基于Feistel-NFS...结构的16比特S盒设计方法_武小年.pdf

密码学报ISSN 2095-7025 CN 10-1195/TNJournal of Cryptologic Research,2022,10(1):146154密码学报编辑部版权所有.E-mail:http:/Tel/Fax:[phone]基于 Feistel-NFSR 结构的 16 比特 S 盒设计方法*武小年,豆道饶,韦永壮,张润莲,李灵琛桂林电子科技大学 广西密码学与信息安全重点实验室,桂林 540014通信作者:武小年,E-mail:摘要:为构造具有强安全性的 16 比特密码 S 盒,将 Feistel 结构和 NFSR 相结合,设计一种 4 轮的平衡二分支 Feistel-NFSR 新结构,任意选取 4 个 AES 算法 S 盒仿射等价获得的 8 比特 S 盒作为轮函数,增加结构的可变性;设计 2 个 NFSR 组件提高结构的扩散效果;并通过遍历搜索 16 比特 S 盒.基于GPU 技术实现对 16 比特 S 盒的非线性度、差分均匀度的并行计算,提高对所构造 S 盒的性质的评估效率.测试结果表明,新构造的 16 比特 S 盒满足双射性且代数次数达到最优 15,非线性度最高为 31986,差分均匀度最低为 18,信噪比最低为 146.423,具有较好的抵御数学攻击和差分能量攻击的能力.关键词:S 盒;Feistel 结构;NFSR;仿射等价;GPU中图分类号:TP309.7文献标识码:ADOI:10.13868/ki.jcr.000585中文引用格式:武小年,豆道饶,韦永壮,张润莲,李灵琛.基于 Feistel-NFSR 结构的 16 比特 S 盒设计方法J.密码学报,2022,10(1):146154.DOI:10.13868/ki.jcr.000585英文引用格式:WU X N,DOU D R,WEI Y Z,ZHANG R L,LI L C.A 16-bit S-box design methodbased on Feistel-NFSR structureJ.Journal of Cryptologic Research,2022,10(1):146154.DOI:10.13868/ki.jcr.000585A 16-bit S-box Design Method Based on Feistel-NFSR StructureWU Xiao-Nian,DOU Dao-Rao,WEI Yong-Zhuang,ZHANG Run-Lian,LI Ling-ChenGuangxi Key Laboratory of Cryptography and Information Security,Guilin University of ElectronicTechnology,Guilin 541004,ChinaCorresponding author:WU Xiao-Nian,E-mail:Abstract:As an important non-linear transformation component in symmetric cryptographic algo-rithms,the security of the cryptographic S-box determines the security of the cryptographic algorithm.In order to construct a 16-bit cipher S-box with strong security,a new 4-round balanced two-branchFeistel-NFSR structure is designed based on the Feistel structure and NFSR component.In the newstructure,four 8-bit S-boxes obtained by affine equivalence with S-boxes of the AES algorithm areselected at random as the round function,which increases the variability of the structure.Two NFSRcomponents are designed to improve the diffusion effect of the structure.Then,16-bit S-boxes are*基金项目:部分受国家自然科学基金(62062026,61872103);广西创新研究团队项目(2019GXNSFGA245004);广西青年创新人才科研专项(桂科 AD20238082)支持Foundation:This work is supported partly by National Natural Science Foundation of China(62062026,61872103);Innovation Research Team Project of Guangxi(2019GXNSFGA245004);Scientific Research Project of Young InnovativeTalents of Guangxi(guike AD20238082)收稿日期:2022-01-13定稿日期:2022-11-06武小年 等:基于 Feistel-NFSR 结构的 16 比特 S 盒设计方法147constructed by traversal search.In practical implementations,the GPU technology can be used tocompute the non-linearity and differential uniformity of 16-bit S-box in parallel to improve the effi-ciency of the evaluation for the constructed 16-bit S-boxes.The experimental results show that the16-bit S-box constructed by the proposed method satisfies bijectivity,the algebraic degree is 15 whichis optimal,the highest nonlinearity is 31986,the lowest differential uniformity is 18,and the lowestsignal-to-noise ratio is 146.423,which has good resistance against mathematical attacks and differentialpower analysis.Key words:S-box;Feistel structure;NFSR;affine equivalence;GPU1引言分组密码算法的设计需要遵循香农的扩散和混淆原则1,S 盒作为分组密码算法的唯一非线性部件,为密码算法提供必要的混淆性.鉴于 S 盒的重要性,目前大多数针对分组密码算法的攻击都是针对 S 盒的攻击,因此 S 盒的安全性很大程度上影响着加密算法的安全性.为有效抵抗高性能计算带来的攻击威胁,如何设计具有强安全性和更高复杂度的 S 盒是研究的重点.密码 S 盒的构造方法主要有数学构造、结构构造和基于智能算法构造等.采用数学方法构造 S 盒,常用的数学方法有代数函数2、有限域上的幂函数3、有限域上的逆映射4和乘法子群5等.近年来,4比特轻量化的 S 盒构造较多,如 2020 年,Dey 等人6研究了 4 比特布尔函数的平衡性、严格雪崩准则、线性以及非线性,使用伽罗瓦域多项式生成 4 比特 S 盒,并通过密码分析和 SAC 算法分析搜索最佳 4 比特 S 盒;Kim 等人7对符合 BOGI(bad output must go to good input)设计策略的 4 比特 S 盒进行了搜索,并对 PXE(permutation-XOR-equivalence)类别的差分均匀性和线性度进行分类,提出了 20 个BOGI 适用的最佳 PXE 类别.而针对 8 比特 S 盒的设计中,Zahid 等人8于 2019 年提出使用三次多项式映射来产生一个 8 位 S 盒,经测试用该方法构造的 S 盒非线性度的最大值为 108;2020 年,Chew 等人9基于线性分数变换和置换函数构造 8 比特 S 盒,并对 S 盒在应用置换前后进行对比分析,表明具有置换函数的 S 盒达到了最优.采用结构构造方法,针对 4 比特 S 盒,在 CHES 2014 会议上,Li 等人10利用 3 轮 Feistel 结构构造了具有低硬件实现的最优 S 盒;2018 年,李昂等人11使用混合运算和广义 Feistel 结构进行了构造.针对 8 比特 S 盒,2017 年,龚涛等人12利用 3 轮平衡的 Feistel 结构和 3 轮平衡的 MISTY 结构构造 8比特 S 盒;2021 年,Kim 等人13使用较小的 S 盒,利用非平衡 MISTY 结构和非平衡 Bridge 结构构造了 DBN(difference branch number)和 LBN(linear branch number)至少为 3 的 8 比特 S 盒,且其能高效地实现比特切片;董新锋等人14提出一种基于 8 分支 Feistel 结构的 8 比特轻量化 S 盒设计方法,在较小的硬件实现情况下达到了差分均匀度和非线性度的最优.基于智能算法的 S 盒构造方法,针对 4 比特 S 盒,2018 年,Ghoshal 等人15通过使用重复迭代简单的元胞自动机规则构建了最优 4 比特 S 盒,在实现面积和功耗方面进行了优化;2019 年,Mariot 等人16研究了 CA 定义的 S 盒的密码性质,证明了其非线性和差分均匀性的一些上界,并使用遗传编程扩展了已有的基于 CA 的 S 盒结果,对 4 比特 S 盒进行了详尽搜索和仿射等价分类;Sadhukhan 等人17提出能预测 S 盒动态功耗的具备监督的机器学习辅助自动化框架,并开发模型基于进化算法以生成性质优良和低功耗的 4 比特 S 盒;2020 年,张润莲等人18在文献 15 的基础上,采用变元分量部分固定和分别搜索的策略,提出一种 4 比特最优 S 盒的搜索方法.针对 8 比特 S 盒,2014 年,Picek 等人19基于遗传算法构造了具有较低透明阶的 S 盒;2020 年,Wang 等人20将布尔函数作为 S 盒的染色体,提出一种新的遗传算法来构造具有高非线性度的双射 S 盒.随着密码分析方法的优化和计算机计算能力的提升,存在安全缺陷的 S 盒和低复杂度的 S 盒,更容易被攻击,如文献 21 采用非线性不变子攻击,对使用 4 比特 S 盒的 Midori64 算法和使用 8 比特 S 盒的SCREAM、iSCREAM 算法进行了有效攻击.为有效抵抗各种攻击,如何设计强安全性的 S 盒一直以来都是研究的重点.近年来,具有更高复杂度的 16/32/64 比特 S 盒构造被提出,相应算法也被设计.2019年,徐洪等人22在 NBC 算法中,基于含有 4 个状态更新函数的 16 级 NFSR(nonlinear feedback shift148Journal of Cryptologic Research 密码学报 Vol.10,No.1,Feb.2022register)迭代 20 拍构造出 16 比特 S 盒,并测试了所构造 S 盒的安全性指标.同年,田甜等人23在SPRING 算法中,使用 NFSR-SR 迭代 20 轮或者 32 轮实现了 32 比特 S 盒的构造,该 S 盒在迭代到 32轮时其输入的每一比特能够充分扩散到输出的每一比特,但由于 32 位 S 盒的复杂度较高,难以测试出其非线性度和差分均匀度,仅计算出 S 盒的最大差分概率为 20/231.Beierle 等人24也于同年基于 ARX结构构造了 64 比特 S 盒 Alzette,并对其安全性指标的上下界进行了分析,Alzette 迭代一次的差分性质与线性特性与 AES 相当,迭代两次则其安全性与 AES 超级 S 盒相同.为设计 16 比特 S 盒,本文将 Feistel 结构与 NFSR 组件相结合,设计一种 4 轮的 Feistel-NFSR 新结构,以 4 个 8 比特 S 盒作为轮函数,以两个新设计的 NFSR 组件进行运算,并通过遍历搜索 16 比特 S盒.为测试所构造的 16 比特 S 盒的非线性度、差分均匀度和信噪比,基于 GPU 并行计算方法提高计算效率.测试结果表明,所构造的 16 比特 S 盒具有优良的密码学性质,满足双射性且代数次数达到最优 15,非线性度最高达到 31986,差分均匀度最低为 18.2基于 Feistel-NFSR 结构的 16 比特 S 盒构造16 比特密码 S 盒的输入输出位数较高,一个完整的 16 比特 S 盒实例实质上是 0 到 216 1 的一种排列组合,其复杂程度明显高于 4/8 比特 S 盒.作为对称密码算法的核心部件,一个密码学性质优良的密码 S 盒通常需要具有双射性、高非线性、低差分均匀性等代数性质.为构造密码学性质好且复杂度高的16 比特 S 盒,提出一种基于 Feistel 结构和 NFSR 组件相结合构造 16 比特 S 盒的方法.2.1Feistel-NFSR 结构设计Feistel 结构25由 Feistel 于 1973 年提出,具有结构简单、加解密一致且易于实现等优点,并符合香农提出的扩散和混淆原则,但 Feistel 结构扩散速度慢.作为密码学中经典的算法结构,Feistel 结构在对称密码算法设计中被广泛应用.NFSR 即非线性反馈移位寄存器,常用于序列密码算法的构造中,具有结构简单、易于实现、状态更新函数变更灵活的优势;NFSR 将当前寄存器的状态作为下一拍迭代的输入,在迭代一定拍数之后,将其当前寄存器状态作为最终的输出,以此来完成数据的变换和加密;经过精心构造的 NFSR,其当前的状态序列是符合扩散和混淆原则的.将 NFSR 作为一个运算组件加入到 Feistel 结构中有利于加快整体的扩散性.基于 Feistel-NFSR 构造 16 比特密码 S 盒的结构如图1所示.图 1 Feistel-NFSR 结构Figure 1 Feistel-NFSR structure图1所示的结构是一个 4 轮的平衡二分支结构,总体上仍然是 Feistel 结构.针对 Feistel 结构,文献 10 论证了当 Feistel 结构达到 3 轮时所构造的 S 盒是安全的.尽管轮数的增加能够为整体结构提供足够的安全性26,但也会提高计算的复杂度.为降低 Feistel-NFSR 结构的复杂度,设定轮数为 4 轮.武小年 等:基于 Feistel-NFSR 结构的 16 比特 S 盒设计方法149轮函数的高复杂性会增加整体结构密码分析的难度26,为提高 Feistel-NFSR 结构的安全性,并增加整个部件的可变性,以 AES 算法的密码性质优良的 8 比特 S 盒作为样本仿射等价出一批同样具有优良性质的 8 比特 S 盒,并任意选取 4 个 8 比特 S 盒作为 Feistel-NFSR 结构中的轮函数.在实际应用中,通过替换这些 8 比特 S 盒就可以方便地构造出新的 16 比特 S 盒,增加了部件的可变性,提高了应用的安全性.为了能够在有限的轮数中提高总体结构的扩散效果,设计了两个相类似的 NFSR 组件参与运算,借助非线性反馈移位寄存器的状态更新函数进行移位和非线性操作.在图1中,以 L 和 R 表示左右两分支的 8 比特输入,L,R F82;L和 R表示该结构左右两个分支的 8 比特输出,L,R F82;NFSR1 和 NFSR2 为两个 8 级非线性反馈移位寄存器;表示异或运算;S0、S1、S2、S3分别表示每一轮中采用的 8 比特 S 盒.以 R1 和 R2 表示 NFSR1 和 NFSR2 运算的结果,则 Feistel-NFSR 结构的最终输出函数 SFN(L,R)如下:R1(L,R)=NFSR1(S0(L)R)R2(L,R)=NFSR2(S1(R1(L,R)L)L=R1 S2(R2)R=S3(L)R2SFN(L,R)=(L|R)(1)2.2NFSR 结构设计在两个 NFSR 组件中,每个 NFSR 中有 8 个状态寄存器,以 Si(0 i 7)表示寄存器迭代前的某个比特位状态,以 Si(0 i 7)表示寄存器迭代后的比特位状态,表示异或运算,表示与运算,且两个 NFSR 组件都分别设置了 4 个状态更新函数.在 NFSR 结构中,若状态更新函数含有异或运算和与运算,则该反馈移位寄存器为非线性的;若只有异或操作,则反馈移位寄存器是线性的.为保证两个 NFSR 组件的非线性,每个 NFSR 组件中都有 2 个状态更新函数包含了异或运算和与运算,使得 NFSR 组件可以每迭代一拍就会以非线性的方式完成寄存器状态的更新.两个 NFSR 结构具体如图2和图3所示.图 2 NFSR1 结构图Figure 2 NFSR1 structure图 3 NFSR2 结构图Figure 3 NFSR2 structureNFSR1 状态更新函数如公式(2).为简化设计,NFSR2 状态更新函数仅在 S5位与 NFSR1 不同,NFSR2 状态更新函数如公式(3).S1=S0 1S3=S0 S1 S2 S6S5=S4 1S7=S4 S5 S6 S7S0=S7Si=Si1,i 2,4,6(2)S1=S0 1S3=S0 S1 S2 S6S5=S4 S1S7=S4 S5 S6 S7S0=S7Si=Si1,i 2,4,6(3)150Journal of Cryptologic Research 密码学报 Vol.10,No.1,Feb.2022两个 NFSR 的初始状态不同,其周期长度也不同.NFSR1 的最长周期为 173,最短周期为 1,在迭代至 10 拍时,NFSR1 符合严格雪崩准则,雪崩效应程度能够达到 n/2,即 4.NFSR2 的最长周期为 124,最短周期为 1,迭代至 32 拍时,NFSR2 也符合严格雪崩准则,雪崩效应程度为 4.NFSR 是一个多拍迭代的组件,迭代的次数越高,输出结果的性质越好,但其开销也越大.为降低Feistel-NFSR 结构的计算开销,在此将 NFSR1 和 NFSR2 都设置为迭代一拍.2.3搜索算法在 Feistel-NFSR 结构中,共使用到 4 个 8 比特 S 盒.选取基于 AES 算法 S 盒仿射等价产生的部分8 比特 S 盒,通过遍历左右分支和选取的 S 盒,针对基于 Feistel-NFSR 结构的 16 比特 S 盒搜索具体流程如下:(1)初始化,设置 8 比特 S 盒的样本集为 Set8,将基于 AES 算法 S 盒仿射等价构造的 8 比特 S盒放入集合 Set8中;设置存放 16 比特 S 盒的数组 SBox16为空;设置左右分支输入分别为L,R F82,并分别按照字典顺序取第一个值;(2)按照全遍历的方式,从 S 盒样本集 Set8中选取 4 个 S 盒,分别作为新结构中的 S0、S1、S2、S3;(3)将 L 和 R 代入公式(1)计算,将其最后的左、右分支的输出 L和 R连接在一起,转换成十进制整数后依照数组次序存入 SBox16;(4)如果 R 在 F82域中未遍历完成,则将 R 在 F82域中按照字典顺序遍历下一个值,转(3);否则转(5);(5)如果 L 在 F82域中未遍历完成,则将 L 在 F82域中按照字典顺序遍历下一个值,将 R 在 F82域中按照字典顺序取第一个值,转(3);否则遍历结束,转(6);(6)得到一个 16 比特的 S 盒,将存有 16 比特 S 盒的数组 SBox16输出到文件;(7)如果 S 盒样本集 Set8遍历未完成,则继续遍历获得下一组 4 个 S 盒,代入 S0、S1、S2、S3,设置左右分支输入 L 和 R 分别按照字典顺序取第一个值,转(3);否则,转(8);(8)结束 S 盒搜索.假设仿射等价产生的 8 比特 S 盒样本集的数量大小为 n,则通过上述过程可构造 n4个 16 比特 S 盒.3测试及结果分析3.1测试环境在计算机处理器为 Intel(R)Core(TM)i5-4210U CPU 1.70 GHz 2.40 GHz,RAM 为 8.00 GB,操作系统为 64 位 Windows 的环境下,先采用 Java 语言实现对 AES 算法 S 盒的仿射等价,产生一批 8 比特 S 盒样本集;基于从 S 盒样本集中随机选取的 4 个 8 比特 S 盒,同样采用 Java 实现基于 Feistel-NFSR结构的 16 比特 S 盒搜索,获得 256 个 16 比特 S 盒.为评估 16 比特 S 盒的密码学性质,测试其差分均匀度、非线性度、信噪比、代数次数、双射性等指标.由于计算 16 比特 S 盒的非线性度、差分均匀度等性质的计算复杂度较高,采用常用 CPU 计算方式耗时较长,在此基于 GPU 进行分块并行计算,提高测试的效率.进行 GPU 计算的工作站配置如下:CPU 为 Intel(R)Xeon(R)Silver 4210 2.20 GHz,GPU 为NVIDIA Quadro RTX 8000,内存为 32 GB,全局内存为 16 GB;操作系统为 Ubuntu 18.04.4 LTS,64bits,CUDA 版本为 7.0,GCC 版本为 7.5.0.相对于 CPU 计算方式,GPU 计算方式大大缩短了对各个指标的计算时间,差分均匀度由原来的超过 7 天缩短到 7 小时,非线性度的计算时间由原来的超过 14 天降为 3 天.3.216 比特 S 盒性质评估及结果分析针对构造的 256 个 16 比特 S 盒,基于上述实验环境,测试每个 S 盒的差分均匀度、非线性度、信噪比、代数次数、双射性,测试结果如表1所示.武小年 等:基于 Feistel-NFSR 结构的 16 比特 S 盒设计方法151表 1 S 盒性质上下限Table 1Upper and lower bounds for S-box properties性质下限上限差分均匀度1822非线性度3174431986信噪比146.423149.459差分均匀度是衡量 S 盒能否抵御差分攻击能力的指标,差分均匀度越小,其抵御差分攻击的能力就越强.所测得的 256 个 16 比特 S 盒的差分均匀度的上界为 22,下界为 18,而差分均匀度为 22 的数量较少,这表明采用本文方法构造的 S 盒具有较好的抵抗差分攻击的能力.所有 S 盒的差分均匀度散点图如图4所示.图 4 所有 S 盒的差分均匀度散点图Figure 4Scatterplot of differential uniformity for all S-boxes非线性度是检验 S 盒抵抗线性攻击能力的指标,从 S 盒的设计角度来讲,S 盒的非线性度足够大,或者线性度足够小,才能有效地抵御线性攻击.利用本文方法构造的 S 盒的非线性度值主要分布在 31950上下,最高为 31986,所有 S 盒的非线性度散点图如图5所示.图 5 所有 S 盒的非线性度散点图Figure 5 Scatterplot of non-linearity for all S-boxes信噪比是用于衡量 S 盒抵抗侧信道中差分功耗攻击的指标,是信号和噪声的比值,信噪比越小则抵御差分功耗攻击的能力越强.采用本文方法构造的 S 盒的信噪比值主要分布在 147.5 上下,所有 S 盒的信噪比值散点图如图6所示.进一步对上述 256 个 S 盒进行测试,所有 S 盒的代数次数都能够达到最优 n 1,即 15,可以有效地抵御代数攻击、插值攻击以及立方攻击等.双射性能够保证 S 盒具有可逆性,确保不同的输入能够对应不同的输出,使用本方法所构造的 S 盒也均满足双射性.从上述对 S 盒指标测试结果看,采用本文方法构造152Journal of Cryptologic Research 密码学报 Vol.10,No.1,Feb.2022图 6 所有 S 盒的信噪比散点图Figure 6 Scatterplot of SNR for all S-boxes的 16 比特 S 盒,大部分都具有良好的密码学性质.3.316 比特 S 盒性质评估及结果分析NBC 算法22入选全国密码算法设计竞赛分组算法第二轮,该算法在抵抗线性、差分、积分分析等方面具有较高的安全性,该算法的 S 盒使用 16 级 NFSR 构造,其在测试中也给出了 S 盒的线性度、差分均匀度以及代数次数等指标.基于上述同样的实验环境,测试了 NBC 算法所用 S 盒的其他指标,包括非线性度、信噪比、双射性等,其结果与本文构造的三个 S 盒 SBox1、SBox2 和 SBox3 的结果对比如表2所示.表 2 不同方法构造的 S 盒的指标测试结果Table 2Results of property tests for S-boxes constructed by different methods方法差分均匀度非线性度信噪比代数次数双射性NBC222231982147.60615是SBox12031984147.14915是SBox21831986147.81015是SBox32031984147.69215是由表2可看出,两种方法构造的 S 盒的代数次数能够达到最优,也均满足双射性.本文方法构造的 S盒的差分均匀度和非线性度稍优于 NBC 算法 S 盒.NBC 算法 S 盒采用 NFSR 构造,其实现简单,共20.75 个标准门路,本方法实现需 26 个标准门路.但本文方法的结构可变性强,通过更换 8 比特 S 盒可以快速构造出许多新的性质较优的 16 比特 S 盒.4结束语为设计具有优良密码学性质的 16 比特密码 S 盒,本文将 Feistel 结构和 NFSR 相结合构造一种 4 轮的平衡二分支 Feistel-NFSR 结构,以 4 个 AES 算法 S 盒仿射等价获得的 8 比特 S 盒作为新结构中的轮函数,以 NFSR 提高总体结构的扩散效果,并通过遍历搜索 16 比特 S 盒.为提高对 16 比特 S 盒性质的评估效率,基于 GPU 实现对密码学指标的并行计算,测试 S 盒的差分均匀度、非线性度、信噪比等.测试结果表明,本文方法构造的 16 比特 S 盒具有一定的抵御数学攻击和差分功耗攻击的安全性.今后的工作中,也将考虑如何用该方法构造具有较优性质的 8 比特 S 盒.参考文献1 SHANNON C E.Communication theory of secrecy systemsJ.The Bell System Technical Journal,1949,28(4):656715.DOI:10.1002/j.1538-7305.1949.tb00928.x2 MASSEY J L.SAFER K-64:One year laterC.In:Fast Software EncryptionFSE 94.Springer Berlin Heidel-berg,1995:212241.DOI:10.1007/3-540-60590-8_173 CHANG X G,DAI Z D,GONG G.Some cryptographic properties of exponential functionsC.In:Advances inCryptologyASIACRYPT 94.Springer Berlin Heidelberg,1995:413418.DOI:10.1007/BFb0000452武小年 等:基于 Feistel-NFSR 结构的 16 比特 S 盒设计方法1534 RIJMEN V,DAEMEN J,PRENEEL B,et al.The cipher SHARKC.In:Fast Software EncryptionFSE 96.Springer Berlin Heidelberg,1996:99111.DOI:10.1007/3-540-60865-6_475 QURESHI A,SHAH T.S-box on subgroup of Galois field based on linear fractional transformationJ.ElectronicsLetters,2017,53(9):604606.DOI:10.1049/el.2017.01946 DEY S,CHAKRABARTI A,GHOSH R.4-bit Boolean functions in generation and cryptanalysis of secure 4-bitcrypto S-boxesJ.Security and Privacy,2020,3(1):122.DOI:10.1002/spy2.907 KIM S,HONG D,SUNG J,et al.Classification of 4-bit S-boxes for BOGI permutationJ.IEEE Access,2020,8:210935210949.DOI:10.1109/ACCESS.2020.30392738 ZAHID A H,ARSHAD M J.An innovative design of substitution-boxes using cubic polynomial mappingJ.Symmetry,2019,11(3):437.DOI:10.3390/sym110304379 CHEW L,ISMAIL E S.S-box construction based on linear fractional transformation and permutation functionJ.Symmetry,2020,12(5):826.DOI:10.3390/sym1205082610 LI Y Q,WANG M S.Constructing S-boxes for lightweight cryptography with Feistel structureC.In:Cryp-tographic Hardware and Embedded SystemsCHES 2014.Springer Berlin Heidelberg,2014:127146.DOI:10.1007/978-3-662-44709-3_811 LI A,GUAN J.Construction methods for a class of lightweight optimal S-boxesJ.Journal of Shandong Univer-sity(Natural Science),2018,53(7):8594.DOI:10.6040/j.issn.1671-9352.0.2017.566李昂,关杰.一类轻量级最优 S 盒的构造方法 J.山东大学学报(理学版),2018,53(7):8594.DOI:10.6040/j.issn.1671-9352.0.2017.56612 GONG T,CHEN S Z.Analysis of S-boxes with expanded Feistel structureJ.Journal of Information EngineeringUniversity,2017,18(3):328332.DOI:10.3969/j.issn.1671-0673.2017.03.014龚涛,陈少真.基于扩展 Feistel 结构 S 盒的构造分析 J.信息工程大学学报,2017,18(3):328332.DOI:10.3969/j.issn.1671-0673.2017.03.01413 KIM H,JEON Y J,KIM G Y,et al.A new method for designing lightweight S-boxes with high differentialand linear branch numbers,and its applicationJ.IEEE ACCESS,2021,9:150592150607.DOI:10.1109/AC-CESS.2021.312600814 DONG X F,ZHANG W Z,XU C X.8 bits lightweight S-box with the Feistel structureJ.Journal of XidianUniversity,2021,48(1):6975.DOI:10.19665/j.issn1001-2400.2021.01.008董新锋,张文政,许春香.Feistel 结构的 8 比特轻量化 S 盒 J.西安电子科技大学学报,2021,48(1):6975.DOI:10.19665/j.issn1001-2400.2021.01.00815 GHOSHAL A,SADHUKHAN R,PATRANABIS S,et al.Lightweight and side-channel secure 4*4 S-boxesfrom cellular automata rulesJ.IACR Transactions on Symmetric Cryptology,2018,2018(3):311334.DOI:10.13154/tosc.v2018.i3.311-33416 MARIOT L,PICEK S,LEPORATI A,et al.Cellular automata based S-boxesJ.Cryptography and Communi-cations,2019,11(1):4162.DOI:10.1007/s12095-018-0311-817 SADHUKHAN R,DATTA N,MUKHOPADHYAY D.Power efficiency of S-boxes:From a machine-learning-basedtool to a deterministic modelJ.IEEE Transactions on Very Large Scale Integration(VLSI)Systems,2019,27(12):28292841.DOI:10.1109/TVLSI.2019.292542118 ZHANG R L,SUN Y P,WEI Y Z,et al.A new automatic search method for cryptographic S-boxJ.Journal ofComputer Research and Development,2020,57(7):14151423.DOI:10.7544/issn1000-1239.2020.20190537张润莲,孙亚平,韦永壮,等.密码 S 盒的一种新自动搜索方法 J.计算机研究与发展,2020,57(7):14151423.DOI:10.7544/issn1000-1239.2020.2019053719 PICEK S,EGE B,BATINA L,et al.On using genetic algorithms for intrinsic side-channel resistance:The caseof AES