沈 璇，王欣玫，何 俊，孙志远

国防科技大学 信息通信学院，武汉430010

分组密码算法是对称密码算法中非常重要的一大类。它的安全性分析方法可以分为直接分析和间接分析两种，其中直接分析指的是利用数学、计算机等工具直接对密码算法本身的安全性进行分析[1-3]，而间接分析指的是利用密码算法在密码设备中运行时泄露的信息进行分析[4-6]，间接分析又称为侧信道分析。很多密码学者在设计分组密码算法时，会考虑密码算法对侧信道攻击的抵抗能力。

为了有效抵抗侧信道攻击，2014年，Grosso等人[7]在“快速软件加密”会议上设计了一类新的分组密码算法族——基于LS设计的算法族。该算法族采用比特切片设计，设计者根据该设计思想给出了两个具体的分组密码算法，一个是非对合的分组密码算法Fantomas，另外一个是对合的分组密码算法Robin。Robin算法采用SP结构，其线性组件和非线性组件均是对合的。

不可能差分攻击是目前针对分组密码算法最有效的攻击方法之一，它对包括AES、SMS4、Camellia、ARIA、SIMON、SKINNY、Piccolo等[8-14]在内的许多分组密码算法的安全性分析效果显著。该攻击方法由Knudsen[15]和Biham等人[16]独立提出，它由不可能差分构造和密钥恢复两个阶段组成，其中前者需要构造尽可能长的不可能差分区分器，后者利用已构造的区分器进行密钥恢复得到正确密钥。此外，不可能差分构造阶段得到的区分器除了长度外，区分器的形式同样能够影响最后的攻击效果。

目前，Robin算法的不可能差分攻击结果主要有：2014年，Grosso等人在设计文档中，基于算法的比特模式，利用中间相错技术构造了3轮的不可能差分区分器。……