2、回旋镖与矩形攻击的新成果

回旋镖与矩形攻击的新成果

在密码分析领域，回旋镖攻击和矩形攻击是两种重要的方法。本文将详细介绍基于回旋镖区分器的密钥恢复攻击以及增强型回旋镖攻击，并对其复杂度进行分析。

1. 基本概念与场景

在某些密码分析场景中，我们会遇到不同的密码结构，如 $E = E_f \circ E_1 \circ E_0 \circ E_b$。有时我们可能只对一侧有额外轮数的密码 $E$ 进行攻击，例如将 $E$ 分解为 $E = E_1 \circ E_0 \circ E_b$ 或 $E = E_f \circ E_1 \circ E_b$，此时分析时可令 $m_f = r_f = t_f = 0$。另外，在选择密文场景下，可将算法应用于 $E^{-1} = E^{-1}_b \circ E^{-1}_0 \circ E^{-1}_1 \circ E^{-1}_f$，分析时只需将方程中的下标 $b$ 和 $f$ 互换。

2. 基于回旋镖区分器的密钥恢复攻击

我们将之前的思想应用到回旋镖攻击中，发现当回旋镖区分器成功时，密钥恢复攻击也会成功。使用区分器进行密钥恢复攻击有多种标准技术，基本思想是尝试所有影响区分器前后差异（或近似值）的子密钥，正确的子密钥是使统计区分器效果最佳的那个。但这种基本思想在时间和内存复杂度方面可能代价高昂，且由于自适应选择明文和密文的要求，只有当 $E_b$ 或 $E_f$ 存在时，才能使用回旋镖区分器进行密钥恢复攻击。

2.1 通用回旋镖攻击步骤

对 $E = E_1 \circ E_0 \circ E_b$ 的通用回旋镖攻击步骤如下：
1. 初始化一个包含 $2^{m_b}$ 个计数器的数组，每个