בקריפטוגרפיה, לוציפר (Lucifer) הוא שם כולל שניתן למשפחה של צפני בלוקים שפיתוחם החל בראשית 1966 במעבדות IBM "תומאס ג'י ווטסון" ביורקטאון ניו-יורק. לוציפר ידוע כצופן הבלוקים הראשון שפותח למטרות אזרחיות ואף נעשה ב-1970 שימוש מסחרי בגרסה אחת שלו במערכת בנקאות אלקטרונית בבריטניה. הצופן הוא אב קדמון של DES ולמעשה כמעט כל הרעיונות נשאבו ממנו לטובת תקן ההצפנה הפדרלי הישן שהוצע לממשלת ארצות הברית ב-1976. כיום הצופן אינו בטוח לשימוש, הוא פגיע להתקפה דיפרנציאלית^[1] ועיקר העניין בו הוא לצורך אקדמי. ידוע שה-NSA התערב במהלך פיתוח DES שהיה מבוסס על לוציפר ושינה אחדים מערכי תיבות ההחלפה כדי לחזקו כנגד התקפה דיפרנציאלית.

ב-1966 הוחלט ב-IBM לספק ללקוחות החברה שירותי אבטחת מידע תוך שימוש בקריפטוגרפיה וחוזה נחתם עם בנק לוידס לפיתוח מכונת קופאי אוטומטית (ATM) תוך שימוש בקריפטוגרפיה כדי להגן על פעולת המשיכה. בתחילה הוצע לצורך כך צופן היל אך נפסל כי לא היה חזק מספיק. בסופו של דבר התקבל לוציפר שהוצע על ידי הורסט פייסטל, דון קופרשמידט, אלן קונהיים ומדענים נוספים. פייסטל, מהגר ממוצא גרמני שלו רקע צבאי בפיתוח צפנים, היה במקום הנכון בזמן הנכון והסתבר שלפיתוח זה הייתה השפעה עצומה על ההצפנה המודרנית בכלל.

צופן לוציפר יועד בעיקר לחומרה והתבנית הבסיסית שלו הייתה, בהשראת קלוד שאנון אבי תורת האינפורמציה, "צופן מרוכב" המשלב כמה פונקציות חלשות כשלעצמן במבנה פייסטל. הרעיון היה בשעתו חידוש בפני עצמו ואבן דרך בתולדות ההצפנה המודרנית. ההבדלים העיקריים בין הגרסאות השונות שהוצעו על ידי פייסטל נבע בעיקר מגודל הבלוק בסיביות, גודל המפתח בסיביות, מספר התאמות בערכי תיבות ההחלפה וכיוצא בזה. ב-1971 רשם פייסטל פטנט על גרסה אחת^[2] שבה אורך הבלוק והמפתח היה 48 סיביות. John L. Smith פרסם גרסה אחרת^[3] המשתמשת בבלוק באורך 32 סיביות ומפתח 64 סיביות. ב-1973 פרסם פייסטל בסיינטיפיק אמריקן את הגרסה החזקה ביותר של הצופן^[4] הפועלת על בלוקים באורך 128 סיביות ועם מפתח באורך 128 סיביות. גרסה דומה^[5] תוארה על ידי ארתור סורקין (להלן) הפועלת עם 16 סבבים. כמו כן פורסם מימוש שלו לתוכנה בשפת APL. כאמור הצופן אינו בטוח לשימוש בסטנדרטים של ימינו והעניין בו אקדמי בלבד.

השם "לוציפר" נובע ממשחק מילים של כינוי הפרויקט של פייסטל שנקרא הדגמה של מערכת פרטיות שמתחיל במילה "Demonstration" השם קוצר ל-"Demon" כיוון שהמחשב שעליו עבד לא תמך בשמות ארוכים. ואז הוצע להחליף את Demon (בעל צליל דומה לשד או שטן באנגלית) ללוציפר.

לוציפר הוא "צופן מרוכב" הכולל הרכבה של מספר טרנספורמציות חלשות, באופן כזה ששילובן יחד במספר חזרות מתאים יוצר פונקציית הצפנה חזקה. הפונקציות הן:

• חיבור עם המפתח הסודי,
• החלפה אי-ליניארית תלויית מפתח,
• תמורה ליניארית תלויית מפתח.

חוזרים על הפעולות הללו לפי סדר זה מספר פעמים, כאשר הפלט מסבב אחד הופך קלט לסבב הבא וכן הלאה והתוצאה האחרונה היא פלט הצופן הסופי.

המפתח מספק "סודיות", ההחלפה מספקת "ערבוב" ואילו התמורה מספקת "פיזור", שלוש התכונות הללו כשהן משולבות יחד יוצרות אפקט כדור שלג, כל שינוי בסיבית אחת בבלוק הקלט גורר אחריו תוך מספר מועט של סבבים לשינוי של לפחות מחצית מסיביות בלוק הפלט. היות שכל הפעולות תלויות במפתח הסודי קשה מאוד להתחקות אחר השינויים שעברו סיביות המסר ללא ידיעת המפתח.

היות שהצופן תוכנן לחומרה הייתה חשיבות רבה לשטח שהוא מאכלס, המתבטא במספר השערים במעגל המשולב. כדי לחסוך במקום העלה פייסטל רעיון שהיה חידוש בשעתו, לתכנן את ההצפנה באופן כזה שאותם מעגלים המשמשים להצפנה ישמשו לפענוח בשינוי קל ומבלי צורך להקצות חומרה נפרדת לפענוח. הרעיון הוא לחלק את המידע לשני חצאים, מחצית אחת משמשת קלט לפונקציה כלשהי שהפלט שלה משמש כמפתח הצפנה להצפנת המחצית השנייה באמצעות XOR ולאחר מכן הם מחליפים מקומות וחוזרים שוב, כמו טווייה. בסבב אחד רק מחצית אחת משתנה ואילו השנייה נותרת ללא שינוי. בפענוח "פורמים" את ההצפנה בתהליך זהה אך בסדר הפוך מההצפנה, מהסוף להתחלה.

בסבב אחד קל לראות שהמבנה הוא פרמוטציה הפיכה כי מתקיים:

${\displaystyle (L,R){\xrightarrow {\ \ \ {\mathcal {T}}\ \ \ }}(F(R)\oplus L,R){\xrightarrow {\ \ \ {\mathcal {T}}^{-1}\ \ \ \ }}(F(R)\oplus F(R)\oplus L,R)=(L,R)}$

הסימן ${\displaystyle \oplus }$ הוא XOR. כלומר כיוון ש-XOR הופכי של עצמו לכן ${\displaystyle {\mathcal {T}}={\mathcal {T}}^{-1}}$ היא אינוולוציה. מזה נובע שאפשר להפוך את ההצפנה פשוט על ידי חזרה על אותה פעולה.

תיאור הצופן בגרסה של אלן קונהיים שהיה בצוות הפיתוח, שתוארה בספרו Computer Security and Cryptography^[6]. לטענתו זוהי הגרסה המסחרית היחידה של הצופן שהוטמעה במכונה IBM 2984 Cash Issuing Terminal שהייתה מהכספומטים הראשונים שיוצרו עבור בנקים באנגליה. לפי גרסה זו בלוק הקלט בגודל ${\displaystyle M=32}$ סיביות (בסך הכול 8 ספרות הקסדצילמיות), המפתח בגודל ${\displaystyle K=64}$ סיביות, הצופן מבוצע עם 16 סבבים והוא פועל ברמה של "ניבלים" שהם חצאי בתים בגודל 4 סיביות (כל ניבל מיוצג על ידי ספרה הקסדצימלית אחת).

בלוק המסר מחולק תחילה לשני חצאים ${\displaystyle L}$ ו-${\displaystyle R}$ כל אחד בגודל 16 סיביות (4 ניבלים) אותם טוענים לתוך אוגרי דטה מתאימים ומבצעים 16 פעמים:

1. הפעלת ${\displaystyle {\mathcal {T}}:(L,R)\rightarrow (F(R)\oplus L,R)}$, כלומר מחברים את תוצאת הטרנספורמציה של צד ימין ב-XOR עם צד שמאל, שימו לב שצד ימין נותר ללא שינוי!
2. הטרנספורמציה ${\displaystyle F(R)}$ כוללת את שלוש הפעולות הבאות:
   1. חיבור מודולו 16 של מקטע באורך 16 סיביות מהמפתח עם 16 הסיביות של ${\displaystyle R}$ התוצאה מועתקת לאוגר זמני כאשר ${\displaystyle R}$ נותר ללא שינוי.
   2. החלפת 16 הסיביות של התוצאה האחרונה ב-16 סיביות אחרות לפי תיבות ההחלפה S-box ובהתאם למפתח.
   3. הפעלת התמורה P-box לפי מפתח על 16 הסיביות של התוצאה האחרונה.
3. שני החצאים ${\displaystyle F(R)\oplus L}$ ו-${\displaystyle R}$ מחליפים מקומות.
4. חוזרים לשלב 1 עד להשלמת כל 16 הסבבים.
5. פלט הצופן הוא התוצאה האחרונה.

הפונקציה ${\displaystyle F}$ מתנהגת כטרנספורמציה אי-ליניארית על קלט של 16 סיביות. ובכל סבב משתמשים בסך הכול ב-36 סיביות מהמפתח. כך שכל סיבית מפתח מנוצלת 9 פעמים. 36 סיביות המפתח משולבות בכל סבב באופן הבא; 16 מהן לצורך פעולה 2.1, 4 מהן לצורך פעולה 2.2 ו-16 האחרונות לצורך פעולה 2.3. לאחר מכן "מסובבים" את המפתח.

תהליך הכנת המפתח פשוט בתכלית. תחילה טוענים את 64 סיביות המפתח הסודי המסופק על ידי המשתמש לאוגר בזיכרון. בחלוקה לניבלים מתקבלים בסך הכול 16 ניבלים הממוספרים מ-0 עד 15. מבצעים פעולת הזזה מעגלית בסיביות שמאלה 28 פעמים (או 7 ניבלים), בכל פעימה הסיבית הנפלטת מצד שמאל מוחזרת מצד ימין. מתוך 16 הניבלים משתמשים בכל סבב רק בתשעה מהם המסומנים באותיות ${\displaystyle a}$ עד ${\displaystyle i}$. למשל בסבב 2 משתמשים בניבלים 6,5,4,3,2,1,0,15,14 לפי סדר זה (מסמנים ב-${\displaystyle a}$ את הערך המצוי בניבל מס' 14 וכן הלאה עד ${\displaystyle i}$). סיביות המשתנים ${\displaystyle b,d,f,h}$ משולבות בפעולה 2.1. סיביות המשתנה ${\displaystyle a}$ משמשות לצורך תיבות ההחלפה בפעולה 2.2. סיביות המשתנים ${\displaystyle c,e,g,i}$ משולבות בפעולה 2.3. ובכל סבב כל סיביות המפתח מוזזות שוב בהזזה מעגלית לשמאל 28 פוזיציות. כל התהליך מסתכם בטבלה הבאה:

${\displaystyle r}$ הניבלים בשימוש הסבב ${\displaystyle r}$ ניבל a b c d e f g h i 1 7 8 9 10 11 12 13 14 15 2 14 15 0 1 2 3 4 5 6 3 5 6 7 8 9 10 11 12 13 4 12 13 14 15 0 1 2 3 4 5 3 4 5 6 7 8 9 10 11 6 10 11 12 13 14 15 0 1 2 7 1 2 3 4 5 6 7 8 9 8 8 9 10 11 12 13 14 15 0

${\displaystyle r}$ הניבלים בשימוש הסבב ${\displaystyle r}$ ניבל a b c d e f g h i 9 15 0 1 2 3 4 5 6 7 10 6 7 8 9 10 11 12 13 14 11 13 14 15 0 1 2 3 4 5 12 4 5 6 7 8 9 10 11 12 13 11 12 13 14 15 0 1 2 3 14 2 3 4 5 6 7 8 9 10 15 9 10 11 12 13 14 15 0 1 16 0 1 2 3 4 5 6 7 8

תיבות ההחלפה הן שתי פונקציות אי-ליניאריות המסומנות ${\displaystyle S_{0},S_{1}}$ בהתאמה. לצורך פונקציות אילו מכינים שתי טבלאות החלפה לכל 16 הניבלים האפשריים, בסך הכול 64 סיביות. סיביות המשתנה ${\displaystyle a}$ קובעות האם להשתמש בתיבה 0 (שורה שלישית בטבלה) או בתיבה 1 (שורה רביעית) עבור כל אחד מארבעת הניבלים של הקלט בהתאם. למשל אם הסיבית הראשונה של ${\displaystyle a}$ היא אפס וערכו של הניבל הראשון הוא 'C' (בעשרוני 12) אז הפלט הוא ${\displaystyle S_{0}({\text{'C'}})=6}$.

עבור קלט ${\displaystyle d}$ באורך 4 ניבלים הפלט הוא:

${\displaystyle d=\{d_{0},d_{1},d_{2},d_{3}\}\leftarrow \{S_{a_{0}}(d_{0}),S_{a_{1}}(d_{1}),S_{a_{2}}(d_{2}),S_{a_{3}}(d_{3})\}}$

טבלאות ההחלפה של לוציפר 2984
${\displaystyle d}$	0	1	2	3	4	5	6	7	8	9	A	B	C	D	E	F
${\displaystyle S_{0}(d)}$	3	0	8	5	1	2	4	F	D	9	C	E	6	B	A	7
${\displaystyle S_{1}(d)}$	8	D	1	6	c	4	F	B	3	2	5	4	9	0	7	A

תיבות התמורה הן מיפוי תלוי מפתח של 16 סיביות ל-16 סיביות. התיבות P-box מגדירות כיצד הניבלים ${\displaystyle c,e,g}$ ו-${\displaystyle i}$ קובעים מה תהיה התוצאה בהתאם. אפשר להתייחס לתיבות התמורה כאל מטריצה בגודל 16 על 16 סיביות כאשר רק הפוזיציות המתאימות לסיביות '1' במשתנים הללו דלוקות וכל היתר מאופסות. הקלט הוא ארבעה ניבלים של דטה; ${\displaystyle T_{0,0},T_{0,1},...,T_{3,3}}$ האינדקס לסיבית אחת הוא ${\displaystyle T_{i,j}}$ כלומר הסיבית ${\displaystyle j}$ בניבל ${\displaystyle i}$ וכן ארבעה ניבלים של מפתח ${\displaystyle c,e,g,i}$. הפלט הוא ארבעה ניבלים ${\displaystyle P_{i,j}}$ כאשר כל סיבית פלט מושפעת משתי סיביות דטה ושתי סיביות מפתח מתאימות. למשל הביטוי ${\displaystyle T_{0,0}\lnot i_{0}+T_{1,0}g_{0}}$ פירושו הכפלה (פעולת AND) של הסיבית הראשונה מניבל הדטה הראשון במשלים של סיבית הראשונה מניבל המפתח ${\displaystyle i}$ וחיבור (XOR) עם תוצאת הכפל של הסיבית הראשונה מניבל הדטה השני עם הסיבית הראשונה מניבל המפתח ${\displaystyle g}$. כל הסיביות מתחלפות לפי הטבלה הבאה, כאשר הסימון ${\displaystyle \lnot }$ הוא פעולת השלילה:

${\displaystyle P_{0,0}=T_{0,0}\lnot i_{0}+T_{1,0}g_{0}}$	${\displaystyle P_{0,1}=T_{3,1}\lnot c_{1}+T_{2,1}e_{1}}$	${\displaystyle P_{0,2}=T_{2,2}\lnot e_{2}+T_{3,2}c_{2}}$	${\displaystyle P_{0,3}=T_{1,3}\lnot g_{3}+T_{0,3}i_{3}}$
${\displaystyle P_{1,0}=T_{1,0}\lnot g_{0}+T_{2,0}e_{0}}$	${\displaystyle P_{1,1}=T_{0,1}\lnot i_{1}+T_{3,1}c_{1}}$	${\displaystyle P_{1,2}=T_{3,2}\lnot c_{2}+T_{0,2}i_{2}}$	${\displaystyle P_{1,3}=T_{2,3}\lnot e_{3}+T_{1,3}g_{3}}$
${\displaystyle P_{2,0}=T_{2,0}\lnot e_{0}+T_{3,0}c_{0}}$	${\displaystyle P_{2,1}=T_{1,1}\lnot g_{1}+T_{0,1}i_{1}}$	${\displaystyle P_{2,2}=T_{0,2}\lnot i_{2}+T_{1,2}g_{2}}$	${\displaystyle P_{2,3}=T_{3,3}\lnot c_{3}+T_{2,3}e_{3}}$
${\displaystyle P_{3,0}=T_{3,0}\lnot c_{0}+T_{0,0}i_{0}}$	${\displaystyle P_{3,1}=T_{2,1}\lnot e_{1}+T_{1,1}g_{1}}$	${\displaystyle P_{3,2}=T_{1,2}\lnot g_{2}+T_{2,2}e_{2}}$	${\displaystyle P_{3,3}=T_{0,3}\lnot i_{3}+T_{3,3}c_{3}}$

למעשה אף על פי שמן, תיבות התמורה של לוציפר הן טרנספורמציה ליניארית לפי מפתח ולא תמורה.

ב-1983 פרסם ארתור סורקין במגזין קריפטולוגיה^[5] את הגרסה החזקה ביותר של צופן לוציפר. הבלוק באורך 128 סיביות ומפתח הצופן באורך 128 סיביות. הפונקציה הפנימית בנויה מטנרספורמציה ליניארית וטרנספורמציה אי-ליניארית המבוצעות לסירוגין בשילוב עם מפתח ההצפנה. בעבר היו שסברו שהוא חזק מ-DES כיוון שאינו מכיל את החולשות הידועות שלו שהם; המפתח הקצר (רק 56 סיביות) והעובדה ששיקולי הפיתוח שלו היו סוד לאומי בזמנו מה שהעלה חשד כי היו בו חולשות הידועות רק למפתחיו ול-NSA, מה שאי אפשר לומר לגבי לוציפר. הגרסה המקורית יועדה לחומרה והיא שולבה בכרטיס IBM 2770 כחלק מניסוי. משום שהחומרה הייתה מוגבלת נעשה מאמץ לפשט את הצופן במידת האפשר. גרסת התוכנה שלה שנכתבה בפורטרן במקור מתוארת להלן בפסאודו-קוד.

בלוק המסר מחולק לשני חצאים עליון ותחתון, כל אחד באורך 8 בתים (64 סיביות). ההצפנה מבוצעת בשישה עשר סבבים שבכל אחד מהם החצי התחתון מעובד בית אחר בית ואילו העליון נותר ללא שינוי. תכולת החצי העליון משמשת כקלט לפונקציה הפנימית והפלט שלה משמש כמפתח להצפנת החצי התחתון על ידי חיבור מודולו 2 (XOR) של הסיביות. לאחר כל סבב שני החצאים מחליפים מקומות. המפתח מחולק לשישה עשר בתים מתוכם משתמשים רק בשמונה הראשונים בכל סבב. בכל סבב כל בתי המפתח עוברים הזזה מעגלית שבעה בתים לשמאל (פעם אחת עבור כל בית מסר למעט הבית האחרון). כלומר יוצא שבסבב הראשון משתמשים בבתים 0 עד 7, בסבב השני בבתים 7 עד 14, בשלישי 14 עד 5 וכן הלאה, הבית המסיים בכל סבב פותח בסבב שלאחריו. בפענוח פועלים בסדר הפוך. תחילה מזיזים את המפתח בהזזה מעגלית שמונה בתים ומתחילים בבית 9 עד בית 0, בסבב שלאחריו מבית 2 עד 9, אחריו 11 עד 2 וכן הלאה.

הצופן כולל שתי תיבות החלפה אי-ליניאריות ${\displaystyle S_{0},S_{1}}$. הבית הראשון של מפתח הסבב נקרא "בית בקרה". כלומר שמונה סיביות הבית משמשות כדגלים לבחירת תיבות ההחלפה עבור שמונה בתי הדטה בהתאמה. כל תיבת החלפה מקבלת 4 סיביות ומחזירה 4 סיביות (ספרה הקסדצימלית אחת), לכן כל בית מחולק לשניים. אם הדגל הוא 1 מתבצעת החלפה בין שני חצאי הבית ואם הדגל הוא אפס הם נותרים ללא שינוי. בכל בית החצי הראשון מוחלף על ידי ${\displaystyle S_{0}}$ והשני על ידי ${\displaystyle S_{1}}$. לאחר מכן מבצעים תמורה (סידור מחדש) של הסיביות לפי טבלת תמורה קבועה ${\displaystyle P}$.

לאחר התמורה מתבצע החיבור עם החלק התחתון של הדטה, שנעשה לפי סדר שנקבע על ידי טבלת "פיתול" (כמתואר בתרשים). כלומר החצי העליון לאחר טרנספורמציות ההחלפה/תמורה ושילוב מפתח מחובר ב-XOR עם החצי התחתון לפי הסדר שנקבע בטבלה.

פעולה זו מכונה פיזור (diffusion) כיוון שתוצאת הטרנספורמציות על החצי העליון מתפזרת על פני החצי התחתון. ואז שני החצאים מחליפים מקומות וחוזרים שוב להתחלה, כך שש עשרה פעמים.

שלושת הפעולות המתוארות נקראות לפי הסדר: ערבוב, שבירה, פיזור. תיבות ההחלפה מספקות ערבוב, הוספת המפתח יוצרת מעין מחסום נגד קריפטואנליזה על ידי הוספת סודיות ולבסוף הפיזור נעשה על ידי תמורה וחיבור חצי אחד של הדטה עם החצי השני לפי סדר מסוים. הקונספט הוצע לראשונה על ידי קלוד שאנון ונחשב עד ימינו למבנה טוב מבחינה קריפטוגרפית ואף אומץ על ידי צפנים חדשים כמו Blowfish. אולם כאמור אלי ביהם וישי בן ארויה מהטכניון הוכיחו^[1] שצופן לוציפר בגרסה המתוארת אינו עמיד נגד התקפה דיפרנציאלית. לפחות מחצית מטווח המפתחות האפשריים אינם בטוחים, וניתן למצוא מפתח כזה בסיבוכיות זמן של ${\displaystyle 2^{36}}$ ובכמות של ${\displaystyle 2^{36}}$ טקסטים נבחרים.

בקוד הבא למען הנוחות המסר בנוי כמערך תלת-ממדי 8x8x2 בתים כשכל בית מייצג סיבית אחת בלבד (אפס או אחד). באופן דומה המפתח בנוי כמערך דו-ממדי 8x16 בתים. למעט ההחלפה האחרונה כל ההחלפות בין החצאים מתבצעות על ידי החלפת מצביעים במקום החלפה פיזית. וכן לצורך יעילות מספר פעולות שולבו יחד, בשלב הראשון תיבות ההחלפה משולבות יחדיו עם בית הבקרה וכן בשלב השני הוספת המפתח משולבת עם התמורה הקבועה וכן מתבצעת המרה ממערך סיביות למספר שלם וההפך. ברור הקוד אינו ממוטב וניתן לבצע שיפורים רבים (במיוחד בעיית אחסון סיביות במערך בתים), אלה לא בוצעו למען הפשטות וכדי להתאימו לתיאור ולתרשים לעיל.

Lucifer( m, k, d ) // m = m[0 to 7][0 to 7][0 to 1], k = k[0 to 7][0 to 15], d=1 indicates decipher
{
 O = { 7, 6, 2, 1, 5, 0, 3, 4 } // convolution registers
 R = { 2, 5, 4, 0, 3, 1, 7, 6 } // permutaion table

 s_0 = { 12, 15, 7, 10, 14, 13, 11, 0, 2, 6, 3, 1, 9, 4, 5, 8 } // s-box 0
 s_1 = { 7, 2, 14, 9, 3, 11, 0, 4, 12, 13, 1, 10, 6, 15, 8, 5 } // s-box 1

 h0 = 0, h1 = 1 // pointers to the message halfs
 kc = 0
 if( d == 1 ) kc = 8

 For i = 1 to 16 do
 {
 if( d == 1 ) kc = (kc + 1) mod 16
 ks = kc // ks is the control byte

 For j = 0 to 7 do
 {
 l = 0, h = 0
 // construct integers of two nibbles of current message byte
 For k=0 to 3 do
 l = l * 2 + m[7 - k, j, h1]
 For k=4 to 7 do
 h = h * 2 + m[7 - k, j, h1]

 // controlled interchange and s-box permutation
 v = (s_0[l] + 16 * s_1[h]) * (1 - k[j, ks]) + (s_0[h] + 16 * s_1[l]) * k[j, ks]

 // convert back to bit array
 For k=0 to 7 do
 {
 tr[k] = v mod 2
 v = v / 2
 }
 // combined key interruption and permutaion
 For k=0 to 7 do
 m[k, (O[k] + j) mod 8, h0] =
 ((k[R[k], kc] + tr[R[k]] + m[k, (O[k] + j) mod 8, h0]) mod 2

 If ( j < 7 or d == 1 ) kc = (kc + 1) mod 16
 }
 swap( h0, h1 ) // swap pointers only
 }
 swap( m[*, *, 0], m[*, *, 1] ) // phisically swap upper with lower halfs of the message
}

• DES