一种特殊结构的置换S盒.pdfVIP

第十一届“保密通信与信息安全现状研讨会” 一种特殊结构的置换S盒 曹云飞 (现代通信国家重点实验室．四川成都610041) m，行 的最大线性概率的快速计算方法和计算复杂度D(2：“)． 【关键词】线性概率；S盒；计算复杂庹 【中图分类号】TP309．2 【文献标识码】A 【文章编号】1 OneKindofSboxConstuuctedial Specly CAO Yun-fei (StateKeyLaboratoryforModern Sichuan Communications，Chengdu610041，China) describestheconstructionof [Abstract]Thispaper a刀x疗Sbox withdimensionof bym+I(m≥3)Sboxs 三x旦． It amethodfor maximumlinear gives computing ofthe the probabilitySbox，includingc伽中utation m 朋 兰■。 complexityo(2，1． words]linear [Key probability：Sbox：computationcomplexity O引言 整数乘”、“模整数加”等)也可看成是一个特殊的s盒。 线性分析是迄今为止的十分重要的分组密码分析方法， 在一些序列密码算法中也使用了S盒，如NESSIE中的 线性近似概率是衡量一个分组密码算法抗线性分析的重要 SNOW算法使用了SKIPJACK算法中的S盒。 指标，分组密码算法的设计一般采用迭代结构，即由轮函数 迭代构成，轮函数主要由三部分组成：密钥加层、非线性层 1特殊构造的s盒 (主要由S盒组成)和扩散层。非线性层在密码算法中起着 线性密码分析【21，1993年由Matsui提出的已知明文攻 重要作用，一个算法的许多密码特性都是由非线性层确定 击。基本思想是通过寻找一个给定密码算法的有效近似表达 的。在DES中使用了6比特输入、4比特输出的S盒，它是式来破译密码系统，这种攻击的思想是找出含有某些明文比 算法中唯一的非线性部件，在DES算法的S盒设计过程中， 特、某些密文比特和相关密钥比特的有效线性逼近。如果该 据说已考虑到差分特性【l】，所以DES算法对差分分析是免 线性逼近概率偏离1／2，那么，就可以用足够多的明文一密 疫的，而对线性特性考虑不周，从而存在线性分析。在AES 文对来测试满足线性逼近的多密钥比特组合的正确值。显 算法的设计中，唯一的非线性部件采用了8比特输入、8比 然，偏离越大，则用于确定正确密钥比特值所需要的明文． 特输出S盒，它的差分概率、线性相关概率达到最佳，同时 密文对的数目越少。 为了阻止插值攻击，对S盒的代数表达式也提出了一些要 定义l对于S盒，如果输入为X，输出为Y=S(x)， 求，即s盒的代数表达式的项数越多越好。几乎所有的分组 存在口，b使得口，b冰b，Y成立的概率P不等于l／2，则 密码算法都使用了s盒，而且一些密码运算(如“异或’’、“模 称该式是S盒的一个有