【密码分析学 笔记】3.2 截断差分分析

3.2 截断差分分析（TRUNCATED DIFFERENTIAL CRYPTANALYSIS）

3.2.1 截断差分分析原理

• 选择明文攻击
• 差分分析的变种，输入和输出差分由固定值⇒ 可能值的集合
• 截断≠截取
• 截断：将一个差分的部分取值确定为0或1的比特放宽为取0或1均可的状态，从而影响不随机事件发生的概率，导致攻击结果的改变

截断

n比特二进制串 $m_0{m}_1...m_{n-1}$, $m_0^{{}^{\prime }}{m}_1^{{}^{\prime }}...m_{n-1}^{{}^{\prime }}$是$m_0{m}_1...m_{n-1}$的截断当且仅当对于所有的$0\le i＜n$有$m_i^{{}^{\prime }}=m_i$ 或者$m_i^{{}^{\prime }}$不固定

• $m_0{m}_1...m_{n-1}$有$2^n-2$种截断，除去全*和全等

i轮截断差分路线

${\beta }_0\stackrel{1轮}{\to }{\beta }_1\stackrel{1轮}{\to }{\beta }_2\stackrel{1轮}{\to }...\stackrel{1轮}{\to }{\beta }_i$是一条i轮差分路线，则${\beta }_0^{{}^{\prime }}\stackrel{1轮}{\to }{\beta }_1^{{}^{\prime }}\stackrel{1轮}{\to }{\beta }_2^{{}^{\prime }}\stackrel{1轮}{\to }...\stackrel{1轮}{\to }{\beta }_i^{{}^{\prime }}$是*轮截断差分路线，其中${\beta }_j^{{}^{\prime }}(0\le j\le i)$是${\beta }_j$的截断

i轮截断差分

${\beta }_0\stackrel{i轮}{\to }{\beta }_i$是一条i轮差分，则${\beta }_0^{{}^{\prime }}\stackrel{i轮}{\to }{\beta }_i^{{}^{\prime }}$是一条i轮截断差分，其中${\beta }_j^{{}^{\prime }}(j=0,i)$是${\beta }_j$的截断。

截断差分攻击的一般过程

得到了三轮截断差分,概率为1：

$(0000000000100000)\stackrel{2R}{\to }(\ast 0\ast \ast 0000\ast 0\ast \ast \ast 0\ast \ast )$

$(0000000000100000)\stackrel{3R}{\to }(\ast 0\ast \ast \ast 0\ast \ast \ast 0\ast \ast \ast 0\ast \ast )$

• 一旦S盒的输入差分有1bit出现*，输出差分就需要结合S盒的DDT

3.2.2 CipherFour算法的截断差分分析

思路：利用概率为1的三轮截断差分，采用“1+3+1”的攻击模式，头尾各加一轮，进行5轮密钥恢复攻击

1. 采样

   • 选择明文

     • 选择$2^4$个明文对构成的结构体

     • 结构体：

       • 只有i改变，其他为固定常数
       • 任意两两组对，大约$2^7$对结构体
       • 满足

   • 明文组对

     • 猜测4-bit的$k_{0,2}$，筛选满足S盒输出差分 为0010的消息对
     • 对密钥每一种猜测值，设有s对满足截断差分头部
     • 若$k_{0,2}$猜对，则有s对正确对
2. 去噪
   • 密文对差分无特殊性质，满足随机置换概率，无法对密文对过滤
3. 密钥恢复攻击
   • 思路：
     • 若$k_{0,2}$猜对，则有s对正确对满足截断差分头部和尾部
     • 若$k_{5,0}$猜对，则对应的s对正确对的密文解密到截断差分尾部，高4bit应都满足*0**
       • 则至少有一个$k_{5,0}$的计数器数值为s；否则，$k_{0,2}$ 猜错
       • 同理剩下的$k_{5,1},k_{5,2},k_{5,3}$
     • 需要恢复4-bit的$k_{0,2}$和 16-bit的$k_5$
   • 即对于$k_{5,i}(i=0,1,2,3)$的每种可能，需要带入下面的方程式组，验证每对密文$C_i,C_j$
     • 

总结

• 需要发现高概率的r轮截断差分
• 推测从明（密文）加（解）密到截断差分的头（尾）部相关的 密钥，求解带概率的方程
• 关键：探测中间状态的信息
• 截断差分分析则专注于非线性组件输出的某些特定部分，即截断后的差分。这种方法允许分析者忽略非线性组件输出的某些位，从而可能发现传统差分分析无法发现的差分路径。
• 只关注部分差分，它可能降低搜索有效差分路径的复杂度。
• 可以看作是差分分析的一种特殊形式，它通过聚焦于差分的特定部分来简化分析过程