8、简化轮数Camellia-128/192/256的改进攻击

简化轮数Camellia-128/192/256的改进攻击

1. 引言

Camellia是一种广泛使用的分组密码，由NTT和三菱在2000年提出。它具有128位的分组大小，密钥长度可变，分别为128、192和256位，对应Camellia-128、Camellia-192和Camellia-256。如今，Camellia已成为电子政务推荐密码，还被ISO/IEC选为国际标准，因此受到了密码分析人员的广泛关注，出现了多种攻击方法，如高阶差分攻击、线性和差分攻击、截断差分攻击等。

Camellia的一个重要特性是每6轮插入一次FL/FL⁻¹层，这些层是密钥相关函数，能提供跨轮的不规则性，以抵抗差分密码分析。此前很多研究针对简化版Camellia（无FL/FL⁻¹层和白化层）进行攻击，而对于原始的Camellia，也有许多相关的攻击研究，如不可能差分攻击、中间相遇攻击等。

本文将通过密钥相关多重差分攻击和中间相遇攻击两种方法，分析从第一轮开始的带有FL/FL⁻¹层和白化密钥的原始版本Camellia。

2. 预备知识

2.1 符号说明

<

符号	含义
$L_{r - 1}, L_{r - 1}’$	第r轮输入的左64位半部分
$R_{r - 1}, R_{r - 1}’$	第r轮输入的右64位半部分