26、针对 ARIA 的新型回旋镖攻击

针对 ARIA 的新型回旋镖攻击

1. 引言

ARIA 是在 ICISC’03 上提出的一种分组密码，其设计与高级加密标准（AES）非常相似。它使用 128 位数据块，密钥长度可以是 128、192 或 256 位，根据密钥长度不同，使用不同的轮数（分别为 10、12 或 14 轮）。ARIA 宣称在 8 位和 32 位软件实现中比 AES 更高效，并且对所有现有的分组密码攻击具有更好的安全性。

此前，Wu 等人和 Li 等人分别展示了针对 ARIA 最多 6 轮的不可能差分攻击。本文将应用回旋镖攻击技术对 ARIA 进行分析。回旋镖攻击是差分密码分析的强大扩展，它将密码视为两个子密码的级联，通过使用每个子密码中的短差分，能够破解比普通差分攻击更多的轮数。

以下是现有针对 ARIA 的攻击结果与本文新攻击的对比：
| 攻击类型 | 轮数 | 数据 | 内存 | 时间 |
| — | — | — | — | — |
| 不可能差分攻击 | 5 | 2^71.3 CP | 2^72 mem∗ | 2^71.6 |
| 中间相遇攻击 | 5 | 2^25 CP | 2^122.5 mem∗ | 2^65.4 |
| 回旋镖攻击 | 5 | 2^109 ACPC | 2^57 mem | 2^110 |
| 积分攻击 | 5 | 2^27.5 CP | 2^27.5 mem∗ | 2^76.7 |
| 不可能差分攻击 | 6 | 2^121 CP | 2^121 mem∗ | 2^112 |
| 不可能差分攻击 | 6 | 2^120.5 CP | 2^121 mem∗ | 2^104.5 |
|