5.6差分密码分析原理

第六节差分密码分析原理1差分分析(differential cryptanalysis)方法是一种选择明文攻击。

该方法的基本思想是: 通过分析一对特选的明文对的差相应密文对的差的影响来提取密钥信息。

这种攻击方法主要适用于攻击迭代密码。

2需要解决的问题1.是否存在差分优势？2.如何求单轮变换的差分优势？3.如何求多轮变换的差分优势？4.差分优势和选择明文的关系？34对分组长度为n 的r 轮迭代密码, 将两个n 比特串x 与x *的差分定义为:*x x x ∆=⊕ (4.8)如果给定一对n 长的明文m 和m *, 那么在密钥的控制下, 第i 轮迭代所产生的中间密文差为 *()()()c i c i c i ∆=⊕ 0i r ≤≤ (4.9)其中⊕表示比特串集合上的一个特定的群运算。

现在的差分攻击多数定义为模2运算。

概念5因为k i是第i 轮迭代的子密钥, 所以()((1),)i c i f c i k =−*()((1),)((1),)i i c i f c i k f c i k ∆=−⊕− 这里, 每轮迭代所用的子密钥ik 与明文统计独立, 且可以认为它服从均匀分布。

当i= 0时,c(0) = m, c*(0) = m*, ∆c(0) = ∆m= m⊕m* ；当i= r时,∆c=∆c(r)。

6因为k i是第i轮迭代的子密钥, 所以c(i) = f(c(i−1), k i)∆c(i) = f(c(i−1), k i) ⊕f(c*(i−1), k i) 这里, 每轮迭代所用的子密钥与明文统计独立, 且可以认为它服从均匀分布。

78例 在DES 中, 令***0000,m L R m L R ==. 如果*00R R =, 则明文差 **'000000(,0)m L R L R L α=∆=⊕=，其中'*000L L L =⊕。

9假如DES 只有一轮迭代, 而不是16 轮迭代, 那么我们根据DES 轮函数可以计算出 L 1 = R 0 L 1* = R 0*R 1 = L 0 ⊕ f (R 0, k 1) R 1* = L 0* ⊕ f (R 0*, k 1) 于是**'111110(0,)L R L R L α=⊕=→L 1⊕L 1* = 0→R 1⊕R 1* = L 0′这个差分一轮的概率是1。

这表明, 随机地选择一对输入差为(L′0,0)的明文, 经过DES的一轮迭代后的密文差为(0, L′0)的概率为1, 因而不可能得到其它的密文差。

10第五章分组密码与数据加密标准11例 在DES 中, 令***0000,m L R m L R ==. 如果*00(60000000)R R +=（以下均以16进制表示32bit 数据）, 则明文差为*0**0000'0(,)(,60000000)m m mL L R R L α=∆=⊕=⊕⊕=第五章分组密码与数据加密标准12***,10101160000000L R L R L L ==⇒⊕=******** (,),(,)()(,)(,)()((()))((()))11100111110000110000R L f R k R L f R k R RL L f R k f R k L L P S E R k P S E R k =⊕=⊕⇒⊕=⊕⊕⊕=⊕⊕⊕⊕⊕= L 0′ ⊕ P (S (E (R 0) ⊕k1) ⊕ S (E (R 0*) ⊕k 1) )13因为R 0和R 0*经过相同的扩展运算后分别与k 1模2 相加, 所以选择压缩运算S-盒的输入差为E (R 0) ⊕k 1 ⊕E (R 0*) ⊕k 1 = E (R 0) ⊕E (R 0*) = E (R 0⊕R 0*)= E (60000000)= (001100, 000000, 000000, 000000, 000000, 000000,000000, 000000)14因为S 2-盒至S 8-盒的输入差都是000000, 所以它们的输出差都是0000的概率为1。

而S 1-盒的输入差为001100, 考虑下列问题：1. S 1-盒的输入差为001100，对应多少对输入？2. 其输出差有多少种取值？24 = 1626 = 6415这样的一轮迭代的特征是01ααΩ=. 这表明, 随机地选择一对输入差为'0(,60000000)L 的明文, 经过一轮迭代后的输出差为'10(60000000,00808200)L α=+的概率是14/64, 而得到其它形式的密文差是相当随机的且具有的概率都很小。

简单地说就是：某些输入差对应的输出差，具有较大的概率，这就是我们需要的信息。

参看书PS1-盒和P159差分分布表，例如131(000000) ⊕(001100) = (001100)(000001) ⊕(001101) = (001100)S(000000)⊕S(001100) = 0101S(000001)⊕S(001101) = 11011617S 1-盒的输入差为001100, 其输出差为1110的概率是14/64。

于是, 选择压缩运算S 的输出差为E0000000的概率为14/64. 再经过置换运算P, 它的输出差是00808200, 故'10(60000000,00808200)L α=⊕'*000L L L =⊕分析正是由于输入差和输出差的分布表的不均匀性，才导致了差分分析的可能性。

18191. 是否存在差分优势？2. 如何求单轮变换的差分优势？3. 如何求多轮变换的差分优势？4. 差分优势和选择明文的关系？需要解决的问题√√20定义r-轮特征Ω是一个差分序列α0α1….αr其中α0是明文对m 和m *的差分, αi (1 ≤i ≤r )是第i 轮输出c (i )和c *(i )的差分。

21定义 在r-轮特征01......r αααΩ=中, 设1(((1))|(1))i i i p p f c i c i ααΩ−=∆−=∆−= (4.10)为第i 轮迭代输入差（即为第(i -1)轮迭代输出差）为1i α−, 输出差为i α的概率(或差分扩散率).定义r-轮特征Ω=01......rααα的概率是指在明文和子密钥12,,......,rk k k独立, 均匀随机时, 明文对m和m*的差分为α0的条件下, 第i(1)i r≤≤轮输出c(i 和c*(i)的差分为αi的概率(或称为特征Ω的差分扩散率) 。

2223定义 设101......m αααΩ=和201......l βββΩ=分别是m-轮特征和l -轮特征。

若0m αβ=, 则1Ω和2Ω的级联定义为一个()m l +-轮特征011............m l αααββΩ=。

并且Ω的概率为Ω1和Ω2的概率的乘积。

在实际应用中，r-轮特征Ω = α0, α1,…., αr的概率可以用p1Ω×p2Ω×…×p rΩ来近似，因此，r-轮特征可以看作r个单轮特征的级联，它的概率是r个单轮特征概率的乘积。

24251. 是否存在差分优势？2. 如何求单轮变换的差分优势？3. 如何求多轮变换的差分优势？4. 差分优势和选择明文的关系？需要解决的问题√√√定义若r-轮特征Ω= α0, α1,…., αr满足(1) m与m*的差分为α；(2) 第i轮输出c(i)与c*(i)的差分为αi (1 ≤i≤r),则称明文对m与m*是一个正确对，否则称其为错误对。

2627定理假设每一轮子密钥是统计独立且是均匀分布的，则r -轮特征Ω= α0, α1,…., αr 的概率恰好是差分为α0的明文对是正确对的概率。

证明差分是α0的明文对m 与m *是特征Ω= α0, α1,…., αr 的正确对, 当且仅当第i (1 ≤i ≤r )轮输出c (i )和c *(i )的差分为αi 。

28因为第i 轮的输入差为αi -1，输出差为αi 的概率与具体的输入无关，而且又假定每一轮迭代的子密钥统计独立且是均匀分布的，所以第i 轮输入差为αi -1，输出差为αi 的概率与前面各轮的作用无关。

因此，差分是α0的明文对是特征Ω的正确对的概率是每个单轮特征概率的乘积。

29假如我们找到一个概率比较大的轮特征Ω= α0, α1,…., αr ，那么我们可以随机地选择输入差为α0的明文对，根据定义4.5和定理4.6，这样的明文对是正确对的概率和特征Ω的概率相同。

已知条件和攻击目标之间的关系？3031综上所述, 对r 轮迭代密码的差分攻击的步骤如下:1) 找出一个（r −1）轮特征011......r ααα−Ω=, 使它的概率达到最大或几乎最大.差分分析攻击步骤322) 均匀随机地选择明文m , 并计算出m *, 使*0m m α⊕=, 再找出m 和m *在实际密钥加密下所得的密文()c r 和*()c r .333) 若最后一轮的子密钥r k （或r k 的部分比特）有2m 个可能的值(12)rm j k j ≤≤, 我们就设置2m 个相应的计数器j δ(12)m j ≤≤, 用每一个可能的密钥解密c (r )和*()c r 得到(1)c r −和*(1)c r −. 若(1)c r −+*(1)c r −1r α−=, 则给相应的计数器j δ加1。

4) 重复第2、3步, 直到有一个或几个计数器的值明显高于其它计数器的值, 输出它们所对应的子密钥（或部分比特）。

攻击成功！34小结1.是否存在差分优势？2.如何求单轮变换的差分优势？3.如何求多轮变换的差分优势？4.差分优势和选择明文的关系？35。