差分密码分析和性密码分析原理.pptxVIP

;;;差分密码分析是迄今为止已知的攻击迭代分组密码最有效的方法之一，其基本思想是：通过分析明文对的差值对密文对的差值来影响来恢复某些密钥比特 当密码分析人员可以进行选择明文分析时，差分密码分析十分有效。 已知明文的差分密码分析也是可行的，但是要求已知明密文的量很大;;6;7;8;S-Box是非差分均匀的;10;S1 的差分分布表;12;13;14;15;16;17;18;19;20;21;22;23;24;25;26;27;差分密码分析破解DES效率;R轮迭代密码的差分攻击步骤;R轮迭代密码的差分攻击步骤;;线性密码分析概述 ;线性密码分析的基本方法;线性密码分析的基本方法——相关定理;线性密码分析的基本方法;;S-box置换 S-box的最基本的性质是其非线性映射，S-box的输出不能通过输入的线性变换而得到。 ;分析加密部件;S-box线性近似采样 ;例如一个输入变量的线性近似表达式a1 ? X1 ? a2 ? X2 ? a3 ? X3 ? a4 ? X4，其中，ai∈{0, 1}。“?”为二进制的“与”运算，输入行的16进制的值是a1 a2 a3 a4的组合。 相似的，对于一个输出变量的线性近似表达式b1 ? Y1 ? b2 ? Y2 ? b3 ? Y3 ? b4 ? Y4，其中，bi∈{0, 1}，输出行的16进制的值是b1 b2 b3 b4的组合。 其中，Input表示表达式的输入系数，而output表示表达式的输出系数，行和列交集处的值表示以此行列值代表线性表达式成立的数量减去8。 ;线性近似偏移量 ;例子：线性表达式X3 ? X4＝Y1 ? Y4 NL(3,9)=2 ε(3,9)=-3/8 ;通过构造一个关于明文和倒数第二轮输入的线性表达式 就有可能恢复出最后一轮加密使用的子密钥的一个子集，以达到攻击的目的。 ;首先对于上图，有如下的S-box线性近似表达式： S12：X1 ? X3 ? X4＝Y2 概率为12/16，偏移量为＋1/4 S22：X2＝Y2 ? Y4 概率为4/16，偏移量为－1/4 S32：X2＝Y2 ? Y4 概率为4/16，偏移量为－1/4 S34：X2＝Y2 ? Y4 概率为4/16，偏移量为－1/4 ;令Ui(Vi)作为第i轮S-box的16比特的输入（输出），并且Uij(Vij)作为第Ui块的第j比特。 令Ki表示与第i轮输入进行XOR运算的子密钥。可知，K5表示与第四轮的输出进行XOR运算的子密钥。;S12 V1,6＝U1,5 ? U1,7 ? U1,8 ＝(P5 ? K1,5) ? (P7 ? K1,7) ? ( P8 ? K1,8) S22 V2,6 ? V2,8＝V1,6 ? K2,6 联合可得： V2,6 ? V2,8 ? P5 ? P7 ? P8 ? K1,5 ? K1,7 ? K1,8 ? K2,6＝0 由Piling-Up引理可得其成立的概率为1/2＋2(3/4－1/2)(1/4－1/2)＝3/8（线性偏移量为－1/8）。;对于第3轮，可得到： S32 V3,6 ? V3,8＝U3,6 等式成立的概率为1/ 4 S34 V3,14 ? V3,16＝U3,14 等式成立的概率为1/4 又由U3,6＝V2,6 ? K3,6 U3,14＝V2,8 ? K3,14 可得： V3,6 ? V3,8 ? V3,14 ? V3,16 ? V2,6 ? K3,6 ? V2,8 ? K3,14＝0 等式成立的概率为1/2＋2(1/4－1/2)2＝5/8（线性可能性偏移量为＋1/8）。;应用Piling-Up引理联合 V2,6 ? V2,8 ? P5 ? P7 ? P8 ? K1,5 ? K1,7 ? K1,8 ? K2,6＝0 V3,6 ? V3,8 ? V3,14 ? V3,16 ? V2,6 ? K3,6 ? V2,8 ? K3,14＝0 可得构成四个S-box的线性近似表达式： V3,6 ? V3,8 ? V3,14 ? V3,16 ? P5 ? P7 ? P8 ? K1,5 ? K1,7 ? K1,8 ? K2,6 ? K3,6 ? K3,14＝0。 ;计算U4,6＝V3,6 ? K4,6，U4,8＝V3,16 ? K4,8，U4,14＝V3,8 ? K4,14U4,16＝V3,16 ? K4,16 可以得到： U4,6 ? U4,8 ? U4,14 ? U4,16 ? P5 ? P7 ? P8 ? ∑k＝0， 其中，∑k＝K1,5 ? K1,7 ?