减轮 MISTY1 的零相关线性密码分析

MISTY1 算法由 Matsui 于 FSE 1997 提出，是一种分组长度为 64 位、密钥长度为 128 位的分组密码。它曾被欧洲 NESSIE 项目和 CRYPTREC 项目推荐，并分别于 2002 年成为 RFC 标准、2005 年成为 ISO 标准。在本文中，我们首先研究了 FL 线性函数的性质，并在具有 3 个 FL 层的 5 轮 MISTY1 中识别出 232 个依赖于子密钥的零相关线性近似。此外，基于对 FL、FO 和 FI 函数的一些观察，我们选择了 27 个依赖于子密钥的零相关线性近似，进而提出了针对具有 4 个 FL 层的 7 轮 MISTY1 的零相关线性攻击。另外，对于无 FL 层的情况，利用 5 轮 MISTY1 上的 27 个零相关线性近似对 7 轮 MISTY1 进行了分析。针对具有 4 个 FL 层的 7 轮版本的零相关线性攻击需要约 $2^{119.5}$ 次加密运算、$2^{62.9}$ 个已知明文和 $2^{61}$ 字节的内存。针对无 FL 层的 7 轮版本的攻击，其数据复杂度约为 $2^{63.9}$ 个已知明文，时间复杂度约为 $2^{81}$ 次加密运算，内存需求约为 $2^{93}$ 字节。这两种攻击的时间复杂度均低于此前的攻击。