n 比特置换的差分分支数上界*

尤启迪, 周 旋, 李 顺, 张英杰

1. 清华大学 计算机科学与技术系, 北京100084

2. 北京卫星信息工程研究所, 北京100086

3. 上海交通大学 计算机科学与工程系, 上海200240

4. 中国科学院 信息工程研究所 信息安全国家重点实验室, 北京100093

5. 中国科学院 数据与通信保护研究教育中心, 北京100093

6. 中国科学院大学 网络空间安全学院, 北京100093

1 介绍

对称密码中使用的线性和非线性部件, 充分地体现了Shannon 关于密码学部件扩散和混淆功能的经典论述[1]. 以最简单的分组密码为例, 扩散功能通常由线性部件提供, 它将明文的局部统计性质, 尽可能快速地扩散到整个密码的计算路径中去, 从而尽可能多地激活可以削弱这些统计性质的其他部件(这通常为提供混淆功能的非线性部件). 近十年以来, 密码学界在分组密码整体结构的设计上趋于稳定(大部分分组密码都采用了SPN 结构、Feistel 结构及它们的变种), 鲜有突破. 因此, 研究具有良好性质的局部密码学部件, 是近几年学界的热点.

对于线性部件, 人们主要关注它的扩散性质. 利用极大距离线性可分码(MDS), 我们可以构造具有(局部) 最优扩散性质的线性部件. 使用MDS 矩阵作为分组密码的线性部件的优势主要体现在两个方面.第一, 针对差分攻击和线性攻击的安全性论证较为直接, 可以较为容易的界定差分和线性活跃S 盒的下届.第二, 可以在较小的轮数下达到足够的安全强度, 从而降低算法的延迟. 实际上, AES[2]正是由于这些优势, 得到了学界和工……