广义NLFSR变换算法及类Espresso流密码的密码分析

物联网应用对轻量级流密码有着极高需求。为优化硬件性能，一类新型流密码被提出。其基本思想是采用单个具有最大周期的Galois NLFSR来构造密码。作为此类流密码的代表性设计，Espresso基于一个由128位密钥初始化的256位Galois NLFSR。其$2^{256}-1$的最大周期得以保证，是因为该Galois NLFSR由最大长度LFSR变换而来。然而，我们提出了一种Galois到Fibonacci变换算法，并成功将该Galois NLFSR转化为带非线性输出函数的Fibonacci LFSR。变换后的密码被标准代数攻击与R\o njom-Helleseth攻击攻破，复杂度分别为$\mathcal{O}(2^{68.44})$与$\mathcal{O}(2^{66.86})$。该变换算法源自本文提出的新的Fibonacci到Galois变换算法。与现有算法相比，所提算法更高效且覆盖更通用的用例。此外，变换结果表明，任何类Espresso流密码中使用的Galois NLFSR均可轻易反变换回原始Fibonacci LFSR。因此，未来应避免此类设计。