6、多重差分密码分析：理论与实践

多重差分密码分析：理论与实践

1. 理论基础

在介绍相关结果之前，先回顾一下 $N_s = \frac{|\Delta_0|N}{2}$ ，这个量自然地出现在分布尾部的表达式中。

定理 3 给出了关于计数器 $D(k)$ （根据定义 3 定义，是 $N/2$ 个独立同分布变量的和，取值范围在 ${0, 1, \cdots, N_s}$ ）的累积分布函数尾部的近似公式。定义两个关于 $\tau$ 和 $q$ （$[0, 1]$ 内的实数，且 $\tau \neq q$ ）的函数：
[
G^-(\tau, q) \triangleq e^{-N_sD(\tau||q)} \cdot \left(\frac{q(1 - \tau)}{(q - \tau)\sqrt{2\pi\tau N_s}} + \frac{1}{\sqrt{8\pi\tau N_s}}\right)
]
[
G^+(\tau, q) \triangleq e^{-N_sD(\tau||q)} \cdot \left(\frac{(1 - q)\sqrt{\tau}}{(\tau - q)\sqrt{2\pi N_s(1 - \tau)}} + \frac{1}{\sqrt{8\pi\tau N_s}}\right)
]
则 $D(k)$ 的累积分布函数尾部可以近似表示为：
[
Pr[D(k) \leq \tau N_s] = G^-(\tau, p)\left(1 + O\left(\frac{p - \tau}{p}\right)\right)
]
[
Pr[D(k) \geq \tau N_s] = G^+(\t