> А правительственные нужды, думаете, не включали необходимость прочтения зашифрованной
> корреспонденции? Ну вы даёте. А алгоритм, насколько я знаю, довольно стрёмный,
> выбранные там константы обоснованы невнятно и их выбор сильно влияет на
> свойства. Может, и есть за ним какая-то математика, позволяющая расшифровывать или
> получить парный ключ без особых усилий.

вы криптограф? завидую. мне так, например, название "сеть Фейстеля" ни о чем не говорит, но раз вы говорите - стремно, я не буду в этой сети ничего покупать.

> Но суть даже не в этом - если есть заведомо приличные алгоритмы,
> проанализированные кучей криптографов из разных стран - всегда лучше использовать их,
> чем темные лошадки вроде ГОСТа.

ггг то-то эту темную лошадку чуть в ISO не протолкнули. не протолкнули, кстати, ровно потому, что куча криптографов, двадцать лет поанализировав, нашла Фатальный Недостаток(ТМ) - оказалось, что если урезать ключ с 256 битов до 128, и крутить не в 32 раунда, а в 16 - то ломается влегкую. это вам не DJB с его взломом AES в OpenSSL на реальной системе, понимать надо.

PS а и походу выбор S-таблиц для DES ваще не обосновывался ЕВПОЧЯ.