18、ECHO-256压缩函数四轮碰撞攻击解析

ECHO-256压缩函数四轮碰撞攻击解析

1. 碰撞与ECHO概述

在对ECHO - 256压缩函数进行四轮简化的研究中，碰撞攻击是一个重要的方向。通过一系列的操作和分析，能够找到满足特定条件的消息对，从而实现碰撞攻击。下面将详细介绍攻击过程中的各个阶段。

2. 差分转换与AES列恢复

2.1 差分转换概率

在SuperSBox中，有15个差分转换，每个转换只有一个输入活动字节。这15个转换同时发生的概率为$2^{-15}$。当它们同时发生时，可以使用之前描述的技术在$2^{11}$的时间内并行恢复15个AES列对。

2.2 消息对构建数量

考虑一个符合截断路径第一子部分单个ECHO列的消息对作为起点，对于第二子部分，能够构建的遵循截断路径的消息对数量约为$2^{7} \times 2^{8\times3} \times 2^{-15} \approx 2^{16}$。每$2^{26}$次操作可以并行得到一个符合条件的消息对。

2.3 压缩函数碰撞攻击中的过滤

在对压缩函数的碰撞攻击中，进一步对S26和S27之间MixColumns转换中的活动字节进行概率过滤。在能够构建的2^{16}个遵循S16和S26之间截断路径的消息对中，平均只有一个能验证通过MixColumns的4 → 2转换。如果找到这样的消息对，则该消息对符合截断路径直到四轮结束；否则，需要找到一个新的起点，即S12中切片0的新切片对。选择减少到两个活动字节是为了降低碰撞攻击的整体时间复杂度。

3. 完成第一子部分的部分消息对

3.1 切片约束关系