宽轨迹策略.pptxVIP

8. 抵抗攻击能力的分析 8.1 与DES类似的对称性和弱密钥 尽管Rijndael算法中存在大量的对称性，我们已经采取了适当的措施来消除密码行为中过的对称性。通过在每一轮中采用不同的轮常量来实现。Rijndael密码的加密和解密运算采用不同的变换这一事实上几乎消除了像对于DES算法那样的弱密钥和半弱密钥存在的可能行。同时，密钥扩展的非线性实际上也排除了等价密钥存在的可能性。 8.2 差分和线性密码分析 本质： 选择明文攻击方法。 基本思想 　　　通过分析明文对的差值对密文对的差值的影响来恢复某些密钥比特。 　　 密码分析者可随机选择具有固定差分的一对明文（只要求它们符合特定差分条件），对每一个候选密钥，计算某些状态的比特值，并确定他们的异或是否有一个确定的值（即对给定输入异或值的最可能的值），如果是，就把对应于特定候选密钥的计数器加1。这个过程的最后，我们想具有最高频率的候选密钥含有真正密钥那些比特的取值。 8.2.1差分密码分析 8.2.1差分密码分析 8.2.1 差分密码分析 8.2.2 线性密码分析 8.2.2线性密码分析 8.2.2线性密码分析 8.2.3宽轨迹策略 在【Da95】中，可知以下两点： 1.差分传播概率能够被活动的S盒的概率的乘积粗略估计。 2.线性轨迹的相关性概率能够被活动的S盒的输入输出相关性概率的乘积粗略估计。 8.2.3宽轨迹策略 8.2.4 传播形态 8.2.4 传播形态 8.2.4 传播形态 ByteSub ShiftRow MixColumn AddRoundKey Rijndael中不同的变换对重量有一下影响。 ByteSub和密钥加：字节重量和列重量是不变的。 ShiftRow：字节重量是不变的。 MixColunm：列重量是不变的。 注意：字节重量和列重量是不变的 注意：字节重量是不变的 注意：列重量是不变的 注意：字节重量和列重量是不变的 8.2.4 传播形态 由上述可以看出，ByteSub和AddRoundKey在活动形态下的传播过程中并不重要，因此，在讨论中我们将忽略它们，主要讨论ShiftRow和MixColumn 。MixColumn有一个等于5的分支数，这意味着： 对于任意活动列的形态，输入时的字节重量和输出时的重量和大于等于5。 8.2.4 传播形态 ShiftRow有一下性质: 输出列重量大于等于输入的最大列的重量。 输入的列重量大于等于输出的最大列的重量。 8.2.4 传播形态 8.2.4 传播形态 ShiftRow ShiftRow MixColumn 8.2.4 传播形态 8.2.4 传播形态 定理1： 8.2.4 传播形态 8.2.4 传播形态 引理1： 8.2.4 传播形态 8.3 截断差分分 截断查分的概念由L.Knudsen在[Da95]中提出，与其相对应的攻击利用了某些密码中查分轨迹趋于聚集的事实。 简而言之：对于某些输入和输出的差分模式集合，当差分轨迹的数量超乎寻常大时，聚集现象就会发生。一个处于聚集范围种种的差分轨迹的期望概率可以被独立地计算，而不依赖于那些位于聚集之外的单个差分轨迹的概率。那些在所有步骤中均只对分块进行操作的密码最容易受到这种攻击类型的影响。Rijindael算法在所有步骤中都是对字节进行操作，因此它属于上述类型。经过对抗截断差分攻击恩呢该里的研究，对于六轮或更多轮的情况下，我们没有发现比密钥穷搜索更快的攻击。 谢谢！