CN112953703A

CN112953703A - 一种基于MILP的Tweakable GOST2差分路线搜索方法

Info

Publication number: CN112953703A
Application number: CN202110122266.3A
Authority: CN
Inventors: 王高丽; 刘晟源
Original assignee: East China Normal University
Current assignee: East China Normal University
Priority date: 2021-01-28
Filing date: 2021-01-28
Publication date: 2021-06-11
Anticipated expiration: 2041-01-28
Also published as: CN112953703B

Abstract

本发明公开了一种针对TweakableGOST2算法自动化搜索差分路径的方法。本发明提供了两种添加Tweak的方法，并提出针对TweakableGOST2算法搜索差分路径的方法。在字节层面，通过分析TweakableGOST2算法之间的传播特性，使用MILP模型去建立TweakableGOST2算法各组件的具体模型，进行求解，若有则得到TweakableGOST2算法最小活跃S盒的具体数量和活跃S盒所在位置。然后根据TweakableGOST2算法的S盒求出TweakableGOST2算法的差分分布表和差分模式P，使用SAGEMATH不等式生成器可以得到TweakableGOST2的P凸包的H‑表示，由此得到不等式组，然后使用贪心法削减不等式的数量，得到最终的不等式组；在比特层面，利用MILP模型对TweakableGOST2算法进行建模，利用求解得到的S盒信息，得到高概率的差分路线。本发明可以较快地找出TweakableGOST2算法活跃S盒及其差分特征。

Description

一种基于MILP的Tweakable GOST2差分路线搜索方法

技术领域

本发明属于密码分析技术领域，涉及一种基于MILP的Tweakable GOST2差分路线搜索方法，针对Tweakable GOST2算法，该方法可以有效且快速搜索S盒及差分路径。

背景技术

在互联网时代，信息作为重要资源受到各个国家的重视，近年来机密数据被盗事件在国内外时有发生,其所带来的经济损失和社会影响持续加剧。尽管已有若干外部防御措施保护重要数据，但如果发生数据被盗的情况怎么尽可能减少损失这就需要密码算法来保护。而密码算法的安全性就显得尤为重要，密码算法可以加密重要数据，即使发生了丢失的情况，也可以让敌手提取不到重要信息。

差分分析是由Bihma和Shamir在1990年提出，是一种有效的分析密码算法安全性的方法。差分分析几乎适用于所有的分组密码算法，可以说差分分析是密码学安全分析的基础。值得注意的是，差分分析最重要的一步，是寻找一条高概率的差分路径，如何寻找高概率路径成为研究的重心。

可调分组密码是一种带有额外输入的分组密码，最先由Liskov等人在文献Tweakable BlockCipher中提出，这个额外输入通常称之为“Tweak”，可用于提高分组密码的灵活性。“Tweak”不同于密钥，不需要保密，比较容易改变，或者说改变的开销较小。可调分组密码有很好的应用背景。特别在磁盘分区加密中，应用可调分组密码可以保证同一消息在不同的磁盘分区中加密得到不同的密文。

GOST是一种广泛应用的分组密码，是俄罗斯标准密码，GOST2是Andrey Dmukh等人对其改进，分组密码算法GOST2整体采用Feistel结构，通过迭代32轮完成加密过程，在实现信息机密性和完整性保护方面有着至关重要的作用。GOST2作为密码标准在工业中有广泛应用，因此其安全性能显得尤为重要，如果可以在GOST2加入Tweak，则可以进一步拓宽应用场景。

发明内容

为了解决现有技术存在的不足，本发明的目的是提供一种基于MILP的TweakableGOST2差分路线搜索方法，通过向GOST2算法调整组件，提出了两种添加调整组件即Tweak模块的方法，并提出针对Tweakable GOST2自动化搜索差分路径的模型，分析GOST2加入可调组件后的安全性，可以快速精确的自动化搜索S盒和差分路线。所述方法具体包括以下步骤：

步骤A：在字节层面，使用MILP模型对Tweakable GOST2进行建模，使用gurobi对模型进行求解，如果有解，则得到Tweakable GOST2差分路线中最小活跃S盒个数和活跃S盒位置的集合；

步骤B：在比特层面，根据GOST2算法S盒的相关性质，生成描述S盒的不等式；

步骤C：在比特层面，使用MILP模型对Tweakable GOST2进行建模设定求解器的初始值和终止条件，得到Tweakable GOST2高概率的差分路线。

所述步骤A进一步包括：

步骤A1：在字节层面利用MILP模型对Tweakable GOST2密码算法各组件进行建模；

步骤A2：对Tweakable GOST2密码算法的Tweak模块进行建模；

步骤A3：对Tweakable GOST2密码算法的不同轮间关系进行建模；

步骤A4：使用python语言建模，并使用gurobi求解器求解，由于最优解不止一个，得到最优解后将当前解作为约束写入模型中，直到当前解不是最优解，或者求解器无解。

所述步骤A1中，对基于字节的密码组件进行建模是利用不等式组来描述传播规则的。

所述步骤A1进一步包括：

步骤A11：使用不等式组刻画XOR操作中基于字节的差分扩散路径；

步骤A12：使用不等式组刻画S盒操作中基于字节的差分扩散路径；

步骤A13：使用不等式组刻画模加操作中基于字节的差分扩散路径。

所述步骤A2中，有两种添加Tweak模块的方式：假设i表示Tweakable GOST2算法中的第i轮，一种是在第i轮右侧输入差分异或Tweak、另一种是在第i轮输出后面异或Tweak，使用不等式组描述Tweakable GOST2算法Tweak模块差分传播和子Tweak生成的的信息。

所述步骤A3中，使用不等式组描述Tweakable GOST2算法不同轮之间汉明重量，S盒数目，各组件之间关系等信息，进而来描述Tweakable GOST2差分传播特征。

所述步骤B进一步包括：

步骤B1：在比特层面，根据GOST2算法S盒生成其对应的差分分布表和差分模式，并将差分模式按照概率分组；

步骤B2：使用SAGEMATH不等式生成器得到Tweakable GOST2的P凸包的H-表示；

步骤B3：对生成的不等式进行处理，得到不同概率对应的不等式。

所述步骤C进一步包括:

步骤C1：在比特层面利用MILP模型对Tweakable GOST2密码算法各组件进行建模；

步骤C2：对Tweakable GOST2密码算法的Tweak模块进行建模；

步骤C3：根据步骤A得到的活跃S盒位置和个数和步骤B得到的描述S盒的不等式进行建模，设定求解器的初始值和终止条件，使用gurobi求解后得到Tweakable GOST2的差分路径及其概率。

所述步骤C1进一步包括：

步骤C11：使用不等式组刻画XOR操作中基于比特的差分扩散路径；

步骤C12：使用不等式组刻画S盒操作中基于比特的差分扩散路径；

步骤C13：使用不等式组刻画模加操作中基于比特的差分扩散路径。

所述步骤C2中，使用不等式组描述Tweakable GOST2算法Tweak模块差分传播和子Tweak生成的信息。

所述步骤C3中，使用不等式组描述Tweakable GOST2算法不同轮之间汉明重量，S盒数目，各组件之间关系等信息，进而来描述Tweakable GOST2差分传播特征。

本发明还提出了一种向GOST2算法中加入可调模块即Tweak模块的方法，并针对GOST2的性质，采用高效的自动化求解方法，精确地对Tweakable GOST2算法进行建模，并获得比较精准S盒，进一步提高搜索差分路径的效率。

本发明的有益效果在于：本发明可以精确评估Tweakable GOST2的安全性能，不仅可以评估Tweakable GOST2算法单密钥的安全性能，而且可以评估相关密钥的安全性能。在字节层面建模时，加入不同轮间的差分传播关系不仅有利于更精确的确定活跃S盒的个数，而且能够加快算法运行速度,在比特层面，使用MILP模型可以排除无效路线，对TweakableGOST2的安全性能有较好的评估。

附图说明

图1和图2是本发明对于所分析两种Tweakable GOST2算法的轮函数的描述示意图。

图3是本发明在字节层面对Tweakable GOST2算法S盒的数量及位置搜索的工作示意图。

图4是本发明在比特层面对Tweakable GOST2算法差分路径搜索的工作示意图。

图5是本发明在比特层面获得Tweakable GOST2算法生成S盒不等式的工作示意图。

具体实施方式

结合以下具体实施例和附图，对本发明作进一步的详细说明。实施本发明的过程、条件、实验方法等，除以下专门提及的内容之外，均为本领域的普遍知识和公知常识，本发明没有特别限制内容。

本发明提出了一种基于MILP的Tweakable GOST2差分路径搜索方法，通过向GOST2算法调整组件，提出了两种添加调整组件，提出针对Tweakable GOST2自动化搜索差分路径的模型，分析GOST2加入可调组件即Tweak模块后的安全性，可以快速精确的自动化搜索S盒和差分路线。所述方法具体包括以下步骤：

所述步骤A进一步包括：

步骤A2：对Tweakable GOST2密码算法的Tweak模块进行建模；

步骤A3：对Tweakable GOST2密码算法的不同轮间关系进行建模；

所述步骤A1进一步包括：

所述步骤B进一步包括：

所述步骤C进一步包括:

步骤C2：对Tweakable GOST2密码算法的Tweak模块进行建模；

所述步骤C1进一步包括：

步骤C11：使用不等式组来刻画XOR操作中基于字节的差分扩散路径；

步骤C12：使用不等式组来刻画S盒操作中基于字节的差分扩散路径；

步骤C13：使用不等式组来刻画模加中基于字节的差分扩散路径。

实施例

如图3，4，5,一种基于MILP的Tweakable GOST2差分路径搜索方法具体包括以下步骤：

所述步骤A进一步包括以下步骤：

步骤A1：在字节层面利用MILP模型对Tweakable GOST2密码算法中XOR，S盒，模加组件进行建模，建模包括如下：

对于XOR操作，假设

其中x,y,z∈{0,1}^w，x,y是输入差分，z是输出差分,w表示x,y,z的长度,d∈{0,1}，d为临时变量。建模如下：

对于GOST2的S盒以及线性置换操作，(x₀,x₁,x₂,x₃)和(y₀,y₁,y₂,y₃)分别代表线性置换的输入和输出,对于GOST2来说B＝2，d∈{0,1}，d为临时变量。建模如下：

对于移位操作，假设输入差分为x_i，输出差分为y_i，x_i,y_i∈{0,1},A_i,j表示第i轮第j个S盒的活跃状态,o_i,j表示第i轮第j个字节输出，0≤i≤31,1≤j≤8，o_i,j,a_i,j∈{0,1}。建模如下：

对于模加操作，A_i,j表示第i轮第j个S盒的活跃状态,mo_i表示第i轮模加模块的输出,K_i表示第i轮密钥的活跃状态,r_i,j表示第i轮第j个字节的输入差分,R_i表示第i轮模加操作的输入差分,R_i,r_i,j,mo_i,K_i,A_i,j∈{0,1}，d∈{0,1}，d为临时变量，建模如下：

步骤A2：对Tweakable GOST2密码算法的Tweak模块进行建模,建模如下：

假设Tweak置换操作为h＝[6,5,14,15,0,1,2,3,7,12,13,4,8,9,10,11]，

记T_i为

T_i∈{0,1}¹⁶，

对于不同轮之间，x表示第i轮第x个Tweak值，主Tweak的传播可以用以下式子描述：

对于子Tweak选取有三种方案：

(1)

(2)

(3)

其中TK_i为第i轮加密算法使用的Tweak值。

如图1，2，有两种添加Tweak的方法，假设L_i,R_i表示第i轮输入差分，第一种在第i轮右侧输入差分异或TK_i，即

另一种是在第i轮输出后面异或TK_i，即

步骤A3：对于连续三轮的GOST2算法，假设w_i,j表示第i轮第j个字节移位后的输出,l_i,j,r_i,j分别表示第i轮第j个字节左右两侧的输入差分，Out_i表示第i轮移位后的输出差分，Out_i＝（w_i,1,w_i,2…w_i,8)，L_i,R_i表示第i轮输入差分，L_i,R_i,Out_i∈{0,1}⁸，0≤i≤31,1≤j≤8，d_i,j,u_i,j为临时变量，l_i,j,r_i,j,w_i,j,A_i,j,d_i,j,u_i,j∈{0,1}：

使用gurobi求解时，将目标函数建模如下，即建模求得活跃S盒的最小值：

Minimize:∑_i,jA_i,j

其中A_i,j表示第i轮第j个S盒的活跃状态,0≤i≤31,1≤j≤8；

初始状态应不全为0，即：

Minimize:Π_0,jA_0,j≥1

所述步骤B具体包括以下步骤：

对于双射S盒，非零输入差必须导致非零输出差，反之亦然，对于GOST2的S盒来说，有如下建模：

4(y₀+y₁+y₂+y₃)-(x₀+x₁+x₂+x₃)≥0

4(x₀+x₁+x₂+x₃)-(y₀+y₁+y₂+y₃)≥0

假设A₂,A₃为得到不同概率不等式的系数，表示为A₂(x,y)-B＝0，A₃(x,y)-B＝0，x,y代表(x₀…x₃,y₀…y₃),B是不等式常数项，x₀...x₃,y₀...y₃表示S盒输入差分和输出差分，GOST2差分分布的概率分别为2^-2与2^-3，记A_i,j表示第i轮第j个S盒的活跃状态，Q2_i,j,Q3_i,j∈{0,1}分别表示第i轮第j个概率2^-2与2^-3所生成的不等式的状态，例如，Q2_i,j＝1代表不等式取得2^-2差分模式对应的不等式，M是足够大的正整数，有如下建模：

所述步骤C进一步包括:

步骤C1：在比特层面利用MILP模型对Tweakable GOST2密码算法移位，异或组件进行建模：

对于移位操作，假设x_i是输入差分第i位，y_i是输出差分第i位，L是左移位长度，建模如下：

y_i＝x_{(i+L+32)％32}

对于XOR操作，假设

其中x,y,z∈{0,1}，x,y是输入差分，z是输出差分,d表示临时变量，d∈{0,1},建模如下：

对于模加操作,假设

其中x,y表示输入，z表示输出，x,y,z∈{0,1}³²，x_i,y_i,z_i表示x,y,z的第i比特,d表示临时变量，x_-,y_i,z_i,d∈{0,1}，建模如下：

记向量(x_i,y_i,z_i,x_i+1,y_i+1,z_i+1)为可能的输入差分和输出差分不同比特的关系,向量应满足上述建模。将上述向量筛选后的所有差分模式放入SAGEMATH生成不等式,然后用贪心法选取最后不等式,建模如下：

-x_--y_i-z_i+x_i+1+y_i+1+z_i+1+2≥0

+x_i+y_i+z_i-x_i+1-y_i+1-z_i+1+2≥0

+x_i+y_i+z_i+x_i+1+y_i+1-z_i+1≥0

+x_i+y_i+z_i+x_i+1-y_i+1+z_i+1≥0

+x_i+y_i+z_i-x_i+1+y_i+1+z_i+1≥0

-x_i-y_i-z_i+x_i+1-y_i+1-z_i+1+4≥0

-x_i-y_i-z_i-x_i+1+y_i+1-z_i+1+4≥0

-x_--y_i-z_i-x_i+1-y_i+1+z_i+1+4≥0

步骤C2：对Tweakable GOST2密码算法的Tweak模块进行建模，根据步骤A得到Tweak的值进一步建模，建模如下：

在字节层面，记T_i为Tweak,T_i∈{0,1}¹⁶,TK_i为第i轮加密算法使用的Tweak值。在比特层面，记

为第i轮使用的主Tweak值,tk_i为第i轮加密算法使用的Tweak值。

t_i∈{0,1}¹²⁸,tki{0,1}³²,0≤m≤127,0≤i≤31

若

则

若

则

x为第i轮第x个Tweak，k为每个字节中第k位比特，0≤x≤15,0≤k≤7，

步骤C3：根据步骤A得到的活跃S盒位置和个数和步骤B得到的描述S盒的不等式进行建模，使用gurobi求解后得到Tweakable GOST2的差分路径及其概率。

记A_i,j表示第i轮第j个S盒的活跃状态,为第0≤i≤31,1≤j≤8，记

为第i轮第j个S盒第k个输入差分,1≤k≤4。

若A_i,j＝0,则

若A_i,j＝1,则

使用gurobi求解时，将目标函数建模如下：

Minimize:∑_i,j3Q2_i,j+2Q3_i,j。

本发明将Tweak模块加入GOST2密码算法，并提出了两种添加Tweak的方法，并对添加可调组件即Tweak模块后的Tweakable GOST2密码算法进行安全分析，可以根据密码单轮差分传播关系和不同轮差分传播关系找到Tweakable GOST2密码算法活跃S盒数量的下界，并根据布尔函数原理对差分模式进行比特建模，精确地约束了差分传播的路径，可以在有效的时间内求得多轮Tweakable GOST2密码算法单密钥和相关密钥的高概率差分路线，从而进行密钥恢复。

本发明的保护内容不局限于以上实施例。在不背离本发明构思的精神和范围下，本领域技术人员能够想到的变化和优点都被包括在本发明中，并且以所附的权利要求书为保护范围。

Claims

1.一种基于MILP的Tweakable GOST2差分路径搜索方法，其特征在于，所述方法包括以下步骤：

2.根据权利要求1所述的Tweakable GOST2差分路径搜索方法，其特征在于，所述步骤A进一步包括：

步骤A2：对Tweakable GOST2密码算法的Tweak模块进行建模；

步骤A3：对Tweakable GOST2密码算法的不同轮间关系进行建模；

3.根据权利要求2所述的Tweakable GOST2差分路径搜索方法，其特征在于，所述步骤A1中，对基于字节的密码组件进行建模是利用不等式组来描述传播规则的。

4.根据权利要求2所述的Tweakable GOST2差分路径搜索方法，其特征在于，所述步骤A1进一步包括：

5.根据权利要求2所述的Tweakable GOST2差分路径搜索方法，其特征在于，所述步骤A2中，有两种添加Tweak模块的方式：假设i表示Tweakable GOST2算法中的第i轮，一种是在第i轮右侧输入差分异或Tweak、另一种是在第i轮输出后面异或Tweak，用不等式组描述Tweakable GOST2算法Tweak模块差分传播和子Tweak生成的信息。

6.根据权利要求2所述的Tweakable GOST2差分路径搜索方法，其特征在于，所述步骤A3中，使用不等式组描述Tweakable GOST2算法不同轮之间汉明重量，S盒数目，各组件之间关系信息，进而来描述Tweakable GOST2差分传播特征。

7.根据权利要求1所述的Tweakable GOST2差分路径搜索方法，其特征在于，所述步骤B进一步包括：

8.根据权利要求1所述的Tweakable GOST2差分路径搜索方法，其特征在于，所述步骤C进一步包括:

步骤C2：对Tweakable GOST2密码算法的Tweak模块进行建模；

步骤C3：根据步骤A得到的活跃S盒位置和个数和步骤B得到的描述S盒的不等式进行建模，设定求解器的初始值和终止条件，使用gurobi求解后得到Tweakable GOST2的差分路径及其概率；

所述步骤C2中，使用不等式组描述Tweakable GOST2算法Tweak模块差分传播和子Tweak生成的信息；

所述步骤C3中，使用不等式组描述Tweakable GOST2算法不同轮之间汉明重量，S盒数目，各组件之间关系信息，进而来描述Tweakable GOST2差分传播特征。

9.根据权利要求8所述的Tweakable GOST2差分路径搜索方法，其特征在于，所述步骤C1进一步包括：

步骤C11：使用不等式组刻画XOR操作中基于字节的差分扩散路径；

步骤C12：使用不等式组刻画S盒操作中基于字节的差分扩散路径；

步骤C13：使用不等式组刻画模加中基于字节的差分扩散路径。