Hash函數(shù)GOST R和分組密碼算法ITUbee、KASUMI的分析.pdf

1、隨著終端計算能力的提升和互聯(lián)技術(shù)的發(fā)展，信息化正在逐步普及，深入到各個領(lǐng)域和人們的日常生活中。與此同時，通信安全、隱私保護(hù)等信息安全問題也日益凸顯。密碼技術(shù)是保障信息安全的關(guān)鍵技術(shù)，對密碼算法的安全性分析有利于發(fā)現(xiàn)算法中存在的不足，確保密碼技術(shù)的安全應(yīng)用，因而具有重要意義。Rebound攻擊技術(shù)由Mendel等人提出，是分析基于AES類置換Hash函數(shù)的有效手段。目前該技術(shù)也應(yīng)用在其他結(jié)構(gòu)的Hash函數(shù)以及分組密碼算法的分析中。2010

2、年，Gilbert等人提出了大s盒技術(shù)推動了該技術(shù)的進(jìn)步與發(fā)展。
　　本文以Rebound攻擊技術(shù)為主要分析手段，研究Hash函數(shù)和分組密碼算法的安全性，共分為兩部分:第一部分屬于Rebound攻擊技術(shù)的典型應(yīng)用，給出俄羅斯新Hash函數(shù)標(biāo)準(zhǔn)GOST R34.11-2012首個安全性分析結(jié)果;第二部分將Rebound攻擊、大s盒技術(shù)與錯誤攻擊結(jié)合，給出了分組密碼算法ITUbee和KASUMI的錯誤攻擊新方法。
　　1、俄羅斯

3、新Hash函數(shù)標(biāo)準(zhǔn)GOST R34.11-2012的安全性分析
　　2012年8月，俄羅斯政府宣布了Stribog算法作為國家新Hash函數(shù)標(biāo)準(zhǔn)GOST R34.11-2012。Stribog算法由Grebnev等人設(shè)計，其壓縮函數(shù)的輪函數(shù)為AES類置換。應(yīng)用Rebound攻擊技術(shù)，我們給出4.5、5.5、7.5和9.5輪的Stribog壓縮函數(shù)碰撞結(jié)果。其中9.5輪攻擊的計算復(fù)雜度為2176次輪函數(shù)運(yùn)算，存儲復(fù)雜度為2128字節(jié)

4、。這一結(jié)果也是對Stribog算法的首個分析結(jié)果。利用有限生日攻擊區(qū)分器，可以將9.5輪的壓縮函數(shù)碰撞攻擊轉(zhuǎn)化為10輪的壓縮函數(shù)區(qū)分攻擊。
　　由于Stribog算法在結(jié)構(gòu)上采用了模加的消息校驗(yàn)和，其壓縮函數(shù)的碰撞并不能直接導(dǎo)致Hash函數(shù)的碰撞。2014年ACNS會議上，Ma等人提出利用多個碰撞的消息分組構(gòu)造Stribog Hash函數(shù)碰撞的方法。他們利用生日攻擊，計算出構(gòu)造Hash函數(shù)碰撞所需的消息分組數(shù)為64。事實(shí)上，由于模

5、加的特性，生日攻擊前提假設(shè)無法滿足，64個消息分組并不足以構(gòu)造Hash函數(shù)碰撞。本文針對構(gòu)造Stribog Hash函數(shù)碰撞所需的精確分組數(shù)展開討論，重新計算構(gòu)造Stribog Hash函數(shù)碰撞所需的消息分組數(shù)為106。
　　2、分組密碼ITUbee的差分錯誤攻擊
　　ITUbee分組密碼算法由Karako(c)等人在LightSec2013上提出，密鑰長度為80比特，采用Feistel結(jié)構(gòu)。該算法沒有密鑰生成方案，易于軟件

6、實(shí)現(xiàn)，是一個適用于資源受限環(huán)境的輕量級算法。以該算法為例，本文給出了結(jié)合Rebound攻擊技術(shù)和大s盒技術(shù)的差分錯誤攻擊新方法。在我們的攻擊中，2次隨機(jī)字節(jié)錯誤注入就足以對ITUbee算法的全部密鑰進(jìn)行恢復(fù)。該攻擊的計算復(fù)雜度約為243次輪函數(shù)運(yùn)算。通過增加錯誤注入次數(shù)，還可以進(jìn)一步降低計算復(fù)雜度。當(dāng)錯誤注入達(dá)到4次時，攻擊復(fù)雜度降為225次輪函數(shù)運(yùn)算，在普通PC機(jī)上幾秒鐘即可恢復(fù)全部密鑰。
　　3、分組密碼KASUMI的安全性分

7、析
　　KASUMI分組密碼算法是A5/3密碼系統(tǒng)的基礎(chǔ)，被廣泛應(yīng)用于保護(hù)GSM和3G設(shè)備中。KASUMI算法的密鑰長度為128比特，但由于版本兼容性問題，大量GSM設(shè)備中使用64比特密鑰。
　　結(jié)合大s盒技術(shù)并利用KASUMI算法輪函數(shù)和密鑰編排的特性，我們給出64比特密鑰下KASUMI算法新的錯誤攻擊結(jié)果。在單次字錯誤注入模型下即可完成攻擊，計算復(fù)雜度約為232次加密運(yùn)算。通過仿真測試，我們驗(yàn)證了該攻擊的有效性一在普通P