密码分析技术 - 复杂度分析

密码分析技术 - 复杂度分析

差分分析

对CipherFour的4+1差分分析。4轮区分器：$Pr(din\stackrel{4r}{\to }dout)>1/2^4$

S/N：

m：明密文对个数

p：差分概率，81/1024

$\alpha$：去噪后，每个方程的解数，4

$\beta$：去噪比例，7387 / 2¹⁶

k：密钥长度，4

$S/N=\frac{mp}{m\beta \frac{\alpha }{2^k}}=\frac{p{2}^k}{\alpha \beta }=2.56$

D：

c：正确对个数

$1\le S/N\le 2$时，c = 20~40

$S/N\ge 100$时，c = 3~4

D = $\frac{c}{p}$

T：

选取t个明密文对，过滤出 t’ = $t\beta$ 对

每一对明密文，对一个4-bits密钥分组计数

共计4个分组

T = $4\times t^{\prime }\times 2^4$

M：

存储明密文对：t

密钥计数器：$4\times 2^4$

截断差分

对 Cipherfour 的1+3+1截断差分分析。3轮区分器：$Pr(S_{din}\stackrel{3r}{\to }{S}_{dout})=1$

S/N：

s：结构体个数

p：截断差分概率，等于1

$\beta$：去噪比例，等于1

k：密钥长度，第1轮4-bits，第5轮4-bits

一个结构体，提供$({}_2^{2^4})=2^7$对明密文

猜定第一轮密钥，平均得到$2^7/2^4=2^3$对明密文

因此，S = 2³ s

共计2⁷s个8-bits方程，共计4+4*4 = 20-bits密钥

一个方程可以得到：$2^{20}/2^8=2^{12}$个解

共计：$2^{7}s\times 2^{12}$个解

共计：2²⁰个密钥，平均计数：N = $2^{19}s/2^{20}=s/2$次

$S/N=\frac{S}{N}=2^4$

D：

c：正确对个数

$1\le S/N\le 2$时，c = 20~40

$S/N\ge 100$时，c = 3~4

D = $\frac{c}{p}=c$

T：

第一轮选定一个4-bits密钥，对结构体进行“过滤”，

$2^{7}s$次S-box，得到约$2^{3}s$对明密文

最后一轮对密文解密，4组密钥，每组有2⁴个密钥

$4\times (2^{3}s\times 2^4)$次S-box

T = 2⁷s + 2⁹s

M：

存储明密文对：2⁴s

密钥计数器：$(4+1)\times 2^4$

不可能差分

对 Fesitel 结构的5+1不可能差分分析。5轮区分器：$Pr((\alpha ,0)\stackrel{5r}{\to }(0,\alpha ))=0$

数学工具

$x\to 0,(1+\frac{1}{x}{)}^x=1$

$x\to oo,(1+\frac{1}{x}{)}^x=e$

$x\to 0,(1+x+x^2+...)=\frac{1}{1-x}$

D：

b：明密文分组长度

s：结构体个数

每个结构体有$2^{b/2}$个明文

t：密钥长度

$2^{b/2}$个明文可以组成$({}_2^{2^{b/2}})=2^{b-1}$对

去噪，要满足明文差分与密文差分都为$\alpha$，若密文差分均匀分布，得到：$2^{b-1}/2^{b/2}=2^{b/2-1}$对

一个b/2-bits方程，得到 $\dfrac{2^t}{2{b/2}} $个解，不可能是正确密钥，排除掉

令：$(2^t-1)(1-\frac{2^{t-2^{b/2}}}{2^t}{)}^{2^{b/2-1}s}=(2^t-1)e^{-0.5s}=(2^t-1)0.61^s<1$

$s>2t\times ln2$

D = $2^{b/2}s$

T：

采样：$s{2}^{b/2}$次加密

去噪：$2\times s{2}^{b/2}$次差分

恢复密钥，每个结构体可以排除一些密钥，剩余e^-0.5：

$2^{b/2}{\Sigma }_{i=1}^s{2}^t{e}^{-0.5i}=2^t{2}^{b/2}/(1-e^{-0.5})=2^{t+b/2+1.34}$

M：

一共2^t个密钥，各对应一个1-bit计数器

回飞棒攻击

原型 选择明文(m1,m2)，选择密文(c3,c4)，统计(m3,m4)差分为$\alpha$的频率：

增强型 选择明文(m1,m2)与(m3,m4)：

矩形攻击 与增强型类似，不要求$\beta ={\beta }^{\prime }$，考虑所有的 $\alpha$ 经 ENC¹ 可以到达的$\beta ,{\beta }^{\prime }$

1. 选择(m1,m2)与(m3,m4)，满足差分为$\alpha$
2. 统计(c1,c3)与(c2,c4)差分同时为$\gamma$的频率

线性分析

对 CipherD 的4+1线性分析。4轮区分器：$Pr(\alpha \stackrel{4r}{\to }\beta )=0.5+ϵ$

D：

Ps：成功率

$l$：待破解密钥的长度

r：选取计数器前2^r高的密钥

$ϵ$：线性壳的偏差

$N=(\frac{{\varphi }^{-1}(Ps)+{\varphi }^{-1}(1-2^{-l+r-1})}{2}{)}^2\times \frac{1}{{ϵ}^2}$

T：

最后一轮对密文解密，4组密钥，每组有2⁴个密钥

T = $4\times (N\times 2^4)$次S-box

M：

存储明密文对：N

密钥计数器：$4\times 2^4$

零相关线性分析

对 AES-192 的1+4+1零相关线性分析。4轮区分器：$Cor(\alpha \stackrel{4r}{\to }\beta )=0$

D：

选取一半的明文

D = 2^n-1

T：

第一轮猜测4字节密钥，最后一轮猜测4字节密钥，共8字节

$D\times 2^{8\ast 8}$次S-box运算

然后，换区分器，计算最后一轮的另外4字节密钥

$D\times 2^{4\ast 8}$次S-box运算

再换区分器，计算最后一轮的另外4字节密钥

$D\times 2^{4\ast 8}$次S-box运算

穷举最后一轮剩余4字节密钥，只需要2个明密文对

$2\times 2^{192-64-32-32}=2^{65}$次加密

6轮加密，每一轮有16个S盒运算；每次破解，要计算8次S-box

$T=\frac{D\times （2^{64}+2^{32}+2^{32}}{(6\ast 16/8)}+2^{65}$ 次6轮加密

M：

存储明密文对：D

密钥计数器：$（4+16）\times 2^8$ 可忽略

积分攻击

对 AES-192 的3+2积分攻击。区分器：$Pr([A,C,C,...]\stackrel{3r}{\to }[B,B,B,...])=1$

D：

要恢复5字节密钥，40-bits

一个结构体，若区分器尾部的积分以均匀概率到达s=0，

那么一个结构体包含8-bits信息

需要6个结构体，可以确定唯一解

D = $6\times 2^8$

T：

可以通过更换区分器，分4次，恢复最后一轮的全部16字节密钥。

每次计算，需要计算5次S-box。

T = $4\times 5\times (2^8\times 2^{40}+2^8\times 2^{32}+...+2^8\times 2)=2^{50}$ 次S-box

M：

存储明密文：D

存储(处理完第一个结构体后的)密钥：2³²

中间相遇攻击

对 AES 的1+4+2中间相遇攻击。

区分器：$Pr([a_{11},C,C,...]\stackrel{3r}{\to }[c_{11},C,C,...])=1$

其中$a_{11}$到$c_{11}$有映射表，映射表与25个字节有关，矩阵大小为：$256\times 2^{25\times 8}$

D：

$a_{11}$是活跃字节，猜定K⁽¹⁾，然后再猜K_init，选择明文。

为了恢复K_init，最终需要全部的4字节的活跃集。

D = $2^{4\times 8}$

T：

可以更换区分器，恢复全部的最后一轮的16字节密钥。

预计算4个映射表：$4\times 256\times 2^{25\times 8}=2^{210}$

在线阶段，分4次每次恢复4+1+1+4=10字节的密钥：

$4\times 10\times 2^{80}\times 256=10\times 2^{90}$ 次 S-box 运算

M：

存储4个映射表：$4\times 256\times 2^{25\times 8}=2^{210}$

存储明密文：D

生日攻击

对 k-SUM 问题的碰撞

D：

为了找到一个碰撞，选取k个大小$2^{n/k}$的随机集合。

当然，也可以是同一个集合。

D = $k{2}^{n/k}$

T：

理论下界：2^n/k

要保证最顶上的集合至少有一个元素，

且每次两两$l-bits$部分碰撞的耗时尽可能少

k-SUM算法的复杂度给出了上界：$k{2}^{n/(1+lo{g}_2(k))}$

当k=$2^{\sqrt{n}}$时，为$2^{2\sqrt{n}}$，亚指数级

M：

要保证最顶上的集合至少有一个元素，

且每次两两$l-bits$部分碰撞的耗时尽可能少

存储各个集合，最底层的占主体：$k{2}^{n/(1+lo{g}_2(k))}$