超级会员免费看
向量函数与覆盖序列：密码学中的关键研究
1. 引言
在密码学领域，高弹性是一个重要的特性。除了快速相关攻击，基于低阶近似/分解的代数攻击也被引入，用于对抗以布尔或向量函数作为加密原语的系统。在经典的评估标准（代数次数、非线性度和弹性）中，只有代数次数似乎与密码系统对代数攻击的抵抗能力相关，因此有必要定义新的相关标准。
构建高度非线性的平衡向量函数（或高度非线性的弹性向量函数）对于设计安全的分组密码或具有过滤多输出生成器的流密码（或具有组合多输出生成器的安全流密码）至关重要。而且，为给定的非线性度和弹性阶构建的函数类必须足够大，以便密码学家能够选择满足更多特定实现标准的函数。
2. 符号和预备知识
- 加法区分 ：在整个研究中，需要区分实数中的整数加法（用 + 和 i 表示）和模 2 加法（用 ⊕ 和 ; i 表示）。为了简单起见，对于 Fn 2 中的向量（字）和 n > 1 的域 F2n 中的元素的加法，统一用 + 表示。
- (n, m)-函数 ：任何从 Fn 2 到 Fm 2 的映射 F 称为 (n, m)-函数。当 m = 1 时，该函数称为布尔函数，所有定义在 Fn 2 上的布尔函数的集合记为 Bn。
- 函数的支持集 ：记全零向量为 0，函数 F 的支持集 Supp F 定义为 {x ∈ Fn 2 / F(x) ≠ 0}。集合 E 的基数用 #E 表示。若 (n, m)-函数 F 使得 Fm 2 中的每个元素 y 都有相同数量（2n - m）的原像，即 #{x ∈ Fn 2 ; F(x) = y} = 2n - m，则称 F 是平衡的。
- 坐标函数 ：对于 (n, m)-函数 F，与之关联的 Fn 2 上的 m 元布尔函数组 (f1, · · ·, fm) 称为 F 的坐标函数，满足 F(x) = (f1(x), · · ·, fm(x))。
-
代数正规形式（A.N.F.）
：每个 (n, m)-函数 F 都可以唯一地表示为 Fm 2 上关于 n 个二进制变量的多项式形式：
[F (x_1, · · ·, x_n) = \sum_{I⊆{1,···,n}} a_I \prod_{i∈I} x_i, a_I ∈ F_m^2]
F 的（代数）次数 deg F 定义为其 A.N.F. 的次数，等于其坐标函数或更一般地其坐标函数的线性组合的最大代数次数。同时，还定义了最小次数 degm(F)：
[deg_m(F) = \min_{v∈F_m^2^*} deg (v · F)] - 符号函数 ：为了便于研究 F 的性质，引入符号函数 χF，定义为 χF (x, v) = (-1)v·F (x)（若 F 是布尔函数，则符号函数定义为 χF (x) = (-1)F (x)）。
- 离散傅里叶变换 ：对于 Fn 2 上的任何数值函数 ϕ，其离散傅里叶变换 ˆϕ 是一个双射变换，定义为 8ϕ(u) = x∈Fn 2 ϕ(x)(-1)u·x，u ∈ Fn 2 ，且满足 ˆˆϕ = 2nϕ。
-
沃尔什变换
：布尔函数 f 的符号函数的傅里叶变换称为 f 的沃尔什变换 = χf，定义为：
[= \chi_f(u) = \sum_{x∈F_n^2} (-1)^{f(x)+u·x} = \sum_{x∈F_n^2} (-1)^{f(x)⊕u·x}]
对于 (n, m)-函数 F，其沃尔什变换 = χF 定义在 Fn 2 × Fm 2 上：
[= \chi_F (u, v) = \sum_{x∈F_n^2} (-1)^{v·F (x)+u·x}] -
帕塞瓦尔关系
：任何数值函数 ϕ 满足帕塞瓦尔关系：
[\sum_{u∈F_n^2} 8ϕ^2(u) = 2^n \sum_{u∈F_n^2} ϕ^2(u)]
对于 (n, m)-函数 F 的沃尔什变换，该关系变为：
[\forall v ∈ F_m^2, \sum_{u∈F_n^2} = \chi_F^2(u, v) = 2^{2n}] -
卷积积
：Fn 2 上两个数值函数 ϕ 和 ψ 的卷积积 ϕ ⊗ ψ 定义为：
[(ϕ ⊗ ψ) (x) = \sum_{a∈F_n^2} ϕ (a) ψ (x + a)]
且其傅里叶变换满足 ϕ ⊗ ψ = 8ϕ × 8ψ。 - 导数 ：(n, m)-函数 F 关于向量 a ∈ Fn 2 的导数 DaF 定义为 DaF : x → F(x) + F(x + a)，导数在密码学中与差分攻击相关。
-
非线性度
：函数 F 的非线性度是从汉明距离的角度量化函数在系统中引入混淆程度的参数之一（另一个参数是次数）。向量函数 F 的非线性度定义为 F 的坐标函数的非零线性组合与所有仿射函数集合之间的最小汉明距离。用于流密码或分组密码的加密函数必须具有高非线性度，以防止系统受到线性攻击。对于 (n, m)-函数 F，非线性度 NF 和沃尔什变换 = χF 满足关系：
[N_F = 2^{n - 1} - \frac{1}{2} \max_{u∈F_n^2, v∈F_m^2^*} |= \chi_F (u, v) |]
由于帕塞瓦尔关系，NF 有上界 2n - 1 - 2n/2 - 1。当 n 为偶数且 m ≤ n/2 时，该上界是紧的，达到此上界的函数称为弯曲函数。Chabaud 和 Vaudenay 证明了 NF 还有另一个上界：
[2^{n - 1} - \frac{1}{2} \sqrt{3 × 2^n - 2 - 2 \frac{(2^{n - 1})(2^{n - 1} - 1)}{2^{m - 1}}}]
当且仅当 m = n - 1 时，该上界等于 2n - 1 - 2n/2 - 1；当且仅当 m ≥ n 时，该上界优于 2n - 1 - 2n/2 - 1。当 m = n 时，(n, n)-函数的最大可能非线性度上界为 2n - 1 - 2(n - 1)/2，达到此非线性度的函数称为几乎弯曲函数，且仅当 n 为奇数时存在。在其他情况下，非线性度的最大值未知。 -
t - 弹性
：(n, m)-函数用于容错分布式计算、量子密码密钥分发和流密码的随机序列生成。为了抵抗分治攻击，这些函数必须是平衡的，并且在固定任意 t 个输入时仍保持平衡（t 为尽可能大的整数），这种性质称为 t - 弹性，平衡函数的弹性阶定义为这样的 t 的最大值。弹性可以通过傅里叶变换来表征：
- 命题 1：(n, m)-函数 F 是 t - 弹性的，当且仅当对于每对 (u, v) ∈ Fn 2 × Fm 2 ，其中 v ≠ 0 且 wH(u) ≤ t（wH 表示汉明重量），其沃尔什变换满足 = χF (u, v) = 0。
-
注 1：
- 函数是平衡的当且仅当它是 0 - 弹性的，即对于任何非零向量 v ∈ Fm 2 ，= χF (0, v) = 0。
- 如果 G 是 t - 弹性的 (n, m)-函数，P 是 Fm 2 上的置换，则 (n, m)-函数 F = P ◦ G 的弹性阶至少为 t。
-
命题 2
：设 G 和 H 分别是 (r, m, t1)-函数和 (n - r, m, t2)-函数，则由 F(x, y) = G(x) + H(y) 定义的 (n, m)-函数 F 是 (t1 + t2 + 1)-弹性的，其非线性度等于：
[2^{n - 1} - \frac{1}{2} \max_{(u, u’)∈F_r^2×F_{n - r}^2, v∈F_m^2^*} |= \chi_G(u, v) = \chi_H(u’, v) |]
且下界为 2n - 1 - 1/2 (2r - 2NG) (2n - r - 2NH)。
3. Maiorana - MacFarland 函数
3.1 布尔情况
- 定义 ：类 Mn 是形如 fφ,h (x, y) = x · φ (y) ⊕ h (y) 的布尔函数集合，其中 r 和 s 是满足 r + s = n 的正整数，φ 是从 Fs 2 到 Fr 2 的任意函数，h 是 Fs 2 上的任意布尔函数。
-
t - 弹性条件
：函数 fφ,h ∈ Mn 是 t - 弹性的，当且仅当对于每个汉明重量小于或等于 t 的向量 u ∈ Fr 2 ，要么集合 φ - 1 (u) 为空，要么对于每个汉明重量至多为 t - wH(u) 的向量 u’ ∈ Fs 2 ，函数 y ∈ Fs 2 → h(y) ⊕ u’ · y 在 φ - 1 (u) 上是平衡的。
- 充分条件 1：φ(Fs 2) 中的每个元素的汉明重量严格大于 t。
- 充分条件 2：φ(Fs 2) 中的每个元素的重量至少为 t，并且如果其重量为 t，则它有两个逆像 y1 和 y2，且 h(y1) = 0，h(y2) = 1。
-
非线性度
：布尔函数 fφ,h : Fr 2 × Fs 2 → F2 的非线性度等于：
[2^{n - 1} - 2^{r - 1} \max_{(u, u’)∈F_r^2×F_s^2} |\sum_{y∈φ^{-1}(u)} (-1)^{h(y) + u’ · y}| ]
当 φ 是单射（或恰好取 Im φ 中的每个值两次）时，该非线性度等于 2n - 1 - 2r - 1（或 2n - 1 - 2r）。而且，每个如上述定义的布尔函数 fφ,h 的非线性度满足：
[2^{n - 1} - 2^{r - 1} \max_{u∈F_r^2} \sqrt{#φ^{-1}(u)} ≤ N_{f_{φ,h}} ≤ 2^{n - 1} - 2^{r - 1} \max_{u∈F_r^2} #φ^{-1}(u) ]
如果 φ(Fs 2) 中的每个元素的汉明重量严格大于 k（则 fφ,h 是 t - 弹性的，t ≥ k），则 Nfφ,h 还满足：
[N_{f_{φ,h}} ≤ 2^{n - 1} - 2^{r - 1} \sqrt{2^{s/2} \sum_{i = k + 1}^r \binom{r}{i}} ]
以下是一个总结布尔情况相关性质的表格：
|性质|描述|
| ---- | ---- |
|定义|fφ,h (x, y) = x · φ (y) ⊕ h (y)，r + s = n|
|t - 弹性条件|多种充分条件|
|非线性度|多种表达式及上下界|
3.2 多输出情况
- 构造背景 ：通过推广 Maiorana 和 MacFarland 的构造来设计弹性向量函数是很自然的。许多学者如 Nyberg、Kurosawa 等都使用过这种技术来构造具有高弹性和高非线性度的函数。对向量 Maiorana - MacFarland 函数的一般研究尚未完成，本部分旨在将布尔函数的性质扩展到多输出情况。
- 线性 t - 弹性函数与线性码 ：存在线性 (n, m, t)-函数当且仅当存在一组 2m 个不相交的维度为 2n - m × n 的二进制阵列，使得在阵列的任何 t 列中，Ft 2 中的每个 2t 个元素恰好出现在 2n - m - t 行中，且没有两行相同；等价于存在线性 [n, m, t + 1] 码（即 Fn 2 中维度为 m 的子空间，其非零元素的汉明重量大于或等于 t + 1）。
- 命题 3 ：设 G 是线性 [n, k, d] 码 C 的生成矩阵，定义 L : Fn 2 → Fk 2 为 L(x) = x × GT（GT 是 G 的转置），则 L 是 (n, k, d - 1)-函数。注 2 指出，即使 L 是仿射的（L(x) = x × Gt + a，a 是 Fk 2 中的向量），命题 3 仍然成立。
-
定义 2
：类 Mn,m 是形如：
[F(x, y) = x × \begin{pmatrix} \phi_{11}(y) & \cdots & \phi_{1m}(y) \ \vdots & \ddots & \vdots \ \phi_{r1}(y) & \cdots & \phi_{rm}(y) \end{pmatrix} + H(y), (x, y) ∈ F_r^2 × F_s^2 ]
的 (n, m)-函数集合，其中 r 和 s 是满足 r + s = n 的正整数，H 是任何 (s, m)-函数，对于每个 i ≤ r 和 j ≤ m，ϕij 是 Fs 2 上的布尔函数。 -
相关性质
：
- 若关系 (12) 中涉及的矩阵的转置矩阵是线性 [r, m, d] 码的生成矩阵，对于 Fs 2 中的每个向量 y，则 (n, m)-函数 F 是 (d - 1)-弹性的。
- 任何属于 Mn,m 的函数 F 可以写成 F(x, y) = (x · φ1(y) ⊕ h1(y), · · ·, x · φm(y) ⊕ hm(y)) 的形式。
- 推论 1：设 n, m, r 和 s 满足 n = r + s，若对于每个 y ∈ Fs 2，(φi(y))i≤m 是 Fr 2 中 m 维子空间的基，且该子空间的最小汉明重量为 t + 1，则 F 至少是 t - 弹性的。注 4 指出，当 m 严格大于 r 时，不能应用推论 1 来设计 t - 弹性的 (n, m)-函数。
-
沃尔什变换系数：(n, m)-函数 F 属于 Mn,m（n = r + s）的沃尔什变换系数为：
[= \chi_F ((u, u’), v) = 2^r \sum_{y∈E_{u, v}} (-1)^{v·H(y) + u’ · y} ]
其中 Eu,v 表示集合 {y ∈ Fs 2 ; m i = 1 viφi(y) = u}。 -
t - 弹性条件：F 是 t - 弹性的，当且仅当对于每个 v ∈ Fm 2 ∗ 和每个汉明重量小于或等于 t 的对 (u, u’) ∈ Fr 2 × Fs 2 ，满足以下两个条件之一：
- 集合 Eu,v 为空。
- 布尔函数 y ∈ Fs 2 → v · H(y) ⊕ u’ · y 在 Eu,v 上是平衡的。但由于向量 v 的存在，该特征不易用于设计弹性向量函数。
-
非线性度：函数 F ∈ Mn,m 的非线性度 NF 满足：
[N_F = 2^{n - 1} - 2^{r - 1} \max_{(u, u’)∈F_r^2×F_s^2, v∈F_m^2^*} |\sum_{y∈E_{u, v}} (-1)^{v·H(y) + u’ · y}| ]
由于向量 v 的存在，构造高度非线性的向量函数比布尔情况更困难。 -
命题 4：设 F 是如 (14) 定义的 (n, m)-函数，则其非线性度 NF 满足：
[2^{n - 1} - 2^{r - 1} \max_{u∈F_r^2, v∈F_m^2^ } (#E_{u, v}) ≤ N_F ≤ 2^{n - 1} - 2^{r - 1} \max_{u∈F_r^2, v∈F_m^2^ } #E_{u, v} ]
若对于每个元素 y，由向量 φ1(y), · · ·, φm(y) 张成的空间维度为 m 且最小汉明重量严格大于 k（则 F 是 t - 弹性的，t ≥ k），则有：
[N_F ≤ 2^{n - 1} - 2^{r - 1} \sqrt{2^{s/2} \sum_{i = k + 1}^r \binom{r}{i}} ] -
命题 5：设 F 是如 (14) 定义的 (n, m)-函数：
- 如果对于每个向量 v ∈ Fm 2 ∗，(s, r)-函数 y → i ≤ m viφi(y) 是单射，则 F 的非线性度为 2n - 1 - 2r - 1。
- 如果对于每个向量 v ∈ Fm 2 ∗，(s, r)-函数 y → i ≤ m viφi(y) 恰好取像集中每个值两次，则 F 的非线性度为 2n - 1 - 2r。注 6 指出，单射（或二对一性质）意味着 s ≤ r（或 s ≤ r + 1）。
- 引理 1：设 C 是二进制线性 [r, m, t + 1] 码（m ≤ r），c1, · · ·, cm 是 C 的基，α 是有限域 F2m 中的本原元，L1 是从 F2m 到 C 的线性函数，定义为 L1 ( m i = 1 aiαi - 1) = m i = 1 aici。定义 m - 1 个函数 Li（i = 2, · · ·, m），使得对于每个 0 ≤ k ≤ 2m - 2，Li(αk) = L1(αk + i - 1)。则对于每个向量 v ∈ Fm 2 ∗，函数 z ∈ F2m → m i = 1 viLi(z) 是从 F2m 到 C 的双射。注 7 指出，更一般地，如果 β1, · · ·, βm 是 F2m 的基，L0 是 F2m 到 C 的线性同构，则函数 Li(z) = L0(βiz)（i = 1, · · ·, m）也具有相同性质。
-
命题 6：设 C 是线性 [r, m, t + 1] 码，L1, · · ·, Lm 是如引理 1 定义的 m 个函数，s 是任意整数，π 是从 Fs 2 到 F∗ 2m 的任意函数，H 是任何 (s, m)-函数。则由 (19) 定义的 (r + s, m)-函数 F 的弹性阶至少为 t，其非线性度满足：
[N_F = 2^{r + s - 1} - 2^{r - 1} \max_{z∈F_{2^m}^ , u’∈×F_s^2, v∈F_m^2^ } |\sum_{y∈π^{-1}(z)} (-1)^{v·H(y) + u’ · y}| ]
如果 π 是单射，则 s 必须严格小于 m，NF 等于 2r + s - 1 - 2r - 1；如果 π 是二对一的，则 s 必须小于或等于 m，NF 等于 2r + s - 1 - 2r。
以下是多输出情况的总结表格：
|性质|描述|
| ---- | ---- |
|线性 t - 弹性函数与线性码|存在等价关系|
|定义|Mn,m 类函数形式|
|相关性质|多种弹性和非线性度相关性质|
4. 构造方法
4.1 构造 1
-
步骤
：
- 给定两个整数 m 和 r（m ≤ r），构造一个 [r, m, t + 1]-码 C，使得 t 尽可能大。
- 定义 m 个从 F2m 到 C 的线性函数 L1, · · ·, Lm，如引理 1 或其后续注中所述。
- 选择一个严格小于 m（或小于或等于 m）的整数 s，并定义一个单射（或二对一）函数 π 从 Fs 2 到 F∗ 2m。
- 选择任何 (s, m)-函数 H，记 r + s 为 n，则由 fi(x, y) = x · [Li ◦ π] (y) ⊕ hi(y) 定义坐标函数的 (n, m)-函数 F 是 t - 弹性的，且非线性度为 2n - 1 - 2r - 1（或 2n - 1 - 2r）。
- 注 8 ：在构造 1 中，参数 r, m 和 s 必须满足要么 π 是单射时 s < m ≤ r，要么 π 是二对一的时 s ≤ m ≤ r。并且 r ≥ n/2 越小，非线性度越大。
4.2 构造 2
-
步骤
：
- 设 (Cj)1≤j≤N 是一组 N 个不相交的 [r, m, t + 1] 码。
- 对于每个码 Cj，定义一组线性函数 {L[j] i } 1≤i≤m，如引理 1 所述。
- 设 s 是小于或等于 log2(N × (2m - 1))（或 log2(N × (2m - 1)) + 1）的最大整数。
- 设 (Ei)1≤i≤N 是 Fs 2 的一个划分，使得 #Ei ≤ 2m - 1（i = 1, · · ·, N）。
以下是构造方法的 mermaid 流程图：
graph TD;
A[开始] --> B[构造 1];
A --> C[构造 2];
B --> B1[构造 [r, m, t + 1]-码 C];
B --> B2[定义线性函数 L1 - Lm];
B --> B3[选择 s 和函数 π];
B --> B4[选择函数 H 并确定 F];
C --> C1[确定不相交码组 (Cj)];
C --> C2[定义线性函数组 {L[j] i }];
C --> C3[确定 s];
C --> C4[划分 Fs 2];
综上所述，通过对 Maiorana - MacFarland 函数在布尔情况和多输出情况的研究，以及给出的两种构造方法，可以为设计具有高弹性和高非线性度的向量函数提供有效的途径，这对于密码学中的安全密码设计具有重要意义。
向量函数与覆盖序列：密码学中的关键研究
5. 向量函数的覆盖序列及攻击应用
- 覆盖序列的推广 ：将文献中引入的覆盖序列概念推广到向量函数，并解释了某些覆盖序列如何用于攻击迭代分组密码。当轮密钥通过加法引入（这是最常见的引入方式）时，通过拼接扩展的 Maiorana - MacFarland 函数存在可用于攻击涉及它们作为轮函数的迭代分组密码的覆盖序列。
- 攻击原理 ：覆盖序列能够利用函数的特性，在已知轮密钥引入方式为加法的情况下，对迭代分组密码的轮函数进行分析和攻击。具体来说，通过分析覆盖序列与函数的关系，可以找到密码系统中的薄弱环节，从而实现攻击。
以下是覆盖序列攻击迭代分组密码的简单 mermaid 流程图：
graph TD;
A[开始] --> B[确定覆盖序列];
B --> C[分析轮函数（Maiorana - MacFarland 函数）];
C --> D[利用覆盖序列攻击];
D --> E[判断攻击是否成功];
E -- 是 --> F[结束攻击];
E -- 否 --> C;
6. 研究总结与展望
-
研究总结
- 本文对向量 Maiorana - MacFarland 函数进行了全面研究，将布尔函数的性质成功扩展到多输出情况。通过对函数的弹性、非线性度等关键参数的分析，给出了多种判断函数性质的条件和方法。
- 提出了两种构造具有高弹性和高非线性度向量函数的方法，为密码学中安全密码设计提供了有效的途径。
- 推广了覆盖序列的概念，并说明了其在攻击迭代分组密码中的应用，为密码系统的安全性评估提供了新的视角。
-
展望
- 虽然已经对向量 Maiorana - MacFarland 函数进行了较为深入的研究，但仍有许多问题值得进一步探索。例如，如何在保证函数高弹性和高非线性度的同时，降低函数的实现复杂度，提高密码系统的效率。
- 对于覆盖序列的研究还可以进一步深入，探索更多类型的覆盖序列以及它们在不同密码系统中的应用，以更好地评估和提高密码系统的安全性。
- 在构造函数方面，可以尝试结合更多的密码学技术和数学工具，构造出具有更优性能的向量函数，满足不断发展的密码学需求。
以下是研究内容的总结表格：
|研究内容|主要成果|
| ---- | ---- |
|向量 Maiorana - MacFarland 函数研究|扩展布尔函数性质到多输出情况，给出函数性质判断条件|
|函数构造方法|提出两种构造高弹性和高非线性度向量函数的方法|
|覆盖序列研究|推广概念并说明在攻击迭代分组密码中的应用|
7. 实际应用与案例分析
-
密码系统设计中的应用
- 在流密码和分组密码设计中，高弹性和高非线性度的向量函数是关键要素。通过本文提出的构造方法，可以选择合适的参数和函数形式，设计出满足安全需求的密码系统。例如，在设计具有过滤多输出生成器的流密码时，可以使用构造的向量函数来提高密码系统的抗攻击能力。
-
具体操作步骤如下：
- 根据密码系统的安全需求，确定所需的弹性阶 t 和非线性度要求。
- 选择合适的构造方法（构造 1 或构造 2），并根据方法中的步骤确定参数 r、m、s 等。
- 按照构造方法的要求，构造线性码、定义线性函数、选择合适的函数 π 和 H 等，得到满足需求的向量函数。
- 将构造的向量函数应用到密码系统的相应模块中，进行系统的实现和测试。
-
案例分析
-
假设需要设计一个分组密码系统，要求向量函数具有较高的弹性和非线性度。采用构造 1 进行函数构造，具体参数选择如下：
- 确定 m = 4，r = 6，根据构造 1 的步骤，构造线性 [6, 4, t + 1] 码 C，使得 t 尽可能大。
- 定义 m 个从 F2^4 到 C 的线性函数 L1 - L4，如引理 1 所述。
- 选择 s = 3，并定义一个单射函数 π 从 F3^2 到 F∗ 2^4。
- 选择一个 (3, 4)-函数 H，得到 (r + s, m) = (9, 4)-函数 F。
- 经过测试，该函数 F 具有较高的弹性和非线性度，能够有效提高分组密码系统的安全性。
-
假设需要设计一个分组密码系统，要求向量函数具有较高的弹性和非线性度。采用构造 1 进行函数构造，具体参数选择如下：
以下是实际应用步骤的列表总结：
1. 明确安全需求。
2. 选择构造方法并确定参数。
3. 构造函数。
4. 应用到密码系统并测试。
综上所述，本文对向量函数的研究和构造方法为密码学的实际应用提供了重要的理论支持和实践指导，通过合理选择和应用这些方法，可以设计出更加安全高效的密码系统。
扫一扫
1万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
