基于交换等价的缩减轮AES-128的密钥恢复攻击

张 丽 吴文玲 张 蕾 郑雅菲

(中国科学院软件研究所 北京 100190) (中国科学院大学 北京 100049)

分组密码在对称密码学中起着非常重要的作用，为加密提供了基础的工具，因此，它们是最受信任的加密算法，经常被用作构造其他加密算法的基础工具，这些算法的安全性证明是在假设底层分组密码是理想的情况下进行的.因此对分组密码安全性研究是具有非常重要的现实意义.2001年美国通过3年的征集和评选，新的高级加密标准(advanced encryption standard, AES)[1]得以诞生，成为了至今为止最广为人知和使用最广泛的分组密码.AES的安全性研究也一直是密码学中最重要的热点之一.AES已经被证明能够抵抗差分和线性密码分析.在过去20年的大量研究中只有biclique攻击[2]能比穷举搜索更快地突破全轮的AES，所以突破全轮的AES一直是密码研究人员努力的目标.

近些年，为了研究出更新更好的方法去实现对全轮AES的攻击，研究人员更加关注对于缩减轮的AES攻击上.对缩减轮AES的攻击之所以重要，有3个原因:1)它们使我们能够评估AES的安全冗余，即可以成功攻击的轮数与全轮AES的轮数之比.2)它们使我们能够开发新的攻击技术，随着进一步的改进，这些技术可能会变得更加有效.3)有许多建议使用缩减轮AES作为它们的组件，比如LED[3]，WEM[4]，ElmD[5]等.

当试图评估密码的安全性时，密码的非随机特性可用来区分密码与随机置换.其中密码分析最重要的工具之一无疑是差分密码分析.差分密码分析方法经过多年的发展，已……