Present — блочний шифр з розміром блоку 64 біта, довжиною ключа 80 або 128 біт і кількістю раундів 32.

Основне призначення даного шифру — використання в спеціальних приладах, на зразок RFID міток або мереж сенсорів.

Є одним з найбільш компактних криптоалгоритмів, існує оцінка, що для апаратної реалізації PRESENT потрібно приблизно в 2.5 рази менше логічних елементів ніж для AES або CLEFIA.^[1][2]

Даний шифр був представлений на конференції CHES 2007. Автори: Богданов, Кнудсен, Леандр, Паар, Пошманн, Робшо, Соа, Вікельсоа. Автори працюють в Orange Labs, Рурському університеті в Бохумі та Данському технічному університеті.

Основним критерієм при розробці шифру була простота реалізації при забезпеченні середнього рівня захищеності. Також важливим моментом була можливість ефективної апаратної реалізації.

Являє собою SP-мережу з 31 раундом шифрування. Кожен раунд складається з операції XOR з раундовим ключем ${\displaystyle K_{i}}$, що складається з 64 біт, які визначають функцію оновлення ключа.

Далі проводиться розсіююче перетворення — блок пропускається через 16 однакових 4-бітних S-скринь. Потім блок піддається перемішуючому перетворенню (перестановка біт).^[3]

У шифрі використовуються 16 однакових 4-бітних S-скринь:

S-скриня створена таким чином, щоб збільшити опір до лінійного та диференційного криптоаналізу. Зокрема:

1. ${\displaystyle {\displaystyle P(\forall x\in [0,F]:S(x)+S(x+\Delta _{i})=\Delta _{o})<=4}}$, де ${\displaystyle \Delta _{i},\Delta _{o}}$ — будь-які можливі вхідні і вихідні диференціали не рівні нулю.

1. ${\displaystyle {\displaystyle P(\forall x\in [0,F]:S(x)+S(x+\Delta _{i})=\Delta _{o})=0}}$, де ${\displaystyle wt(\Delta _{i})=wt(\Delta _{o})=1}$.

Що таке P і ${\displaystyle wt}$?

Блок, що перемішує біти, заданий наступною матрицею:

Як ключ раунду ${\displaystyle K_{i}}$ використовуються 64 лівих біт з регістра ${\displaystyle K}$, який містить ввесь ключ. Після отримання ключа раунду регістр ${\displaystyle K}$ оновлюється за наступним алгоритмом:

1. ${\displaystyle [k_{79}k_{78}...k_{1}k_{0}]=[k_{18}k_{17}...k_{20}k_{19}]}$
2. ${\displaystyle [k_{79}k_{78}k_{77}k_{76}]=S[k_{79}k_{78}k_{77}k_{76}]}$
3. ${\displaystyle [k_{19}k_{18}k_{17}k_{16}k_{15}]=[k_{19}k_{18}k_{17}k_{16}k_{15}]\oplus }$ лічильник_раунду

Даний шифр володіє властивістю, що будь-яка 5-раундова диференційна характеристика зачіпає щонайменше 10 S-скриньок. Таким чином, наприклад, для 25 раундів шифру будуть задіяні як мінімум 50 S-скриньок, і ймовірність характеристики не перевищує ${\displaystyle 2^{-100}}$. Атака на версії шифру з 16 раундів шифрування вимагає ${\displaystyle 2^{64}}$ шифротексту, ${\displaystyle 2^{64}}$ доступів до пам'яті, ${\displaystyle 2^{32}}$ 6-бітних лічильників і ${\displaystyle 2^{24}}$ осередків пам'яті для геш-таблиці. Ймовірність знаходження ключа ${\displaystyle P\approx 0.999}$.

Максимальний нахил апроксимованої прямої для чотирьох раундів не перевищує ${\displaystyle {\frac {1}{2^{7}}}}$. Таким чином, для 28 раундів максимальний нахил становитиме ${\displaystyle 2^{6}*{\left({\frac {1}{2^{7}}}\right)^{7}}=2^{-43}}$. Тому, якщо врахувати, що для злому 31 раунду необхідна апроксимація для 28, то знадобиться ${\displaystyle 2^{84}}$ відомих пар текст-шифротекст, що перевищує розмір можливого тесту для шифрування.

• Алгебраїчна атака з використанням диференціальних характеристик. Основна ідея — представити шифр системою рівнянь нижчого порядку. Далі, для декількох пар текст-шифротекст відповідні їм системи рівнянь об'єднуються. Якщо як ці пари вибрати пари, відповідні деякій характеристиці ${\displaystyle \delta }$ з імовірністю p, то система справджуватиметься з цією ймовірністю p і рішення може бути знайдене при використанні ${\displaystyle {\frac {1}{p}}}$ пар. Очікується, що вирішення такої системи простіше, ніж початкової, відповідній одній парі текст-шифротекст. Для Present-80 з 16 раундами дана атака дозволяє дізнатися чотири біти ключа за ${\displaystyle \approx 6*2^{12}}$ секунд.
• Метод статистичного насичення. В даній атаці використовуються недоліки блоку перемішування бітів. Для злому Present-80 з 24 раундами потрібна пара текст-шифротекст ${\displaystyle \approx 2^{60}}$ обчислень ${\displaystyle \approx 2^{20}}$.

У таблиці нижче наведене порівняння характеристик шифру Present-80 з характеристиками інших блочних і потокових шифрів.^[4]

У 2012 році організації ISO і IEC включили алгоритми PRESENT і CLEFIA в міжнародний стандарт полегшеного шифрування ISO/IEC 29192-2:2012.^[5][1][6]

На базі PRESENT була створена компактна геш-функція H-PRESENT-128.^[7][8]

• PRESENT: An Ultra-Lightweight Block Cipher ^{[недоступне посилання]}
• Algebraic Techniques in Differential Cryptanalysis [Архівовано 31 жовтня 2015 у Wayback Machine.]
• Differential Cryptanalysis of Reduced-Round PRESENT^{[недоступне посилання з листопадаа 2019]}
• Weak Keys of Reduced-Round PRESENT for Linear Cryptanalysis, Kenji Ohkuma // Lecture Notes in Computer Science Volume 5867, 2009, pp 249—265 doi:10.1007/978-3-642-05445-7_16
• A Statistical Saturation Attack against the Block Cipher PRESENT^{[недоступне посилання з листопадаа 2019]}