分组密码算法和流密码算法的安全性分析
流密码的应用方案
流密码的应用方案1. 简介流密码（Stream cipher）是一种加密算法，它基于根据密钥生成的伪随机比特流对明文逐比特加密。
相对于分组密码，流密码具有高加密速度和低处理延迟的特点。
流密码的应用广泛，包括终端设备加密通信、无线通信、互联网通信等领域。
本文将介绍流密码的应用方案，并分析它在以下三个方面的具体应用：网络通信加密、无线传感器网络和物联网设备。
2. 网络通信加密流密码在网络通信加密方面有着重要的应用。
流密码可以通过在发送方和接收方使用相同的密钥和伪随机比特流，将明文流转化为密文流。
这种加密方式保证了高效且安全的通信过程。
在网络通信加密中，流密码常用于数据包加密、安全连接建立等方面。
2.1 数据包加密数据包加密是一种常见的网络通信加密方式，通过对每个数据包进行加密，可以阻止未经授权的用户访问和篡改数据包。
流密码可以实现对数据包的实时加密，确保数据的机密性和完整性。
对于每个数据包，发送方使用密钥和伪随机序列对明文进行加密，而接收方则使用相同的密钥和伪随机序列进行解密。
通过流密码的加密机制，数据包在传输过程中得到保护。
2.2 安全连接建立在网络通信中，安全连接建立是一项关键任务。
通过建立安全连接，能够保证通信双方之间的机密性和完整性。
流密码可以用于生成加密密钥，确保建立的连接具有高强度的加密保护。
一种常见的安全连接建立方法是使用流密码生成所需的初始向量和会话密钥，进而生成安全连接所需的密钥材料。
通过流密码的应用，可以有效地建立安全且可靠的网络连接。
3. 无线传感器网络无线传感器网络是由大量分布在广域范围内的传感器节点组成的网络。
流密码在无线传感器网络中的应用有助于提供数据的安全传输，并减少能耗。
3.1 数据传输安全无线传感器网络中，传感器节点负责采集环境数据并将其传输到汇聚节点或基站。
传感器节点之间的通信涉及到敏感数据，如温度、湿度等。
为了保障数据的机密性，流密码可以被应用于无线传感器网络中的数据传输过程。
密码算法的国际标准
密码算法的国际标准密码算法的国际标准是由国际标准化组织（ISO）制定和发布的。
ISO在密码算法方面的主要标准是ISO/IEC 18033和ISO/IEC 19772。
ISO/IEC 18033是ISO关于对称密码算法的国际标准。
该标准定义了一系列密码算法的要求，包括可用的密钥长度、加密和解密的操作、算法的安全性等。
ISO/IEC 18033将密码算法分成了四个家族，分别是分组密码、流密码、分组密码模式和数据完整性代码。
其中最常见的是分组密码，包括DES（Data Encryption Standard）和AES（Advanced Encryption Standard）等算法。
ISO/IEC 18033标准规定了DES算法的要求，包括密钥长度、加密和解密的操作等。
DES是一种对称密码算法，使用56位密钥进行加密和解密。
该算法在密码学的历史中有着重要的地位，但由于密钥长度较短，已经不适应当前的安全需求。
ISO/IEC 18033还规定了AES算法的要求。
AES是一种对称密码算法，使用128位、192位或256位密钥进行加密和解密。
该算法在全球范围内得到了广泛应用，被用于加密通信和数据存储等领域。
ISO/IEC 19772是ISO关于公钥密码算法的国际标准。
该标准定义了一系列公钥密码算法的要求，包括加密和解密的操作、密钥管理和认证等。
ISO/IEC 19772涵盖了多种公钥密码算法，如RSA、DSA和ECC等。
ISO/IEC 19772标准规定了RSA算法的要求。
RSA是一种常用的公钥密码算法，使用公钥和私钥进行加密和解密。
该算法基于大整数分解难题，被广泛应用于数字签名和密钥交换等领域。
ISO/IEC 19772还规定了DSA算法的要求。
DSA是一种用于数字签名的公钥密码算法，使用密钥对进行签名和验证。
该算法被广泛应用于数据完整性和身份认证等领域。
ISO/IEC 18033和ISO/IEC 19772标准的发布和更新是由ISO/IEC JTC 1/SC 27委员会负责。
对称密钥密码体制
对称密钥密码体制对称密钥密码体制是指加密和解密过程中使用相同的密钥。
这种体制也叫做单密钥密码体制，因为加密和解密使用的密钥相同，能在保持安全的前提下对数据进行快速处理。
对称密钥密码体制通常分为分组密码和流密码两种。
分组密码是将明文分成固定长度的块，再和密钥一起通过一系列算法进行加密。
这种方法处理速度非常快，因为加密和解密算法是对数据块进行分组处理的，同时相同密钥的使用也降低了密钥管理的复杂性。
然而，分组密码存在的一个问题是，对数据块的分组可能会导致重复的数据，这些数据可以被攻击者用来破解密钥。
流密码是将明文和密钥通过一个伪随机数生成器计算出一个流式密钥，然后将流式密钥和明文一起进行异或运算来加密数据。
这种方法加密和解密速度也非常快，而且每个数据块都有独立的流式密钥，增强了数据的安全性。
然而，流密码也存在一些问题，例如在密钥被泄露时，加密数据就变得不安全了。
对称密钥密码体制的优点包括：1. 处理速度快：加密和解密使用的密钥相同，从而能快速处理数据。
2. 加密方式简单：对称密钥密码体制通常采用分组密码或流密码，在数据加密和解密过程中使用块或流式加密，处理速度快，同时也方便计算机的硬件或软件实现。
3. 密钥管理相对简单：使用相同的密钥进行加密和解密，可以使加密和解密的过程更加简单，从而降低了密钥管理的复杂度。
4. 对称密钥密码体制广泛应用于大多数数据通信应用中，如数据存储、数据传输等。
对称密钥密码体制的缺点包括：1. 密钥管理不安全：对称密钥密码体制存在一个主要问题，即密钥的安全性。
如果密钥被泄露或者失窃，那么加密数据就暴露了，导致数据不安全。
2. 非法用户可以访问数据：一旦非法用户获取了密钥，他们便可以访问数据而不会受到限制，这可能会导致重大的安全问题。
3. 可能存在重放攻击：由于每个数据块都使用相同的密钥进行加密，数据可能被攻击者截获并用于重放攻击，从而使数据的安全性大大降低。
4. 算法的安全性不能得到保证：对称密钥密码体制的安全性取决于加密算法本身的安全性。
联合密码各组详解
联合密码各组详解
联合密码是一种密码学技术，它结合了多个密码算法或协议来增强安全性。
在联合密码中，每个密码算法都有自己的特点和优势，通过将它们联合起来使用，可以提供更高级的保密性和完整性。
联合密码的主要目标是通过结合不同的密码算法来抵御各种攻击，包括密码分析、密码破解和侧信道攻击等。
以下是几种常见的联合密码组合：
1. 对称密码与非对称密码：对称密码算法使用相同的密钥加密和解密数据，而非对称密码算法使用一对密钥，分别用于加密和解密。
结合使用这两种密码算法可以在保证数据机密性的同时，提供更好的密钥管理和身份验证。
2. 密码哈希函数与消息认证码：密码哈希函数将任意长度的输入转化为固定长度的输出，常用于密码验证和数据完整性验证。
消息认证码则通过使用密钥来生成一个固定长度的认证标签，用于验证消息的完整性和真实性。
结合使用这两种密码算法可以同时满足数据完整性和真实性的要求。
3. 分组密码与流密码：分组密码将数据分成固定大小的数据块进行加密，而流密码则按照一个比特一个比特地加密数据。
结合使用这两
种密码算法可以提供更高级的保密性和灵活性。
除了上述常见的组合方式，还有许多其他的联合密码组合可以根据具体需求来选择。
联合密码的选择应基于具体的安全需求和系统架构。
在设计和实施联合密码时，需要仔细评估每个密码算法的强度和相互之间的兼容性以及性能要求。
总之，联合密码是一种通过结合多个密码算法来增强安全性的密码学技术。
通过合理选择和组合密码算法，可以提供更高级的保密性、完整性和身份验证。
在实际应用中，需要根据具体情况来选择适合的联合密码组合，以满足安全需求。
密码学引论 (上)教学大纲
密码学引论（上）教学大纲通过本课程的学习，学生能够阐述各类典型密码方案及其安全性功能，解释典型密码设计技术与分析技术的基本原理；能够对密码方案的安全性隐患进行初步分析与评估；能够综合运用各类基础密码算法根据安全性功能需求提出合理的密码学解决方案。
课程概述《密码学引论》关注信息安全的两个重要方面——保密性与认证性，介绍相关密码算法与协议的设计原理与安全性分析技术。
《密码学引论》（上）围绕对称密码技术，重点介绍古典密码、密码学信息理论基础，以及经典对称密码算法，包括流密码、分组密码、杂凑函数和消息认证码等，研究各类对称密码算法的主要结构和设计原理，分析典型算法设计技术细节，并对对称密码主流安全性分析技术，如差分分析、线性分析等分析原理和概率模型进行初步探讨。
《密码学引论》（下）围绕非对称密码技术，介绍密码学复杂性理论基础、公钥加密、数字签名、密钥分发、零知识证明理论和电子货币等，研究非对称密码的设计原理、相关数学困难问题的困难性、安全性分析与证明的基本思想、以及各类密码算法在密码协议中的综合运用。
课程大纲01引论课时1.1 密码学发展史1.2 基本概念与基本观点1.3 古典密码1.4 破解维吉尼亚密码02密码学信息理论基础课时2.1 Shannon保密系统的信息理论——熵2.2 Shannon保密系统的信息理论——完美保密性03分组密码课时3.1 分组密码算法介绍3.2 分组密码安全性分析3.3 其他分组密码算法3.4 分组密码工作模式04流密码课时4.1 流密码的基本概念4.2 线性反馈移位寄存器4.3 流密码典型算法05Hash函数课时5.1 Hash函数的基本概念5.2 Hash函数的安全属性5.3 Hash函数的常见结构5.4 Hash函数典型算法06消息认证码课时6.1 消息认证码及其安全性6.2 消息认证码构造方法参考资料1、密码学原理与实践（第三版），Douglas R. Stinson 著，冯登国等译，电子工业出版社，2016.012、密码编码学与网络安全：原理与实践（第五版），William Stallings 著，王张宜、杨敏、杜瑞颖等译，电子工业出版社，2014.013、密码学导引，冯登国、裴定一，科学出版社，1999.04。
分组密码体制
两个基本设计方法
由于对称分组密码的缺点是不善于隐藏明文的 统计特性，因而对“统计分析”攻击方式的抵御能 力不强，故Shannon提出了两个抵抗“统计分析” 的方法：混淆和扩散。
◆混淆：目的是为了隐藏明文和密文之间的关系，增加密 钥和密文之间关系的复杂性。可以使用“代替”的方法 来实现。
◆扩散：目的是让密文没有统计特征，也就是将明文中的 统计信息散布到整个密文中，增加密文与明文之间关系 的复杂性，以挫败推测出密钥的尝试。可以使用“置换” 的方法来实现。
对于给定的64位的明文p，通过初始置换IP获得64位的 p320，位并记将为pR00分，为即左p0右=I两P(部p)=分L，0R前0。面IP32置位换记如为图L所0，示后。面
置换表中的数字1～64代表的仅仅是明文 分组中元素所处的位置，而非元素的值！
• 第四步：初始逆置换IP-1 应用初始逆置换IP-1对最后一轮迭代之后得到 的R16L16进行置换，得到密文C。
• 分组加密算法本质上体现了n位明文分组和n位密文分组的一一 映射。
• 分组大小n的选择
1“）统如计果分n较析一码小”般，，方的不则法，同得的对变到攻于换的击的n明。位总文分数空组为间的(和2对n密)!称，文分也空组就间密是有限，容易受到 2）如果n充说分，大密，钥则的由个于数得为到(的2n明)!个文。空间和密文空间足够大， 明文的统计特征将被掩盖，可以抵抗“统计分析”方法的攻击 ；但同时也将导致密钥数目的急剧增加和密钥空间的急剧增大 ，这会给密钥的分配、管理和存储带来很大的困难。
Feistel 密码结构
DES算法的整体结构 ——Feistel密码结构
• 每一轮的迭代算法 加密：对于每一轮 i=1,2,...,n,新 的左右部分根据如下规则重新
流密码与分组密码
流密码和分组密码按照密钥的特征不同，密码体制分为对称密码体制和非对称密码体制。
按照对明文消息加密方式的不同，密码体制分为流密码（Stream Cipher ）和分组密码（Block Cipher ）[1]。
非对称密码体制均为分组密码[2]。
1 流密码流密码也称为序列密码。
在流密码中，明文以序列的方式表示，称为明文流。
在对明文流进行加密时，先由种子密钥生成一个密钥流。
然后，利用加密算法把明文流和密钥流加密，产生密文流。
流密码每次只对明文中的单个bit 位进行加密变换，加密过程所需的密钥流由种子密钥通过密钥流生成器产生。
流密码的主要原理是通过随机数发生器产生性能优良的伪随机序列（密钥流），使用该序列加密明文流（逐bit 位加密），得到密文流。
由于每一个明文都对应一个随机的加密密钥，因此流密码在理论上属于无条件安全的密码体制（一次一密密码）[3]。
流密码的基本加密过程，如图1所示。
图1 流密码的加密过程设明文流为：12i m m m m = ，密钥流由密钥流发生器f 产生：(,)i i z f k σ=，这里i σ是加密器中的存储器在时刻i 的状态，f 是由种子密钥k 和i σ产生的函数。
设最终得到的密钥流为：12i k k k k = ，加密结果为：121212()()()i i k k k i c c c c E m E m E m == ，解密结果为：121212()()()i k k k i i m D c D c D c m m m == 。
用流密码进行保密通信的模型，如图2所示：图2 流密码保密通信图2 分组密码分组密码也称为块密码。
当加密一条长消息（明文）时，首先，将明文编码表示为二进制序列；然后，将其分成若干个固定长度的组（最后一组长度不够时还得进行填充，如补0）；最后，再对逐个分组依次进行加密操作。
分组长短决定着密码的强度。
从算法的安全性考虑，分组长度不能太短，应该保证加密算法能够应付密码分析；从实用性考虑，分组长度又不能太长，要便于操作和运算。
密码编码与分类
密码编码与分类在当今数字化的时代，密码已经成为了保护我们信息安全的重要防线。
无论是个人的隐私、企业的商业机密，还是国家的安全，都离不开密码的保护。
那么，什么是密码编码？密码又有哪些分类呢？让我们一起来探索一下这个神秘而又重要的领域。
密码编码，简单来说，就是将明文（也就是我们想要保护的原始信息）通过一定的规则和算法转化为密文的过程。
这个过程就像是给我们的信息穿上了一层“隐身衣”，只有知道“脱衣”方法（即解密算法）的人才能读懂其中的内容。
密码编码的目的主要有两个。
一是确保信息的保密性，只有授权的人员能够读取和理解信息。
二是保证信息的完整性，确保信息在传输或存储过程中没有被篡改。
接下来，让我们看看密码的分类。
从不同的角度出发，密码可以有多种分类方式。
按照加密和解密使用的密钥是否相同，密码可以分为对称密码和非对称密码。
对称密码，也称为秘密密钥密码，加密和解密使用相同的密钥。
这就好比一把钥匙既能锁门又能开门。
常见的对称密码算法有 AES（高级加密标准）、DES（数据加密标准）等。
对称密码的优点是加密和解密速度快，效率高，适用于大量数据的加密。
但它也有一个明显的缺点，那就是密钥的分发和管理比较困难。
因为通信双方都需要知道这个密钥，如果密钥在分发过程中被窃取，那么整个加密系统就会被攻破。
非对称密码，也称为公开密钥密码，加密和解密使用不同的密钥，分别称为公钥和私钥。
公钥可以公开，任何人都可以用它来加密信息，但只有对应的私钥才能解密。
这就像是一个邮箱，任何人都可以把信投进去（加密），但只有拥有钥匙的人才能打开邮箱取出信件（解密）。
常见的非对称密码算法有 RSA 算法等。
非对称密码解决了对称密码中密钥分发的难题，但它的加密和解密速度相对较慢，通常用于加密少量的关键信息，如对称密钥的交换。
从密码的应用场景来看，密码又可以分为通信密码和存储密码。
通信密码主要用于保护信息在网络通信中的安全。
例如，当我们在网上购物时，输入的信用卡信息会通过通信密码进行加密，然后传输到商家的服务器，以防止信息被窃取。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
分组密码算法和流密码算法的安全性分析当今是一个网络时代,人们的生活方式与过去相比发生了很大的变化,足不出户就可以通过网络解决衣食住行中的绝大多数需求,例如,用淘宝网购买所需、用支付宝进行日常支付、用电子银行转账等等。
生活变得快捷而又方便。
然而,事物都有两面性,伴随着生活的便捷而来的是财产安全和个人隐私的保障问题。
这时,密码的使用就是在网络上对我们进行保护的一个关键技术点。
它是类似防火墙似的存在,是一切网络活动的基石。
在网络传输时一般使用的是对称加密算法来进行加密操作,如流密码算法和分组密码算法。
因此,对现有的被广泛重视和使用的分组密码算法和流密码算法的安全性进行研究和分析是非常有必要的。
在本文中,首先,我们针对分组密码算法建立统计积分区分器和多结构体统计积分区分器新模型,并将模型应用于实际算法中;其次,基于MILP方法首次将S盒的差分特征和线性特征考虑进不可能差分路线和零相关路线的自动化搜索中,首次给出ARX算法通用的不可能差分路线和零相关路线的自动化搜索方法,并将该方法应用于实际算法中;最后,在相关密钥场景下利用不可能差分方法给出流密码算法Lizard的安全性分析结果。
具体结果如下。
提出分组密码算法统计积分区分模型,并利用该模型理论破解Skipjack变种算法、给出CAST-256的最优攻击结果和IDEA的最优积分攻击结果:积分攻击是对称密码领域最强大的分析方法之一,被广泛的应用于分组密码算法的安全性分析中。
它是基于概率为1的平衡特性来构建区分器。
攻击者可以通过固定输入的一部分比特而遍历剩下的所有比特的可能取值,观察相应的输出值在某些比特上是否为均匀分布来区分真实算法和随机置换。
为了增加积分区分器的覆盖轮数,攻击者通常会在整个明文空间的限制条件下以特定的结构来遍历更多的明文比特以使得平衡特性依然成立。
然而这一要求限制了积分攻击在很多算法分析中的应用。
在本文中,为降低积分分析中使用的数据复杂度,我们基于超几何分布和多项分布为算法和随机置换构造不同的概率分布来进行区分,从而构建了统计积分这一新模型。
这个新模型所需要的数据量与传统的积分区分器所需的数据量相比降低了很多。
利用该模型我们对Skipjack变种算法、CAST-256和IDEA算法进行改进分析。
Skipjack算法是美国NSA设计并公开的首个分组密码算法。
这个算法抵抗不可能差分攻击的能力较弱。
为了加强Skipjack抗截断差分类攻击的能力,Knudsen等人给出了 Skipjack算法的一个变种算法
Skipjack-BABABABA。
本文中,我们利用统计积分区分新模型首次成功破解了 Skipjack的变种算法Skipjack-BABABABA。
CAST-256算法是由Adams等人在SAC’97上提出的一个分组密码算法。
从其提出至今,许多分析结果被陆续给出,如差分分析、线性分析、飞去来器分析和零相关线性分析等。
在本文中,我们利用统计积分区分器模型来攻击CAST-256 算法。
首先,我们给出 CAST-256 算法一个 29 轮的攻击结果。
这个攻击需要296.8个选择明文、2219.4次加密、273字节存储。
通过对时间复杂度和数据复杂度之间进行折中,这个攻击也可以使用283.9个选择明文、2244.4次加密和266字节存储进行。
据我们所知,这是在单密钥场
景且无弱密钥假设下CAST-256算法的最优攻击结果。
IDEA算法是由Lai和Massey在1991年提出的分组密码算法,现被广泛的用于多个安全应用中,如IPSec和PGP。
在本文中,我们利用统计积分区分器模型来攻击IDEA算法。
我们首次给出了 IDEA算法的一个2.5轮的积分区分器,这个区分器是至今为止IDEA算法最长的区分器。
基于这个区分器,我们成功给出了 IDEA算法的一个4.5轮密钥恢复攻击结果。
这个攻击需要258.5个已知明文、2120.9次加密和246.6字节存储来完成。
从攻击轮数角度看,这个攻击是目前IDEA算法最优的积分攻击结果。
提出多结构体统计积分区分模型,并利用该模型给出AES算法在秘密密钥下的最优积分区分结果和(类)AES算法的最优已知密钥区分攻击结果:统计积分区分模型有一定的局限性,我们仅仅考虑了使用区分器输出上的一个平衡特性。
在一些场景下,积分区分器的输出处同时存在多个平衡特性;在另一些场景下,区分器需要同时使用多个数据结构体才能有效。
针对前者,使用统计积分区分器模型会浪费一些积分特性;针对后者,现有的统计积分区分器不能适应于这样的场景。
为了扩展统计积分区分器模型以便用于更多的场景中,我们构造了多结构体统计积分区分模型。
利用该模型我们对AES在秘密密钥下的积分区分攻击进行改进,给出(类)AES算法的最优已知密钥区分攻击。
AES(Advanced Encryption Standard)是由美国国家标准与技术研究所(NIST)发布的一个标准分组密码算法,已被广泛的应用于数据加密算法、哈希函数和认证加密方案等。
研究AES的区分攻击可以帮助算法设计者和分析者来评估相关算法的安全
界限。
利用多结构体统计积分模型,我们给出了一个在秘密密钥和秘密S盒场景下5轮AES算法的选择密文区分攻击结果。
该攻击所需的数据、时间和存储复杂度分别为2114.32个选择密文、2110次加密和233.32的存储。
这个积分区分器是AES算法迄今为止在秘密密钥和秘密S盒场景下最优的积分区分结果。
除此之外,我们将多结构体统计积分模型应用于AES算法的已知密钥区分器中。
改进了 Gilbert给出的原有结果。
以242.61的时间复杂度完成对8轮AES的已知密钥区分攻击,以259.60的时间复杂度完成对全轮AES的已知密钥区分攻击。
从时间复杂度的角度来看,我们给出的区分器是AES在已知密钥场景下最优的区分结果。
另外,AES算法采用的宽轨道设计思想被广泛的用于哈希函数的设计中,如ISO标准哈希函数Whirlpool、国际重要的轻量级哈希函数PHOTON和SHA-3评选竞赛最后一轮的五个候选算法之的Gr(?)stl算法等。
这些算法的压缩函数均采用类AES算法设计而成。
哈希函数本身的安全性直接取决于内部置换的安全性,即类AES算法在已知密钥场景下的安全性。
与AES算法的已知密钥区分攻击方法类似的,我们可以将多结构体统计积分模型用于类AES算法的已知密钥区分中。
分别给出Whirlpool、Gr(?)stl-256和PHOTON的内部置换在已知密钥场景下最优的区分结果。
提出基于MILP的不可能差分路线和零相关路线自动化搜索工具:不可能差分分析和零相关线性分析是对称密码领域有力的分析手段。
现有多个用于搜索带S盒算法的不可能差分路线的自动化工具,然而这些工具往往只关注于算法的线性层性质而将S盒理想化。
事实上,在现实中理想的S
盒并不存在,因而在理想S盒下搜出的差分路线有可能在实际中并不存在。
在本工作中,我们首次将S盒的差分特征和线性特征考虑进不可能差分路线和零相关线性路线的搜索中,提出基于MILP自动化搜索带S盒算法的不可能差分路线和零相关路线的方法。
除此之外,我们首次给出针对ARX算法的通用不可能差分路线和零相关线性路线的自动化搜索方法。
作为应用实例,我们将该方法应用于HIGHT、SHACAL-2、LEA、LBlock、Salsa20 和 Chaskey 中,改进了 HIGHT、SHACAL-2、LEA和LBlock算法现有的(相关密钥)不可能差分路线或零相关路线,首次给出Salsa20和Chaskey中使用的置换的不可能差分路线。
相关密钥场景下Lizard算法的安全性分析:Lizard是由Hamann 等人在ToSC 2016上提出的一个抗生日攻击的流密码算法。
算法以120比特密钥和64比特Ⅳ为输入,内部状态为121比特,输出一个至多218比特的密钥流。
设计者声明该算法抗密钥恢复攻击的安全性为80比特,
抗区分攻击的安全性为60比特。
基于Banik等人利用碰撞对来恢复密钥的思想,在本文中,我们利用猜测复
合密钥的方法在单密钥场景下直接将密钥恢复阶段增加1轮从而给出227步的攻击结果,这在单密钥场景下是Lizard算法的最优密钥恢复结果;在相关密钥场景下将攻击改进到233步,使得Lizard算法的安全冗余仅剩23步(共256步)。
在相关密钥场景下,首先我们通过选择密钥差分拉长不可能差分路线来进行密钥恢复攻击。
然而,密钥差分的引入带来的一个问题是内部状态的某些比特上的不确定性。
为了克服这一问题,我们提出了“slide-collision”技术。
除此之外,我们发现了一旦知道一个碰撞对,在相关密钥场景下,无需询问算
法本身即可确定额外的264碰撞对。
这个发现可直接应用于Lizard使用的FP(1)模式,也可以用于选择性伪造和输出预测。