破解ECHO-256压缩函数:截断差分路径攻击解析
在密码学领域,对哈希函数的碰撞攻击是一项重要的研究内容。本文将详细探讨针对ECHO-256压缩函数的截断差分路径攻击方法,通过深入分析攻击步骤和关键技术,揭示其背后的原理和实现细节。
1. SuperMixColumns变换与截断差分
SuperMixColumns变换矩阵定义为AES中MixColumns操作矩阵M的Kronecker积,即MSMC = M⊗M。研究发现,MSMC并非MDS矩阵,其分支数仅为8,而非17。基于这一特性,可以构建稀疏的截断差分,在变换的输入和输出切片中仅存在4个活动字节。路径4 →16 →4的概率为2⁻²⁴,在2³²个现有差分中,有效差分数量减少至2⁸。对于给定的输出活动字节位置,有效差分实际上位于一个一维子空间中。
以下是不同切片对应的向量:
- v₀ = [E000 9000 D000 B000]ᵀ
- v₄ = [B000 E000 9000 D000]ᵀ
- v₈ = [D000 B000 E000 9000]ᵀ
- v₁₂ = [9000 D000 B000 E000]ᵀ
这种新的组合线性层方法虽然能够构建更稀疏的截断差分,但在某些情况下会导致错误结论。例如,在攻击的合并阶段,需要解决16个线性系统,而之前的研究中存在假设关系成立的缺陷,实际满足这些关系的概率仅为2⁻¹²⁸。
2. 截断差分路径
在对ECHO的分析中,我们采用字节级别的路径,这使得构建的路径比仅考虑AES状态级别的路径更稀疏。我们的路径主要借鉴自相关研究,对于四轮的ECHO置换,该路径包含418个活动S盒。与之前的路径
超级会员免费看
订阅专栏 解锁全文
33

被折叠的 条评论
为什么被折叠?



