17、对SIMON系列分组密码的匹配盒中间相遇攻击

对SIMON系列分组密码的匹配盒中间相遇攻击

1. 引言

近年来，轻量级密码学发展迅速。为满足资源受限环境（如RFID标签和无线传感器网络）的安全需求，许多轻量级分组密码被提出，包括PRESENT、KATAN & KTANTAN、PRINTcipher、LBlock、Piccolo、LED、SIMON & SPECK等。为设计满足资源约束的密码，其内部组件应简单易实现，特别是密钥调度。例如，KATAN、PRINCE和SIMON采用线性密钥调度，LED则直接使用主密钥，无需密钥调度。

这些新设计风格催生了新的密码分析技术，尤其是中间相遇攻击在轻量级分组密码分析中得到了很大发展。新的技术如间接匹配、全子密钥恢复、双团、中间筛选和匹配盒等被提出，使中间相遇攻击在密码分析中更强大。中间相遇攻击通常适用于具有简单密钥调度的密码，而匹配盒技术则特别针对具有线性密钥调度的分组密码。

SIMON是美国国家安全局（NSA）在2013年设计的一系列轻量级分组密码。由于其规范文档中没有内部安全分析，吸引了许多研究人员。以往对SIMON的分析主要集中在差分密码分析和线性密码分析上，这些统计分析方法通常需要大量的数据。但在实际应用中，攻击者可获取的数据往往有限，因此评估SIMON在低数据攻击下的安全性具有重要意义。

2. 符号说明

本文使用的符号如下：
- (P, C)：明文和密文。
- (E_{0 - R}(K, P))：使用密钥(K)对明文(P)从第0轮加密到第(R)轮。
- (D_{R - R1}(K, C))：使用密钥(K)对密文(C)从第(R)轮解密到第(R1)轮。
- (X_i)：第(i)个状态