刘凤梅，陈连俊，李春祥，李艳梅，张国双

（信息保障技术重点实验室，北京 100072）

1 引言

差分攻击和线性攻击是对分组密码最有效的2种攻击方法，研究和评估密码算法抵抗差分攻击和线性攻击的能力，是密码设计者和分析者必须考虑的问题[1~3]。SPS模型（如图1和图2所示）是分组密码的一个基本模型[3~5]，它主要是由混淆层－扩散层－混淆层组成，通常会在第2层混淆之前异或加入轮密钥。对于分组密码来讲，为了保证其能够解密，一般要求每个iS（1in≤≤）都是置换且上下2个混淆层是完全一样的。

近年来，在序列密码的设计中，人们也广泛应用将混淆和扩散分层实现的设计理念[6~8]。与分组密码不同的是，对于序列密码，在采用SP网络时，由于其解密机制不同于分组密码，且可以使用压缩环节来实现输入多输出少的功能，因此在“混淆层－扩散层－混淆层”这一设计模型中，上下2个混淆层可以不一样，也不需要其中S盒都是置换。具体来说，序列密码中利用分组密码的迭代思想时既可以先迭代最后再压缩[6]，也可以边迭代边压缩[7]。因此，在序列密码的设计中，为同时且高效地实现迭代和压缩（多输入少输出），可以使用更加一般的SPT模型（如图3和图4所示），这里S和T表示2个不同的混淆层，而且每个S或T都不必是置换。这就需要对SPT模型抗已知攻击的能力进行评估，弄清一般SPT模型抵抗差分攻击和抵抗线性攻击的能力。

对于SPS模型的抗差分攻击和抗线性攻击的安全性问题，一直是受到密码学者关注，也已有了完善的结果[9~13]。……