RECTANGLE-80的相关密钥差分分析

轻量级分组密码RECTANGLE采用SPN结构,分组长度是64比特,密钥长度是80或128比特,迭代轮数是25轮。其采用比特切片技术,在软硬件实现方面均有很好的性能。本文以Matsui和Moriai等人的自动化搜索算法为基础,采用包珍珍等人提出的2种优化策略,对RECTANGLE-80版本进行相关密钥差分分析。我们对最窄点处的密钥状态差分进行限制,使最窄点密钥状态差分的汉明重量取值范围分别属于区间[1,1],[1,2],[1,3],[1,4],[1,5]五种情况,目的是求得此五种情况下前9轮相关密钥差分最大概率及其对应的路径。我们获得了此5种情况前8轮的最大概率及其对应的路径,前2种情况9轮最大概率及其对应路径和后3种情况9轮最大概率的上界。以上5种情况的结果显示,当取值范围属于后三种情况时,前8轮的最大概率是相同的,由此说明随着取值范围的扩大,最大概率趋向稳定。当最窄点密钥状态差分的汉明重量取值范围属于[1,1]或[1,2]时,9轮的最大概率为2^-42。当取值范围分别是[1,3],[1,4]和[1,5]时,9轮最大概率的上界分别是2^-41,2^-37,2^-34。我们预测9轮最大概率的上界是2^-41,由此可以预测18轮的最大概率的上界是2^-82,从而RECTANGLE-80可以抵抗相关密钥差分分析。这是目前RECTANGLE抵抗相关密钥密码分析安全性评估最好结果。     

对SMS4密码算法改进的差分攻击

差分分析和线性分析是重要的密码算法分析工具.多年来,很多研究者致力于改善这两种攻击方法.Achiya Bar-On等人提出了一种方法,能够使攻击者对部分状态参与非线性变换的SPN结构的密码算法进行更多轮数的差分分析和线性分析.这种方法使用了两个辅助矩阵,其目的就是更多地利用密码算法中线性层的约束,从而能攻击更多轮数.将这种方法应用到中国密码算法SMS4的多差分攻击中,获得了一个比现有攻击存储复杂度更低和数据复杂度更少的攻击结果.在成功概率为0.9时,实施23轮的SMS4密钥恢复攻击需要2^113.5个明文,时间复杂度为2^126.7轮等价的23轮加密.这是目前为止存储复杂度最低的攻击,存储复杂度为2¹⁷个字节.     

一类不平衡Feistel密码的安全性能分析

为评估一类不平衡Feistel密码的安全性能,通过列举的方法,对该密码抵抗差分密码分析和线性密码分析的能力进行了深入的研究。在轮函数是双射的假设条件下,证明了3,4,6,8,10,2r（r≥3）轮密码分别至少有1,1,3,4,5,r个轮函数的输入差分非零,从而若设轮函数的最大差分和线性逼近的概率分别为p和q,则2r（r≥3）轮密码的差分特征和线性特征的概率分别以pr和qr为上界。     

AC分组密码的差分和线性密码分析

讨论AC分组密码对差分和线性密码分析的安全性,通过估计3轮AC的差分活动盒子的个数下界和12轮AC的线性活动盒子的个数下界,本文得到AC的12轮差分特征概率不大于2-128和线性逼近优势不大于2-67.因此,AC分组密码对差分和线性密码分析是安全的.     

基于MILP方法的LED密码安全性分析

基于自动化搜索算法求解差分特征与线性逼近,成为了分组密码的差分与线性攻击研究热点。提出一种面向半个字节MILP模型自动化搜索密码算法的差分特征与线性逼近方法,对轻量级LED密码进行分析,以较少的变量与约束不等式求解活跃S盒数量,4轮运算至少有25个活跃S盒,这个结果与算法设计者给出的活跃S盒理论值相同,验证了该方法的正确性。最后,计算LED算法的最大差分特征及线性逼近概率,证明其能够抵抗差分与线性攻击。     

用不可能差分法分析12轮ESF算法

轻量级分组密码算法ESF是一种具有广义Feistel结构的32轮迭代型分组密码,轮函数具有SPN结构,分组长度为64比特,密钥长度为80比特。为了研究ESF算法抵抗不可能差分攻击的能力,基于一条8轮不可能差分路径,根据轮密钥之间的关系,通过向前增加2轮、向后增加2轮的方式,对12轮ESF算法进行了攻击。计算结果表明,攻击12轮ESF算法所需的数据复杂度为O(2⁵³),时间复杂度为O(260.43),由此说明12轮的ESF算法对不可能差分密码分析是不免疫的。     

轻量级分组密码MIBS-80算法的Biclique分析

提出了针对轻量级分组密码算法 MIBS-80 的 Biclique 分析.利用两条独立的相关密钥差分路径,构造了4轮维度为4 的 Biclique 结构,在此基础上对密钥空间进行了划分,结合预计算技术,对每一个密钥子空间进行筛选以降低中间相遇攻击所需的计算复杂度,实施了对12 轮 MIBS-80 的密钥恢复攻击.攻击的数据复杂度为2⁵²个选择明文,计算复杂度约为2^77.13次12 轮 MIBS-80 加密,存储复杂度约为2^8.17,成功实施攻击的概率为1.与已有攻击方法相比,在存储复杂度及成功率方面具有优势.     

Piccolo算法的相关密钥-不可能差分攻击

现有的对于Piccolo算法的安全性分析结果中,除Biclique分析外,以低于穷举搜索的复杂度最长仅攻击至14轮Piccolo-80和18轮Piccolo-128算法.通过分析Piccolo算法密钥扩展的信息泄漏规律,结合算法等效结构,利用相关密钥-不可能差分分析方法,基于分割攻击思想,分别给出了15轮Piccolo-80和21轮Piccolo-128含前向白化密钥的攻击结果.当选择相关密钥量为2⁸时,攻击所需的数据复杂度分别为2^58.6和2^62.3,存储复杂度分别为2^60.6和2^64.3,计算复杂度分别为2⁷⁸和2^82.5;在选择相关密钥量为2⁴时,攻击所需的数据复杂度均为2^62.6和2^62.3,存储复杂度分别为2^64.6和2^64.3,计算复杂度分别为2^77.93和2^124.45.分析结果表明,仅含前向白化密钥的15轮Piccolo-80算法和21轮Piccolo-128算法在相关密钥-不可能差分攻击下是不安全的.     

一类分组密码的安全性能研究

为评估一类分组密码的安全性能,通过列举的方法,对该分组密码抵抗差分密码分析的能力进行了深入的研究。在轮函数是双射的假设条件下,证明了3,4,6,9,12,4r轮分组密码分别至少有1,2,2,4,6,2r个轮函数的输入差分非零;从而若设轮函数的最大差分概率为p,则3,4,6,9,12,4r轮分组密码的差分特征的概率分别以p,p2,p2,p4,p6,p2r为上界。     

Zodiac算法的零相关-积分攻击

Zodiac算法是一种由一批韩国学者设计的分组密码算法,它是16轮平衡Feistel型的分组密码。首次从零相关-积分分析的角度评价了Zodiac算法的安全性,构造出算法的两类13轮零相关线性逼近,并据此给出了13轮零相关-积分区分器,对全轮Zodiac算法进行了零相关-积分分析,成功恢复出了144bit轮子密钥信息。结果显示:完整16 轮Zodiac-128/192/256算法的零相关-积分攻击的数据复杂度为2¹²⁰个选择明文,时间复杂度大约为2⁸²次16轮Zodiac算法加密,时间复杂度明显优于已有的积分攻击结果。     

Provable security for 13 round Skipjack-like structure

To prove a block cipher is secure against Differential Cryptanalysis one should show the maximum differential probability is a small enough value. We will prove that the maximum differential probability of a 13 round Skipjack-like structure is bounded by p⁴, where p is the maximum differential probability of round function.     

P盒为n-MDS矩阵的SPS模型差分概率的新上界

研究了SPS模型中的扩散变换为二元域上n-MDS矩阵对应的仿射变换构造时,差分概率的估计问题.首先给出任意给定一个差分对时,差分概率上界的估算公式,然后给出该类SPS模型差分概率的一个新上界.模拟实验结果表明,该上界比目前最好的上界更紧致.     

Midori-64算法的截断不可能差分分析

分析了Midori-64算法在截断不可能差分攻击下的安全性.首先,通过分析Midori算法加、解密过程差分路径规律,证明了Midori算法在单密钥条件下的截断不可能差分区分器至多6轮,并对6轮截断不可能差分区分器进行了分类;其次,根据分类结果,构造了一个6轮区分器,并给出11轮Midori-64算法的不可能差分分析,恢复了128比特主密钥,其时间复杂度为2^121.4,数据复杂度为2^60.8,存储复杂度为2^96.5.     

On the linear complexity of some new q-ary sequences

Some new q-ary sequences with period q^3ek-1 (q=p^m, p an odd prime, m, e, k integers) are first constructed and then, inspired by Antweiler’s method, their linear complexity is examined. The exact value of linear complexity k(6e)^w is determined when . Furthermore, an upper bound of the linear complexity is given for the other values of r. Our results show that this sequence has larger linear span than GMW sequence with the same parameters. Finally, the results of a Maple program are included to illustrate the validity of the results.     

Biclique cryptanalysis on lightweight block cipher: HIGHT and Piccolo

Biclique cryptanalysis is an attack that improves the computational complexity by finding a biclique which is a kind of bipartite graph. We present a single-key full-round attack of lightweight block ciphers, HIGHT and Piccolo by using biclique cryptanalysis. In this paper, a 9-round biclique is constructed for HIGHT and a 4-round biclique for Piccolo. These new bicliques are used to recover secret keys for the full rounds of HIGHT, Piccolo-80 and Piccolo-128, the computational complexity of 2^125.93, 2^79.34 and 2^127.36, respectively. The computational complexity of attacking HIGHT by a biclique cryptanalysis is reduced from 2^126.4. This is the first full-round attack on both Piccolo-80 and Piccolo-128.     

Security evaluation against differential and linear cryptanalyses for Feistel ciphers

To evaluate the security against differential and linear cryptanalyses for Feistel ciphers with substitution-permutation network (SPN) round function, we consider the lower bounds of the number of differential and linear active s-boxes, which provides the upper bounds of the maximum differential and linear characteristic probabilities of Feistel ciphers. Concretely, using differential and linear branch numbers B _d , B _l of P transformation within the round function, we give new lower bounds of the number of active s-boxes in any consecutive rounds of Feistel ciphers, respectively. Furthermore, we show that our results are better than others by comparing these results.