李荣佳，金晨辉

（解放军信息工程大学三院，河南 郑州 450002）

FOX算法的中间相遇攻击

李荣佳，金晨辉

（解放军信息工程大学三院，河南 郑州 450002）

研究了FOX分组密码算法在中间相遇攻击下的安全性。首先，分别构造了FOX64和FOX128的3轮中间相遇区分器，实施了6轮中间相遇攻击，得到对6轮FOX64和FOX128较好的攻击结果。其次，将FOX128的中间相遇区分器扩展到4轮，并结合时间存储数据折衷的方法，攻击了7轮FOX128，与已有的攻击结果相比，攻击的时间复杂度和存储复杂度略大，而数据复杂度明显降低。

分组密码；密码分析；中间相遇攻击；FOX算法

1 引言

FOX密码算法[1]是由Junod和Vaudenay在2004年提出的系列分组密码算法，分组规模可为64 bit和128 bit，分别记为FOX64和FOX128。FOX密码的整体结构采用Lai-Massey结构，其轮函数采用SPS结构。FOX密码算法在各平台都具有不错的性能，广泛地应用于欧洲有线电视等安全产品中。

对 FOX算法的主要攻击方法有积分攻击、不可能差分攻击、差分—碰撞攻击等。文献[2]利用3轮积分区分器分析了 FOX算法。文献[3]分析了FOX算法抵抗不可能差分攻击的能力。文献[4]构造了4轮区分器并给出了对FOX算法的差分—碰撞攻击结果。文献[5,6]分别对FOX64算法进行了零相关—积分分析和多维零相关线性分析。在 2014年FSE会议上，文献[7]提出的对FOX算法的全子密钥恢复攻击，目前取得对FOX算法的较好攻击结果。

中间相遇攻击由Diffie和Hellman在分析DES算法的安全性时首次提出。近几年，中间相遇攻击被应用于AES算法的分析中，并得到了较好的攻击结果。在文献[8]中，Demirci和Selçuk首次将中间相遇攻击用于分析AES，利用4轮中间相遇区分器攻击了7轮AES-192和8轮AES-256。……