Maiorana-McFarland's Bent函数零化子空间维数

Maiorana-McFarland's Bent函数零化子空间维数张凤荣;胡予濮;马华;谢敏;周宇【摘要】在流密码和分组密码的设计中,所用布尔函数应该具有好的密码学性质来抵抗已知的各种有效攻击.布尔函数的低次零化子空间维数与其补函数低次零化子空间维数之和是评价该函数抵抗代数攻击能力的一个重要参数.根据Maiorana-McFarland's (M-M) Bent函数和布尔置换之间的一一对应关系,给出了一组布尔函数组并证明了它们是线性无关的.借助所给的线性无关布尔函数组和布尔置换中向量函数非零线性组合均是平衡函数的特性,给出了一类特殊M-M Bent函数低次零化子空间的维数与其补函数低次零化子空间的维数之和的一个上限.就这类特殊M-M Bent函数而言,该上限低于已知的限.进一步给出了适合所有M-M Bent函数的新上限.%It is known that Boolean functions used in stream and block ciphers should have good cryptographic properties to resist the existing efficient attacks. The number of linearly independent low degree annihilators of a given Boolean function and of its complement function is an important parameter for evaluating the complexity of algebraic attacks on the systems using this Boolean function. The dimensions of vector spaces of annihilators for Boolean functions have received much attention in cryptographic literature. According to one-to-one correspondence between Maiorana-McFarland's (M-M) Bent functions and Boolean permutations, a family of Boolean functions are presented. Moreover, it is shown that the presented family of Boolean functions is linearly independent. In addition, it is known that every nonzero linear combination of a Boolean permutation is a balanced Boolean function. Onthe basis of the above facts, a new upper bound on the dimension of vector spaces of annihilators with prescribed degrees of a special M-M Bent function and of its complement is proposed. As far as the special M-M Bent functions are concerned, the new upper bound is less than the known ones. Furthermore, the new upper bound for all M-M Bent functions can be obtained.【期刊名称】《计算机研究与发展》【年(卷),期】2012(049)006【总页数】5页(P1243-1247)【关键词】流密码;布尔函数;Bent函数;代数次数;代数免疫度【作者】张凤荣;胡予濮;马华;谢敏;周宇【作者单位】中国矿业大学计算机科学与技术学院江苏徐州221116;计算机网络与信息安全教育部重点实验室(西安电子科技大学) 西安710071;计算机网络与信息安全教育部重点实验室(西安电子科技大学) 西安710071;西安电子科技大学理学院西安710071;计算机网络与信息安全教育部重点实验室(西安电子科技大学) 西安710071;中国电子科技集团公司第三十研究所保密通信重点实验室成都610041【正文语种】中文【中图分类】TN918.1;TP309密码函数在对称密码的分析和设计中起着非常重要的作用［1－3］．近年来，代数攻击［2－3］引起了密码学家的极大关注，该攻击的基本思想是通过解多变元的超定方程组来恢复私钥．为了衡量布尔函数抵抗代数攻击的能力，Meier等人［4］提出了代数免疫的概念，但后来证明高代数免疫的布尔函数只是抵抗代数攻击的必要条件［2］．为了使所构造的函数能够尽可能多地抵抗已知的攻击，最近，人们对代数免疫、高阶非线性度以及代数免疫和高阶非线性度之间的关系进行了广泛的研究［5－8］．Lobanov［8］研究发现，同时具有高代数免疫度和高阶非线性度的布尔函数能抵抗许多已知的攻击（代数攻击、相关攻击和线性攻击）．然而，构造一个折中了多个密码指标的布尔函数是非常困难的事情．后来研究发现，布尔函数抵抗代数攻击的能力，不仅依赖于其最低次零化子的次数，而且在于其较低次线性独立零化子的个数［6，9］．由于线性独立的低次零化子的个数是计算代数攻击复杂性的一个非常重要参数［6］．在2008年，冯克勤和廖群英［10］给出了布尔函数代数免疫方面的重要问题，其中的第2个就是函数零化子的计数问题．本文对一类重要的布尔函数（M－M Bent函数）的线性独立的低次零化子的个数进行了研究．首先给出了一组线性无关的函数组．结合布尔置换的非零线性组合得到的函数均是平衡函数这一特性和Mesnager［7］给出的一些函数线性独立低次零化子个数的上限，提出了M－M Bent函数低次零化子空间的维数与其补函数低次零化子空间的维数之和的一个新上限．1 基础知识设n是一个正整数，F2为二元域，Fn2是一个基于F2的n维线性空间．定义Bn 是Fn2上所有n元布尔函数的集合．任何一个布尔函数f（x）都具有唯一的代数正规型（ANF）：其中，aI 属于F2，∏xi表示单项式．函数f的代数i∈I次数deg（f）等于在其代数正规型中系数不为零的单项式的最大次数．函数f有不同的表示形式f（x）＝，其中．那么，deg（f）＝，其中wt（u）表示u的汉明重量．定义wt（f）＝｛x∈Fn2｜f（x）＝1｝为函数的汉明重量，其中· 表示一个集合的势．为了以后更容易叙述，我们定义Fn2上的一个偏序（≺）关系：，其中，sup（u）＝｛i｜ui≠0｝．定义两个向量的并u∨v为∀i＝1，…，n，（u∨v）i＝max（ui，vi），也就是说，sup（u∨v）＝sup（u）∪sup（v）．设E 是Fn2 的一个子集，如果任意的v∈E，有u≺v⇒v＝u，那么就称u是子集E中关于偏序（≺）的一个极大值．另外，定义u－为u的补，即∀i＝1，…，n，u－i＝1⊕ui．进一步，设函数f的补函数为f⊕1．定义1．设f，g∈Bn，如果fg＝0，称g是f的零化子．f的非零零化子和f⊕1的非零零化子的最低次数称为f的代数免疫阶，记为AI（f）．一个n元函数的非线性度指的是该函数与所有n元仿射函数距离的最小值．当n为偶数时，函数的非线性度最大为2n－1－2n/2－1．称非线性度达到2n－1－2n/2－1的函数为 Bent函数［11］．定义2．设φj（x），j＝1，2，…，n是n 元布尔函数，φ（x）＝（φ1（x），…，φn（x））．如果对任意的a∈Fn2，都有：则称φ（x）是一个n元布尔置换．2 主要结果在对称密码系统中，所使用的布尔函数以及该函数补函数的低次线性独立零化子的个数是代数攻击计算复杂度的一个非常重要参数［6］．在以下部分，用Ank（f）表示函数f的次数不超过k的零化子组成的空间，dk，f 表示空间Ank（f）的维数，且dk，f是仿射不变的．下面研究一类非常重要的密码函数（M－M Bent函数）零化子组成空间维数的上限．先给出几个引理．引理1［7］．设f是一个r次的n元布尔函数，k其中，Mulk（f）表示集合｛fh｜h∈Bn，deg（h）≤k｝中所有fh组成的线性空间，dimMulk（f）表示Mulk（f）的维数．引理2［7］．设g是n元布尔函数，其代数正规型为是一个小于n的正整数．那么：．设，u是E中关于偏序（≺）的一个极大值．设Θ＝｛v∈Fn2｜v≺｝．那么｛xvg（x），v∈Θ｝是Bn 的一个线性无关组，且∀v∈Θ，单项式xvxu在｛xvg（x），v∈Θ｝中仅出现一次．为了方便地叙述，定义以下的符号．之后定理中符号的含义和下面定义符号的含义相同．是一个 M－M函数，其中φi（y），g（y）均是n/2元布尔函数，i＝1，2，…，n/2．那么，φi（y）xi，g（y）又都可以表示为设f，其中，e（i）表示第i位为1、其余为0的n/2元向量，（e（i），u）∈Fn2，a（e（i），u）∈F2，bu∈F2．进一步，M－M 函数f（x，y）也可表示为设，则在 E（i）中对每一个i∈｛1，…，n/2｝至少存在一个关于偏序（≺）为极大值，记为e（i）×u（i）．引理3［11］．设n为偶数，f（x，y）是一个形如式（1）的一个 M－M 函数，其中x，y∈Fn/22 ．设g（y）是任意一个n/2元布尔函数．那么，函数f（x，y）是一个Bent函数的充分必要条件是：是Fn/22上的一个布尔置换．引理4．设y∈Fn2．φ（y）＝（φ1（y），…，φn（y））是n元布尔置换当且仅当，对∀c∈Fn2且c≠0，函数c·φ（y）是平衡函数．命题1．设f1（x，y）是一个形如式（1）的一个M－M Bent函数，d，v∈Fn/22 ．那么：是Bn 的一个线性无关组，其中，l，m∈｛1，…，n/2｝．证明．1）当l＝m 时，根据γ（m）和Θ（l）的定义可知，γ（m）⊂Θ（l）．根据引理2，结论显然成立．2）当l≠m时，下面证明命题1成立．根据集合γ（m）和Θ（l）的定义可知，Θ（l）∪γ（m）＝Θ（l）∪（γ（m）－（γ（l）∩γ（m）））．根据时，对任意（d，v）∈Θ（l）∪γ（m），都有c（d，v）＝0 即可．根据γ（m）－（γ（l）∩｝．设c（d，v）∈F2，要证明式（2）是Bn的一个线性无关组，只要证明，可以推出γ －和引理2可知，对任意给定的（d，v）∈Θ（l），多项式xdyvf1（x，y）在式（2）中仅出现一次．接下来证明，给定任意（e（l）∨d′，0）∈（γ（m）－（γ（l）∩γ（m））），多项式xlxd′f1（x，y）在式（2）中仅出现一次．假设存在非零组（c（d，v）∈F2，（d，v）∈S），使得成立，其中 S＝Θ（l）∪γ（m）＼｛（e（l）∨d′，0）｝．由于f1（x，y）是一个形如式（1）的一个 M－M Bent函数，在式（3）右边有项xlxmxd′φm （y），而在式（3）的左边含有xlxmxd′的项为．那么根据引理3和引理4可知，φm（y）仍为平衡函数，而式（4）等号左边一定不是平衡函数，矛盾．结合1）和2），式（2）是Bn的一个线性无关组．证毕．把命题1进行推广，有如下命题．命题2．设f1（x，y）是一个形如式（1）的一个M－M Bent函数，d，v∈Fn/22 ．那么：是Bn 的一个线性无关组，其中，j∈｛1，2，…，n/2｝．证明．不失一般性，不妨设j＝1．根据命题1可知，｛xdyvf1（x，y）｜（d，v）∈（γ（2）∪Θ（1））｝是Bn 的一个线性无关组．从集合γ（1）和Θ（1）构造可以看出γ（1）⊂Θ（1），即有：是Bn的一个线性无关组．下面证明也是Bn的一个线性无关组．有如下关系：根据利用命题1中类似的方法可以证明：可以推出：也是Bn的一个线性无关组．进一步，利用类似的方法可以证明本命题结论．证毕．基于命题2，给出一个函数的低次线性独立零化子个数的一个上限．定理1．设f1（x，y）是一个形如式（1）的一个M－M Bent函数．设k是一个小于n的正整数，那么，dk，f1＋dk，f1⊕1不大于Zj，其中：证明．不失一般性，证明j＝1的情况．设Δ＝，则Δ 是的子集，Ξ 是Θ（1）的子集，并且，由命题2可知，｛xdf1（x，y），（d，0）∈Δ｝和｛xdyvf1（x，y），（d，v）∈Ξ｝均是Bn的一个线性无关组，设它们张成的子空间分别为VΔ和VΞ．根据Δ和Ξ的定义，显然知，VΔ∩VΞ＝｛0｝，且VΔ 和VΞ 都是Mulk（f1（x，y））的子空间．下面我们证明Ank（f1 ⊕1）是 Mulk（f1）的子空间，并证明Ank（f1 ⊕1）和VΔ，Ank（f1 ⊕1）和VΞ没有非零公共元素．函数f1⊕1的任意零化子h均满足f1h＝h，则对次数低于k的零化子h，均有h∈Mulk（f1），故Ank（f1 ⊕1）是 Mulk（f1）的子空间．假设存在非零函数h1∈VΔ∩Ank（f1⊕1），则h1f1＝h1，且h1 为x∈Fn/22 的函数．任取x（1）∈Fn/22 ，当h1（x（1））＝1时f1（x（1），y）＝1．由于x1x2…xn/2∉VΔ，故wt（h1）＞1．与f1（x，y）是一个形如式（1）MM Bent函数矛盾（由引理3和引理4知）．故Ank（f1⊕1）和VΔ没有非零公共函数．VΞ中函数的代数次数至少为k＋1．由于，对任意（d，v）∈Ξ，单向式xd∨e（j）yv∨u（j）仅出现一次（见文献［7］中引理4的证明）．对固定的（δ，θ）∈Ξ，假设存在（d′，v′）∈Ξ 和（e（i），u′）∈E（i），使得：那么（e（j），u（j））≺（e（i），u′）∨（d′，v′），而（e（j），u（j））与（d′，v′）不相交，故（e（j），u（j））＝（e（i），u′），进一步可得（d′，v′）＝（δ，θ）．所以，任意给定（δ，θ）∈Ξ，函数xδyθf1（x，y）的代数次数为而Ank（f1⊕1）中函数代数次数不大于k．故Ank（f1⊕1）和VΞ都没有非零公共元素．这就表明了空间是直和（表示两个空间的直和）．当j取不同的值时，同理可以得出相应的结论．故：进一步，根据引理1，可以证明该定理成立．注释1．关于dk，f⊕1＋dk，f的上限，在2008年，Mesnager在文献［7］中曾给出了dk，f⊕1和dim Mulk（g）之间的一个关系，就形如式（1）的一个 M －M Bent函数而言，dk，f⊕1＋dk，f不大于其中j＝1，…，n/2．并且：其中u是集合E′关于偏序的一个极大值（u不一定存在）．可以看出当E′为空集时，定理1所给的上限要低于式（5）中所给定值．另外，可以看出，t（j）的大小与j没有关系，并且可以容易的求出t（j），即：结合定理1和式（6），可以立即给出 M－M Bent函数低次独立零化子与其补函数低次独立零化子个数之和的上限．定理2．设f（x，y）是一个形如式（1）的一个 MM Bent函数．设k是一个小于n的正整数，那么：其中，Zj为定理1中所定义的，u是E′中关于偏序的一个极大值（u不一定存在）．3 结束语本文研究了M－M Bent函数的线性独立低次零化子个数与其补函数的线性独立低次零化子的个数之和的一个上限．布尔函数的线性独立零化子个数上限为我们提供了一个衡量密码函数的密码指标．特别是可以用本文所给的上限去衡量一个 M－M Bent函数的抗代数攻击能力．鉴于此，一般函数的低次零化子所组成空间维数的上限如何进一步降低，有待我们去研究．但这是一个很难的问题，因为要考虑的是一个集合（函数零化子的集合）．nonlinearity of Boolean functions with prescribed algebraic immunity［J］．IEEE Trans on Information Theory，2008，54（8）：3656－3662［8］ Lobanov M．Tight bounds between algebraic immunity and nonlinearities of high orders［EB/OL］．（2007－12－15）［2011－05－10］．http：//eprint．iacr．org/2007/444［9］ Dalai D，Gupta K，Maitra S．Results on algebraic immunity for cryptographically significant Boolean functions ［G］//LNCS 3348：Proc of Indocrypt2004．Berlin：Springer，2004：92－106［10］ Feng Keqin，Liao Qunying．On algebraic immunity of symmetric Boolean functions ［J］． Chinese Journal of Engineering Mathematics，2008，28（2）：191－198 （in Chinese）（冯克勤，廖群英．对称布尔函数的代数免疫性｝工程数学学报，2008，28（2）：191－198）［11］ Rothaus O S． On bent functions ［J］． Journal of Combinatorial Theory：Series A，1976，20（3）：300－305。