张中亚 吴文玲 邹 剑

1(中国科学院软件研究所可信计算与信息保障实验室 北京 100190) 2(中国科学院大学 北京 100049) 3(洛阳师范学院 河南洛阳 471934) 4(福州大学数学与计算机科学学院 福州 350108)

量子计算机的发展及量子算法的应用对密码算法的设计和分析产生了巨大而深远的影响[1]，在量子环境下对对称密码的安全性评估已成为密码学研究中的一个热点问题.已有的量子算法中针对对称密码的分析方法主要有Grover量子算法[2]、Simon量子算法[3]以及Grover和Simon量子算法相结合的量子攻击[4]等.已有的公开文献中基于上述量子算法的加速优势，对各类对称密码结构进行了基于不同模型、不同条件下的量子分析.

Kuwakado等人[5]对3轮Feistel结构进行了量子条件下的区分攻击，3轮Feistel结构与随机置换可以在多项式时间内区分，而在经典条件下，已证明3轮Feistel结构与随机置换不能在多项式时间内区分.Kuwakado等人[6]对EM(Even，Mansour)结构[7]进行了基于Simon量子算法的量子分析，在量子条件下，单轮EM结构是不安全的，量子敌手可以在多项式时间内找到密钥.Kaplan等人[8]利用Simon量子算法在多项式时间内破解了一系列广泛使用的基于分组密码的认证和认证加密工作模式.Kaplan等人[9]基于Grover量子算法提出了量子差分和线性分析.

Leander等人[4]利用Grover量子算法和Simon量子算法的结合，对分组密码DESX(extension of DES)所采用的FX(extension of block cipher F)结构[10-11]进行了量子攻击，FX结构的安全强度和其底层分组密码的安全强度一致，前后白化密钥没有提高算法的安全强度.此后，结合Grover和Simon量子算法，基于不……