> Если бы в России подобное случилось, тут же бы набежали анонимусы и
> стали твердить, что кругом распил бабла и руки из ж. А
> вон у этих, в США, дырявые криптоалгоритмы первые места занимают. Ещё
> и с претензией на защиту от взлома на квантовых компах... Смех.

Так они ж конкурс устроили и вот один из финалистов огреб солидный фэйл в свой адрес. А россияне где-то вообще делали конкурсы для крипто, без явного фаворита и с нормальным криптоанализом? Спустить распоряжением какую-то хрень (заведомо уязвимую к тайминг атакам by design, как и AES) без таблиц - это немножечко не оно. Наверное оттуда и разница. NIST так то себе репутацию тоже неплохо слил с Dual EC DRBG. И досталось им за это очень даже, все видные криптографы по алгоритму прошлись. По российским не проходятся только потому что при вон том процессе заведомо смысла нет это делать.

При том дизайн этого алго заведомо легаси. С свойствами явно хуже чем ARX и подобные math-based.

Кстати есть и математически доказуемо безопасные алгоритмы, проблема с ними только в том что их скорость работы и потребление ресурсов не фонтан, так что пойнт крипто сильно продалбывается. Но если надо - это есть.