王 超，陈怀凤

（1.中国电子信息产业集团有限公司第六研究所，北京 102209；2.密码科学技术国家重点实验室，北京 100878）

0 概述

为了验证Midori 算法［1］的安全性，研究人员对Midori 算法进行了许多密码分析。文献［2］提出对Midori64 算法的14 轮相关密钥不可能差分分析，共猜测了84 bit 密钥。文献［3］提出对Midori64 算法的12 轮中间相遇攻击，该攻击的时间复杂度为2125.5次12 轮加密，数据复杂度为255.5个64 bit 分组。文献［4］提出对Midori64 算法的11 轮不可能差分分析，该攻击的时间复杂度为2121.6次11 轮加密，数据复杂度为262.3个64 bit 分组。文献［5］对文献［4］的不可能差分分析进行优化，时间复杂度为2121.42次11 轮加密，数据复杂度为260.82个64 bit 分组。文献［6］提出对Midori64 算法的10 轮多维零相关线性分析，其时间复杂度为279.35次10 轮加密，数据复杂度为262.4个64 bit 分组。文献［7］提出对Midori64 算法的8 轮积分分析，其时间复杂度为265次8 轮加密，数据复杂度为219.80个64 bit 分组。文献［8-9］分别提出对Midori64 算法的不变子空间攻击和非线性不变量攻击，并给出了算法的全轮弱密钥攻击。

文献［10］建立零相关区分器与积分区分器之间的等价关系［11-12］，证明从零相关路线(a1，0)，b=(b1，0)，a1≠0，b1≠0 可以直接推导出一条积分路线，其中，输入掩码部分值a1与输出掩码部分值b1相互独立。利用该性质，可以借助已找到的零相关线性路线构造更优的积分路线。为了消除零相关路线向积分路线转化的条件限制，文献［13］提出一种新方法，无论a1和b1是否独立，都可以将零相关路线转为积分路线。分离特性（Division Property）［14］是一种新型积分路线搜索方法，该方法充分考虑非线性组件的代数次数，对积分性质的刻画更加精细。……