38、白盒DES实现的密码分析

白盒DES实现的密码分析

1. 恢复向量空间

在白盒DES实现的密码分析中，首先要恢复向量空间。由于某些特性，恢复 $B_k$ 的基比恢复 $E_k$ 的基更容易，所以先恢复所有的 $B_k$。具体操作是，对于随机的 $\Delta \in IF_2^{64}$，计算 $D_{\Delta}F(X_0)$，并确定它属于哪个空间 $K_k$。利用这些 $B_k$，可以恢复 $E_k$，或者至少找到 24 个包含 $E_k$ 且维度最小的向量空间 $\hat{E}_k$。

下面详细说明如何恢复 $\hat{E} k$：
- 对于任意的 $X \in IF_2^{64}$ 和 $\Delta \in IF_2^{64}$，$D {\Delta}F(X) \in K_k$ 当且仅当 $D_{\Delta}\pi_k \circ M_1 \circ M_0(X) \in K_k$。
- 引入引理 1：若 $k \in [1, 24]$，且对于任意不同于 $k$ 的 $j \in [1, 24]$ 有 $E_j \cap E_k = {0}$，则 $E_k = \bigcap_{j \neq k} B_j$。但由于位复制的存在，存在 $k$ 和 $j$ 使得 $E_j \cap E_k \neq {0}$。
- 定义 $J_k = {j | E_j \cap E_k = {0}}$，$\hat{E} k = \bigcap {j \in J_k} B_j$。命题 2 表明，对于任意 $k \in [1, 24]$，$E_k \subseteq \hat{E}_k$。
- 命题 3 给出了 $dim(E_i \cap E_j)$