15、改进Camellia密码差分和线性特征概率的上界

改进Camellia密码差分和线性特征概率的上界

在密码学领域，Camellia作为一种重要的分组密码，其安全性一直是研究的重点。本文聚焦于Camellia密码在差分攻击和线性攻击下的安全性，通过提出新的评估方法，改进了其差分和线性特征概率的上界。

1. 引言

Camellia是一个被提名为NESSIE项目候选方案，并且进入该项目第二阶段的分组密码，同时也是日本CRYPTREC项目的候选方案。众多研究者对其安全性进行了深入研究。Camellia的设计者尝试通过计算最大差分特征概率（MDCP）和最大线性特征概率（MLCP）的上界，来评估其在差分攻击和线性攻击下的安全性。由于Camellia的S盒的最大差分概率和最大线性概率均为$2^{-6}$，因此MDCP和MLCP分别由$(2^{-6})^d$和$(2^{-6})^l$上界限定，其中$d$是差分活跃S盒的最少数量，$l$是线性活跃S盒的最少数量。设计者修改了一种截断差分概率的搜索方法来计算活跃S盒的最少数量，并得出12轮Camellia和无FL/FL⁻¹的11轮Camellia不存在概率高于$2^{-128}$的差分或线性特征。

然而，Kanda指出，使用截断差分理论的搜索算法不足以评估Camellia的安全性，因为它采用了SPN型轮函数。在SPS型轮函数中，F函数的每个分割数据在输出前会经过第二次替换层，但SPN型轮函数没有这样的层。因此，当截断差分应用于SPN轮函数时，F函数输出的每个字节之间会出现强关联。本文更严格地研究了这些关系，并提出了一种新的评估方法，以更严格地计算活跃S盒的最少数量。

2. 预备知识

2.1 SPN轮函数和Camellia的描述

Ca