21、关于GF(2)上的XL算法及GF(pm)算术架构的研究

关于GF(2)上的XL算法及GF(pm)算术架构的研究

1. GF(2)上的XL算法

在密码学和密码分析领域，求解有限域上的一组多元二次方程（MQ问题）至关重要。此前，Adi Shamir等人引入了用于解决MQ问题的XL算法，但原结果具有启发性，且对其实际行为了解甚少，同时之前的研究主要基于GF(127)进行计算机模拟，而在大多数密码学应用中，方程是基于GF(2)的。

1.1 XL算法相关特性

• 新方程的产生 ：某些方程预计是新的且不同的。这是因为从特定步骤得到的方程被认为包含了关于解的“一些信息”，而这些信息不在任何小的R方程子集中，因此需要组合几乎所有初始方程来消除大量项。
• 方程数量的增长 ：如果一开始Free ≥ C + T - T ′，就可以“增加”方程的数量。此时预计会有2C个额外的方程，实际可能会略少。而且新方程的数量预计呈指数增长。
• 唯一解情况 ：如果初始系统有唯一解，预计最终Free = T或非常接近它。
• 计算成本 ：对于每个仅包含T’中项的方程，计算一个派生的额外方程的成本约为T ′²。由于缺少T ′个方程，预计在攻击中会进行约T ′³次额外操作，这可能会减少到T ′^ω，从而小于XL攻击本身的成本T^ω。
• 攻击失败的处理 ：如果整个攻击失败，应该尝试使用另外两个变量代替x1和x2，或者从一开始就使用三个变量（以及三个系统），推测三个变量应该总是足够的。