π25ワードを決まったパターンで置換する。用いてビット列を結合する。A[x+2][y])SHA-3においてこの過程のみが非線形操作である。ιラウンド定数と状態ワードの排他的論理和を取る。番目の出力との排他的論理和を取る。これにより他の副ラウンドで保たれていた対称性が破られる。修正[編集]NISTによる公募の期間中、発見された問題への対処として応募者がアルゴリズムを修正することが許されていた。Keccakに加えられた修正は以下の通りである[14][15]。Conferenceおよび2013年8月のCHESにおいて、NISTはSHA-3標準のセキュリティパラメータとして、キャパシティの大きさを応募時のものから変更するであろうと発表した[16][17]。この変更が一時騒動をもたらした。ブルース・シュナイアーは、アルゴリズムを受け入れるにあたって有害なものであるとしてこの決定を批判した。非常に多くの不信が広まっている。NISTは、誰にも信頼されず、(強制された場合を除いて)誰も使わないアルゴリズムを発表する危険を冒している。Crowleyはこの決定に賛意を表明した。その内容を要約すると以下の通りである。Keccakはこのように可変性を持つよう設計されている。SHA-3の仕様において、今回の決定はさほど重要なものではない。キャパシティの大きさと出力長は、要求されるセキュリティに応じてそれぞれ独立に変更できるのだから。ハッシュ関数に、衝突攻撃よりも第二原像攻撃に対して途方もなく高い耐性を求めるべき理由はない。「よりセキュアでない」Keccakを心配するのであれば、スポンジ構造のキャパシティを大きくするのではなくラウンド数を増やすべきだ。あるセキュリティレベルを要求して公募を行ったにもかかわらずそれと異なるレベルを最終標準とすることはちょっと恥ずかしいことだ。それを改めようとしたら公募をやり直す以外にできることはないし、そうしたところで事態は改善しない。[19]ダニエル・バーンスタインは、オリジナルのKeccakで提唱されていたようにキャパシティを576ビットに強化することを提唱した。Keccakの設計チームは、新しいパラメータに賛意を表明しており、NISTによるパラメータ変更は、NISTのハッシュチームと自分たちによる議論の結果によるものであると表明した[20]。暗号コミュニティに対しては、すべての場合において512ビットのキャパシティを用いることを提唱している[21]。KelseyはCHESでの発表に対する反応から、近いうち正式に発表する草稿においては、キャパシティの値を応募時のものから変更しない方針であることを明らかにした[22]。202の草稿[23]に反映された。最終的に、キャパシティを含めたハッシュ関数全体は草稿より変更されなかった[23][1]。出力ハッシュ長である。メッセージに追加される。