>> честно сказать, что я ничего не понимаю в криптопреобразованиях.
> И, соответственно, не можете сказать насколько (не) подставили пользователей этого добра
> атаками по side channel.

Могу. Я вообще не люблю условные переходы, а в то время и подавно их избегал, следуя руководству по оптимизации от Интел. И ещё могу сказать, что то добро шифровало данные пользователей на диске пользователей. Кто бы там делал атаку и как? А, главное, зачем?

> Кроме скорости в крипто есть и иные
> соображения. Например - выполнение операций за фиксированное время, независимо от того
> какой ключ и данные.

Что бы со мной сработал такой финт, сначала надо показать ссылку на свой код.

> Если вы понимаете этот момент - окей, это круто. А если нет
> - с оптимизациями в крипто можно и подзалететь. И иногда там
> неоптимально делают в общем то специально.

Команда BSWAP переставляет местами байты в двойном слове. Тогда она исполнялась постоянные 9 вроде бы тактов. Можно заменить серией сдвигов и логических операций, что в то время обычно и делали, поскольку параллелилось и было в сумме заметно быстрее. Я всё это убрал, т.е. заменил одну константу на другую константу (0).