CN109921899B - 一种完全雪崩4×4的s盒实现方法 - Google Patents

Abstract

本发明公开了一种完全雪崩4×4的S盒实现方法，x0、x1、x2、x3为S盒的输入，s0、s1、s2、s3为S盒的输出，包括两个部分：第一部分为非线性层，包含了Fa0、Fa1、Fa2、Fa3、Fb0、Fb1、Fb2和Fb3八个函数运算及4个异或操作；第二部分为扩散层，其包含了F0与F1两个函数运算及4个异或操作。非线性层输出值y0、y1、y2和y3达到了最优，再通过扩散层的变换，输出完全雪崩值s0、s1、s2和s3，S盒的布尔函数代数次数为3，布尔函数代数项数分别为9、9、13和10。本发明构造的S盒，具有完全雪崩效果，并且其他各项性能指标都较好，可以运用于轻量级分组密码算法当中，增强其安全性。

Description

一种完全雪崩4×4的S盒实现方法

技术领域

本发明涉及信息安全领域，具体涉及轻量级分组密码算法中的一个重要非线性组件S盒的构造方法。

背景技术

随着物联网的发展，信息安全越来越受到人们的重视，如何对数据进行高效地、安全地加密，成为了一个热点问题。S盒作为对称分组密码算法中重要的非线性组件，所谓，S盒的安全性决定了对称分组密码算法的安全性。

S盒可以看作是GF(2)ⁿ→GF(2)^m上的置换，对于一个4×4的S盒：y(y₀,y₁,y₂,y₃)＝S(x₀,x₁,x₂,x₃)，即4比特的x输入，4比特的y输出。n、m越大，S盒的安全性就越好，其构造的对称分组密码算法抵抗攻击能力越强。但轻量级分组密码算法受硬件环境的资源约束，采用的S盒一般是4×4与8×8的S盒。

衡量S盒的好坏有如下几个性能指标：非线性度、差分均匀性、雪崩特征、代数次数、布尔函数项数及正交性。一个性能良好的S盒满足较高的非线性度、差分分布均匀、严格的雪崩效应、复杂的代数表达式多个综合性能要求。在构造S盒时，将这些性能指标作为构造S盒的设计准则。

S盒首次出现在Lucifer算法中，作为该算法的一个非线性层。S盒本质是一个替换表，对于给定的输入，通过查找该表能够得到相应的输出。

轻量级分组密码标准算法之一—PRESENT算法，算法S盒有着至关重要的作用。但是该S盒存在一定的不足，不满足严格的雪崩准则、代数次数没有达到最佳状态、布尔函数表达式简单，从而导致该密码算法不能有效地抵抗差分攻击和代数攻击。田亚等人对PRESENT算法进行了差分分析，同时，葛十景等人对PRESENT算法进行了代数分析，而这些都是针对于算法S盒的存在不足之处进行攻击分析。

AES密码算法的S盒构造采用有限域GF(2⁸)上的逆元变换与仿射变换的方法，设计出的S盒具有良好的非线性度、差分均匀性、同时利用仿射变换保证S盒没有不动点。但这种方法构造的S盒布尔函数表达式简单，难以抵抗插值攻击。

目前S盒设计方法主要有五种：

(1)随机选取并测试

从安全角度考虑，该方法只是适合设计规模较大的S盒。

(2)利用S盒的密码学性能指标

利用S盒密码学性能指标，从某一个规则或者几个规则出发，构造出适合的对称分组密码算法S盒。

(3)利用密码结构

利用密码结构来构造S盒，通常可以利用规模较小的S盒来构造规模较大的S盒，并且这种方法构造的S盒硬件实现资源较小，从而适合应用于资源受限环境下轻量级分组密码算法的S盒的构造。

(4)利用遗传算法构造

遗传算法是利用旧的S盒生成新的S盒，对产生新的及旧的S盒当中，对性能不好的进行淘汰，只选取性能更加优良的，从而进一步又让性能良好的生成新的S盒。这样可以使得好的性能一步步聚集起来，从而获得一些密码特性良好的S盒。

(5)数学函数

这种方法是使用一些数学函数来构造S盒，比如：指数函数、对数函数、有限域上的逆和幂函数、混沌映射等。这种方法构造的S盒没有门陷，其密码学性能也可以用数学方法证明。

最优S盒两个重要的密码学性能指标：

(1)非线性度

设s(x)＝(f₀(x),…,f_n(x)),GF(2)ⁿ→GF(2)ⁿ是一个多输出函数，则s(x)的非线性度为：Nf＝mind_H(u×s(x),l(x))其中，l(x)∈L_n,u∈GF(2)ⁿ，L_n为n元线性仿射函数集合，d_H(u×s(x),l(x))表示S(x)与l(x)之间的汉明距离。非线性度决定了S盒抵抗线性密码分析的能力，非线性度越高，则抵抗线性攻击的能力越强。

(2)差分均匀度

n×n的S盒差分均分度可以表示为：

其中，

差分均匀性是用来衡量一个密码算法抵抗差分密码分析能力指标，由差分分布表来反映。差分分布表反映了输入差分与输出差分分布情况，分布越均匀，即差分传播概率最大值越小，S盒抵抗差分攻击的能力越强。

如果一个S盒的非线性度Nf＝4，差分均匀度δ_s＝4。则称该S盒为最优4比特S盒。

一个密码算法的安全性高，就要求其扩散效果好。即输入改变一位会引起输出多位的改变。雪崩准则用来衡量这一指标，其定义为：

令F(x)＝(f₀(x),f₁(x),…,f_n-1(x))是GF(2)ⁿ到GF(2)^m的多输出布尔置换函数，对与任意的α(α∈GF(2)ⁿ,ω(α)＝1)，使得等式

成立，则F(x)满足完全雪崩准则。

目前有许多S盒的构造方法，大部分构造S盒的非线性度与差分均匀度都是最优，但不满足完全雪崩效应；还有一些S盒在某一个方面S盒的性能达到了最优，但是不能成为一个良好的S盒。例如用bent函数构造S盒，其非线性度到达了最优，但是不满足平衡性。

在资源受限的环境下，一些轻量级分组密码过于追求硬件开销低，降低算法各个部件硬件实现资源，从而导致一些算法S盒的布尔函数代数表达式太简单，使算法的安全性大打折扣。例如，LBlock算法和GIFT等算法S盒的布尔函数代数表达式过于简单，RECTANGLE等算法S盒不满足完全雪崩效应，这些存在不足导致算法本身容易遭到各类攻击。

针对目前S盒存在不满足完全雪崩准则及布尔函数代数表达式过于简单的问题，本发明利用密码算法中的两个重要的思想：混淆和扩散。设计了一种完全雪崩S盒的构造方法，该方法的第一步是达到最佳混淆状态，第二步是将其扩散化。

发明内容

为了解决S盒代数表达式过于简单、不满足完全雪崩准则等问题，结合分组密码的设计思想，本发明提供了一种完全雪崩4×4的S盒实现方法。

本发明的技术方案为：

一种完全雪崩4×4的S盒实现方法，包括以下步骤：

步骤一，将S盒的输入信息以4位的二进制数表示；

步骤二，执行非线性计算：每次选择4位二进制数4个数位上至少3个数，分别输入至两组分别包括4个函数的非线性计算函数组中并得到相应的函数运算结果，然后将两组结果两两异或运算，得到4个非线性计算结果；

步骤三，执行扩散计算：选择两个非线性计算结果输入至第一扩散函数，另两个输入至第二扩散函数，分别得到两个函数计算结果，然后将两个非线性计算结果与其中一个扩散计算结果进行异或计算，再将另两个非线性计算结果与另一个扩散计算结果进行异或计算，得到一共4个扩散计算结果；

步骤四，将4个扩散计算结果排列为4位的二进制数，得到进行完全雪崩4×4的S盒结果。

所述的一种完全雪崩4×4的S盒实现方法，所述的步骤一中，以x0、x1、x2、x3作为拆分的4个子二进制数，其中x0为十六位二进制数的最高位，x3为最低位。

所述的一种完全雪崩4×4的S盒实现方法，所述的步骤二中，两组非线性计算函数组中，一组为Fa0、Fa1、Fa2和Fb3函数，另一组为Fb0、Fb1、Fb2和Fb3函数，在进行函数运算时，将x0、x1、x3输入Fa0、Fa1、Fa2函数，将x0、x1、x2输入Fb0、Fa3函数，将x1、x2、x3输入Fb1函数，x0、x2、x3输入Fb2，将x0、x1、x2和x3输入Fb3函数，则Fa0、Fa1和Fa2函数分别对应输出L0、L1和L2，Fb0和Fa3函数分别输出R0和L3，Fb1、Fb2和Fb3函数分别输出R1、R2和R3。

所述的一种完全雪崩4×4的S盒实现方法，所述的步骤二中，在进行异或运算时，将L0与R0、L1与R1、L2与R2、L3与R3对应进行异或运算，分别输出得到y0、y1、y2和y3。

所述的一种完全雪崩4×4的S盒实现方法，所述的步骤三中，在进行函数计算时，将y0与y1输入第一扩散函数F0，y2与y3输入第二扩散函数F1，则F0输出为a，F1输出为b。

所述的一种完全雪崩4×4的S盒实现方法，所述的步骤三中，在进行异或计算时，将y2、y3分别与a进行异或运算，对应输出得到s2与s3，将y0、y1分别与b进行异或运算，对应输出得到s0与s1。

所述的一种完全雪崩4×4的S盒实现方法，所述的步骤四中，将s0、s1、s2、s3按照从高到低位排列组成一个4位的二进制数作为完全雪崩4×4的S盒结果。

所述的一种完全雪崩4×4的S盒实现方法，所述的步骤二中，Fa0、Fa1、Fa2、Fa3、Fb0、Fb1、Fb2和Fb3八个函数运算过程如下：Fa0(x0,x1,x3)＝x3&(x0|(x1^1))、Fb0(x0,x1,x2)＝(x0&x1)|x2、Fa1(x0,x1,x3)＝(x1&x3)|x0、Fb1(x1，x2，x3)＝x2&(x1|(x3^1))、Fa2(x0,x1,x3)＝(x0|(x3^1))&x1、Fb2(x0,x2,x3)＝x2&(x3|(x0^1))、Fa3(x0,x1,x2)＝x2&((x1^1)|x0)、Fb3(x0,x1,x2,x3)＝x3&(x2^1)&(x0^x1)。

所述的一种完全雪崩4×4的S盒实现方法，所述的步骤三中，F0与F1两个函数运算过程如下：F0(y0,y1)＝y0^y1^1与F1(y2,y3)＝y2^y3。

本发明的技术效果在于，采用了加密算法的设计思想，设计出非线性层和扩散层构造一类S盒，本方法非线性可以构造出一类最优4比特S盒，结合扩散层可以构造出一类完全雪崩4比特S盒。同时使用该方法构造的S盒可以直接应用于轻量级分组密码算法，提高算法的安全性。与现有的S盒对比，本方法构造的S盒布尔函数代数表达式复杂，具有良好的雪崩效应，可以更好的抵抗线性攻击和代数攻击。

附图说明

图1为本发明所述的非线性层结构图；

图2为本发明所述的扩散层结构图；

图3为本发明所述一种完全雪崩4×4的S盒构造方法设计图。

具体实施方式

以下结合附图对本发明一种完全雪崩4×4的S盒实现方法与装置进行进一步的详细说明。

S盒实际操作是一个映射表，对于4×4的S盒输入为0～15的整数，输出为0～15的整数，S盒的输入信息每次只输入4比特，比如输入一个0，用4位二进制数表示就是0000。然后将0000用(x0,x1,x2,x3)表示，即x0,x1,x2,x3分别表示一个0。。

设输入一个数a(a∈[0,15]),其二进制数为x0、x1、x2、x3，将x0、x1、x2、x3按照图1输入非线性层。

得到非线性层的输出为y0、y1、y2、y3。

a输入非线性层运算，对应输出为：

a(0)＝0，a(1)＝8，a(2)＝F，a(3)＝3，a(4)＝2，a(5)＝5，a(6)＝C，a(7)＝A，a(8)＝4，a(9)＝D，a(A)＝9，a(B)＝7，a(C)＝E，a(D)＝6，a(E)＝B，a(F)＝1。

根据上述公式可以求得S盒非线性度为4，差分均匀度为4。

非线性层输出的元素的差分均匀表为：

表1非线性层输出的元素的差分均匀表

从表1可以得出：每一行最高的差分输出个数为4，满足差分4一致性。根据最优4比特S盒的定义，非线性层得到的元素集是一个最优4比特S盒。

对于4比特最优S盒可以作仿射变换：

令s(x)＝α(x)×s(x)+β(x)modv(x)

其中，δ(x)表示有限域GF(2⁴)上的任意4次多项式，β(x)与v(x)互素即可，α(x)表示仿射常量。

取α(x)＝x³+x+1,v(x)＝x⁴+1,β(x)＝x+1

α(x)可以用一个矩阵U＝[U₀,U₁,U₂,U₃]来表示，U0、U1、U2、U3可以表示为：

U0＝(α(x)·1)modv(x)、U1＝(α(x)·x)modv(x)、

U2＝(α(x)·x²)modv(x)、U3＝(α(x)·x³)modv(x)。

由β(x)＝x+1，得B＝(0，0，1，1)；

则S(x)可以表示为：S(x)＝U×S(x)+B

将非线性层的输出结果：0，8，F，3，2，5，C，A，4，D，9，7，E，6，B，1,

输入到扩散层，得到扩散层的输出为：

s(0)＝3，s(8)＝8，s(F)＝C，s(3)＝0，s(2)＝D，s(5)＝9，s(C)＝F，s(A)＝6，s(4)＝4，s(D＝2，s(9)＝5，s(7)＝7，s(E)＝1，s(6)＝A，s(B)＝B，s(1)＝E。

经过非线性层与扩散层之后，输入a经过S盒变换后的的输出结果为：

表2扩散层输出结果表

输入值	0	1	2	3	4	5	6	7	8	9	A	B	C	D	E	F
																	输出值	3	8	C	0	D	9	F	6	4	2	5	7	1	A	B	E

本方法构造的S盒差分均匀度为表3所示：

表3 S盒差分均匀度表

差分均匀度为：4，非线性度：4。

布尔函数分量为：

f0＝x1+x2+x3+x0x1+x0x2+x0x3+x1x2+x1x3+x1x2x3；

f1＝x0+x1+x2+x0x2+x0x3+x1x2+x1x3+x2x3+x0x1x3；

f2＝1+x0+x1+x2+x3+x0x1+x0x2+x1x3+x2x3+x0x1x2+x0x2x3+x0x1x3+x1x2x3；

f3＝1+x0+x2+x3+x0x1+x0x3+x1x2+x1x3+x2x3+x0x2x3；

从上述布尔函数中可以得出：

布尔函数的分量f0、f1、f2、f3的项数分别为：9、9、13、10。

每一个函数的代数次数都达到了3。

本方法构造的S盒雪崩概率为：

表5 S盒雪崩概率表

根据表5，每一个函数分量的雪崩概率均匀为0.5，可以得出本方法构造的S盒满足完全雪崩准则。

与现有的轻量级分组密码算法的安全性性能作对比：

各种轻量级分组密码算法的S盒如下：

表6轻量级分组密码算法S盒

S盒密码学特性分析与对比

表7各种轻量级分组密码算法S盒性能对比表

从表7可以看出，本方法构造S盒在安全性方面的优势，S盒每一个布尔函数分量的代数次数都达到了最大，布尔函数的项数比较多；设计的S盒运用于轻量级分组密码算法中，可以更好地使该算法抗线性攻击和其它攻击，同时，还满足完全雪崩效应，具有很好的扩散作用，进一步提高轻量级分组密码算法的安全性。

以上结合具体实施例对本发明进行了详细的说明，这些并非构成对发明的限制。在不脱离本发明原理的情况下，本领域的技术人员还可以作出许多变形和改进，这些也应属于本发明的保护范围。

Claims (3)

1.一种完全雪崩4×4的S盒实现方法，其特征在于，包括以下步骤：

步骤一，将S盒的输入信息以4位的二进制数表示；

步骤二，执行非线性计算：每次选择4位二进制数4个数位上至少3个数，分别输入至两组分别包括4个函数的非线性计算函数组中并得到相应的函数运算结果，然后将两组结果两两异或运算，得到4个非线性计算结果；

步骤三，执行扩散计算：选择两个非线性计算结果输入至第一扩散函数，另两个输入至第二扩散函数，分别得到两个函数计算结果，然后将两个非线性计算结果与其中一个扩散计算结果进行异或计算，再将另两个非线性计算结果与另一个扩散计算结果进行异或计算，得到一共4个扩散计算结果；

步骤四，将4个扩散计算结果排列为4位的二进制数，得到进行完全雪崩4×4的S盒结果；

所述的步骤一中，以x0、x1、x2、x3作为拆分的4个子二进制数，其中x0为十六位二进制数的最高位，x3为最低位；

所述的步骤二中，两组非线性计算函数组中，一组为Fa0、Fa1、Fa2和Fb3函数，另一组为Fb0、Fb1、Fb2和Fb3函数，在进行函数运算时，将x0、x1、x3输入Fa0、Fa1、Fa2函数，将x0、x1、x2输入Fb0、Fa3函数，将x1、x2、x3输入Fb1函数，x0、x2、x3输入Fb2，将x0、x1、x2和x3输入Fb3函数，则Fa0、Fa1和Fa2函数分别对应输出L0、L1和L2，Fb0和Fa3函数分别输出R0和L3，Fb1、Fb2和Fb3函数分别输出R1、R2和R3；

所述的步骤二中，Fa0、Fa1、Fa2、Fa3、Fb0、Fb1、Fb2和Fb3八个函数运算过程如下：Fa0(x0,x1,x3)＝x3&(x0|(x1^1))、Fb0(x0,x1,x2)＝(x0&x1)|x2、Fa1(x0,x1,x3)＝(x1&x3)|x0、Fb1(x1，x2，x3)＝x2&(x1|(x3^1))、Fa2(x0,x1,x3)＝(x0|(x3^1))&x1、Fb2(x0,x2,x3)＝x2&(x3|(x0^1))、Fa3(x0,x1,x2)＝x2&((x1^1)|x0)、Fb3(x0,x1,x2,x3)＝x3&(x2^1)&(x0^x1)；

所述的步骤二中，在进行异或运算时，将L0与R0、L1与R1、L2与R2、L3与R3对应进行异或运算，分别输出得到y0、y1、y2和y3；

所述的步骤三中，在进行函数计算时，将y0与y1输入第一扩散函数F0，y2与y3输入第二扩散函数F1，则F0输出为a，F1输出为b；

所述的步骤三中，F0与F1两个函数运算过程如下：F0(y0,y1)＝y0^y1^1与F1(y2,y3)＝y2^y3。

2.根据权利要求1所述的一种完全雪崩4×4的S盒实现方法，其特征在于，所述的步骤三中，在进行异或计算时，将y2、y3分别与a进行异或运算，对应输出得到s2与s3，将y0、y1分别与b进行异或运算，对应输出得到s0与s1。

3.根据权利要求2所述的一种完全雪崩4×4的S盒实现方法，其特征在于，所述的步骤四中，将s0、s1、s2、s3按照从高到低位排列组成一个4位的二进制数作为完全雪崩4×4的S盒结果。