参考文献：

1. [BDPV11] Bertoni G, Daemen J, Peeters M, et al. Duplexing the sponge: single-pass authenticated encryption and other applications[C]//Selected Areas in Cryptography: 18th International Workshop, SAC 2011, Toronto, ON, Canada, August 11-12, 2011, Revised Selected Papers 18. Springer Berlin Heidelberg, 2012: 320-337.
2. 海绵结构：Hash as RO

Padding Rules

在海绵结构中，变换 $f$ 的宽度是 $b=c+r$，容量是 $c$，比率是 $r$

对于变长的输入 $M$，需要做一定的填充，使得它的长度是 $r$ 的倍数。填充规则记为 $pad[r](|M|)$，应当满足一些条件，使得海绵函数是安全的。

根据 [BDPV11]，一个充分条件是：填充可逆、填充后长度大于零、最后一个区块不是零。

• simple reversible padding：定义为 $pad10^{\ast }[r](x),\forall x\ge 0$，其中 $0^{\ast }$ 的长度是 $[-x-1{]}_r\in [0,r-1]$
• multi-rate padding：定义为 $pad10^{\ast }1[r](x),\forall x\ge 0$，其中 $0^{\ast }$ 的长度是 $[-x-2{]}_r\in [0,r-2]$

注意到填充长度大于零，即使 $|M|$ 恰好是 $r$ 的倍数，也必须添加上一个新的区块。

Duplex Construction

[BDPV11] 提出了双工结构，它是带状态的，其输入流/输出流的速率相同。如图所示：

假设已经确定了某个 padding rule，定义 maximum duplex rate：
ρ m a x ( p a d , r ) = min ⁡ { x ∣ x + p a d [ r ] ( x ) > r } − 1 \rho_{max}(pad,r) = \min\{x \mid x+pad[r](x) > r \}-1 ρmax​(pad,r)=min{x∣x+pad[r](x)>r}−1
容易验证，${\rho }_{max}(pad10^{\ast },r)=r-1$ 以及 ${\rho }_{max}(pad10^{\ast }1,r)=r-2$

双工结构的算法为：

如果 ${\sigma }_i=\varnothing$，称之为 blank call（空的）；如果 $l_i=0$，称之为 mute call（哑的）

双工结构的每一次调用，都等价于如下的海绵结构：

具体来说，海绵结构本身对 $M$ 有个 pading，那么有
$$Z_i=Sponge({\sigma }_0\Vert pa{d}_0\Vert \cdots \Vert {\sigma }_{i-1}\Vert pa{d}_{i-1}\Vert {\sigma }_i,l_i)$$
并且 ${\sigma }_0\Vert {\sigma }_i\to {\sigma }_0\Vert pa{d}_0\Vert \cdots \Vert {\sigma }_{i-1}\Vert pa{d}_{i-1}\Vert {\sigma }_i$ 是单射，因此可以将双工结构的安全性归约为海绵结构的安全性。

Applications

[BDPV11] 给出了双工结构的一些应用：

• authenticated encryption，带身份验证的加密，提供隐私性和认证性
• key wrapping，密钥打包，提供隐私性和完整性
• reseedable PRG，重新播种的PRG，将新的种子和当前状态组合
• overwrite functions，当前输入覆盖了部分的状态，而非和当前的状态异或