26 61 76 34 2B
E AD 99 FB 72 EC 33 12 DE 98 3B C0 9B 3E 18 10 3A
F 56 E1 77 C9 1E 9E 95 A3 90 19 A8 6C 09 D0 F0 86

באתחול הצופן בכל פעימה ה-LFSR מקודם כך שהערך המצוי בכל כניסה מועתק לכניסה הבאה משמאל לימין (כלומר ${\displaystyle s_{0}=s_{1},s_{1}=s_{2},s_{2}=s_{3}}$ וכן הלאה), הכניסה האחרונה ${\displaystyle s_{15}}$ מתעדכנת על ידי פונקציית ההיזון לפי הנוסחה הבאה. מתייחסים ל-${\displaystyle s_{0}}$ כאל ארבעה בתים ${\displaystyle s_{0,0}\|s_{0,1}\|s_{0,2}\|s_{0,3}}$ וכן לגבי הכניסה ${\displaystyle s_{11}}$:

${\displaystyle s_{15}=(s_{0,1}\|s_{0,2}\|s_{0,3}\|{\text{0x00}})\ \ \oplus \ \ {\text{MUL}}_{\alpha }(s_{0,0})\ \ \oplus \ \ s_{2}\ \ \oplus \ \ ({\text{0x00}}\|s_{11,0}\|s_{11,1}\|s_{11,2})\ \ \oplus \ \ {\text{DIV}}_{\alpha }(s_{11,3})\ \ \oplus \ \ F}$.

הערך ${\displaystyle F}$ הוא פלט מכונת המצבים המוגדרת להלן.

במצב הצפנה ה-LFSR מקודם באותו אופן, כל הערכים זזים ימינה והכניסה האחרונה מתעדכנת לפי:

${\displaystyle s_{15}=(s_{0},1\|s_{0},2\|s_{0},3\|{\text{0x00}})\ \oplus \ {\text{MUL}}_{\alpha }(s_{0,0})\ \oplus \ s_{2}\ \oplus \ ({\text{0x00}}\|s_{11,0}\|s_{11,1}\|s_{11,2})\ \oplus \ {\text{DIV}}_{\alpha }(s_{11,3})}$.

בשלב זה לא כוללים את פלט מכונת המצבים בפונקציית ההזנה.

מכונת המצבים FSM מקבלת מה-LFSR שתי מילים מהכניסות ${\displaystyle s_{15}}$ ו-${\displaystyle s_{5}}$ ומייצרת מילה אחת ${\displaystyle F}$ כדלהלן:

${\displaystyle F=(s_{15}\boxplus (R_{1})\oplus R_{2}}$

עדכון מכונת המצבים מתבצע כך:

${\displaystyle r=R_{2}\boxplus (R_{3}\oplus s_{5})}$,

${\displaystyle R_{3}=S_{2}(R_{2})}$,

${\displaystyle R_{2}=S_{1}(R_{1})}$,

${\displaystyle R_{1}=r}$.

בשלב הכנת הצופן טוענים את המפתח הסודי באורך 128 סיביות המחולק לארבע מילים ${\displaystyle k_{0},...,k_{3}}$ ואת וקטור האתחול ${\displaystyle IV_{0},...,IV_{3}}$ לתוך ה-LFSR כדלהלן:

כאן ${\displaystyle \mathbf {1} }$ מייצג מילה המכילה 32 אחדים (${\displaystyle {\text{0xffffffff}}}$) כמו כן בשלב האתחול תכולת האוגרים של ה-FSM מאופסת. ואז מריצים את הצופן 32 פעימות ללא שימוש בפלט, אלא במקום זאת הפלט ${\displaystyle F}$ מחובר לפונקציית ההיזון בחזרה. לאחר מכן מריצים את הצופן פעימה נוספת בה לא משתמשים בפלט כלל ולאחר מכן הצופן מוכן לשימוש.

בכל פעימת הצפנה המהלכים הבאים מתבצעים:

1. מריצים את ה-FSM פעימה אחת ומייצרים את ${\displaystyle F}$,
2. מכינים מילת מפתח אחת ${\displaystyle z_{t}=F\oplus s_{0}}$,
3. מריצים את ה-LFSR פעימה אחת.
4. מחברים את מילת המפתח עם מילה אחת מהמסר או השיחה.

חוזרים שוב על התהליך עד להשלמת כל המסר.

בעקרון ביטחון גרסה זו מבוסס על SNOW 2.0 וקיימת קריפטואנליזה של שתי הגרסאות. מחקרים^[8] מראים שקיימת חולשה שנקראת "מפתחות קשורים" (related keys) בשניהם וכן התגלו חולשות באקראיות הצופן. ב-2010 פורסמה התקפת ערוץ צדדי^[9] נגד SNOW 3G שמראה שניתן לפרוץ את הצופן בזמן מאוד קצר (מספר שניות) אם לתוקף יש אפשרות להשיג מידע תיזמון הקשור במעבר מתיבת החלפה אחת לשנייה. הפתרון שהוצע במקרה כזה שימוש בטכניקה שנקראת BitSlice בדומה לצופן סרפנט.

צופן SNOW פותח תוך מתן דגש על יישום מהיר בתוכנה. הפעולות בצופן נפוצות בכל מעבד מצוי; XOR, חיבור שלמים, הזזה ואחזור טבלאות (קריאות זיכרון). אף על פי ש-LFSR הוא רכיב חומרה אפשר ליישמו ביעילות בתוכנה, השדה ${\displaystyle \mathbb {F} _{2^{32}}}$ הוא הרחבה של ${\displaystyle \mathbb {F} _{2^{8}}}$ עם ${\displaystyle \alpha \in \mathbb {F} _{2^{32}}}$ שורש ממעלה 4 של הפולינום

${\displaystyle x^{4}+\beta ^{23}x^{3}+\beta ^{245}x^{2}+\beta ^{48}x+\beta ^{239}\in \mathbb {F} _{2^{8}}[x]}$

לכן אפשר לצמצם את המעלה של ${\displaystyle \alpha }$ כי

${\displaystyle \alpha ^{4}=\beta ^{23}\alpha ^{3}+\beta ^{245}\alpha ^{2}+\beta ^{48}\alpha +\beta ^{239}}$