郭 瑞 金晨辉

1 引言

目前，对分组密码算法的攻击方法主要分为：差分密码分析[1]及其推广、线性密码分析[2]及其推广、积分攻击、密钥相关攻击、中间相遇攻击、插值攻击等。其中，差分密码分析和线性密码分析是目前对分组密码算法安全性分析的最重要和最有效的工具。最近，文献[3]提出了零相关线性分析，该分析方法基于相关系数为0的线性逼近，并通常被看作与不可能差分分析相对应的一类推广的线性密码分析方法。

文献[3]提出零相关线性分析方法时，给出了AES算法、Skipjack算法、CAST256算法、CLEFIA算法相关系数为0的线性逼近，并成功攻击了低轮AES-192, AES-256以及CLEFIA-256。但是，为了判断选取的线性逼近的相关系数是否为 0，零相关线性分析需要选取明文规模至少为分组规模一半。因此，攻击所需数据复杂度较高是零相关线性分析最大的缺陷。随后，文献[4]证明了使用多个独立的零相关线性逼近可以降低数据复杂度。但是，多个线性逼近相互独立的假设难以满足。为此，文献[5]指出可以使用不同的已知明文来消除线性逼近互相独立的假设，从而降低攻击所需的数据复杂度，并给出了零相关线性区分器与积分区分器、多维线性区分器的关系。证明了由积分区分器可以得到零相关线性逼近区分器、由零相关线性逼近区分器在一定条件下同样可以得到积分区分器，证明了零相关线性区分器是多维线性区分器的特例。同时，首次给出了变形的31轮Skipjack算法的零相关-积分攻击。……