CN105897396B - 针对snow 3g加密算法的密码分析方法 - Google Patents

Abstract

本发明公开了一种针对SNOW 3G加密算法的密码分析方法，利用OBDD攻击的方法，同时结合了猜测决定攻击的算法的思想，对SNOW 3G进行攻击，这样做相较于原有的OBDD算法，大大降低的计算复杂度和所需的数据量，大大增加了实际操纵的可能性。另外，本发明可以进行并行计算，相对于其他算法的串行计算，它在计算效率上更具有优势。

Description

针对SNOW 3G加密算法的密码分析方法

技术领域

本发明涉及信息安全技术领域，具体涉及一种针对SNOW 3G加密算法的密码分析方法。

背景技术

通过分析截获的密文来推断出原来的明文或密钥，这一过程叫做密码分析或密码攻击。基于BDD的密码分析技术(BDD-Based Cryptanalysis)是2002年由Matthias Krause首先提出的，主要用于对基于LFSR密钥流生成器进行安全分析。其主要原理是利用BDD分析优化搜索路径，在图生成的同时排除一些不可能的情况，从而降低攻击所需要的算法复杂度。

在3GPP系统的安全体系中，有两个标准算法：一个是数据保密算法UEA2，一个是数据完整性算法UIA2。SNOW 3G就是他们的核心加密算法，它是面向字(32比特)实现的流密码，密钥规模为128比特。SNOW 3G是在SNOW 2.0的基础上发展而来，它能通过输入参数产生出经过处理的字节流，且输出与输入一一对应，保密性算法和完整性算法就是通过这个特性对数据进行加密和获取信息摘要的。它能有效保证网络中传输的用户数据和信令数据在射频接口上不被窃听和修改，满足通信系统的安全需求。

迄今为止，针对SNOW 3G的密码分析方法主要有：

(1)线性区分攻击：利用线性逼近技术构造出一个简单的区分器，其线性逼近的偏差为2^-137 _. ⁰¹，根据区分攻击理论，可以利用此偏差进行有效的区分攻击。然而，在实际应用中一次加密的数据量都十分的有限，线性区分攻击方法中需要大量的数据量，实际可行性较低。

(2)Multiset碰撞攻击：针对初始化轮数为13的简化版SNOW 3G构造一个Multiset区分器，对SNOW 3G进行攻击。虽然Multiset碰撞攻击方法中采用了简化轮数的SNOW 3G，但完整版的SNOW 3G初始化轮数为33，因此，Multiset碰撞攻击不能对SNOW 3G的安全产生威胁。

发明内容

本发明所要解决的技术问题是提供一种针对SNOW 3G加密算法的密码分析方法，其能够大大降低的计算复杂度和所需的数据量。

为了表述的方便，首先给出一些记号的表示：

模2³²整数加

t 当前时刻

s_t t时刻线性反馈移位寄存器(LFSR)输出的

内部状态

R1，R2，R3 FSM(有限状态机)内部三个32位寄存器

z_t t时刻密钥流

为解决上述问题，本发明是通过以下技术方案实现的：

针对SNOW 3G加密算法的密码分析方法，包括步骤：

步骤A.根据SNOW 3G的线性反馈移位寄存器(Linear Feedback Shift Register)的反馈规则获取第一个OBDDT_m。

步骤B.根据SNOW 3G的有限状态机(Finite State Machine)中状态的变化并且结合猜测决定攻击的思想构造第二个OBDDQ_m。

步骤C.根据对T_m和Q_m进行交集操作，得到最终OBDD P_m，P_m中存在唯一一组路径s₀～s₂₂使得该最终有序二叉决策图P_m的值为1，这条路径s₀～s₂₂的前16个基础链s₀～s₁₅的值即为所求初始密钥。

所述步骤A，包括步骤：

步骤A1.根据线性反馈移位寄存器的反馈规则 选取t，t+2，t+11和t+16时刻线性反馈移位寄存器输出的状态s_t，s_t+2，s_t+11和s_t+16，并且分别用OBDD表示，将这些小的OBDD称为基础链。这些基础链刻画了当前线性反馈移位寄存器输出内部状态的所有可能的取值情况；

步骤A2.将步骤A1得到的基础链组成第一有序二叉决策图T_m，如果线性反馈移位寄存器输出的内部状态s_t+0，s_t+2，s_t+11，s_t+16满足线性反馈移位寄存器的反馈规则，则在第一有序二叉决策图T_m中，该组值的路径指向1终节点；否则，则在第一有序二叉决策图T_m中，该组值的路径指向0终节点；

步骤A3.查看整个第一有序二叉决策图T_m是否有冗余节点，如果存在冗余节点，则将冗余节点删除即将第一有序二叉决策图T_m化简后输出；否则，则将第一有序二叉决策图T_m直接输出。

所述步骤B，包括步骤：

步骤B1.预设t，t+1，…，t+6时刻密码发生器输出的密钥流z_t，z_t+1，…，z_t+6和线性反馈移位寄存器输出的状态s_t，s_t+1，…，s_t+6；并预设t，t+1，…，t+10时刻有限状态机中寄存器R1的内部状态R1_t，R1_t+1，…，R1_t+10；

步骤B2.通过转化规则：R2_t+1＝S₁(R1_t)，我们可以从寄存器R1的内部状态R1_t得到t+1时刻的寄存器R2的内部状态R2_t+1。

步骤B3.通过转化规则：R3_t+1＝S₂(R2_t)，我们可以从寄存器R2的内部状态R2_t得到t+1时刻的寄存器R3的内部状态R3_t+1。

步骤B4.由转化规则：可知，根据当前t时刻寄存器R2和R3的内部状态R2_t和R3_t与t+1时刻R1的内部状态R1_t+1，可以求得t+5时刻线性反馈移位寄存器的输出的内部状态s_t+5。

步骤B5.由输出规则：可知，根据当前t时刻的z_t，R1_t，R2_t，s_t可以得到t+15时刻的线性反馈位移寄存器输出内部状态s_t+15。

步骤B6.通过迭代B2-B6，求得线性反馈移位寄存器各个时刻的输出状态s_t，并将其组成第二有序二叉决策图Q_m。

所述步骤C，包括步骤：

步骤C1.获取步骤A得到的OBDDT_m和步骤B得到的Q_m。

步骤C2.对OBDD T_m和OBDD Q_m进行交集操作得到OBDD P_m。

步骤C3.P_m中可以得到唯一一组路径s₀～s₂₂使P_m值为1。在这条路径中s₀～s₁₅的取值就是所求初始密钥。

与现有技术相比，本发明具有如下特点：

1.本发明是一种状态恢复攻击，在原有的Krause的BDD攻击的方法上，结合了猜测决定攻击的思想，大大的优化了原有的BDD攻击方法，降低了计算复杂度和所需的数据量。

2.本发明中，用于参与攻击的初始数据量较少，大大增加了实际操纵的可能性。

3.本发明由于可以进行并行计算，大大提升了计算效率，更加有利于实际的操作，相对于其他算法的串行计算，它在计算效率上更具有优势。

附图说明

图1为一种针对SNOW 3G加密算法的密码分析方法的流程图。

图2为SNOW 3G加密算法的原理图。

具体实施方式

为了是本发明的技术方案及优点更加清楚明白，结合附图及实施例，对本发明进行进一步的详细说明。另外，此处所描述的具体实施实例仅仅用以解释本发明，并不用于限定本发明。

一种针对SNOW 3G加密算法的密码分析方法，如图1所示，包括如下三个阶段，具体步骤为：

本发明的实施对象为SNOW 3G加密算法，如图2，它由两个部分组成：一个GF(2²³)上的16级线性反馈移位寄存器LFSR和一个有限状态机FSM。

线性反馈移位寄存器(LFSR)：

包括16个单元s₀s₁…s₁₅，每个单元包含32位数据，总共512位。其中数据的反馈规则为：

它是基于域GF((2²³)上的本原多项式法

f(x)＝∝x¹⁶+x¹⁴+∝^-1x⁵+1

其中∝为x⁴+β²³x³+β²⁴⁵x²+β⁴⁸x+β²³⁹在有限域GF(2⁸)上的一个根。β为x⁸+x⁷+x⁵+x³+1在有限域GF(2)上的一个根。

有限状态机(FSM)：

包括3个32比特的寄存器R1，R2和R3。记FSM的输出为f_t。其中输出规则为：

其中表示模2³²整数加。

R1，R2和R3的刷新变换规则：

R2_t+1＝S₁(R1_t)，R3_t+1＝S₂(R2_t)，

其中S₁、S₂表示32×32的S盒变换。

据此，根据SNOW 3G算法原理，我们可以归纳出3条计算规则：

首先，根据有限状态机与LFSR之间的关系得到表达式：

定义它为输出规则，用FSM表示。

其次，根据SNOW 3G的内部状态的三个32位寄存器R1、R2和R3之间的转化关系得到表达式：

定义为转化规则，用TRANS表示。

然后，根据SNOW 3G两个32*32 S盒S₁和S₂，可以得到表达式：

R2_t+1＝S₁(R1_t)

R3_t+1＝S₂(R2_t)

定义为转化规则，分别用SBOX1和SBOX2表示。

最后，根据LFSR的各状态之间的关系，得到表达式：

定义为反馈规则，用LFSR表示。

另外，本发明需要已知密钥发生器输出的前7位初始密钥流为z₀，z_1，z_2，z₃，z₄，z₅，z₆，将它们作为已知的条件。

阶段I：从SNOW 3G的线性反馈移位寄存器的状态变化中获取OBDD T_m。

步骤1，根据线性反馈移位寄存器的反馈规则，选取线性反馈移位寄存器输出的内部状态s_t，s_t+2，s_t+11，s_t+16，并且用基础链表示。

步骤2，将刻画线性反馈移位寄存器输出的内部状态s_t，s_t+2，s_t+11，s_t+16的基础链组成OBDD T_m。s_t，s_t+2，s_t+11，d_t+16每种情况都表示一组确定的路径，用来表示所有的取值情况。

步骤3，如果s_t，s_t+2，s_t+11，s_t+16满足线性反馈移位寄存器的反馈规则：则在OBDD中，该组值的路径指向1终节点，代表所有可能的情况。

步骤4，如果s_t，s_t+2，s_t+11，s_t+16不满足线性反馈移位寄存器的反馈规则：则在OBDD中，该组值的路径指向0终节点，代表所有不可能的情况。

步骤5，查看整个OBDD T_m是否有冗余节点，化简后得到最终的OBDD T_m，至此，阶段I结束。

阶段II：根据SNOW 3G有限状态机的变化获取OBDD Q_m。

步骤6，由于第二个OBDD Q_m是以线性反馈移位寄存器为核心的。用s₀～s₆表示线性反馈移位寄存器的前一部分初始状态s₀～s₆。

步骤7，将步骤6中线性反馈移位寄存中的前一部分初始状态s₀～s₆用基础链表示出来。

步骤8，将当前时刻的基础链的每一种情况都指向下一时刻对应的基础链。这样，当t∈[0，6]我们就得到了一个由LFSR初始状态s₀～s₆构成的初始的OBDD。

步骤9，根据猜测决定攻击的思想，我们猜测FSM中寄存器R1的前11次状态。也就是，假设当前时刻为t∈[0，10]，那么寄存器R1的前11个状态就可表示R1₀～R1₁₀。

步骤10，根据步骤9得到R1的前11次状态，通过转化规则：

R2_t+1＝S₁(R1_t)，得到有限状态机中寄存器R2的状态，，根据本发明的需要，只需求出R2₀～R2₉这10个状态即可。

步骤11，根据步骤10得到R2的R2₀～R2₉这10个状态，通过转化规则R3_t+1＝S₂(R2_t)，得到有限状态机中R3的状态，根据本发明的需要，只要求得R3₁～R3₉这9个状态即可。

步骤12，根据步骤9猜测的R1前11个状态R1₀～R1₁₀，步骤10得到的R2的R2₀～R2₉这10个状态，步骤11得到的R3的R3₁～R3₉，通过转化规则 可以求得s₇～s₁₄的值。

步骤13，将s₇～s₁₄的值用基础链表示。

步骤14，按照步骤8的方法，将基础链表示的s₇～s₁₄并入步骤8中初始OBDD。此时的OBDD表示在t∈[0，14]时刻s_t的所有可能情况。

步骤15，利用已知的密钥流z₀～z₇和前面得到的寄存器R1，R2，R3的内部状态信息，通过输出规则FSM：得到s₁₅～s₂₀的值。

步骤16，按照步骤8的方法，将基础链表示的s₇～s₁₄并入步14中OBDD。此时的OBDD表示在t∈[0，22]时刻s_t的所有可能情况。这就得到了第二个OBDD Q_m。至此，阶段II结束。

阶段Ⅲ：求取OBDD T_m和OBDD Q_m的交集，得到OBDD P_m。

步骤17，获取步骤5得到的OBDD T_m和步骤16得到的Q_m。

步骤18，对OBDD T_m和OBDD Q_m进行交集操作得到OBDD P_m。也就是P_m＝SYNTH(Q_m，T_m)。

步骤19，P_m中可以得到唯一一组路径s₀～s₂₂使P_m值为1。在这条路径s₀～s₂₂中，前16个基础链s₀～s₁₆的值即为所求初始密钥。至此，阶段Ⅲ结束。

本说明书公开了一种基于符号OBDD(Ordered Binary Decision Diagram,有序二叉决策图)针对SNOW 3G算法的密码分析方法。包括：SNOW 3G密钥发生器的结构组成和特点，线性反馈移位寄存器输出线性比特字的处理，有限状态机内部状态的转换，符号OBDD的刻画，OBDD间的操作，猜测决定攻击的引入。本发明利用OBDD攻击的方法，同时结合了猜测决定攻击的算法的思想，对SNOW 3G进行攻击，这样做相较于原有的OBDD算法，大大降低的计算复杂度和所需的数据量，大大增加了实际操纵的可能性。另外，本发明可以进行并行计算，相对于其他算法的串行计算，它在计算效率上更具有优势。

本说明书采用递进的方式描述，对整个攻击过程一次详细的按步骤进行了说明。专业人员可以进一步意识到，结合本文中所公开的实施例哥哥阶段的算法步骤，能够通过计算机软件的方式来实现。通过结合附图对本发明具体实施例的描述，本发明的其他方面及特征对本领域的技术人员而言是显而易见的。

以上对本发明的具体实施例进行了描述和说明，这些实施例应被认为只是示例性的，并不用于对本发明进行限制，本发明应根据所附的权利要求进行解释。

Claims (8)

1.针对SNOW 3G加密算法的密码分析方法，其特征在于，包括步骤如下：

步骤A.根据SNOW 3G的线性反馈移位寄存器的反馈规则构造第一有序二叉决策图T_m；

步骤B.根据SNOW 3G的有限状态机中状态的变化并且结合猜测决定攻击的思想构造第二有序二叉决策图Q_m；即：

步骤B1.预设t，t+1，...，t+6时刻密码发生器输出的密钥流z_t，z_t+1，...，z_t+6和线性反馈移位寄存器输出的状态s_t，s_t+1，...，s_t+6；并预设t，t+1，...，t+10时刻有限状态机中寄存器R1的内部状态R1_t，R1_t+1，...，R1_t+10；

步骤B2.根据有限状态机中寄存器R1和R2之间的转化规则，从t时刻寄存器R1的内部状态R1_t，得到t+1时刻寄存器R2的内部状态R2_t+1；

步骤B3.根据有限状态机中寄存器R2和R3之间的转化规则，从t时刻寄存器R2的内部状态R2_t，得到t+1时刻寄存器R3的内部状态R3_t+1；

步骤B4.根据有限状态机中寄存器R1，R2和R3之间的转化规则，从t时刻寄存器R2和R3的内部状态R2_t和R3_t，以及t+1时刻寄存器R1的内部状态R1_t+1，得到t+5时刻线性反馈移位寄存器输出的状态s_t+5；

步骤B5.由有限状态机的输出规则，根据t时刻密钥发生器输出的状态z_t，寄存器R1的内部状态R1_t，寄存器R2的内部状态R2_t和线性反馈移位寄存器输出的状态s_t，得到t+15时刻的线性反馈位移寄存器输出的状态s_t+15；

步骤B6.通过迭代B2-B6，求得各个时刻线性反馈移位寄存器输出的状态，并将其组成第二有序二叉决策图Q_m；

步骤C.对第一有序二叉决策图T_m和第二有序二叉决策图Q_m进行交集操作，得到最终有序二叉决策图P_m＝SYNTH(Q_m，T_m)；该最终有序二叉决策图P_m中存在唯一一组路径s₀～s₂₂使得该最终有序二叉决策图P_m的值为1；在这条路径s₀～s₂₂中，前16个基础链s₀～s₁₆的值即为所求初始密钥。

2.根据权利要求1所述的针对SNOW 3G加密算法的密码分析方法，其特征在于，步骤A具体包括步骤如下：

步骤A1.选取t，t+2，t+11和t+16时刻线性反馈移位寄存器输出的状态s_t，s_t+2，s_t+11和s_t+16，并将其组成第一有序二叉决策图T_m；

步骤A2.如果s_t，s_t+2，s_t+11和s_t+16满足线性反馈移位寄存器的反馈规则，则在第一有序二叉决策图T_m中，该组值的路径指向1终节点；否则，则在第一有序二叉决策图T_m中，该组值的路径指向0终节点。

3.根据权利要求2所述的针对SNOW 3G加密算法的密码分析方法，其特征在于，步骤A2中所述的线性反馈移位寄存器的反馈规则均为：

式中，s_t+16表示t+16时刻线性反馈移位寄存器输出的状态，s_t+11表示t+12时刻线性反馈移位寄存器输出的状态，s_t+2表示t+2时刻线性反馈移位寄存器输出的状态，s_t表示t时刻线性反馈移位寄存器输出的状态，α表示状态系数；表示异或。

4.根据权利要求2所述的针对SNOW 3G加密算法的密码分析方法，其特征在于，在步骤A2之后，还进一步包括步骤如下：

步骤A3.查看整个第一有序二叉决策图T_m是否有冗余节点，如果存在冗余节点，则将冗余节点删除即将第一有序二叉决策图T_m化简后输出；否则，则将第一有序二叉决策图T_m直接输出。

5.根据权利要求1所述的针对SNOW 3G加密算法的密码分析方法，其特征在于，步骤B5中有限状态机中寄存器R1和R2之间的转化规则为：

R2_t+1＝S₁(R1_t)

式中，R2_t+1表示t+1时刻寄存器R2的内部状态，R1_t表示t时刻寄存器R1的内部状态；S1表示S-box S_R的变换操作。

6.根据权利要求1所述的针对SNOW 3G加密算法的密码分析方法，其特征在于，步骤B6中有限状态机中寄存器R2和R3之间的转化规则为：

R3_t+1＝S₂(R2_t)

式中，R3_t+1表示t+1时刻寄存器R3的内部状态，R2_t表示t时刻寄存器R2的内部状态；S2表示S-box S_Q的变换操作。

7.根据权利要求1所述的针对SNOW 3G加密算法的密码分析方法，其特征在于，步骤B7中有限状态机中寄存器R1，R2和R3之间的转化规则为：

式中，R1_t+1表示t+1时刻寄存器R1的内部状态，s_t+5表示t+5时刻线性反馈移位寄存器输出的状态，R3_t表示t时刻寄存器R3的内部状态，R2_t表示t时刻寄存器R2的内部状态；表示异或，表示模2³²整数加。

8.根据权利要求1所述的针对SNOW 3G加密算法的密码分析方法，其特征在于，步骤B8中有限状态机的输出规则为：

式中，z_t表示t时刻密码发生器输出的密钥流，R1_t表示t时刻寄存器R1的内部状态，R2_t表示t时刻R2的内部状态，s_t表示t时刻线性反馈移位寄存器输出的状态；表示异或，表示模2³²整数加。