11、Achterbahn-128/80流密码的密码分析

Achterbahn-128/80流密码的密码分析

1. 近似选择与奇偶校验构建

1.1 近似选择

最初，在寻找布尔组合函数 $f$ 的近似时，我们搜索了具有一个和两个二次项的所有二次近似，因为最初的攻击是基于二次近似的。但经过对项数、变量数、偏差等因素的权衡，发现对于此次攻击，线性近似比二次近似更好。由于组合函数 $f$ 是 5 - 弹性的，$f$ 的任何近似至少涉及 6 个输入变量。并且，由 6 变量函数对 $f$ 进行近似时，最高偏差由一次函数实现。经过对布尔组合函数所有线性近似的分析，最佳近似为：
$g(x_1, \ldots, x_{10}) = x_8 + x_6 + x_4 + x_3 + x_2 + x_1$
$f(x_1, \ldots, x_{10}) = g(x_1, \ldots, x_{10})$ 的概率为 $\frac{1}{2}(1 + 2^{-3})$。

1.2 奇偶校验构建

构建奇偶校验如下：
$ggg(t) = g(t) + g(t + T_1T_8) + g(t + T_2T_6) + g(t + T_1T_8 + T_2T_6)$
其中 $g(t) = x_8(t) + x_6(t) + x_4(t) + x_3(t) + x_2(t) + x_1(t)$。$x_8$、$x_6$、$x_2$、$x_1$ 项会消失，所以 $ggg(t)$ 仅依赖于序列 $x_3$ 和 $x_4$。将近似相加四次会使偏差乘以 4 倍，因此 $\sigma(t) = S(t) + S(t + T_1T_8) + S(t + T_2T_6) + S(t + T_1T_8 + T_2T_6)$ 的偏