54、并行化Camellia和SMS4分组密码

并行化Camellia和SMS4分组密码

1. 引言

1.1 背景与动机

分组密码结构的两个重要安全属性是低差分和线性概率边界，用于抵御差分和线性密码分析。若n元GF - NLFSR结构每一轮的非线性函数的差分/线性概率为p，那么任意n轮的“真实”差分/线性概率为p²。不过，这一结果仅适用于具有良好可证明差分/线性概率的非线性函数。

一种选择是使用S盒，但如果非线性函数接收32位输入，这样大小的S盒在硬件逻辑门实现或内存查找表实现上都不可行。其他选择包括构建SDS（替换 - 扩散 - 替换）结构、使用Feistel结构或嵌套Feistel结构作为非线性函数，因为这些结构的差分和线性概率有可证明的边界。

然而，这些非线性函数过于复杂，不适合实现空间和速度效率。因此，通常采用替换 - 扩散结构作为非线性函数，这种结构在文献中通常被称为替换置换网络（SPN）。许多使用SPN结构作为Feistel和广义Feistel结构的非线性函数的实现例子存在，如DES、Camellia、SMS4和Clefia等。

基于这些考虑，我们希望研究当非线性函数为SPN结构时，n元GF - NLFSR结构的实际差分和线性概率边界。作为应用，我们希望并行化一些上述密码，将（广义）Feistel结构替换为可并行化的GF - NLFSR结构，同时保持内部组件（如S盒和线性扩散）不变，这将使加密速度提高n倍。Camellia和SMS4密码是两个有并行化潜力的候选者。

1.2 相关工作

为了分析分组密码对差分和线性密码分析的抵抗能力，我们需要对固定轮数的任何差分/线性特征路径中的活动S盒（对差分/线性概率有贡献的S盒）数量进行下界估