分组密码的主要攻击方法

定义3 为两个正整数， 定义3 设n和m为两个正整数，从F2n到F2m的映射称 和 为两个正整数 向量值函数， 为（n，m）函数，有时也称为向量值函数，多输出布 ）函数，有时也称为向量值函数 尔函数或向量布尔函数. 尔函数或向量布尔函数. 向量值函数的表示方法： ☆ 向量值函数的表示方法： （1）分量函数表示法： 分量函数表示法：
∑
aij xi x j + …
+
1≤i1 <i2 <…<id ≤ n
∑
ai1 ,…,id xi1 … xid + … a1,2,…,n x1 x2 … xn
或
f ( x1 , x2 , … , xn ) =
I ∈P ( N )
∑
aI ( Π xi ) =
i∈I
I ∈P ( N )
∑
a I x I , x I = Π xi
4 现代序列密码的攻击方法：
选取初始值攻击、猜测决定攻击 立方攻击、相关密钥攻击
研究背景（ 函数） 研究背景（Hash函数） 函数
已有的Hash函数标准算法： MD5、 SHA1、SHA2 美国SHA3计划推出的Hash函数算法： JH、Grostl、 Blake、Keccak、Skein
4
我国Hash函数标准算法： SM3算法（2010年12月17日公布）
1 f ( x) = n 2
∑S
w∈F2n
f
( w)( −1)
wi x
布尔函数的Walsh变换 §1.2 布尔函数的 变换
第1章 布尔函数与向量值函数
☆ Walsh谱的基本性质 谱的基本性质 （1）循环Walsh谱与线性Walsh谱具有如下关系 循环Walsh谱与线性Walsh谱具有如下关系 Walsh谱与线性Walsh
i∈I
这里 N = {1, 2, … , n} ，P(N)表示N的幂集.当 I 为 ( )表示 的幂集. 的幂集 I 空集时， 空集时，规定 aI = a0 , x = 1
§1.1 布尔函数及其表示
第1章 布尔函数与向量值函数
☆ 布尔函数的基本概念 n ● 重量 w t ( f ) ≜| { x ∈ F2 | f ( x ) = 1} |
2 2 ◆ Bn ≅ F2 [ x1 , x2 , … , xn ] / ( x12 − x1 , x2 − x2 , … , xn − xn )
比较大时，布尔函数的数量巨大） ◆ | Bn |= 2 （当n 比较大时，布尔函数的数量巨大）.
2n
§1.1 布尔函数及其表示
第1章 布尔函数与向量值函数
f ( x1 , x2 , … , xn ) =
I ⊆ Supp( x )
I ∈P ( N )
∑
aI x I , aI ∈ F2
∑
aI
其中 Supp( x ) = {1 ≤ i ≤ n | xi = 1} （2）对任意 I ∈ P( N )
aI =
∑
x∈F2n , supp( x ) ⊆ I
f ( x) .
−2 S f ( w) w≠0 W f ( w) = 2 2 n − 2 S f ( w) w = 0
（2） W f ( w) = 2 n − 2 wt ( f + wi x ) ，∀ w ∈ F2n 特别 W f (0) = 2 n − 2 wt ( f )
W f 2 ( w) = 2 2 n （3） ∑n
( −1)f ( x) Nhomakorabea1 = n 2
∑W
w∈F2n
f
( w)( −1)
xiw
布尔函数的Walsh变换 §1.2 布尔函数的 变换
第1章 布尔函数与向量值函数
（2 ） S f ( w ) =
∑
x∈F2n
f ( x )( −1)
xiw
线性Walsh 称为线性Walsh谱 称为线性Walsh谱.
（3）线性Walsh谱的逆变换如下： 线性Walsh谱的逆变换如下： Walsh谱的逆变换如下
布尔函数的常用表示方法： ☆ 布尔函数的常用表示方法： （1）真值表
( f (0, … , 0, 0), f (0, … , 0,1), … , f (1, … ,1,1))
（2）小项表示
f ( x1 , x2 , … , xn ) =
=
ai ∈F2
∑
f ( a1 , a2 , … , an )( x1 + a1 + 1) … ( xn + an + 1)
研究背景（通信系统模型） 研究背景（通信系统模型）
信源 信源 编码 加密 信道 编码 扩频 调制 信 道 信宿 信源 译码 解密 信道 译码 解扩 解调
数据压缩
密码
纠错编码
扩频通信
研究背景（分组密码） 研究背景（分组密码）
美国AES计划推出的分组密码算法： MARS、RC6、Rijndael、Serpent、Twofish 欧洲NESSIE计划推出的分组密码算法：
研究背景（ 函数） 研究背景（Hash函数） 函数
Hash函数的主要攻击方法： 差分密码分析 比特追踪法 反弹攻击法
4
第1章 布尔函数与向量值函数
定义1 称为n元 定义1 从 F2n 到 F2 的映射 f : F2n → F2 称为 元 布尔函数. 布尔函数. 为全体n元布尔函数的集合 元布尔函数的集合， ◆ 记 Bn 为全体 元布尔函数的集合，则Bn关于布尔 函数的加法与乘法构成一个环，称为布尔函数环. 函数的加法与乘法构成一个环，称为布尔函数环.
w∈F2
Parseval恒等式 恒等式） ( Parseval恒等式）
布尔函数的Walsh变换 §1.2 布尔函数的 变换
第1章 布尔函数与向量值函数
☆ 布尔函数的安全性指标
●
平衡性
n −1 f 为平衡函数 ⇔ wt ( f ) = 2 ⇔ w f (0) = 0
●
代数次数
deg f = max{| I | a I ≠ 0, I ∈ P ( N )}
第1章 布尔函数与向量值函数
●
非线性度
NL ( f ) = min d ( f , l ) = min wt ( f − l )
l∈ An l∈ An
（1） NL ( f ) = 2 （2 ） （3 ） (4)
n −1
1 − max | W f ( w) | w∈ 2 w∈F2n
n −1 2
NL ( f ) ≤ 2 n −1 − 2
Ann ( f ) = (1 + f ) = (1 + f ) Bn n n +1 （2） AI ( f ) ≤ = 2 2 n 则称f为代数免疫度最优的函数. （3）若 AI ( f ) = ，则称 为代数免疫度最优的函数. 2
§1.3 布尔函数的安全性指标
第1章 布尔函数与向量值函数
4 其他重要的序列密码算法： A5\1 GSM数据加密算法 RC4 网络数据库加密算法 E0 蓝牙数据加密算法 ZUC 3GPP序列标准算法
研究背景（序列密码） 研究背景（序列密码）
序列密码的主要攻击方法： 经典序列密码的攻击方法： 线性逼近攻击-非线性度 相关攻击-相关免疫度 代数攻击-代数免疫度
F ( x ) = ( f1 ( x ), f 2 ( x ), … , f m ( x )), x ∈ F2n
元布尔函数. 其中 f i ( x) 为n元布尔函数. 元布尔函数 （2）代数正规型表示法： ( x ) = 代数正规型表示法： F 其中P(N)为N的幂集， I ∈ F2 . 为 的幂集 a 的幂集， 其中
●
次数 代数正规型中系数非零项所含有最多变元 的个数. 的个数.即
deg f ≜ max{| I | aI ≠ 0, I ∈ P ( N )}
●仿射函数集
An = { f ( x1 , x2 , … , xn ) = ∑ ai xi + a0 a0 , a1 , … , an ∈ F2 }
●线性函数集
4
代数攻击-代数次数 中间相遇攻击 相关密钥攻击
研究背景（序列密码） 研究背景（序列密码）
欧洲NESSIE计划推出的序列密码算法： SNOW3G （3GPP数据加密标准） 欧洲Estream计划推出的序列密码算法： Grain v1、Trivium、 Mickey v2 （面向硬件） HC、Rabbit、Salsa20、Sosemanuk（面向软件）
i =1
n
Ln = { f ( x1 , x2 , … , xn ) = ∑ ai xi ai ∈ F2 }
§1.1 布尔函数及其表示
i =1
n
第1章 布尔函数与向量值函数
命题1 命题1 设布尔函数 f 的代数正规型为
f ( x1 , x2 , … , xn ) =
则（1）对任意 x = ( x1 , x2 , … , xn ) ∈ F2n
注： n 元平衡函数的代数次数至多为 n − 1 。 事实上， 事实上，重量为偶数的 n 元布尔函数的代数次数 至多为 n − 1 。
§1.3 布尔函数的安全性指标
第1章 布尔函数与向量值函数
●
差分均匀度
δ f = max max | { x ∈ F2n f ( x + α ) − f ( x ) = β } |
若 NL ( f ) = 2 n −1 − 2
n −1 2
Bent函数 函数. ，则称 f 为Bent函数.
n 2
f 为Bent函数当且仅当 W f (a) = ±2 , ∀a ∈ F2n Bent函数当且仅当
§1.3 布尔函数的安全性指标
第1章 布尔函数与向量值函数
相关免疫阶与弹性阶 是一个n元布尔函数 元布尔函数， 设z = f (x1, x2,…, xn) 是一个 元布尔函数，其中 x1,x2,…,xn 是F2上独立分布的随机变量，如果z与 上独立分布的随机变量，如果 与 x1, x2,…,xn 中任意 个变量 i1,xi2 ,…, xim统计独立， 中任意m个变量 个变量x 统计独立， 则称f为 阶相关免疫函数. 则称 为m阶相关免疫函数.