改进的Type-1型广义Feistel结构的量子攻击及其在分组密码CAST-256上的应用

作     者：倪博煜 董晓阳 NI Boyu;DONG Xiaoyang

作者机构：山东大学密码技术与信息安全教育部重点实验室济南250100 山东大学网络空间安全学院青岛266237 清华大学高等研究院北京100084 

出 版 物：《电子与信息学报》 (Journal of Electronics & Information Technology)

年 卷 期：2020年第42卷第2期

页      面：295-306页

核心收录：

学科分类：11[军事学] 1105[军事学-军队指挥学] 0839[工学-网络空间安全] 08[工学] 110505[军事学-密码学] 110503[军事学-军事通信学] 081201[工学-计算机系统结构] 0812[工学-计算机科学与技术（可授工学、理学学位）] 

基　　金：国家重点研发计划(2017YFA0303903) 国家自然科学基金(61902207) 国家密码发展基金(MMJJ20180101,MMJJ20170121)~~ 

主　　题：分组密码 广义Feistel结构 量子攻击 CAST-256加密算法 

摘      要：广义Feistel结构(GFS)是设计对称密码算法的重要基础结构之一,其在经典计算环境中受到了广泛的研究。但是,量子计算环境下对GFS的安全性评估还相当稀少。该文在量子选择明文攻击(qCPA)条件下和量子选择密文攻击(qCCA)条件下,分别对Type-1 GFS进行研究,给出了改进的多项式时间量子区分器。在qCPA条件下,给出了3d–3轮的多项式时间量子区分攻击,其中d(d≥3)是Type-1 GFS的分支数,攻击轮数较之前最优结果增加d-2轮。得到更好的量子密钥恢复攻击,即相同轮数下攻击的时间复杂度降低了2(d-2)n/2。在qCCA条件下,对于Type-1 GFS给出了3d-2轮的多项式时间量子区分攻击,比之前最优结果增加了d-1轮。该文将上述区分攻击应用到CAST-256分组密码中,得到了12轮qCPA多项式时间量子区分器,以及13轮qCCA多项式时间量子区分器,该文给出19轮CAST-256的量子密钥恢复攻击。