9、块密码 MULTI2 的改进线性分析

块密码 MULTI2 的改进线性分析

1. 引言

MULTI2 是由日立开发的一种块密码，主要用于保护多媒体内容。它于 1994 年在 ISO/IEC 9979 中注册，并在美国和日本获得专利。MULTI2 是日本标准 ARIB 中指定的唯一用于条件访问系统的密码，而 ARIB 是日本数字电视和数字广播标准 ISDB 的基本标准。

MULTI2 采用 Feistel 结构，处理 64 位块，加密密钥为 256 位。ISO 建议至少使用 32 轮。本文对 MULTI2 进行了线性分析，主要贡献如下：
- 对 MULTI2 轮函数进行了详细的偏差分析，并首次给出了偏差性质的正式证明。
- 发现了新的 4 轮偏差 2⁻²，优于之前的 2⁻⁵.⁷。
- 基于轮函数的分析结果，提出了对 r 轮 MULTI2 的线性攻击，用于恢复 256 位加密密钥。

以下是不同攻击方法的对比表格：
| 密钥恢复攻击 | r | 时间 | 数据 |
| — | — | — | — |
| [2] 线性攻击 | 20 | 2⁹³.⁴ | 2³⁹.² |
| [2] 猜测 - 确定攻击 | 任意 r | 2¹⁸⁵.⁴ | 3 |
| [2] 相关密钥滑动攻击（对密钥关系有强假设） | r = 0 (mod 8) | 2¹²⁸/r | 2³³ |
| 本文 | 8 | 2⁴⁶ | 2¹⁷ |
| 本文 | 12 | 2⁶⁰.⁴ | 2³³ |
| 本文 | 16 | 2⁸³.⁸ | 2⁴⁹ |
| 本文 | 20 | 2⁹¹.⁷ | 2⁶³ |
| 本文 | 24 | 2¹²³.⁴ |