Hash函數(shù)GOST R和分組密碼算法ITUbee、KASUMI的分析.pdf

1、隨著終端計(jì)算能力的提升和互聯(lián)技術(shù)的發(fā)展，信息化正在逐步普及，深入到各個(gè)領(lǐng)域和人們的日常生活中。與此同時(shí)，通信安全、隱私保護(hù)等信息安全問(wèn)題也日益凸顯。密碼技術(shù)是保障信息安全的關(guān)鍵技術(shù)，對(duì)密碼算法的安全性分析有利于發(fā)現(xiàn)算法中存在的不足，確保密碼技術(shù)的安全應(yīng)用，因而具有重要意義。Rebound攻擊技術(shù)由Mendel等人提出，是分析基于AES類置換Hash函數(shù)的有效手段。目前該技術(shù)也應(yīng)用在其他結(jié)構(gòu)的Hash函數(shù)以及分組密碼算法的分析中。2010

2、年，Gilbert等人提出了大s盒技術(shù)推動(dòng)了該技術(shù)的進(jìn)步與發(fā)展。
　　本文以Rebound攻擊技術(shù)為主要分析手段，研究Hash函數(shù)和分組密碼算法的安全性，共分為兩部分:第一部分屬于Rebound攻擊技術(shù)的典型應(yīng)用，給出俄羅斯新Hash函數(shù)標(biāo)準(zhǔn)GOST R34.11-2012首個(gè)安全性分析結(jié)果;第二部分將Rebound攻擊、大s盒技術(shù)與錯(cuò)誤攻擊結(jié)合，給出了分組密碼算法ITUbee和KASUMI的錯(cuò)誤攻擊新方法。
　　1、俄羅斯

3、新Hash函數(shù)標(biāo)準(zhǔn)GOST R34.11-2012的安全性分析
　　2012年8月，俄羅斯政府宣布了Stribog算法作為國(guó)家新Hash函數(shù)標(biāo)準(zhǔn)GOST R34.11-2012。Stribog算法由Grebnev等人設(shè)計(jì)，其壓縮函數(shù)的輪函數(shù)為AES類置換。應(yīng)用Rebound攻擊技術(shù)，我們給出4.5、5.5、7.5和9.5輪的Stribog壓縮函數(shù)碰撞結(jié)果。其中9.5輪攻擊的計(jì)算復(fù)雜度為2176次輪函數(shù)運(yùn)算，存儲(chǔ)復(fù)雜度為2128字節(jié)

4、。這一結(jié)果也是對(duì)Stribog算法的首個(gè)分析結(jié)果。利用有限生日攻擊區(qū)分器，可以將9.5輪的壓縮函數(shù)碰撞攻擊轉(zhuǎn)化為10輪的壓縮函數(shù)區(qū)分攻擊。
　　由于Stribog算法在結(jié)構(gòu)上采用了模加的消息校驗(yàn)和，其壓縮函數(shù)的碰撞并不能直接導(dǎo)致Hash函數(shù)的碰撞。2014年ACNS會(huì)議上，Ma等人提出利用多個(gè)碰撞的消息分組構(gòu)造Stribog Hash函數(shù)碰撞的方法。他們利用生日攻擊，計(jì)算出構(gòu)造Hash函數(shù)碰撞所需的消息分組數(shù)為64。事實(shí)上，由于模

5、加的特性，生日攻擊前提假設(shè)無(wú)法滿足，64個(gè)消息分組并不足以構(gòu)造Hash函數(shù)碰撞。本文針對(duì)構(gòu)造Stribog Hash函數(shù)碰撞所需的精確分組數(shù)展開(kāi)討論，重新計(jì)算構(gòu)造Stribog Hash函數(shù)碰撞所需的消息分組數(shù)為106。
　　2、分組密碼ITUbee的差分錯(cuò)誤攻擊
　　ITUbee分組密碼算法由Karako(c)等人在LightSec2013上提出，密鑰長(zhǎng)度為80比特，采用Feistel結(jié)構(gòu)。該算法沒(méi)有密鑰生成方案，易于軟件

6、實(shí)現(xiàn)，是一個(gè)適用于資源受限環(huán)境的輕量級(jí)算法。以該算法為例，本文給出了結(jié)合Rebound攻擊技術(shù)和大s盒技術(shù)的差分錯(cuò)誤攻擊新方法。在我們的攻擊中，2次隨機(jī)字節(jié)錯(cuò)誤注入就足以對(duì)ITUbee算法的全部密鑰進(jìn)行恢復(fù)。該攻擊的計(jì)算復(fù)雜度約為243次輪函數(shù)運(yùn)算。通過(guò)增加錯(cuò)誤注入次數(shù)，還可以進(jìn)一步降低計(jì)算復(fù)雜度。當(dāng)錯(cuò)誤注入達(dá)到4次時(shí)，攻擊復(fù)雜度降為225次輪函數(shù)運(yùn)算，在普通PC機(jī)上幾秒鐘即可恢復(fù)全部密鑰。
　　3、分組密碼KASUMI的安全性分

7、析
　　KASUMI分組密碼算法是A5/3密碼系統(tǒng)的基礎(chǔ)，被廣泛應(yīng)用于保護(hù)GSM和3G設(shè)備中。KASUMI算法的密鑰長(zhǎng)度為128比特，但由于版本兼容性問(wèn)題，大量GSM設(shè)備中使用64比特密鑰。
　　結(jié)合大s盒技術(shù)并利用KASUMI算法輪函數(shù)和密鑰編排的特性，我們給出64比特密鑰下KASUMI算法新的錯(cuò)誤攻擊結(jié)果。在單次字錯(cuò)誤注入模型下即可完成攻擊，計(jì)算復(fù)雜度約為232次加密運(yùn)算。通過(guò)仿真測(cè)試，我們驗(yàn)證了該攻擊的有效性一在普通P