有限域（F82）8上基于循环异或移位结构的次优扩散层研究.pdf

基于循环移位异或运算的MD S线性变换以其具有良好的扩散雪崩性能被广泛应用于分组密码扩散层的设计中在现有研究中,小有限域(Fn)上最优线性变换寻找工作已接近完备,而大有限域(Fn)上异或项数为和 时,却不存在最优线性变换探寻大有限域(F)上次优线性变换对 位环境的实际应用需求而言具有重要意义本文基于现有的研究成果,以大有限域(Fn)为研究对象,通过分析循环异或扩散层的结构特点,将分支数的测试问题转换为布尔可满足性问题,借助可满足性模理论求解器B o o l e c t o r求解的过程,完成对大有限域(Fn)上次优线性变换组进行探寻研究实验结果显示,大有限域(F)上存在分支数可以达到的次优线性变换,结合测试并给出一种具体循环异或形式,为最优扩散层的实际需求提出一种候补方法未来将进一步研究大有限域(Fn)上次优线性变换的理论特征和推广应用关键词:分组密码;有限域;扩散层;循环异或;次优线性变换;可满足性中图分类号:T P 文献标志码:AS t u d yo ns u b o p t i m a l d i f f u s i o n l a y e rb a s e do nr o t a t i o n a l X O Rs h i f t e ds t r u c t u r eo v e r f i n i t ed o m a i n(F)WANGX i n,GUOY a t i n g,YANGB o(S c h o o l o fE l e c t r o n i c I n f o r m a t i o na n dA r t i f i c i a l I n t e l l i g e n c e,S h a a n x iU n i v e r s i t yo fS c i e n c e&T e c h n o l o g y,X i a n ,C h i n a;S c h o o l o fC o m p u t e rS c i e n c e,S h a a n x iN o r m a lU n i v e r s i t y,X i a n ,C h i n a)A b s t r a c t:D u et oi t se x c e l l e n td i f f u s i o na v a l a n c h ep e r f o r m a n c e,MD Sl i n e a rt r a n s f o r m a t i o nb a s e do nr o t a t i o n a l X O Rs h i f to p e r a t i o ni sf r e q u e n t l ye m p l o y e di nt h ec o n s t r u c t i o no fb l o c kc i p h e rd i f f u s i o n l a y e r I ne x i s t i n gs t u d i e s,t h es e a r c hf o r t h eb e s t l i n e a r t r a n s f o r m a t i o no nt h es m a l l f i n i t e f i e l d(Fn)i sa l m o s tc o m p l e t e,h o w e v e rw h e nt h en u m b e ro fX O Rt e r m s i sb e t w e e na n d,t h e r e i sn ob e s t l i n e a r t r a n s f o r m a t i o no nt h eh u g e f i n i t e f i e l d(Fn)F o r t h ea c t u a lu s eo f t h e b i t e n v i r o n m e n t,i t i s c r u c i a l t o i n v e s t i g a t e t h em o s t r e c e n t o p t i m u ml i n e a r t r a n s f o r m a t i o no f t h eh u g e f i n i t e f i e l d(F)T h i sw o r kc h o o s e s ah u g e f i n i t e f i e l d(Fn)a si t s r e s e a r c ho b j e c t b a s e do n t h e f i n d i n g s o f e a r l i e r s t u d i e s T h eb r a n c hn u m b e r t e s t p r o b l e mi sc o n v e r t e di n t oaB o o l e a nS a t i s f i a b i l i t yp r o b l e m(S AT)b ye x a m i n i n g t h e s t r u c t u r a l p r o p e r t i e so f t h er o t a t i o n a l X O Rd i f f u s i o nl a y e r T h ei s s u ei ss o l v e du s i n gt h eS a t i s f i a b i l i t y M o d u l oT h e o r i e s(S MT)s o l v e rB o o l e c t o r,a n d t h e f i n a l l i n e a r t r a n s f o r m a t i o ng r o u po f t h eh u g e f i n i t e收稿日期:基金项目:国家自然科学基金项目();陕西省科技厅重点研发计划项目(G Y );陕西省社会发展科技攻关计划项目(S F );陕西省科技厅自然科学基础研究计划项目(J M );陕西科技大学博士科研启动基金项目(B J )作者简介:王鑫(),女,河南新乡人,副教授,博士,研究方向:通信与信息系统中的信息安全第期王鑫等:有限域(F)上基于循环异或移位结构的次优扩散层研究f i e l d(Fn)i s i n v e s t i g a t e d T h ee x p e r i m e n t a l f i n d i n g sd e m o n s t r a t e t h ee x i s t e n c eo f as u b o p t i m a l l i n e a r t r a n s f o r m a t i o n i n t h eh u g e f i n i t e f i e l d(F)w i t hu p t ob r a n c h e s A l o n gw i t ht h et e s t,ap a r t i c u l a rr o t a t i o n a l X O Rf o r mi sp r o v i d e d,a n dad i f f e r e n ta p p r o a c hi ss u g g e s t e df o rd e t e r m i n i n gt h e t r u er e q u i r e m e n t f o rt h e i d e a ld i f f u s i o nl a y e r F u t u r er e s e a r c hw i l l f o c u so nt h e t h e o r e t i c a l p r o p e r t i e sa n db r o a d e n e da p p l i c a t i o n so f t h es u b o p t i m a l l i n e a r t r a n s f o r m a t i o no f t h eh u g e f i n i t e f i e l d(Fn)K e yw o r d s:b l o c kc i p h e r;f i n i t ef i e l d;d i f f u s i o nl a y e r;r o t a t i o n a l X O R;s u b o p t i m a ll i n e a rt r a n s f o r m a t i o n;s a t i s f i a b i l i t y引言扩散作为密码系统的基本原则之一,由S h a n n o n提出并被广泛用于密码算法的设计差分攻击与线性分析攻击作为广为人知的种分组密码分析方法,分别在 年和 年被提出由于差分分支数与线性分支数更大的扩散层在密码算法中具有更高的安全性,又因为最大距离可分(M a x i m u mD i s t a n c eS e p a r a b l e,MD S)线性变换其差分分支数与线性分支数能够达到最大,所以其在用于密码算法时能够更好地抵抗差分攻击与线性分析因此,将MD S线性变换用于分组密码的扩散层是当前分组密码设计的一种常用方法基于循环移位和异或运算(R o t a t i o n a l X O R)的MD S线性变换具有运算速度快、结构简单且计算消耗低等轻量化特点,同时还能够增强密码算法抵抗密码分析的能力在扩散层中,分支数达到最大的扩散层被称为最优扩散层,也被称为MD S扩散层,该扩散层所对应的矩阵被称为MD S矩阵,多种对称密码算法均采用此类矩阵,包括A E S算法、S M 算法、T w o f i s h等 年,PJD a v i s提 出 可 以 通 过 循 环 结 构 构 建 轻 量 级 的MD S矩阵 年,王金波通过研究使用循环移位线性变换构造最佳置换得到了这类最优线性变换成立的必要条件、具体构造以及相关性质 年,S a j a d i e hM等 定义了递归扩散层的概念,同时还确定了构建此类完美扩散层的方法同年,曹云飞等 提出了一类适用于硬件实现的G F()上的基于移位和比特异或MD S线性变换构造算法 年,S a j a d i e hM等 提出一种由几轮类似F e i s t e l结构构成的有效的新型扩散层,该扩散层可用于提高当前一些分组密码和散列函数的安全性 年,L i u等 通过广义循环矩阵在这类低阶矩阵中求解得到最轻量级的MD S矩阵和对合MD S矩阵该循环矩阵既保持了其本身的特点,同时具有其它循环矩阵不具备的特点,例如对合MD S矩阵的存在性同年,李鹏飞等 针 对MD S矩阵的设计策略做出综述,阐述了构造MD S矩阵的关键问题,并从原理与实现机制等方面对当前典型和常见MD S矩阵的构造方法进行了分析与讨论 年,G u o等 在没有任何辅助搜索的前提下首次构建了只包含循环移位和异或操作的G F(n)MD S扩散层 年,L i等 直接使用范德蒙矩阵和柯西矩阵构造MD S矩阵和对合矩阵,对于之前在有限域上获得的结果,学者们给出了更加深入的理解和更简单的证明结果 年,董新锋等 提出一类具有时延低、运算快、计算资源消耗小等特性的基于循环移位和异或运算的轻量化MD S线性变换的最简形式和构造方法,同时还给出了该类MD S线性变换的计数结果和构造实例 年,Y a n g等 给出判断对合MD S性质的充要条件,并提出了一种有效的寻找轻量级对合MD S矩阵的搜索方法 年,苏俊等 提出通过(Fn)上轻量级扩散层的循环移位和异或运算的线性变换的输入输出的关系反证分支数大小,适用于扩散层中的任意线性变换 年,张晶等 通过分析首行矩阵的性质证明:分组规模为、分块规模为时,异或项数取最小值或 时均不存在MD S线性变换 年,S h a m s a b a d等 经过理论验证,提出一种面向软件、可在软件应用中随机化且不需要额外成本的动态MD S矩阵 年,S h a m s a b a d等 针对B e i e r l eC等 的研究采用了相反的方法,对于任意n提出了可证明的o n e X O Rnn的二进制矩阵,使得A,AI和AI是可逆的 年,R i s h a k a n i等 从数学的角度,研究了循环二元矩阵,并在此基础上,给出分支数的可证明下界和定点数最小的有效矩阵目前,构造MD S矩阵主要有两种方法:直接构造法和迭代结构构造法()直接构造法:可通过线性码或选取具有特殊结构形式的矩阵等进行设计但遗憾的是,基于陕西科技大学学报第 卷这种思想设计的MD S矩阵硬件实现效率较低,并不适用于资源受限的环境;()迭代结构构造法:可通过线性反馈移位寄存器(L i n e a rF e e d b a c kS h i f tR e g i s t e r,L F S R)实现该方法虽然可以节省内存空间,但需要大量时钟周期,不适用于低时延环境;基于循环移位和异或运算的MD S线性变换由于其同时具备直接构造法和迭代结构构造法两者的优势,还能够增强密码算法抵抗时间、能量等密码攻击分析的能力,因此被作为轻量级非递归扩散层设计的首选构造形式本文选用循环异或形式的MD S变换作为研究对象首先在预备知识部分简单介绍了小有限域(Fn)上最优及次优线性变换与大有限域(Fn)上最优线性变换所涉及到的推论、引理及研究进展等内容;其次基于现有研究,分析总结最优线性变换的理论知识,随后结合大有限域(F)上基于循环移位和异或运算的次优线性变换的特征,将分支数的测试问题转换为布尔可满足性(S a t i s f i a b i l i t y,S AT)问 题,借 助 可 满 足 性 模 理 论(S a t i s f i a b i l i t yM o d u l oT h e o r i e s,S MT)求解器B o o l e c t o r求解其中转换为S AT问题的约束条件来源于分支数的定义即:通过使用S AT求解器对预筛选结果进行及时验证并判定出大有限域域上次优线性变换的结构形式;最后,通过对分组密码扩散层上的线性变换作以总结,指出目前研究中遗留的问题以及未来的研究内容预备知识 参数符号本文所涉及的基本符号见表所示表基本符号符号说明两数逐比特做异或运算(Fn)m阶为n m的有限域X输入向量,X(x,x,xm)(Fn)m,xiFn,其中im循环左移运算线性变换中的异或项数W(X)扩散 层 中 输 入 数 据X的 汉 明 重 量,W(X)xi,xi,imxi混淆层中第i个S盒的输出数据di自由项,din(im),m,n分别表示S盒的个数和长度 扩散层、汉明重量与分支数在迭代型结构中,若混淆层由m个n比特长度的S盒并列组成,则扩散层P一般设计为(Fn)m(Fn)m的一个置换,其中(Fn)mFnFn对于扩 散 层,其 输 入 为X(x,x,xm)(Fn)m,输出为L(X)MX其中M是一个m nm n的矩阵在扩散层中,汉明重量定义 如下:定义扩散层输入X(x,x,xm)(Fn)m的汉明重量由所有x,x,xm中不为零元素的数量所决定,如下:W(X)xi,xi,im()式()中:xi表示混淆层中第i个S盒的输出数据;W(X)表示扩散层中输入数据X的汉 明重量汉明重量用于计算分支数大小,而线性变换的分支数大小决定消除统计特性的程度扩散层中的分支数分为差分分支数和线性分支数两种,具体定义如下所示:定义M的 差 分 分 支 数 定 义:Bd(M)m i nX(Fm)n,XW(X)W(MX);定义M的 线 性 分 支 数 定 义:Bl(M)m i nX(Fm)n,XW(X)W(MTX),其中MT是M的转置;定义扩散层P的分支数定义:B(P)m i nXW(X)W(P(X),其中W(P(X)表示扩散层中输出数据的汉明重量当B(P)m 时,分支数达到最大,P(X)被称为最优线性变换,扩散层的扩散效果最好;当B(P)m时,P(X)称为次优线性变换,具有轻量化且扩散效果较优等优点 基于循环异或移位的线性变换有限域(Fn)m上基于循环移位和异或运算的线性变换一般形式如下所示:L(X)iS(Xli)()式()中:lim n,li是循环左移位数,S是包含I个元素的整数集合(I为异或项数)小有限域(Fn)上的最优及次优线性变换循环移位与异或运算构造的扩散层在筛选过程中存在大量非最优线性变换的干扰,为了有效的减少算法耗时同时提高筛选的概率,需要提前对所要搜索的线性组合空间进行处理在文献 中,作者给出扩散层中线性变换的一种筛选算法,并通过该算法筛选得到(Fn)上 组最优与 组次优线性变换的线性组合最后,经过研究分析得到第期王鑫等:有限域(F)上基于循环异或移位结构的次优扩散层研究了推论和推论推论 当X(Fn)m,X(Fi n)m,线性变换组合L(X,m,n)(Xl)(Xlr)与线性变换组合L(X,m,i n)(Xi l)(Xi lr)的分支数相同,其中llrm n,iN推论如果L(X,m,n)是分支数为B的非最优线性变换,那么L满足下列两个条件:()移位项数r为奇数且rB()移位数l至少从B个不同区间n i,n(i)内取值i,m该推论的验证方法为:b i t的个S盒输出,相对于b i t的个S盒,区别在于单个S盒输出位数整体扩大了两倍:在b i t的个S盒输出循环移动b i t位,等价于在b i t的个S盒上循环移动 个b i t位,换句话说在b i t的个S盒上循环移动个b i t位,等价于在b i t的个S盒输出循环移动b i t位 大有限域(Fn)上的最优线性变换引理L(X)为MD S线性变换的必要条件是:()异或项数I为奇数,且In;()存在n项li,满足m ilim(i)引理 一个mm的矩阵Ad i a g()d i a g(),是非奇异的当且仅当()|m推论有限域(Fn)m上基于循环移位和异或运算的MD S线性变换在Im时应满足的形式如下:L(X)(Xd)(Xd)(X(nd)(X(m)ndn)()式()中:din(im),di为自由项引理若L(X)是大有限域(F)上的MD S线性变换,则d引理当d且I时,大有限域(F)上不存在MD S线性变换引理当d且I时,大有限域(F)上不存在MD S线性变换在文献 中,作者通过研究大有限域(F)上的线性变换,从理论角度证明异或项数为项时,不存在MD S线性变换随后,通过等价意义下的穷搜得出结论:异或项数为 项时,仍不存在MD S线性变换因此,大有限域(F)上的MD S线性变换至少需要 项大有限域(F)上基于循环移位和异或运算的最优线性变换 年,文献 通过循环移位线性变换给出了构造MD S线性变换的必要条件,并给出了小有限域(Fn)上MD S线性变 换的结构通 式 年,在文献 中,学者们在没有任何辅助搜索的前提下构造出了小有限域(Fn)上的轻量级MD S线性变换,并给出了该规模下的MD S线性变换的可能形式 年,在文献 中,学者们以文献 为基础,提出了通过线性变换的输入输出的关系反证分支数大小同时给出了小有限域(Fn)上循环移位与异或运算扩散层的筛选算法同年,经过证明:大有限域(F)上基于循环异或形式的最优线性变换的存在性问题,即针对异或项数为项的最优线性变换,结果如结论所示,具体参见文献 和 结论,在I时,大有限域(F)上基于R o t a t i o n a l X O R不存在MD S线性变换结合上述结论可知,大有限域(F)上基于循环异或结构、性能优良的线性变换的研究需要进行转化,即需要推广异或项数至 项,甚至更高那么,大有限域(F)上线性变换的研究方向将分为以下两种:()继续推广异或项数,但相应的计算消耗至少以()的代价增加;()降低分支数,即在最简形式项的基础上,考虑将其降为分支数为的线性变换根据推论,采用类似的矩阵分析法证明,项的最优线性变换依旧不存在综上所述,考虑到线性变换实现所需性能,本文选择后一种方法继续研究,即探寻大有限域(F)上基于循环异或结构的次优线性变换大有限域(F)上基于循环移位和异或运算的次优线性变换因为项数较少的次优线性变换更具轻量化的特性,所以本文基于已有的研究内容,以随机筛选的方式对大有限域(F)上的次优线性变换进行寻找随后,将分支数的测试问题转换为布尔可满足性(S a t i s f i a b i l i t y,S AT)问题,借助可满足性模理论(S a t i s f i a b i l i t y M o d u l oT h e o r i e s,S MT)求解器B o o l e c t o r求解其中转换为S AT问题的约束条件按照分支数的定义约束具体内容如下所示 大有限域(F)上分支数为、异或项数为的次优线性变换由文献 可知,在大有限域(F)上不存在陕西科技大学学报第 卷异或项数为和异或项数为 的最优线性变换文献 指出,通过限制循环左移位数的区间和异或项数I的大小,能够筛选出可能的MD S线性变换,最终得到依据li和I判断MD S线性变换的必要条件(引理)在大有限域(F)中,算法的设计依据有限域(Fn)m上次优线性变换需要满足的两个必要条件,详见推论根据推论所给出次优线性变换的筛选算法可知,输入是循环移位项数和指定分支数,输出为线性变换组合算法对移位项数为r的线性变换组合进行筛选,遍历该移位项数下的所有线性变换组合其中,在每种线性组合中遍历混淆层的输出数据,随后计算输入与输出的汉明重量若汉明重量小于分支数B r a n c h,则中断X遍历,开始进行下一种线性组合筛选;若X全部遍历,则输出该线性变换为了对大有限域(F)上异或项数为的次优线性变换进行测试,本文随机构造了一批线性扩散层,表示如下:(x)(xa)(xb)(xc)(xd)(xe)(xf)(xg)(xh)(xi)其中x为 比特,a,b,c,d,e,f,g,h,i为x左循环移位的位数为确保循环移位数彼此不相等,随机产生一批线性扩散层,满足以下性质常数:ab c d e f g h i,i(a,b,g)使用基于S AT的线性扩散层分支数的测评方法测试其分支数,由于置换的矩阵是对称的,所以差分分支数和线性分支数的大小相等,统一用分支数表示基于C e n t O S、I n t e l(R)X e o n(R)G o l d 、G、T G的测试环境,通过该算法对大有限域(F)上异或项数为的线性变换进行随机筛选,得到不同分支数下线性变换的所需耗时,结果如表所示实验共测试异或项数为的 组数据,表只列出了部分测试数据,其中仅最后组数据的分支数达到表异或项数为时不同分支数下测试耗时表循环左移位数分支数耗时/秒,在表中,循环左移位数列分别为a,b,c,d,e,f,g,h,i的取值,分支数列为对应移位数的分支数大小,时间为测试耗时 验证 S AT求解器S AT问题即给定一个布尔表达式,在任意数量的变量中,是否有一个变量的赋值,使表达式的计算结果为t r u e 通常该表达式指定为交换范式/子句范式(C o mm u t a t i v eN o r m a lF o r m,C N F),例如:(abc)(an o t(e)(en o t(c)S AT问题可以求解任何命题逻辑公式其基本求解方式包括:穷举法、D P L L(基于赋值推导和冲突检测的S AT求解)和C D C L(冲突导向的子句学习)量化布尔公式(Q u a n t i f i e dB o o l e a nF o r m u l a,Q B F)问题是S AT问题的延伸,S AT只检查是否存在一组满足公式的赋值,而Q B F则可以检查存在量词(存在)和普遍量词(针对所有量词)的任何交替模式S AT求解器能够解决S AT问题,被定义为解决决策问题,但提供了允许检查模型的接口,即当发现约束时可满足的时候,找到满足给定约束集的赋值S AT求解器的大致思路为:假设将n个元素分为n组,每组个元素接着给定m组矛盾关系(a,b),即a与b不可被同时选中,那么,若x所在集合的另一个元素为x,(a,b)为矛盾关系,所以在选择了a时只能选择b()逆命题:若选择了b,就必须选择a()逆否命题:若不选择b,则不能选择a因为每个集合必须选择一个,不选择b 就需要选择b,不选a就必须选a,选择b就必须选择a,所以逆否命题恒成立,即不选择b 就不可以选择a一定是正确的由于这个必须的关系是可以传递的,就可以以一个强对称性的有向图中的强连通图的形式描述,每一个“必须”就是一条边若所有的a与a 都在同一个强连通分量中,问题一定有解,否则必定无解(强连通分量之内必须是互相选择第期王鑫等:有限域(F)上基于循环异或移位结构的次优扩散层研究的,所以会产生矛盾)因为对称性,Si的后代节点与S i的前代节点一一对应,所以如果选择了那就必须选择它的所有后代节点,并删除S i以及它的前代节点每次选择一个没有后代节点的强连通分量做上面的操作,显然不会出现矛盾不断重复,一定可以得到一组可行解 验证原理本文通过使用S AT求解器,输入zx,x,输出yy,yMZ,限制(x,x,y,y)的重量小于,随后在所有(x,x,y,y)集合中进行比对根据上述原理,若有解,表示(x,x,y,y)的重量都小于,证明找到了线性变换,若无解,则表示(x,x,y,y)的重量大于等于,证明(x,y)对应的L(X)分支数为,即完成了对大有限域(F)上(分支数为)异或项数为的次优线性变换结果的验证验证原理如图所示图大有限域(F)上(分支数为)异或项数为的次优线性变换的验证流程图经过图所示验证算法对表中最后一组结果进行 验证,最终确 认该组数据 确为大有 限域(F)上分支数为、异或项数为的次优线性变换,具体形式如下所示:L(X)X(X)(X)(X)(X)(X)(X)(X)(X)基于循环移位和异或运算线性变换的分析基于循环移位和异或运算的MD S线性变换由于其运算速度快、结构简单等特点,同时结合MD S线性变换自身能够更好的抵抗差分攻击和线性分析的特点,是一个很好的研究方向对于小有限域(Fn)上的最优及次优线性变换,由于其搜索域较小,约束条件的存在对于最终搜索效率影响甚微而对于大有限域(Fn)上的线性变换,特别当n时,以现有计算能力实现对其所有满足条件的如最优或者次优的线性变换进行直接探寻显然有些困难此外,现有研究已经指出,在循环异或项数为最小的和 时,最优线性变换并不存在,对于 及以上项数,考虑到运算消耗、实现性能等原因,本文并未深入研究,而是选择可替代的“大有限域(Fn)上次优线性变换”的存在性问题作为新的研究目标由于小有限域(Fn)上的分块规模较小,所以其上研究结果已趋近完备而在大有限域(Fn)上,因基域较大,其上计算代价规模较大,故而可采取次优线性变换与最优线性变换对比并行研究的思路,在实际应用中则需要综合考量实现性能和安全需求再加以选择结论由于目前没有次优线性变换的相关理论研究成果,所以,本文在最优线性变换的现有成果以及文献,的实验基础上,给出一种结合随机筛选和S A T求解验证,判定大有限域下次优线性变换形式的方法结果显示,本文所给方法切实有效,并且,当应用于V P N网络时,伴随其硬件性能的进一步提升,将可以达到更高的执行效率此外,基于已有成果,在未来研究中,本课题组一方面拟将尝试从循环矩阵的角度进一步建立项数之间的新的约束条件,深入研究其新的理论基础;另一方面,不断结合新的现代化计算软件,对判定过程进行进一步的优化,以适应实际应用中的安全和高效性能需求参考文献S h a n n o nCE C o mm u n i c a t i o nt h e o r yo fs e c r e c ys y s t e m sJ B e l lS y s t e mT e c h n i c a l J o u r n a l,():B i h a mE,S h a m i rA D i f f e r e n t i a l c r y p t a n a l y s i so fD E S l i k ec r y p t o s y s t e m sJ J o u r n a lo fC r y p t o l o g y,():陕西科技大学学报第 卷M a t s u iM L i n e a r c r y p t a n a l y s i sm e t h o df o rD E Sc i p h e rC/W o r k s h o po nt h eT h e o r ya n d A p p l i c a t i o no fC r y p t o g r a p h i cT e c h n i q u e s B e r l i n,H e i d e l b e r g:S p r i n g e r,:L i uGQ,J i nCH D i f f e r e n t i a l c r y p t a n a l y s i so f p r e s e n t l i k ec i p h e rJ D e s i g n sC o d e s&C r y p t o g r a p h y,():D a e m e nJ,R i j m e nV T h e d e s i g no f r i j n d a e lM S p r i n g e r,B e r l i n:H e i d e l b e r g,Z h a n gJ,W u W L,Z h e n gY F S e c u r i t yo fS M a g a i n s t(R e l a t e d K e y)d i f f e r e n t i a l c r y p t a n a l y s i sC/I n f o r m a t i o nS e c u r i t yP r a c t i c ea n dE x p e r i e n c e Z h a n g j i a j i e,C h i n a:I S P E C,:S c h n e i e rB,K e l s e y J,Wh i t i n gD,e t a l T h e t w o f i s he n c r y p t i o na l g o r i t h m:A b i tb l o c kc i p h e rM N e w Y o r k:J o h nW i l e y&S o n s,D a v i sPJ C i r c u l a n tm a t r i c e sM N e w Y o r k:C h e l s e aP u b l i s h i n g,:王金波基于循环移位构造最优线性变换C/中国密码学会年会成都:中国密码学会,:S a j a d i e hM,D a k h i l a l i a nM,M a l aH,e ta l R e c u r s i v ed i f f u s i o n l a y e r s f o rb l o c kc i p h e r sa n dh a s hf u n c t i o n sC/I n t e r n a t i o n a lC o n f e r e n c eo nF a s tS o f t w a r eE n c r y p t i o n B e r l i n,H e i d e l b e r g:S p r i n g e r,:曹云飞,刘瑶基于移位和异或的最佳扩散变换的构造J四川大学学报(自然科学版),():S a j a d i e hM,D a k h i l a l i a nM,M a l aH,e t a l E f f i c i e n t r e c u r s i v ed i f f u s i o nl a y e r s f o rb l o c kc i p h e r sa n dh a s hf u n c t i o n sJ J o u r n a l o fC r y p t o l o g y,():L i uM,S i mSM L i g h t w e i g h tMD Sg e n e r a l i z e dc i r c u l a n tm a t r i c e sC/I n t e r n a t i o n a lC o n f e r e n c eo nF a s tS o f t w a r eE n c r y p t i o n B e r l i n,H e i d e l b e r g:S p r i n g e r,:李鹏飞,李永强 MD S矩阵构造方法J网络与信息安全学报,():G u oZY,L i uRZ,G a oS,e t a l D i r e c t c o n s t r u c t i o no f o p t i m a lr o t a t i o n a l X O Rd i f f u s i o np r i m i t i v e sC/F a s tS o f t w a r eE n c r y p t i o n B e r l i n,H e i d e l b e r g:S p r i n g e r,():L iQ,W uB,L i uZ D i r e c tc o n s t r u c t i o n so f(i n v o l u t o r y)MD Sm a t r i c e sf r o mb l o c kv a n d e r m o n d ea n dc a u c h y l i k em a t r i c e sC/I n t e r n a t i o n a lW o r k s h o po nt h eA r i t h m e t i co f F i n i t e F i e l d s B e r l i n,H e i d e l b e r g:S p r i n g e r,:董新锋,董新科,胡建勇一类轻量化线性MD S变换的设计与分析J通信技术,():Y a n gY,Z e n gX,W a n gS C o n s t r u c t i o no f l i g h t w e i g h t i n v o l u t o r yMD Sm a t r i c e sJ D e s i g n s,C o d e sa n dC r y p t o g r a p h y,():苏俊,王鑫,王涛,等循环移位与异或构造扩散层的新证明方法J密码学报,():张晶,王鑫,张丽娜,等基于R o t a t i o n X O R的MD S线性变换的研究J密码学报,():S h a m s a b a dM R M,D e h n a v iS M D y n a m i cMD Sd i f f u s i o n l a y e r sw i t he f f i c i e n t s o f t w a r e i m p l e m e n t a t i o nJ I n t e r n a t i o n a lJ o u r n a lo f A p p l i e d C r y p t o g r a p h y,():S h a m s b a dM R M,D e