고차 미분 암호 분석

암호학에서 고차 차분 암호해석은 블록 암호에 대한 공격인 차분 암호해석의 일반화입니다.표준 차분 암호 해독에서는 두 텍스트 간의 차이만 사용되는 반면, 고차 차분 암호 해독에서는 더 큰 텍스트 집합 간의 차이 집합의 전파를 연구합니다.1994년, Suejia Lai는 차분이 ^[1]고차 파생상품의 더 일반적인 경우라는 것을 보여줌으로써 기초를 다졌다.같은 해, Lars Knudsen은 블록 ^[2]암호에 대한 공격을 위해 고차 미분 개념을 어떻게 사용할 수 있는지를 보여줄 수 있었습니다.이러한 공격은 표준 차분 암호 분석보다 우수할 수 있습니다.KN-Cipher를 해독하기 위해 고차 미분 암호 분석이 특히 사용되었습니다.KN-Cipher는 표준 ^[3]미분 암호에 대해 면역이 입증된 암호입니다.

고차 미분

n ${displaystyle$ n $}$ 비트 $n$ 문자열을 n ${displaystyle$ n $}$ 비트 $n$ $n$ 에 $매핑하는$ 블록 암호는 $f:\mathbb {F} _{2}^{n}\to \mathbb {F} _{2}^{n}$ 에 대해 함수 f $f:\mathbb {F} _{2}^{n}\to \mathbb {F} _{2}^{n}$ $f:\mathbb {F} _{2}^{n}\to \mathbb {F} _{2}^{n}$ n $f:\mathbb {F} _{2}^{n}\to \mathbb {F} _{2}^{n}$ $f:\mathbb {F} _{2}^{n}\to \mathbb {F} _{2}^{n}$ n {\ $displaystyle$ f $:\mathbbb {F}_{2}^{n$ \ $mathbbbb {$ F}로 생각할 수 있습니다.암호화 분석에는 표준적인 관심이 있습니다.ut $α(\displaystyle$ \alpha $)$ 및 $\alpha$ 출력 $\beta$ β(\displaystyle \ $alpha$ $\alpha$ })는 $\beta$ $차이$ $β$ $(\$ displaystyle \alpha $\alpha$ $\beta$ $f(m\oplus \alpha )\oplus f(m)=\beta$ 즉 $($ ) $f(m\oplus \alpha )\oplus f(m)=\beta$ β(\ $displaystyle$ f $(plus)\alpha)$ 로 출력 텍스트가 될 가능성이 $.$ $us$ f $($ $m\in \mathbb {F} _{2}^{n}$ $)=\$ $displaystyle$ m $m\in \mathbb {F} _{2}^{n}$ in $f(m\oplus \alpha )\oplus f(m)=\beta$ $\mathbb {F}_{2}^{n$ 에 대해 $m\in \mathbb {F} _{2}^{n}$ f(m)=\displaystyle $m\in \mathbb {F} _{2}^{n}$ $}$ 은(는) $m\in \mathbb {F} _{2}^{n}$ 입니다. 여기서 사용되는 차이는 일반적인 경우인 XOR이며, 차이에 대한 다른 정의도 가능합니다.

이것은 함수 $f:\mathbb {F} _{2}^{n}\to \mathbb {F} _{2}^{n}$ : $f:\mathbb {F} _{2}^{n}\to \mathbb {F} _{2}^{n}$ $f:\mathbb {F} _{2}^{n}\to \mathbb {F} _{2}^{n}$ $f:\mathbb {F} _{2}^{n}\to \mathbb {F} _{2}^{n}$ $f:\mathbb {F} _{2}^{n}\to \mathbb {F} _{2}^{n}$ $f:\mathbb {F} _{2}^{n}\to \mathbb {F} _{2}^{n}$ 2 $f:\mathbb {F} _{2}^{n}\to \mathbb {F} _{2}^{n}$ {\ $displaystyle$ $\alpha$ f $:\mathbb {F} _{2}^{n}$ \ $to$ $\mathbb {F}$ 의 $f:{\mathbb {F}}_{2}^{n}\to {\mathbb {F}}_{2}^{n}$ $\alpha$ ^[1] $\alpha$ 도함수를 $\alpha$ α $점$ 에서 다음과 같이 정의하는 동기를 부여합니다.

\Delta _{\alpha }f(x):=f(x\oplus \alpha )\oplus f(x)

f (

\Delta _{\alpha }f(x):=f(x\oplus \alpha )\oplus f(x)

) :

=

\Delta _{\alpha }f(x):=f(x\oplus \alpha )\oplus f(x)

(

\Delta _{\alpha }f(x):=f(x\oplus \alpha )\oplus f(x)

)

\Delta _{\alpha }f(x):=f(x\oplus \alpha )\oplus f(x)

f

\Delta _{\alpha }f(x):=f(x\oplus \alpha )\oplus f(x)

( x ){

displaystyle

\

Delta _{\alpha }f(x):=f(x\oplus \alpha

)\

oplus

f

(

x

\Delta _{\alpha }f(x):=f(x\oplus \alpha )\oplus f(x)

이 정의를 사용하면 ( $(\alpha _{1},\alpha _{2},\dots ,\alpha _{i})$ 1, $(\alpha _{1},\alpha _{2},\dots ,\alpha _{i})$ 2, $(\alpha _{1},\alpha _{2},\dots ,\alpha _{i})$ $(\alpha _{1},\alpha _{2},\dots ,\alpha _{i})$ i $(\alpha _{1},\alpha _{2},\dots ,\alpha _{i})$ )의 $(\alpha _{1},\alpha _{2},\dots ,\alpha _{i})$ i {\displaystyle $(\alpha$ _ ${1},\alpha$ _{ $2},\dots,\alpha$ _ ${i})$ 의 $(\alpha _{1},\alpha _{2},\dots ,\alpha _{i})$ i { $style$ i $}$ -th $i$ 도함수는 $i$ 과 같이 재귀적으로 정의할^[1] 수 있습니다.

\Delta _{\alpha _{1},\alpha _{2},\dots ,\alpha _{i}}^{(i)}f(x):=\Delta _{\alpha _{i}}\left(\Delta _{\alpha _{1},\alpha _{2},\dots ,\alpha _{i-1}}^{i-1}f(x)\right)

=\Delta _{i}}\

left(\

Delta _{\alpha _{1

},\

alpha _{2},\delpa

,\

alpha

_{

i-1}f(x)\

right

\Delta _{\alpha _{1},\alpha _{2},\dots ,\alpha _{i}}^{(i)}f(x):=\Delta _{\alpha _{i}}\left(\Delta _{\alpha _{1},\alpha _{2},\dots ,\alpha _{i-1}}^{i-1}f(x)\right)

예를 들어 $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ 1, $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ 2 ( $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ ) $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ ( $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ ) $=$ ( $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ ) $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ f ( x ) $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ f ( x $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ 1 $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ ) $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ f f ( $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ α $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ 2) $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ f ( x ) $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ ( f ( x $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ 1 $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ 2 $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ ) $\Delta _{\alpha _{1},\alpha _{2}}^{(2)}f(x)=f(x)\oplus f(x\oplus \alpha _{1})\oplus f(x\oplus \alpha _{2})\oplus f(x\oplus \alpha _{1}\oplus \alpha _{2})$ f ( x ) \ $display$ style _ { \ $Delta$ _ { \ { \ { \ { \ { \ { \ $alpha$ _ { $1$ } } { $2 }$ $}$ （ f ( x ) f ( f ( f ( x ) $plus$ )

여기서 정의되는 고차파생상품은 총합규칙과 곱셈규칙과 같은 일반파생상품과 공통되는 특성이 많다.또한 중요한 것은 도함수를 취하면 함수의 대수적 정도가 감소한다는 것입니다.

고차 차분 공격

고차 도함수를 이용한 공격을 실시하려면 암호 도함수의 확률 분포에 대한 지식이 필요합니다.이 분포를 계산하거나 추정하는 것은 일반적으로 어려운 문제이지만, 해당 암호의 대수학 차수가 낮은 것으로 알려진 경우, 도함수가 이 차수를 감소시킨다는 사실을 사용할 수 있다.예를 들어 암호(또는 분석 중인 S-box 함수)가 대수적 차수가 8인 것으로 알려진 경우 9차 도함수는 0이어야 합니다.

따라서 암호 또는 S박스 함수는 이 공격에 대항하기 위해 최대(또는 최대에 가까운) 정도를 갖는 것이 중요합니다.

큐브 공격은 고차 차분 ^[4]공격의 변종으로 간주되어 왔습니다.

고차 차분 공격에 대한 저항

고차 차분 공격의 제한

소량 또는 저대수 S박스 또는 소량 S박스에 적용됩니다.AND 및 XOR 조작에 가세합니다.

「」를 참조해 주세요.

레퍼런스

^ ^a ^b ^c Lai, Xuejia (1994). Higher Order Derivatives and Differential Cryptanalysis. Communications and Cryptography. Vol. 276. Springer US. pp. 227–233. doi:10.1007/978-1-4615-2694-0_23. ISBN 978-1-4613-6159-6.
^ Knudsen, Lars (1994). Truncated and Higher Order Differentials (PDF/PostScript). Fast Software Encryption (FSE 1994). Springer-Verlag. pp. 196–211. Retrieved 2007-02-14.
^ Jakobsen, Thomas and Knudsen, Lars (1997). The interpolation attack on block ciphers. Fast Software Encryption. Lecture Notes in Computer Science. Vol. 1267. Springer Berlin Heidelberg. pp. 28–40. doi:10.1007/BFb0052332. ISBN 978-3-540-63247-4.{{cite book}}: CS1 maint: 여러 이름: 작성자 목록(링크)
^ Daniel J. Bernstein (2009-01-14). "Why haven't cube attacks broken anything?". Retrieved 2014-05-18.

[lai94-1] Lai, Xuejia (1994). Higher Order Derivatives and Differential Cryptanalysis. Communications and Cryptography. Vol. 276. Springer US. pp. 227–233. doi:10.1007/978-1-4615-2694-0_23. ISBN 978-1-4613-6159-6.

[knudsen94-2] Knudsen, Lars (1994). Truncated and Higher Order Differentials (PDF/PostScript). Fast Software Encryption (FSE 1994). Springer-Verlag. pp. 196–211. Retrieved 2007-02-14.

[3] Jakobsen, Thomas and Knudsen, Lars (1997). The interpolation attack on block ciphers. Fast Software Encryption. Lecture Notes in Computer Science. Vol. 1267. Springer Berlin Heidelberg. pp. 28–40. doi:10.1007/BFb0052332. ISBN 978-3-540-63247-4.{{cite book}}: CS1 maint: 여러 이름: 작성자 목록(링크)

[djb-4] Daniel J. Bernstein (2009-01-14). "Why haven't cube attacks broken anything?". Retrieved 2014-05-18.

[1]

[2]

[3]

[4]

Search

고차 미분 암호 분석

네임스페이스

더

목차

고차 미분

고차 차분 공격

고차 차분 공격에 대한 저항

고차 차분 공격의 제한

「」를 참조해 주세요.

레퍼런스

Search

고차 미분 암호 분석

고차 미분

고차 차분 공격

고차 차분 공격에 대한 저항

고차 차분 공격의 제한

「 」를 참조해 주세요.

레퍼런스

「」를 참조해 주세요.