针对流密码HC-256'的区分攻击

李顺波 胡予濮 王 艳

(西安电子科技大学计算机网络与信息安全教育部重点实验室 西安 710071）

1 引言

为进一步推进流密码的研究，2004年欧洲启动了eSTREAM计划[1]，主要任务是征集安全快速的流密码算法，至2005年4月，共征集到34个候选算法。HC-256[2]和HC-128[3]都是基于表驱动的候选流密码算法，由于其运行速度快、安全性能高，至今未见有效的分析方法。为了避免从系统内部恢复出初始密钥，文献[2]设计了HC-256的改进算法——

HC-256'，其内部状态P和Q每运行一步就交替更新一次，具有更高的安全性；还未发现任何关于HC-256'的分析结果，其安全性分析已经成为一个热点问题。

文献[4]利用线性逼近区分攻击对流密码HC-256进行了安全性分析，需要约279.82 bit的密钥流字节就可以把密钥流序列和随机序列区分；然而对HC-256的改进算法HC-256'能否利用区分攻击进行安全性分析是一个有意义的研究课题。本文提出了一种针对流密码HC-256′的线性区分攻击。首先利用假设检验给出了区分优势的计算公式；然后，对偶数位置上的输出序列字节利用不同的非线性函数表示不同的内部状态更新函数，在最低位比特通过线性逼近构建几乎最优区分器。结果表明，需要约 2281bit就能以0.9545的区分优势将HC-256'的密钥流序列和随机序列区分开。

2 基础知识

2.1 区分攻击

区分攻击[5](distinguishing attack)是一种灵活有效的密码分析方法，2002年由Coppersmith等人提出，其基本思想是通过观察某些输入与输出比特之间的关系来判别这些比特是来自真随机源还是来自密码，将其转化为一个假设检验问题。……