с какими оговорками?

Хэш-функции бывают кривыми

Длина хешируемого сообщения точно не известна. Известна только, что она не меньше длины синхропосылки (вектора инициализации).

А! Я понял. :-))

Рассматриваю, конечно, не сферическую хеш-функцию в вакууме, а в первую очередь SHA256 (но не только).

Меня посетила "гениальная" по своей новизне 😂😁  идея о блочном шифре в режиме гаммирования (со счётчиком; CTR-режим). Обдумываю, каким бы он мог быть в моём исполнении (не в программном коде, а в виде блок-схемы).

Только полный перебор, так как изменение даже одноги бита(неважно в какой части) перестраивает полностью результат. На то они и называются необратимыми)

Спасибо.

Ещё вопрос: padding oracle-атака свойственна только для CBC-режима или и для других тоже (CTR в частности)?

Термины которые вы употребляете: "синхропосылка", "режим гаммирования" заставляет меня думать, что вы имеете дело с криптографическими функциями ГОСТ, либо просто учились криптографии по отечественным учебникам.
Ваш интерес к этой теме связан с учебным заданием, или же с практической работой?
Да и режим CTR я не советую использовать в чистом виде.
Так вирусописатели одного шифровальщика сильно лоханулись, применяя режим CTR(шифр AES/Rijndael) при использовании одного и того же  вектора инициализации  для всех файлов(ключ при этом один и тот же). Это позволяет полностью или же частично расшифровывать файлы, если известен хотя бы один из зашифрованных файлов, особенно если у него большой размер.
Слава Богу, вредители не сильно разбираются в криптографии.

привет всем
установил винду на внешний ссд Samsung X5. при попытке зашифровать весь диск через Veracrypt выдает такую ошибку:

Но вообще там написано почему и как исправить

я отформатировал в ntfs 512, тоже самое

А для чего именно ntfs?

ну я виндовс поставил на внешний диск

По поводу риска повторного использования гаммы я знаю: её можно использовать только для шифрования точно такого же открытого текста, который зашифровывали ранее. То есть, повторно зашифровать точную копию предыдущего сообщения. В таком случае при постоянном ключе ВИ может быть неуникальным (т.е., повториться). Также ВИ может повториться в случае, если использован какой-то другой ключ (сообщение может быть точно таким же, которое шифровали ранее, или может быть другим). В остальных же случаях: ключ постоянный и сообщение уникальное - ВИ ни в коем случае НЕ должен повториться, так как криптография превратиться в тыкву.

какая есть достойная альтернатива веракрипту? чтоб зашифровать полностью диск на видовс 10

Если ключ и IV одинаковые (это касается именно режима CTR), то грубо говоря гамма всегда будет одинаковая и вообще не зависит от открытого текста. То есть если известный файл размером 20 Мегабайт и он же в зашифрованном виде, то мы можем легко расшифровать любой другой файл(зашифрованный этими же ключем и IV ), который размером <= 20 Мегабайт, если же  он больше - то первые 20 Мегабайт его мы сможем расшифровать выполняя простую операцию XOR.

Вы padding сами рассчитывали? Если не ошибаюсь, в последних байтах выравнивания указывается длина сообщения, это учли?

luks?

он под линукс