董乐，吴文玲，吴双，邹剑

(1. 中国科学院 软件研究所，北京 100190；2. 中国科学院 研究生院，北京 100190)

1 引言

2001年，AES[1]被美国国家标准技术研究所（NIST）颁布为新的加密标准，其结构被密码工作者广为研究。随着RFID标签、智能卡和无线传感器等智能设备的推广，轻量级杂凑函数的设计成为近年热点之一。在2011年美洲密码年会上发布的、采用类似AES结构置换的PHOTON[2,3]族杂凑函数就是其中的一个。而在近年来举办的 SHA-3竞赛中，很多算法也都有和AES相似的结构或者设计理念，包括进入最终轮的JH[4]算法，其核心置换就采用了多维AES设计理念。这些与AES有相似结构的置换通常被称为AES类置换。

PHOTON杂凑函数族是由J Guo等设计，它采用了AES类置换。设计者在设计文档中给出了几种区分器攻击[2]。其中反弹区分器可以攻击到8轮，积分区分器可以攻击到 7轮。除此之外，基于对代数次数的估计，零和区分器可以对其中4个版本攻击到全轮12轮，对采用8bit S盒的版本攻击到8轮。

JH杂凑函数是进入SHA-3竞赛最终轮的5个算法之一，由学者H Wu独立设计。该杂凑函数采用了一种新的压缩函数结构。除此之外，在其轮函数的设计中，还采用了广义AES的设计理念。对于JH算法，V Rijmen等利用反弹攻击的思想，构造了杂凑函数16轮的半自由起始碰撞，和22轮压缩函数的半自由起始近似碰撞[5]。在2010年的SHA-3第2次会议上，M S Turan等以可实现的223.24的时间复杂度，构造了10轮压缩函数的半自由起始近似碰撞[6]。在 2011年的美洲密码年会上，N-Plasencia将 V Rijmen等的22轮半自由起始近似碰撞的时间和空间复杂度均降低至 295[7]。……