16、零相关线性密码分析：对明文和调整密钥的平等处理

零相关线性密码分析：对明文和调整密钥的平等处理

1. 引言

线性密码分析是分析分组密码的重要技术之一，许多密码分析技术都源于此，如线性壳效应、多重线性密码分析、多维线性密码分析等。这些技术通常依赖于目标的线性近似，且具有较高的绝对相关性。

2014 年，Bogdanov 和 Rijmen 提出了零相关线性密码分析，该技术利用绝对零相关的线性壳。但在其初始阶段，执行攻击几乎需要整个码本，数据复杂度较高。2012 年 FSE 会议上，通过利用多个零相关线性近似（MPZC）克服了这一限制，但 MPZC 区分器中所有涉及的零相关线性近似相互独立的假设限制了其应用。同年 ASIACRYPT 会议上，构建了多维零相关（MDZC）区分器，消除了 MPZC 区分器中的假设。随后，零相关线性近似与积分区分器之间的基本联系使我们能够在数据路径中观察到积分特性。

2019 年 ToSC 会议上，Ankele 等人提出考虑一种新的零相关线性密码分析，其中调整密钥的线性掩码可以非零。他们的方法仅适用于具有线性调整密钥扩展算法的密码，且在字级别进行，可能会错过一些位级别的区分器。

我们的贡献在于推广了 Ankele 等人的想法，考虑了（可调整）分组密码的零相关线性近似，涉及明文、密钥和调整密钥的位，且相关性是在所有可能的明文、密钥和调整密钥上计算的。在这个框架下，目标密码的公共和秘密输入得到了平等对待。

2. 预备知识

我们简要回顾对一个 n 位可调整分组密码 $E_{K,T}$ 的零相关线性密码分析，其中密钥 $K \in F_{2}^{m}$，调整密钥 $T \in F_{2}^{l}$。当 $l = 0$ 时，它变成一个没有调整密钥的普通