对TweAES的相关调柄多重不可能差分攻击

蒋梓龙 金晨辉

(战略支援部队信息工程大学 郑州 450001)

1 引言

在NIST轻量级密码标准竞赛中，TweAES算法[1]是进入到第2轮的认证加密候选算法。TweAES是类AES-128的可调分组密码，具体而言，是在AES-128算法[2]的基础上，可以额外选取4 bit主调柄，通过简单的线性运算将主调柄扩展为8 bit子调柄，将扩展的8 bit子调柄值与偶数轮输出进行异或加操作，即得到了TweAES算法。

不可能差分攻击[3,4]是差分攻击的一种变体，之后Tsunoo等人[5]提出了多重不可能差分的思想，Boura等人[6,7]和Li等人[8,9]运用多重不可能差分攻击，对分组密码算法AES, CLEFIA[10], LBlock[11]，Fox[12]等均得到很好的效果。经过了多年以来对AES-128的密码分析[13-18]，大量的分析结果涌现而出，Leurent等人[19]在2021年的欧洲密码年会上，详细地分析了AES的密钥生成算法，揭示了子密钥扩散的不完全性。在这些攻击方案中，最好的攻击结果可以攻击到7轮的AES-128，不可能差分攻击也取得了很好的攻击结果。TweAES算法在AES-128的基础上，新引入了4 bit主调柄，所以其安全性更值得深入研究。

TweAES算法设计报告[1]的第3.4.2小节，在选择调柄的条件下，设计者给出了TweAES算法对积分攻击、不可能差分攻击、截断差分攻击、中间相遇攻击的安全性分析。在这些攻击方案中，最有效的是不可能差分攻击，设计者构造了一个6轮的相关调柄不可能差分区分器，并给出了一个8轮的不可能差分攻击方案。Niu等人[20]利用自动求解器STP，搜索了更多高效TweAES算法的不可能差分区分器。此外，Niu等人还指出了TweAES算法设计报告中的8轮不可能差分攻击有瑕疵，其时间复杂度大于穷举攻击，所以不是一个有效攻击，并给出了对8轮TweAES算法的有效不可能差分攻击方案。……