38、具有秘密 S 盒的类 PRESENT 密码的密码分析

具有秘密 S 盒的类 PRESENT 密码的密码分析

1. 引言

小型计算设备正变得越来越普及，成为了普遍通信基础设施的一部分，例如 RFID 系统，可用于识别和跟踪动物或在收费公路上使用。未来，RFID 标签有望取代条形码。然而，这些计算设备的广泛部署不仅带来了便利，也带来了一系列安全风险。同时，这些设备的资源通常非常有限，因此对轻量级加密算法的需求日益增长。

块密码 PRESENT 是轻量级密码的一个重要示例，它由替代层和置换层交替组成。轻量级密码的重要设计原则包括高效的硬件实现、良好的性能和适度的安全级别。通常，性能和安全级别之间存在权衡。为了加快算法速度，我们希望加密轮数尽可能少，但为了保证安全级别，又需要最少的轮数。

PRESENT 是一个 64 位的迭代块密码，有 80 位密钥和 128 位密钥两种变体，均运行 31 轮。每一轮有三个层：一个由 16 个并行应用的相同 4 位 S 盒组成的替代层、一个由 64 位逐位置换组成的置换层，以及一个密钥加法层，其中子密钥与文本进行异或运算。目前已知对 PRESENT 最好的密码分析攻击是对 31 轮中的 26 轮进行线性攻击，该攻击需要所有 2^64 种可能的文本，运行时间为 2^72。虽然这种攻击几乎不实用，但它表明加密轮数不应大幅减少。

普林斯顿大学的两位研究人员提出了一种加强密码的方法，即减少轮数。他们提出的密码 Maya 是一个 16 轮的 SP 网络，与 PRESENT 类似。主要区别在于，Maya 的替代层由 16 个不同的 S 盒组成，这些 S 盒依赖于密钥，因此是保密的。S 盒层之间的位置换是固定且公开的。在每一轮中，轮密钥与文本进行异或运算。作者声称该密码可以在实践中高效实现，并且“差分