对分组密码SKINNY- 64- 64的Biclique攻击

唐 鹏 袁 征，2

1(西安电子科技大学 陕西 西安 710071) 2(北京电子科技学院 北京 100071)

0 引 言

Biclique密码分析方法是一种较为新颖的密码分析技术。它由Khovratovich等在文献[1]中被提出，后来在FSE 2012中被收录。Biclique是一种完全二分图，一个集合中的每个元素的初始状态都和另一个集合中的结束状态相联系。在密码分析过程中，在这种二分图中的每一条路径代表一个初始原语在一个唯一密钥下经过若干步骤后加密后的密文状态。如果这些路径不共享活跃的非线性部件，那么一个Biclique结构就允许攻击者可以高效地检测候选密钥的集合。这种Biclique结构可以用来降低中间相遇攻击的时间复杂度。起初Biclique被用于分析哈希函数，后来发现Biclique也适用于分组密码的安全性分析。Bogdanov等在文献[2]中采用Biclique对AES算法进行了攻击。他们的成果得到了高度关注，因为他们利用Biclique攻击首次实现了对AES单密钥模式下的全轮攻击。从那以后，基于Biclique的密钥恢复攻击开始被广泛应用于分组密码的分析中。

分组密码SKINNY由文献[3]提出，它是SP结构的分组密码。SKINNY是一种可调分组密码，分组长度和密钥长度有多种版本。SKINNY- 64- 64是SKINNY分组密码的64比特分组长度、64比特密钥长度的版本。多种分组、密钥长度版本使SKINNY能更好地适应不同的应用环境，它的软硬件实现均有较好的性能。因此，对它的安全性进行分析有着极为重要的实际意义。

本文利用Biclique攻击方法对轻量级分组密码SKINNY- 64- 64进行分析，通过从明文方向寻找两条不相交的差分路径来构建Biclique结构，结合中间相遇攻击的思路对SKINNY- 64- 64进行了全轮攻击。……