36、白盒DES实现的密码分析

白盒DES实现的密码分析

1. S盒输入比特分析

• 单比特翻转表示 ：${\Delta v_3, \Delta v_4} = SM(T_{r + 3}^j) \cap SS(T_{r + 3}^j)$ 表示S盒输入比特的两个单比特翻转，但顺序未知。并且它们仅影响 $Y_{r + 3}$ 的比特，所以有 ${\delta’_3, \delta’_4} \leq {\delta_3, \delta_4}$。
• 类似关系 ：同理，${\delta’_1, \delta’_2, \delta’_5, \delta’_6} \leq {\delta_1, \delta_2, \delta_5, \delta_6}$。

任何不满足这些条件的对 $(S_q, w_l)$ 都会从集合 $P(T_{r + 3}^j)$ 中移除。最终，如果只剩下一种类型 $S_q$ 的对，那么这个 $S_q$ 就是 $T_{r + 3}^j$ 的内部S盒（$\pi(q) = j$）。一旦识别出S盒，我们还可以利用连续轮次之间的S盒关系。例如，第 $r$ 轮的 $S_1$ 不会影响第 $r + 1$ 轮的 $S_1$ 和 $S_7$。而且，如果在第 $r + 1$ 轮识别出 $S_3$，那么 $S_1$ 会影响其第二个输入比特，这使我们能够缩小条件范围（$\delta_2 = \delta’_2$）。

由于所有8个DES S盒差异很大且高度非线性，过滤过程会将大多数 $P(T_{r + 3}^j)$ 集合缩减为单元素集 $(S_q, w_l)$，其中 $S_q = S_{\pi^{-1}(j)}