李顺波，胡予濮，王艳

(1.西安电子科技大学理学院，陕西西安710071;2.西安电子科技大学计算机网络与信息安全教育部重点实验室，陕西西安710071;3.西安建筑科技大学 理学院，陕西西安710055)

流密码 Sosemanuk［1］是法国电信的 Berbain等人提交的面向软件的快速流密码，经过为期4年的评选，已经成为欧洲eSTREAM计划最终获选的7个流密码算法之一.流密码Sosemanuk是基于流密码SNOW2.0和分组密码SERPENT的加密算法，密钥长度是可变的128bit或256 bit，具有较高的安全性，自今对128 bit密钥还没有比穷举搜索更快的方法，其安全性分析已经成为国内外学者研究的热点.对其现有分析方法有猜测—确定攻击［2-6］和相关攻击［7-8］，还未发现有区分攻击的分析结果.

区分攻击是指在统计意义上可以将密钥流与随机序列区分.尽管从攻击结果上看区分攻击是最弱的，但区分攻击也是最灵活的攻击方法，面对区分攻击流密码设计者往往很难做到疏而不漏.许多流密码算法都遭到区分攻击的威胁，如 SNOW［9-11］、Shannon［12］、SN3［13］和 RC4［14］等密码算法.

本文利用区分攻击分析流密码Sosemanuk的安全性，在弱化Serpent1密码特性的前提下，利用线性掩码技术线性逼近FSM和Serpent1;通过建立区分器，需要约2221密钥流比特，就可以把密钥流序列与随机序列相区分，分析结果表明大于2221bit密钥的密码算法是不安全的.

1 区分攻击基本理论

1.1 区分攻击

2002年Coppersmith等提出“区分攻击(distinguishing attack)”［9］，通过观察某些输入与输出比特之间的关系来判别这些比特是来自真随机源还是来自密码，将其转化为一个假设检验问题.事实上，它……