分组密码算法MIBS - 360文档中心

合集下载

相关主题

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

４４Ｓ盒变换：Ｓ＝｛４，１５，３，８，１３，１０，１２，０，１１，５，７，１４，２，６，１，９｝，Ｓ：Ｆ：ｙｓ（ｘ），１。 ≤ｉ ≤８ →Ｆｉ＝ｉ２２
混合层：此层为线性变换，由下列线性关系式构成：ｙ，ｙ ′ ｙ，ｙ ′ ｙ，ｙ ′ ｙｙｙｙｙｙｙｙｙｙｙｙｙｙｙ１＝２３４５６７２＝１３４６７８３＝１２４５７８ｙ ′ ｙ，ｙ ′ ｙ，ｙ ′ ｙ，ｙｙｙｙｙｙｙｙｙｙｙｙｙ４＝１２３５６８５＝１２４５６６＝１２３６７ｙ，ｙ ′ ｙ。ｙ ′ ｙｙｙｙｙｙｙｙ７＝２３４７８８＝１３４５８Ｐ置换：将混合层输出的８个半字节按新的顺序输出，Ｐ＝｛２，８，１，３，６，７，４，５｝。１１密钥生成算法由于文中分析的是８０ｂｉｔ密钥的算法，所以下边只给出８０ｂｉｔ的密钥生成算法，６４ｂｉｔ的生成算法详见文
ｉ献［１］。用ｓｔａｔｅ表示第ｉ轮的密钥扩展，轮密钥按如下关系式生成（１２）： ≤ｉ ≤３０ｉｉｉｉｉ是初始密钥；ｓｔａｔｅ＝ｓｔａｔｅ＝Ｓ－ｂｏｘ（ｓｔａｔｅ［７９～７６］）ｏｘ（ｓｔａｔｅ［７５～７２］）１９；ｓｔａｔｅｓｔａｔｅ ‖ Ｓ－ｂ ‖ ＞ｉｉｉｉｉｉｓｔａｔｅ［７１～０］；ｓｔａｔｅ＝ｓｔａｔｅ［７９～１９］ｔａｔｅ［１８～１４］ｏｕｎｄｏｕｎｔｅｒｔａｔｅ［１３～０］；ｋｓｔａｔｅ［７９～ ‖ｓＲ ‖ｓ－ｃｉ＝
１，２１，２ＤＵＣｈｅｎｇｈａｎｇ，ＣＨＥＮＪｉａｚｈｅ
（１．ＳｃｈｏｏｌｏｆＭａｔｈｅｍａｔｉｃｓ，ＳｈａｎｄｏｎｇＵｎｉｖｅｒｓｉｔｙ，Ｊｉｎａｎ２５０１００，Ｓｈａｎｄｏｎｇ，Ｃｈｉｎａ；２．ＫｅｙＬａｂｏｒａｔｏｒｙｏｆＣｒｙｐｔｏｌｏｇｉｃＴｅｃｈｎｏｌｏｇｙａｎｄＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙ，ＭｉｎｉｓｔｒｙｏｆＥｄｕｃａｔｉｏｎ，ＳｈａｎｄｏｎｇＵｎｉｖｅｒｓｉｔｙ，Ｊｉｎａｎ２５０１００，Ｓｈａｎｄｏｎｇ，Ｃｈｉｎａ）Ａｂｓｔｒａｃｔ：ＭＩＢＳｉｓｓｕｉｔａｂｌｅｆｏｒｅｘｔｒｅｍｅｌｙｃｏｎｓｔｒａｉｎｅｄｅｎｖｉｒｏｎｍｅｎｔｓ，ｓｕｃｈａｓＲＦＩＤｔａｇｓ．ＢａｓｅｄｏｎｔｈｅａｎａｌｙｓｉｓｏｆｔｈｅｆｌａｗｉｎＡｓｌｉＢａｙ ’ ｓｗｏｒｋ，ａｎｅｗｉｍｐｏｓｓｉｂｌｅｄｉｆｆｅｒｅｎｔｉａｌｃｒｙｐｔａｎａｌｙｓｉｓｗａｓｐｒｏｐｏｓｅｄ．ＴｈｅａｔｔａｃｋｏｆＭＩＢＳｗａｓｒｅｄｕｃｅｄｔｏ
２１对ＡｓｌｉＢａｙ攻击的分析
－４，因此在文献［３］节５３第３步（ｃ）部分，作者指出此步每个剩余明文对能排除所有子密钥猜测值的２６８－４１３＋ｍ６８－４２在第一对后剩余密钥数为２（１－２），又由于有２对明文，所以共剩余２（１－２）
５９果的错误，并提出新的不可能差分分析。并提出了对约减至１２轮的ＭＩＢＳ算法的攻击，此攻击需２选择明文和６３次加密运算。２
ＩｍｐｏｓｓｉｂｌｅｄｉｆｆｅｒｅｎｔｉａｌｃｒｙｐｔａｎａｌｙｓｉｓｏｆｒｅｄｕｃｅｄｒｏｕｎｄＭＩＢＳ
轻量级分组密码算法ＭＩＢＳ不可能差分分析
，２，２杜承航１，陈佳哲１
（１．山东大学数学学院，山东济南２５０１００；２．山东大学密码技术与信息安全教育部重点实验室，山东济南２５０１００）
摘要：轻量级分组密码算法适源自文库于ＲＦＩＤ等计算资源严格受限的环境。指出之前ＡｓｌｉＢａｙ等人不可能差分分析结
攻击过程如下。（１）选择由满足下面形式的明文组成的结构：ＬＰ（ｘ，ｘ，ａ，ｘ，ａ，ａ，ｘ，ｘ）ｂ，ｂ，ｂ，ｂ，ｂ，ｂ，（０＝１２３４５６７８１２３４５６ｘ，ｂ），Ｒ（ｙ，ｙ，ｙ，ｙ，ｙ，ｙ，ｙ，ｙ）。其中ｘ（ｉ＝１，２，４，７，８），ｙ（１）及ｘ取遍４ｂｉｔ的所有可能值， ≤ｉ ≤８８０＝１２３４５６７８ｉｉａｂｉｔ的常数。ｉ和ｂｉ是４
实际上通过这一步，每个剩余明文对只能对２４ｂｉｔ的部分子密钥猜测值进行过滤，对剩余的６８－２４＝
２４－４２０４４ｂｉｔ值没有任何的约束及过滤作用，所以能过滤掉错误密钥的个数为１× ２ × ２＝２，而猜测的子密钥一６８２０６－４８－４，所以这步能过滤所有６８ｂｉｔ密钥猜测值的概率为２／２８＝２，而不是２。更多说明可参考文献共有２
１３＋ｍ
个错误密钥，此
时如果取ｍ＝０，则没有错误密钥剩余。作者的叙述和计算看起来貌似没什么问题，但是仔细计算后发现，作者开始就把每个明文对能排除错误
－４－８子密钥的概率错算成了２，这一错误与文献［４］节４１第３步（ｃｉｉｉ）中的２如出一辙，文献［４］中的这一８７－６８５］中指出，并详细的分析和计算了正确的概率为２错误也已经在文献［／２６＝２。
５９６３析，该攻击所需明文量为２，时间复杂度为２次加密运算。
本文在第一部分首先简单描述了ＭＩＢＳ算法。第二部分指出了文献［３］中的错误，并提出全新的约减至１２轮ＭＩＢＳ的不可能差分分析。最后对全文进行了总结。
１ＭＩＢＳ算法简介
ＭＩＢＳ是Ｆｅｉｓｔｅｌ结构的分组密码算法，消息分组长度为６４ｂｉｔ，共有３２轮。密钥长度有６４ｂｉｔ和８０ｂｉｔ两２ｂｉｔ的值。而且ＭＩＢＳ中是以４ｂｉｔ为一个单位的，称为半字节或半种。６４ｂｉｔ的消息分组分成Ｌ０和Ｒ０两个３位元。
２］数。不可能差分分析［是由Ｂｉｈａｍ和Ｓｈａｍｉｒ提出的一种密码分析技术，是分组密码算法的一种重要分析方
法。它利用概率为０的不可能出现的差分特征过滤错误密钥。文献［３］第一次提出了约减至１２轮的ＭＩＢＳ算法的不可能差分分析，但我们发现该分析结果有误。本文提出了新的约减至１２轮的ＭＩＢＳ不可能差分分
０引言
微型计算设备由于其高度便携性等特点，得到越来越广泛的应用，因此其安全性也备受关注，出现了许
［１］多专门设计的轻量级加密算法。ＭＩＢＳ是由ＭａｒｙａｍＩｚａｄｉ等人在ＣＡＮＳ２００９上提出的轻量级分组密码算
法，它占用资源少，适合应用于计算能力受限的微型计算设备上，如ＲＦＩＤ等。ＭＩＢＳ算法是分组长度为６４ｂｉｔ的Ｆｅｉｓｔｅｌ结构的分组密码算法，共有３２轮，密钥有６４ｂｉｔ和８０ｂｉｔ两种参
［５］节２３详细的分析。这一概率的计算错误也导致了明文量选取过少，时间复杂度从而也计算错误。所以文献［３］的不可能差分分析结果是错误的。２２轮密钥关系［０～１２］＝ｋ［１９～３１］，性质由密钥生成算法很容易得到，相邻两轮轮密钥间具有以下线性关系：ｋｉｉ＋１即ｋ［０］＝ｋ［３］。其中方括号内数字表示半字节中ｂｉｔ位。 ‖ｋ ‖ｋ ‖ｋ ‖ｋ ‖ｋ ‖ｋｉ，１ｉ，２ｉ，３ｉ，４ｉ＋１，５ｉ＋１，６ｉ＋１，７ｉ＋１，８２３约减至１２轮的ＭＩＢＳ不可能差分分析类似于［６］中对Ｃａｍｅｌｌｉａ的不可能差分分析，本文给出ＭＩＢＳ的不可能差分特征，并在这一特征前边加３轮，后边加１轮构成下文的１２轮不可能差分分析路线，如图２所示。
４８］。
２约减至１２轮的ＭＩＢＳ算法不可能差分分析
文献［３］中第一次提出了８０ｂｉｔ密钥１２轮ＭＩＢＳ的不可能差分分析，但结果有误，下文具体指出。接着
５９６３我们提出了新的约减至１２轮的ＭＩＢＳ不可能差分分析，所需明文量为２，时间复杂度为２次加密运算。
图１Ｆ函数图Ｆｉｇ．１ＦｕｎｃｔｉｏｎＦｏｆＭＩＢＳ
ＭＩＢＳ的轮函数由轮密钥加、Ｓ盒变换、扩散层及Ｐ置换组成。设Ｌ，Ｒ是第ｉ轮的输入，ｋ２ｂｉｔｉ－１ｉ－１ｉ是３Ｆ（ｋ，Ｌ），ＲＬ。轮密钥，第ｉ轮的迭代公式为：ＬＲｉ＝ｉｉ－１ｉ－１ｉ＝ｉ－１轮密钥加：每轮输入的左３２ｂｉｔ都与３２ｂｉｔ的轮密钥相异或。
图２８轮不可能差分特征及１２轮不可能差分分析路线Ｆｉｇ．２８ｒｏｕｎｄｉｍｐｏｓｓｉｂｌｅｄｉｆｆｅｒｅｎｔｉａｌａｎｄ１２ｒｏｕｎｄｉｍｐｏｓｓｉｂｌｅｄｉｆｆｅｒｅｎｔｉａｌａｔｔａｃｋ
５９６３ｃｈｏｓｅｎｐｌａｉｎｔｅｘｔｓａｎｄ２ｅｎｃｒｙｐｔｉｏｎｓ．１２ｒｏｕｎｄｓａｎｄｎｅｅｄｓ２
Ｋｅｙｗｏｒｄｓ：ｌｉｇｈｔｗｅｉｇｈｔｂｌｏｃｋｃｉｐｈｅｒ；ＭＩＢＳ；ｉｍｐｏｓｓｉｂｌｅｄｉｆｆｅｒｅｎｔｉａｌｃｒｙｐｔａｎａｌｙｓｉｓ