28、背包生成器的密码分析

背包生成器的密码分析

1. 引言

背包生成器是1985年由Rueppel和Massey引入的一种基于线性反馈移位寄存器（LFSR）的流密码构造。它的输出序列接近最大线性复杂度，且与背包问题的关联暗示了其强大的安全性。在RFID系统等实际应用中，该生成器被推荐使用。

• 生成器原理 ：
  • 设$w_0, \cdots, w_{n - 1}$为$n$个$k$位整数，$u_0, u_1, \cdots$是由$n$阶LFSR在$F_2$上生成的比特序列。在第$i$步，背包生成器计算$v_i = \sum_{j = 0}^{n - 1} u_{i + j}w_j \mod 2^k$ 。
  • 丢弃$v_i$的$\ell$个最低有效位，输出剩余的$k - \ell$位作为密钥流的一部分。
  • 整个生成器由$n(2 + k)$位定义：$n$位用于LFSR的连接多项式，$n$位用于初始控制位（对应LFSR的初始状态），$kn$位用于权重。连接多项式应为本原多项式，以实现控制序列的最大周期，通常将其视为公共参数，剩余的$n(1 + k)$位构成生成器的密钥。例如，当$n = k = 64$时，密钥长度为4160位。
• 与其他生成器对比 ：
  • 该生成器通过模$2^k$的整数加法打破了LFSR的线性，相比非线性布尔滤波和组合函数，它避免了高线性复杂度和高相关性免疫之间的权衡。
  • 与Rueppel提出的求和生成器相比，求和生成器易受相关攻击、代数攻击等，而背包生