对 SIMON 分组密码的量子密钥恢复攻击

轻量级分组密码的量子安全性正受到越来越多的关注。然而，现有对轻量级分组密码的量子攻击主要集中于量子穷举搜索，而结合经典密码分析方法的量子专用攻击尚未得到充分研究。本文中，我们在 Q1 模型下利用量子振幅放大（Quantum Amplitude Amplification, QAA）算法研究对 SIMON 分组密码的量子密钥恢复攻击。首先，我们重新分析了 SIMON 分组密码量子主密钥穷举搜索的量子电路复杂度。更准确地估计了 Clifford 门计数并减少了 T 门计数。由于对电路的一些微小修改，我们也降低了 T 深度与全深度。随后，基于 Biryukov 等人在 FSE 2014 中给出的对 SIMON32、SIMON48 与 SIMON64 的差分密码分析，我们给出了对这些 SIMON 变体的量子轮密钥恢复攻击，并分别分析了量子电路复杂度。以对 19 轮 SIMON32/64 的量子攻击为例，设计了密钥恢复过程的量子电路。该攻击的两个阶段可分别视为两个 QAA 实例，且第一个 QAA 实例由四个子 QAA 实例组成。我们得出结论：对 19 轮 SIMON32/64、19 轮 SIMON48 与 26 轮 SIMON64/128 的量子专用攻击的加密复杂度与电路复杂度均低于对这些变体分别进行量子穷举搜索的相应复杂度。我们的工作首次从量子电路复杂度角度研究了对 SIMON 分组密码的量子专用攻击，这是对量子专用攻击复杂度更细粒度的分析。