罗庆斌，李晓瑜，杨国武

（1. 湖北民族大学信息工程学院 湖北 恩施 445000；2. 电子科技大学信息与软件工程学院 成都 610054；3. 电子科技大学计算机科学与工程学院 成都 611731）

量子计算极大地改变了现代密码系统的安全性。对于非对称密码系统，Shor 算法[1]能快速破解基于大整数分解的密码算法[2]和基于离散对数的密码算法[3]。量子计算对于对称密码系统的影响虽然没有像非对称密码系统那样显著，但最近也得到大量关注。文献[4]首先分析了Grover 算法[5]对对称密码系统的量子威胁，建议把原来的密钥长度至少增加一倍。文献[6]利用Simon 算法[7]寻找碰撞周期以攻击对称密码系统，一些在经典环境中需要Ω(2n/2)次查询的密码算法在该量子环境下只需要O(n)次查询。文献[8]结合Grover 算法和Simon 算法对具有FX 结构的对称密码在量子环境下的安全性进行了分析。文献[9]结合Grover 算法和Simon算法对具有Feistel 结构的对称密码算法提出了量子密钥恢复攻击。文献[10]通过在量子环境下利用Demirci-Selçuk 中间人攻击和提高解S 盒差分方程的效率分析了AES 密码算法在量子环境下的安全性。文献[11]利用Grover 算法和Simon 算法为SM4 密码算法构造了一个8 轮的量子区分器。

这些对称密码在量子环境下的安全性分析基本是建立在它们已经可以用量子电路实现的假设上的。但是目前针对对称密码算法的量子电路实现研究较少，且基本是对AES 密码算法的量子电路实现[12-13]，其他对称密码算法量子电路实现的研究几乎没有。

SM4 算法是用于WAPI 的分组密码……