16、针对 SIMON 系列分组密码的火柴盒中间相遇攻击

针对 SIMON 系列分组密码的火柴盒中间相遇攻击

1. 引言

近年来，轻量级密码学发展迅速。为满足 RFID 标签和无线传感器网络等资源受限环境中不断增长的安全需求，许多轻量级分组密码被提出，如 PRESENT、KATAN & KTANTAN、PRINTcipher、LBlock、Piccolo、LED、SIMON & SPECK 等。为设计满足资源约束的密码，其内部组件应简单易实现，特别是密钥调度。例如，KATAN、PRINCE 和 SIMON 采用线性密钥调度，而 LED 直接使用主密钥，无需密钥调度。

这些新的设计风格催生了新的密码分析技术。特别是，中间相遇攻击在轻量级分组密码分析中得到了很大发展。新的技术，如间接匹配、全子密钥恢复、双团、中间筛选和火柴盒技术等，使中间相遇攻击在密码分析中更强大。中间相遇攻击通常适用于具有简单密钥调度的密码，而火柴盒技术特别针对具有线性密钥调度的分组密码。

SIMON 是美国国家安全局于 2013 年设计的一系列轻量级分组密码。由于其规范文档中未包含内部安全分析，吸引了许多研究人员。以往对 SIMON 的分析主要集中在差分密码分析和线性密码分析，这些统计密码分析方法通常需要大量的数据。本文主要关注低数据复杂度的攻击，分析 SIMON 系列分组密码对火柴盒中间相遇攻击的抵抗能力。与经典的统计攻击相比，火柴盒中间相遇攻击所需的数据量更少、更合理，这是首次对 SIMON 进行的中间相遇类型的攻击，对许多具体协议和应用具有重要意义。

2. 符号说明

本文使用的符号如下：
- (P, C)：明文和密文。
- (E_{0 - R}(K, P))：使用秘密密钥 (K) 对明