叶 涛，韦永壮，李灵琛

(1.桂林电子科技大学 信息与通信学院，广西壮族自治区 桂林 541004；2.桂林电子科技大学 广西密码学与信息安全重点实验室，广西壮族自治区 桂林 541004；3.密码科学技术国家重点实验室，北京 100878)

伴随着物联网技术和5G通信技术的快速发展，各种移动通信终端以及物联网中的传感器终端遍布于人们的实际生活。如何确保通信的安全变得愈加重要。轻量级密码算法作为一种重要的加密体制，具有易于实现、加解密速度快、占用资源少等优势，非常适用于这些资源受限的环境中，所以，轻量级密码算法的设计[1]与分析[2]是近些年的研究热点。最近，NIST(美国国家标准与技术研究院)发起了轻量级密码算法征集竞赛[3]活动，旨在面向全世界公开征集适用于资源受限环境下的轻量级密码算法，其中第1轮共有56个候选算法。经过第1轮的安全性评估，现有32个密码算法入围第2轮，KNOT密码算法[4]是其中之一。KNOT密码算法是由ZHANG等人设计的，由于其可以充分地利用比特切片法来实现，所以该算法具有优秀的软件和硬件实现性能。KNOT具有认证加密功能和哈希运算的功能，这些性能的好坏依赖于KNOT内部轮置换函数的安全性。KNOT置换有3个版本，按照每个置换的分组长度，标记为KNOT-256，KNOT-384和KNOT-512，其中KNOT-256算法的软硬件实现所占用的资源最少，非常适用于资源受限的环境中。在KNOT的设计文档中，算法的设计者认为KNOT-256至少需要49轮才能抵抗差分分析和线性密码分析，同时认为KNOT-256算法存在的最长不可能差分区分器的轮数为17轮。……