Improved Quantum Attack on Type-1 Generalized Feistel Schemes and Its Application to CAST-256
-
摘要: 广义Feistel结构(GFS)是设计对称密码算法的重要基础结构之一，其在经典计算环境中受到了广泛的研究。但是，量子计算环境下对GFS的安全性评估还相当稀少。该文在量子选择明文攻击(qCPA)条件下和量子选择密文攻击(qCCA)条件下，分别对Type-1 GFS进行研究，给出了改进的多项式时间量子区分器。在qCPA条件下，给出了3d – 3轮的多项式时间量子区分攻击，其中
d(d≥3) 是Type-1 GFS的分支数，攻击轮数较之前最优结果增加d−2 轮。得到更好的量子密钥恢复攻击，即相同轮数下攻击的时间复杂度降低了2(d−2)n/2 。在qCCA条件下，对于Type-1 GFS给出了3d−2 轮的多项式时间量子区分攻击，比之前最优结果增加了d−1 轮。该文将上述区分攻击应用到CAST-256分组密码中，得到了12轮qCPA多项式时间量子区分器，以及13轮qCCA多项式时间量子区分器，该文给出19轮CAST-256的量子密钥恢复攻击。-
关键词:
- 分组密码 /
- 广义Feistel结构 /
- 量子攻击 /
- CAST-256加密算法
Abstract: Generalized Feistel Schemes (GFS) are important components of symmetric ciphers, which have been extensively researched in classical setting. However, the security evaluations of GFS in quantum setting are rather scanty. In this paper, more improved polynomial-time quantum distinguishers are presented on Type-1 GFS in quantum Chosen-Plaintext Attack (qCPA) setting and quantum Chosen-Ciphertext Attack (qCCA) setting. In qCPA setting, new quantum polynomial-time distinguishers are proposed on3d−3 round Type-1 GFS with branchesd≥3 , which gaind−2 more rounds than the previous distinguishers. Hence, key- recovery attacks can be obtained, whose time complexities gain a factor of2(d−2)n2 . In qCCA setting,3d−3 round quantum distinguishers can be obtained on Type-1 GFS, which gaind−1 more rounds than the previous distinguishers. In addition, given some quantum attacks on CAST-256 block cipher. 12-round and 13-round polynomial-time quantum distinguishers are obtained in qCPA and qCCA settings, respectively. Hence, the quantum key-recovery attack on 19-round CAST-256 is derived. -
1. 引言
2008年以来，我国高速铁路飞速发展，已经成为我国的一个重要名片。随着高速铁路的迅猛发展，对高铁无线通信的要求也越来越高。为了充分利用资源和满足高铁无线通信的需求，高铁沿线采用背靠背天线的基带处理单元(Building Baseband Unit, BBU)+远端射频单元(Remote Radio Unit, RRU)的覆盖方式，同时采用小区合并技术，有效解决高铁的信号覆盖问题和小区切换频繁问题，但出现了一个新的问题—回波信道效应[1]，使LTE的站点间距受到限制，成本增加。为了解决这一问题，引入了协作MIMO技术[2]，该技术将“大”区内的每两个站点组成一个协作簇，利用基带处理单元完成数据、控制、信道状态等信息的交换，实现站点间的协同通信。许多实际应用，如蜂窝移动和无线自组网等，已经证明协作MIMO技术有着明显的优势[3]。近年来，协作MIMO技术已逐渐成为无线通信标准的主流。
在高铁场景中应用一个新技术，首先要了解其在高铁场景中的信道特性，完成性能评估。而要完成高铁场景中协作MIMO技术的信道测量存在很大困难，需要进行多链路多天线信道测量，不仅耗时、耗物、耗力，而且目前大部分信道探测仪只能支持传统的点对点信道测量，无法同时获取多链路信道冲激响应。由于测量数据的匮乏，难以建立准确可靠的高铁多链路多天线信道模型来获取协作MIMO的信道特性，因此需要采用基于理论的信道建模方法。
理论信道建模方法中，基于几何的随机模型(Geometry Based Stochastic Model, GBSM)是基于几何随机散射理论，假定无线传播空间中散射体是按一定统计规律随机分布的，从概率统计学的角度出发描述信道特性，已经广泛应用于信道建模中。文献[4]研究了蜂窝移动系统环境下的协作MIMO性能，指出将现有单链路信道模型进行简单扩展不能得到完整、准确的多链路信道模型，提出GBSM模型适于系统模拟。文献[5]提出共同散射体(Common Clusters, CCs)的概念，揭示了其对多链路间相关性的重大影响，之后的链路相关性研究大多基于共同散射体的概念。文献[6]研究了高速铁路的山区场景，证明与WINNER II信道模型相比，GBSM拟合实测数据的能力更强。文献[7]指出了在快速移动无线系统中，时变非平稳GBSM能更好地拟合实测数据的稳态间隔。文献[8]针对高速列车隧道场景，提出一个非平稳宽带GBSM，该模型能有效拟合高速铁路隧道通道的非平稳特性。文献[9]提出一种第5代(5G)无线通信系统随机模型统一框架，描述了5G关键通信场景的小规模衰落信道特性。文献[10]针对MIMO的移动台到移动台场景(Mobile-to-Mobile, M2M)研究了收发天线间距和参数
κ 值对单链路空间相关性的影响。以上文献都证明了GBSM在信道建模方面拥有独特的优势。文献[11]研究了高速铁路U型槽的典型场景，证明高铁信道存在较高的单链路空间相关性。但现有研究大多针对蜂窝系统的空间相关性或者高铁场景的单链路空间相关性，高铁场景的多链路空间相关性研究仍旧存在空白。要在高速铁路上应用协作MIMO技术，迫切需要建立适当的多链路多天线模型，完成无线信道仿真与描述，为协作MIMO技术在高铁场景下的设计、测试、分析和应用提供理论基础与评估参考，所以本文提出一个基于几何的新型高速铁路协作MIMO信道模型。2. 高速铁路协作MIMO几何随机信道建模
2.1 模型介绍
高速铁路协作MIMO技术的无线通信系统架构如图1所示，列车不断由一个基站开往下一基站，因此可以将列车实际运行环境简化为列车从一个基站运行到下一个基站的过程。参照文献[12,13]，可将基站发射天线到列车接收天线周围的远端散射体建模为椭圆模型，而且列车接收天线周围的近端散射体满足单环模型[14]假设，由此形成一个基于几何的新型高速铁路协作MIMO信道模型，该模型的几何示意图如图2所示。
在该模型中，两个基站发射天线的阵列中心分别位于两个椭圆模型的焦点
F1 ,F2 处，列车的接收天线阵列中心位于两椭圆共同的焦点O 上，发射机到铁轨的距离为D1 ,D2 ，列车的运动方向为αV ,x 代表列车在铁轨上运行的距离，y 代表剩下的距离，发射天线单元表示为P ,Q ,P′ ,Q′ ，接收天线单元表示为M ,N ，天线阵列的倾角、单元间距分别为αT ,α′T ,αR 和δT ,δ′T ,δR 。单环模型的半径为R ，两椭圆模型的长轴、短轴和焦距分别为2a 和2a′ ,2b 和2b′ ,2c=D3=√x2+D21 和2c′=D4= √y2+D22 。S11,S12,S13,···,S1i 表示单环模型上的近端散射体，S21,S22,S23,···,S2j 表示F1O 椭圆模型上的远端散射体，S31,S32,S33,···,S3k 表示F2O 椭圆模型上的远端散射体。由于天线的尺寸相对于列车实际运行环境而言很小，假设不等式min{D3,D4,R} ≫max{δT,δ′T,δR} 成立。设经过单环模型上第i 个散射体S1i 到达接收天线的角度为βR1i ，经过F1O 椭圆模型上第j 个散射体S2j 的离开发射天线的角度和到达接收天线的角度分别为βT2j ,βR2j ，经过F2O 椭圆模型上第k 个散射体S3k 的离开发射天线的角度和到达接收天线的角度分别为βT3k ,βR3k ，并且简称仅经过单环模型上的散射体散射的分量为单环分量，仅经过椭圆模型上的散射体散射的分量为椭圆分量，经过椭圆模型上的散射体散射后再经过单环模型上的散射体散射的分量为2次散射分量。本模型中，主要存在4条通信链路：链路PM 、链路QN 、链路P′M 和链路Q′N 。为了简化介绍，本文选取链路PM 和链路P′M 为例进行模型推导的介绍。2.2 信道冲激响应推导
根据平面波模型，载频为
fc 时，链路P(P′)M 的时变信道冲激响应hP(P′)M 是直射分量、单环分量、椭圆分量和2次散射分量的叠加，可以表示为[15]hP(P′)M=hLOSP(P′)M+hSRP(P′)M+hSEP(P′)M+hDBP(P′)M (1) 其中，
hLOSP(P′)M 是信道冲激响应的直射分量，且hLOSP(P′)M=√ΩP(P′)MKP(P′)MKP(P′)M+1exp{−j2πλ−1χP(P′)M+j2πfD[cos(αRLOS−P(P′)−αV)]t} (2) 其中，
ΩP(P′)M ,KP(P′)M ,αRLOS−P(P′) 分别表示链路P(P′)M 的总能量、莱斯K 因子和直射路径的到达角；fD 表示最大多普勒频移；λ 表示波长；χP(P′)M= εP(P′)M 表示链路P(P′)M 的视距传播路径(εAB 表示A, B两点之间的距离)。其它散射分量的信道冲激响应可表示为hSRP(P′)M=limI→∞I∑i=11√I√η1(η′1)ΩP(P′)MKP(P′)M+1⋅exp{−j2πλ−1χP(P′)S1iM+j2πfD[cos(βR1i−αV)]t+jθ1i} (3) hSEP(P′)M=√η2(η′2)ΩP(P′)MKP(P′)M+1limJ(K)→∞J(K)∑j(k)=11√J(K)⋅exp{−j2πλ−1χPS2j(P′S3k)M+j2πfD[cos(βR2j(βR3k)−αV)]t+jθ2j(θ3k)} (4)
hDBP(P′)M=√η3(η′3)ΩP(P′)MKP(P′)M+1⋅limI,J(K)→∞I,J(K)∑i,j(k)=11√IJ(K)⋅exp{−j2πλ−1χPS2j(P′S3k)S1iM+j2πfD[cos(βR1i−αV)]t+jθ1i} (5) 其中，
hSRP(P′)M ,hSEP(P′)M 和hDBP(P′)M 分别是单环分量、椭圆分量和2次散射分量的信道冲激响应；η1 (η′1 ),η2 (η′2 ),η3 (η′3 )分别表示链路P(P′)M 的单环分量、椭圆分量和2次散射分量携带的能量占散射总能量的比例，且满足∑3m=1ηm(η′m)=1 ;θn(n=1i, 2j,3k) 是由散射体Sn 引起的相位变化，是独立同分布的随机变量，在[−π,π) 内满足均匀分布；I,J,K 为散射体区域内局部散射体的个数，假设其趋于无穷；χP(P′)S1iM 表示由发射天线P(P′) 经过散射体S1i 到达接收天线M 的传播路径，χPS2j(P′S3k)M 表示由发射天线P(P′) 经过散射体S2j (S3k )到达接收天线M 的传播路径，χPS2j(P′S3k)S1iM 表示由发射天线P(P′) 经过散射体S2j (S3k )后再经过散射体S1i 到达接收天线M 的传播路径，即χP(P′)S1iM=εP(P′)S1i+εS1iM (6) χPS2j(P′S3k)M=εPS2j(P′S3k)+εS2j(S3k)M (7) χPS2j(P′S3k)S1iM=εPS2j(P′S3k)+εS2j(S3k)S1i+εS1iM (8) 基于假设
min{D3,D4,R}≫max{δT,δ′T,δR} 、余弦定理和平面几何，由图2可计算出各段的距离为εPM≈D3−δTδR4D3sin(αR+θ)sin(αT+θ)−δT2cos(αT+θ)+δR2cos(αR+θ) (9) εP′M≈D4−δ′TδR4D4sin(αR−θ′)sin(α′T−θ′)+δ′T2cos(α′T−θ′)−δR2cos(αR−θ′) (10) εPS1i≈D3−δTR2D3sin(βR1i+θ)sin(αT+θ)−δT2cos(αT+θ)+Rcos(βR1i+θ) (11) εP′S1i≈D4−δ′TR2D4sin(βR1i−θ′)sin(α′T−θ′)+δ′T2cos(α′T−θ′)−Rcos(βR1i−θ′) (12) εS1iM≈R−δR2sin(βR1i−αR) (13) εPS2j≈2a−b2a−ccos(βR2j)−δT2cos(αT+θ−βT2j) (14) εS2jM≈b2a−ccos(βR2j)+δR2cos(βR2j+αT+θ) (15) εP′S3k≈2a′−b′2a′−c′cos(βR3k)+δ′T2cos(βT3k+α′T−θ′) (16) εS3kM≈b′2a′−c′cos(βR3k)−δR2cos(αR−θ′−βR3k) (17) εS2jS1i≈b2a−ccos(βR2j)+Rcos(βR1i+θ+βR2j) (18) εS3kS1i≈b′2a′−c′cos(βR3k)−Rcos(βR1i−θ′−βR3k) (19) 其中，椭圆模型的长轴与铁轨的夹角
θ=arccot (x/D1),θ′=arccot(y/D2) 。在本模型中，到达角βR1i ,βR2j 和βR3k 是相互独立的，离开角βT2j ,βT3k 分别受到达角βR2j 和βR3k 的控制，关系如下cos(βT2j)=2ac−(a2+c2)cos(βR2j)a2+c2−2accos(βR2j) (20) sin(βT2j)=b2sin(βR2j)a2+c2−2accos(βR2j) (21) cos(βT3k)=2a′c′−(a′2+c′2)cos(βR3k)a′2+c′2−2a′c′cos(βR3k) (22) sin(βT3k)=b′2sin(βR3k)a′2+c′2−2a′c′cos(βR3k) (23) 至此，模型散射体的分布完全由
βR1i ,βR2j 和βR3k 这些角度控制。将以上运算结果代入式(1)—式(5)，可推出信道冲激响应hP(P′)M 。2.3 多链路空间相关函数推导
多链路空间相关函数作为协作MIMO技术的主要参数之一，其理论表达式[15]如下
ρPM,P′M=E[hPMh∗P′M]√ΩPMΩP′M (24) 其中，
(⋅)∗ 表示复共轭，E[⋅] 表示数学期望，将式(1)代入式(24)中，可以得到链路PM 和链路P′M 的空间相关性如下ρPM,P′M=ρLOSPM,P′M+ρSRPM,P′M+ρSEPM,P′M+ρDBPM,P′M (25) 其中，
ρLOSPM,P′M,ρSRPM,P′M,ρSEPM,P′M,ρDBPM,P′M 分别表示直射分量、单环分量、椭圆分量和2次散射分量的相关性。虽然假设散射体无穷，但在理论推导中无法做到无穷多的散射体，故假设决定散射体分布的关键角度
βR1i ,βR2j 和βR3k 满足一定的分布特征。对于其分布特征，不同的文献提出了多种概率密度函数，如均匀分布和高斯概率密度函数。在本文中，使用了冯·米塞斯概率密度函数[16]，此函数更加通用，且可以近似描述以上所有的概率密度函数。冯·米塞斯概率密度函数定义为f(ϕ)≜exp[κcos(ϕ−μ)]2πI0(κ) ，其中ϕ∈[−π,π) ,I0(⋅) 是第1类零阶贝塞尔函数，μ∈[−π,π) 是角ϕ 的平均值，κ(κ≥0) 是一个实参，控制角度ϕ 的角度扩展。在本文中，角度βR1i ,βR2j 和βR3k 的冯·米塞斯概率密度函数的平均角参数μ 和角度扩展参数κ 分别使用μ1和κ1 ,μ2和κ2 ,μ3和 κ3 来表示，再将βR1i ,βR2j 和βR3k 的概率密度函数代入式(3)—式(5)中，最终代入式(1)和式(25)中，则可以得到ρLOSPM,P′M=√KPMKP′M(KPM+1)(KP′M+1)⋅exp{−j2πλ−1(χPM−χP′M)} (26) ρSRPM,P′M=√η1η′1(KPM+1)(KP′M+1)⋅∫π−πexp{−j2πλ−1(χPS1iM−χP′S1iM)}⋅f(βR1i)d(βR1i) (27) ρSEPM,P′M=√η2η′2(KPM+1)(KP′M+1)ej(θ2j−θ3k)⋅∫π−π∫π−πexp{−j2πλ−1(χPS2jM−χP′S3kM)}⋅f(βR2j)f(βR3k)d(βR2j)d(βR3k) (28) ρDBPM,P′M=√η3η′3(KPM+1)(KP′M+1)⋅∫π−π∫π−π∫π−πexp{−j2πλ−1(χPS2jS1iM−χP′S3kS1iM)}f(βR1i)f(βR2j)f(βR3k)d(βR1i)⋅d(βR2j)d(βR3k) (29) 其中，f(·)表示冯·米塞斯概率密度函数。由于
θ2j 与θ3k 是由散射体S2j ,S3k 引起的相位变化，是独立同分布的随机变量，因此椭圆分量的相关性为0。计算相关性的时候，不再计算椭圆分量的相关性，但由于该分量仍承担一部分能量，所以对相关性仍然有影响，即椭圆分量承担的能量越多，其它分量承担的能量越少，相关性就弱。3. 仿真结果分析
为了验证模型的合理性，对本文的模型进行了仿真分析。该模型的主要仿真参数设置如下：
R=64 m,fc=2.35GHz ,v=198km/h ,x+y= 1000 m,D1=D2=40m ,δT=δR=δ′T=0.5λ ,αT= αR=α′T=0.5π 。根据式(26)，式(27)和式(29)，设置仿真参数分别对直射分量、单环分量和2次散射分量相关性进行仿真分析。图3表示的是列车处于两基站的中间位置，即
x=y=500 时，直射分量的相关性随莱斯K 因子的变化曲线，其中KPM=KP′M=K 。从图3中可以看出，随K 因子的增大，直射分量的相关性也在不断增大，增长很快，与文献[13]中直射径会增加相关性的结论一致。在K 因子大于5之后，相关性增长趋于平缓，不断趋近于1，但永远小于1。这是由于始终存在散射分量承担一部分能量，所以随K 因子增大，直射分量承担的能量无限接近于总能量，但永远小于总能量，与实际相符。为了方便观察单环分量相关性的变化趋势，设定参数
KPM=KP′M=0 ,η1=η′1=1 ,η2=η′2=0 和η3=η′3=0 。图4表示的是单环分量的相关性随列车位置的变化曲线。由图4中可以看出，随列车位置的变化，单环分量的相关性先增加后减少，这与实际中链路间夹角的变化情况一致。列车位置在两基站附近时，链路间夹角为90°，相关性为0；随着列车位置向基站中心移动，链路间夹角变大，相关性增强；当列车在两基站中心时，链路间夹角接近
180∘ ，相关性最大。图5表示的是单环分量的相关性随角度扩展和平均到达角
μ1 的变化曲线。由图5中可以看出，随着角度扩展的增大，单环分量的相关性降低，这是由于角度扩展的增加，导致周围分布的散射体的分布区域增大，散射分量的到达方向增多，链路间共享相同的散射体的可能性降低，因此单环分量的相关性降低，与文献[15]、文献[17]的理论分析和文献[18]的实测结果一致。此外，还可以看出单环分量在平均到达角为0.5π 时，相关性最强，与模型的对称性一致，与预期结果相吻合。同理，观察2次散射分量的相关性的影响因素时，设定参数
KPM=KP′M=0 ,{\eta _1}{\rm{ = }}{\eta '_{\!1 }{\rm{ = 0}} ,η2=η′2=0 和η3=η′3=1 。图6表示的是2次散射分量的相关性随角度扩展和平均到达角
μ1 的变化曲线。由图6中可以看出，随着角度扩展的增大，2次散射的相关性降低，与文献[15]、文献[17]的理论分析和文献[18]的实测结果一致。同样可以得到2次散射分量在平均到达角μ1 为0.5π 时，相关性最强，与模型的对称性一致，与预期结果相吻合。本文还对比了单环分量和2次散射分量的共同影响因素——莱斯
K 因子和角度扩展，仿真设定参数η1=η′1=1 ,η2=η′2=0 和η3=η′3=1 (实际中应满足∑3m=1ηm(η′m)=1 )。图7表示的是单环分量和2次散射分量的相关性随莱斯
K 因子的变化曲线，此时κ1=κ2=κ3=300 。从图7中可以看出单环分量的相关性大于2次散射分量的相关性，这是由于随着反射次数的增多，该分量与更多的局部散射区域有关，因而链路更加多样性，降低了该分量的链路相似性，与文献[15]和文献[17]中反射次数多的散射分量空间相关性低的结论一致。其次，单环分量和2次散射分量的相关性都随莱斯K 因子的增大而降低，与莱斯K 因子越大，散射分量承担能量越少的实际情况一致。同时还可以看出莱斯K 因子对单环分量的相关性影响更大，但随着莱斯K 因子的增加，二者的相关性都趋近于0，与莱斯K 因子很大时，散射分量几乎不存在的实际情况相符。图8表示的是单环分量和2次散射分量的相关性随角度扩展的变化曲线，此时
KPM=KP′M=0 。由图8可以看出，单环分量的相关性要大于2次散射分量的相关性，与文献[15]、文献[17]中的结论一致。还可以看出2次散射分量相关性随着角度扩展的增加下降更加迅速，因此角度扩展对2次散射分量的相关性影响更大。同时随着角度扩展的增加，单环分量和2次散射分量相关性都小于0.2，即相关性很低，与预期相吻合。对于模型中的关键参数，如莱斯
K 因子、βR1i ,βR2j 和βR3k 的角度扩展参数μ1和κ1 ,μ2和κ2 ,μ3和κ3 以及能量参数η1 ,η2 ,η3 ,η′1 ,η′2 ,η′3 等可依照给定场景设定，可使用实际测量数据提取到的参数进行设定，还可设定为特殊场景进行单一分量的研究。其中，莱斯因子K=0 ，代表没有直射分量、全部为散射分量的情况；η1=η′1=0 ，代表高铁车厢附近没有散射体的情况；η2=0 或η′2=0 ，代表F1 或F2 基站到接收机附近没有散射体的情况。因此，该模型可通过简单调整模型的几个关键参数适用于高速铁路的多种场景。设置模型的这些关键参数的基本准则如下：针对某一条链路，链路间距离越长，莱斯K 因子越小，散射分量携带的能量越强，周围分布的散射体的角度扩展越大。4. 模型验证
为了验证模型的准确性与可行性，参照文献[19]的北京—天津高铁段LTE专网实测数据，对模型的多链路相关性进行仿真验证，模型的参数设置如下：
fc=1.89GHz ,v=285 km/h ,D1=D2= 30 m,δT=δR=δ′T=0.25λ ,αT=αR=α′T=0.5π ,R=80m ,x+y=1200 m，采样点区间为200≤x≤ 400。在验证时，首先设定单环分量与2次散射分量的能量参数
η1=η′1=1 和η3=η′3=0 进行了最大相关性的结果仿真，得到Rho_1 data。之后多次进行能量参数以及角度扩展参数的调整，得到最佳的拟合状态Rho_2 data，结果如图9所示，此时单环分量的能量参数设为η1=η′1=0.67 , 2次散射分量的能量参数设为η3=η′3=0.33 ，这与高铁环境中散射体比较稀疏的实际情况相吻合。单环分量的角度扩展设置为均值29.9、标准差15的正态分布，2次散射分量的角度扩展设置为均值55、标准差12的正态分布，与实测结果基本吻合。理论模型相关性正态拟合的均值和标准差分别为0.253083和0.0152122，实测数据的拟合结果为0.255303和0.0162956。对比上述结果可以发现理论模型的相关性与实测数据的相关性十分吻合，验证了本文提出的基于几何的理论模型能够有效模拟实际信道的真实情况。5. 结论
本文基于几何随机散射理论，提出了一种新的协作MIMO信道模型，该模型可适用于高铁的多种场景。基于该模型对多链路空间相关性进行数值计算和仿真分析，研究多链路空间相关性的影响因素。仿真结果表明莱斯
K 因子和角度扩展对链路间相关性的影响很大。直射分量越强，周围散射体分布越集中，散射分量的角度扩展越小，散射的次数越少，多链路的空间相关性就越强。最后，通过北京——天津高铁段LTE专网的实测数据验证了理论模型的正确性。 -
表 1 Type-1 GFS的量子区分器的轮数
来源 攻击条件 r d=3 d=4 d=5 d=6 d=7 文献[35] qCPA 2d–1 5 7 9 11 13 4.1节 qCPA 3d–3 6 9 12 15 18 4.2节 qCCA 3d–2 7 10 13 16 19 
下载: 导出CSV
表 2 在量子环境下对Type-1 GFS的密钥恢复攻击
来源 区分器轮数 密钥恢复轮数 复杂度(log) 穷搜复杂度(log) 文献[35] 2d−1 r≥d2 T+(r−d2+d−2)n/2 rn/2 4.1节 3d−3 r≥d2 T+(r−d2)n/2 rn/2
下载: 导出CSV
-
KNUDSEN L R. The security of Feistel ciphers with six rounds or less[J]. Journal of Cryptology, 2002, 15(3): 207–222. doi: 10.1007/s00145-002-9839-y ISOBE T and SHIBUTANI K. Generic key recovery attack on Feistel scheme[C]. The 19th International Conference on the Theory and Application of Cryptology and Information Security, Bengaluru, India, 2013: 464–485. GUO Jian, JEAN J, NIKOLIĆ I, et al. Meet-in-the-middle attacks on generic Feistel constructions[C]. The 20th International Conference on the Theory and Application of Cryptology and Information Security, Kaoshiung, China, 2014: 458–477. DINUR I, DUNKELMAN O, KELLER N, et al. New attacks on Feistel structures with improved memory complexities[C]. The 35th Annual Cryptology Conference, Santa Barbara, USA, 2015: 433–454. AOKI K, ICHIKAWA T, KANDA M, et al. Camellia: A 128-bit Block Cipher Suitable for Multiple Platforms - Design and Analysis[M]. Berlin, Heidelberg: Springer, 2001: 39–56. National Soviet Bureau of Standards. GOST 28147-89 Information processing systems. cryptographic protection cryptographic transformation algorithm[S]. 1989. ZHENG Yuliang, MATSUMOTO T, and IMAI H. On the construction of block ciphers provably secure and not relying on any unproved hypotheses[C]. Conference on the Theory and Application of Cryptology, Santa Barbara, USA, 1990: 461–480. ANDERSON R and BIHAM E. Two practical and provably secure block ciphers: BEAR and LION[C]. The 3rd International Workshop on Fast Software Encryption, Cambridge, UK, 1996: 113–120. LUCKS S. Faster luby-rackoff ciphers[C]. The 3rd International Workshop on Fast Software Encryption, Cambridge, UK, 1996: 189–203. SCHNEIER B and KELSEY J. Unbalanced Feistel networks and block cipher design[C]. The 3rd International Workshop on Fast Software Encryption, Cambridge, UK, 1996: 121–144. First AES Candidate Conference[EB/OL]. http://csrc.nist.gov/archive/aes/round1/conf1/aes1conf.htm. SHIRAI T, SHIBUTANI K, AKISHITA T, et al. The 128-bit blockcipher CLEFIA (extended abstract)[C]. The 14th International Workshop on Fast Software Encryption, Luxembourg, Luxembourg, 2007: 181–195. GUERON S and MOUHA N. Simpira v2: A family of efficient permutations using the AES round function[C]. The 22nd International Conference on the Theory and Application of Cryptology and Information Security, Hanoi, Vietnam, 2016: 95–125. LUBY M and RACKOFF C. How to construct pseudorandom permutations from pseudorandom functions[J]. SIAM Journal on Computing, 1988, 17(2): 373–386. doi: 10.1137/0217022 MORIAI S and VAUDENAY S. On the pseudorandomness of top-level schemes of block ciphers[C]. The 6th International Conference on the Theory and Application of Cryptology and Information Security, Kyoto, Japan, 2000: 289–302. HOANG V T and ROGAWAY P. On generalized Feistel networks[C]. The 30th Annual Cryptology Conference, Santa Barbara, USA, 2010: 613–630. JUTLA C S. Generalized birthday attacks on unbalanced Feistel networks[C]. The 18th Annual International Cryptology Conference, Santa Barbara, USA, 1998: 186–199. GUO Jian, JEAN J, NIKOLIC I, et al. Meet-in-the-middle attacks on classes of contracting and expanding Feistel constructions[J]. IACR Transactions on Symmetric Cryptology, 2016(2): 307–337. NACHEF V, VOLTE E, and PATARIN J. Differential attacks on generalized Feistel schemes[C]. The 12th International Conference on Cryptology and Network Security, Paraty, Brazil, 2013: 1–19. TJUAWINATA I, HUANG Tao, and WU Hongjun. Improved differential cryptanalysis on generalized Feistel schemes[C]. The 18th International Conference on Cryptology in India, Chennai, India, 2017: 302–324. PATARIN J, NACHEF V, and BERBAIN C. Generic attacks on unbalanced Feistel schemes with contracting functions[C]. The 12th International Conference on the Theory and Application of Cryptology and Information Security, Shanghai, China, 2006: 396–411. PATARIN J, NACHEF V, and BERBAIN C. Generic attacks on unbalanced Feistel schemes with expanding functions[C]. The 13th International Conference on the Theory and Application of Cryptology and Information Security, Kuching, Malaysia, 2007: 325–341. VOLTE E, NACHEF V, and PATARIN J. Improved generic attacks on unbalanced Feistel schemes with expanding functions[C]. The 16th International Conference on the Theory and Application of Cryptology and Information Security, Singapore, 2010: 94–111. GROVER L K. A fast quantum mechanical algorithm for database search[C]. The 28th Annual ACM Symposium on Theory of Computing, Philadelphia, USA, 1996: 212–219. KUWAKADO H and MORII M. Quantum distinguisher between the 3-round Feistel cipher and the random permutation[C]. IEEE International Symposium on Information Theory, Austin, USA, 2010: 2682–2685. SIMON D R. On the power of quantum computation[J]. SIAM Journal on Computing, 1997, 26(5): 1474–1483. doi: 10.1137/S0097539796298637 KUWAKADO H and MORII M. Security on the quantum-type even-mansour cipher[C]. 2012 International Symposium on Information Theory and its Applications, Honolulu, USA, 2012: 312–316. KAPLAN M, LEURENT G, LEVERRIER A, et al. Breaking symmetric cryptosystems using quantum period finding[C]. The 36th Annual International Cryptology Conference, Santa Barbara, USA, 2016: 207–237. BONNETAIN X. Quantum key-recovery on full AEZ[C]. The 24th International Conference on Selected Areas in Cryptography, Ottawa, Canada, 2018: 394–406. LEANDER G and MAY A. Grover meets simon - quantumly attacking the FX-construction[C]. The 23rd International Conference on the Theory and Applications of Cryptology and Information Security, Hong Kong, China, 2017: 161–178. ZHANDRY M. How to construct quantum random functions[C]. The 53rd IEEE Annual Symposium on Foundations of Computer Science, New Brunswick, USA, 2012: 679–687. ITO G, HOSOYAMADA A, MATSUMOTO R, et al. Quantum chosen-ciphertext attacks against Feistel ciphers[C]. The Cryptographers' Track at the RSA Conference, San Francisco, USA, 2019: 391–411. HOSOYAMADA A and SASAKI Y. Quantum demiric-selçuk meet-in-the-middle attacks: Applications to 6-round generic Feistel constructions[C]. The 11th International Conference on Security and Cryptography for Networks, Amalfi, Italy, 2018: 386–403. DONG Xiaoyang and WANG Xiaoyun. Quantum key-recovery attack on Feistel structures[J]. Science China Information Sciences, 2018, 61(10): 102501. doi: 10.1007/s11432-017-9468-y DONG Xiaoyang, LI Zheng, and WANG Xiaoyun. Quantum cryptanalysis on some generalized Feistel schemes[J]. Science China Information Sciences, 2019, 62(2): 22501. doi: 10.1007/s11432-017-9436-7 DONG Xiaoyang, DONG Bingyou, and WANG Xiaoyun. Quantum attacks on some Feistel block ciphers[R]. Cryptology ePrint Archive, Report 2018/504, 2018. BONNETAIN X, NAYA-PLASENCIA M, and SCHROTTENLOHER A. On quantum slide attacks[R]. Cryptology ePrint Archive, Report 2018/1067, 2018. HOSOYAMADA A and IWATA T. Tight quantum security bound of the 4-round luby-rackoff construction[R]. Cryptology ePrint Archive, Report 2019/243, 2019. WAGNER D. The boomerang attack[C]. The 6th International Workshop on Fast Software Encryption, Rome, Italy, 1999: 156–170. WANG Meiqin, WANG Xiaoyun, and HU Changhui. New linear cryptanalytic results of reduced-round of CAST-128 and CAST-256[C]. The 15th International Workshop on Selected Areas in Cryptography, Sackville, Canada, 2009: 429–441. BOGDANOV A, LEANDER G, NYBERG K, et al. Integral and multidimensional linear distinguishers with correlation zero[C]. The 18th International Conference on the Theory and Application of Cryptology and Information Security, Beijing, China, 2012: 244–261. -
下载:
计量
- 文章访问数: 3477
- HTML全文浏览量: 1066
- PDF下载量: 149
- 被引次数: 0
下载:
