24、对SOBER - t16和SOBER - t32流密码的区分攻击

对SOBER - t16和SOBER - t32流密码的区分攻击

1. 引言

在对称密码的设计中，安全性和性能至关重要。在选择对称加密算法时，首先要决定是选择分组密码还是流密码。大多数已知的分组密码能提供足够的安全性和较好的性能，但通常需在“流密码”模式下使用，这表明使用纯流密码原语可能更有益。

现代流密码与分组密码相比，性能有所提升，但流密码的安全性不如分组密码那样被充分理解。许多提出的流密码，如（所谓的）RC4、A5/1，都存在安全弱点。

在NESSIE项目中，高通澳大利亚公司提交了两种类似的流密码，即SOBER - t16和SOBER - t32。这两种基于移位寄存器的流密码是从早期的SOBER版本发展而来的，此前没有比穷举密钥搜索更好的攻击方法，意味着它们提供了完全的安全性。

流密码由一个密钥生成器产生伪随机序列，该序列与明文相加。在密码分析中，我们假设伪随机序列已知（已知明文攻击），尝试恢复密钥（密钥恢复攻击）或区分伪随机序列与真正的随机序列（区分攻击）。

SOBER - t16和SOBER - t32生成器大致可描述为非线性滤波器生成器，在产生输出前有一个“口吃”步骤，这使得输出不规则。不过，即使没有口吃步骤，生成器也被认为是安全的。

本文提出了几种对SOBER - t16和SOBER - t32进行区分攻击的新方法。攻击基于将非线性滤波器的线性近似与通过反馈多项式定义的线性递归相结合。线性近似此前已用于流密码的BAA攻击和分组密码的线性密码分析中。在本文中，主要通过模拟推导线性近似引入的噪声分布。考虑了包括和不包括口吃步骤的两种情况。

最终结果如下：
| 密码类型 | 口吃情况