[論文レビュー] Generating S-Boxes from Semi-fields Pseudo-extensions

Jean‐Guillaume Dumas, Jean-Baptiste Orfila|arXiv (Cornell University)|Nov 10, 2014

Cryptographic Implementations and Security参考文献 8被引用数 3

ひとこと要約

本稿では、有限体の代わりに有限半体の擬拡張を構築することで、高セキュリティな8×8 S-Boxおよびほぼ完全非線形（APN）関数を生成する新しい手法を提案する。半体に基づく擬似逆関数および擬似立方演算を、$ℚ^2_{2^4}$ 上で実行することで、最大非線形性および微分不変量を有する12,781個の同値でないS-Boxと、336個の完全なアバランチおよびビット独立性を有するものを含む2,684個の新しいAPN関数を生成した。

ABSTRACT

Specific vectorial boolean functions, such as S-Boxes or APN functions have many applications, for instance in symmetric ciphers. In cryptography they must satisfy some criteria (balancedness, high nonlinearity, high algebraic degree, avalanche, or transparency) to provide best possible resistance against attacks. Functions satisfying most criteria are however difficult to find. Indeed, random generation does not work and the S-Boxes used in the AES or Camellia ciphers are actually variations around a single function, the inverse function in F_2^n. Would the latter function have an unforeseen weakness (for instance if more practical algebraic attacks are developped), it would be desirable to have some replacement candidates. For that matter, we propose to weaken a little bit the algebraic part of the design of S-Boxes and use finite semifields instead of finite fields to build such S-Boxes. Since it is not even known how many semifields there are of order 256, we propose to build S-Boxes and APN functions via semifields pseudo-extensions of the form S_{2^4}^2, where S_{2^4} is any semifield of order 16 . Then, we mimic in this structure the use of functions applied on a finite fields, such as the inverse or the cube. We report here the construction of 12781 non equivalent S-Boxes with with maximal nonlinearity, differential invariants, degrees and bit interdependency, and 2684 APN functions.

研究の動機と目的

• AESおよびCamelliaにおける逆関数の代替となるS-Box構築法を開発し、将来の代数的攻撃に対して脆弱になる可能性があるのを回避すること。
• 2^8次の既知の半体が存在しないという問題を解決するため、次数2の小さな半体（$\mathbb{S}_{2^4}$）の擬似拡張を構築すること。
• 有限体における逆関数および立方関数の暗号的挙動を、半体に基づく構造で模倣することで、望ましいセキュリティ特性を維持すること。
• 非線形性、最大微分均一性、完全アバランチなどの最適または近似的に最適な暗号的基準を満たす新しいS-BoxおよびAPN関数を生成すること。
• 次世代の対称暗号に、線形および微分 cryptanalysis に対する耐性を強化するための半体を基盤として使用する可能性を検討すること。

提案手法

• 有限体の多項式の既約性に由来する擬似既約性条件を用いて、2^4次半体から次数2の擬似拡張$\mathbb{S}^2_{2^4}$を構築する。
• 半体乗法および加法を含む代数的表現を用いて、$\mathbb{S}^2_{2^4}$ 上に擬似逆関数を定義し、$\mathbb{F}_{2^8}$ における逆関数の挙動を模倣する。
• 擬似逆関数の出力にアフィン変換を適用することで、$\mathbb{F}_2^8$ から $\mathbb{F}_2^8$ への双射S-Boxを生成する。
• 半体多項式環における$ (aX + b)^3 $ の代数的展開を用いて、$\mathbb{S}^2_{2^4}$ 上で擬似立方関数を導出することで、有限体における立方関数を模倣する。
• 2^4次半体のすべての同値類を網羅的に列挙・テストするための効率的アルゴリズムを用いて、多様なS-BoxおよびAPN関数を生成する。
• 非線形性、微分均一性（$\delta$）、代数的次数、アバランチ効果、ビット独立性といった標準的な暗号的基準を用いて、すべての構築された関数を評価する。

実験結果

リサーチクエスチョン

• RQ1 半体に基づく擬似拡張を用いて、AESおよびCamelliaのS-Boxと同等またはそれ以上の暗号的特性を有するS-Boxを生成できるか？
• RQ2 有限体における逆関数および立方関数の挙動を、半体の擬似拡張でどの程度模倣できるか。特に、高い非線形性および低い微分均一性を維持できるか。
• RQ3 この半体の擬似拡張フレームワークを用いて、いくつの異なる同値でないS-BoxおよびAPN関数を生成できるか？
• RQ4 生成されたS-BoxおよびAPN関数は、非線形性、微分均一性、アバランチ効果といった主要基準において最適または近似的に最適な値を達成しているか？
• RQ5 この手法により、完全なアバランチおよびビット独立性スコアを有する、これまでに未知であったAPN関数が得られるか？

主な発見

• 著者らは、半体の擬似拡張$\mathbb{S}^2_{2^4}$から、最大非線形性および微分不変量を有する12,781個の同値でないS-Boxを成功裏に生成した。
• 12,781個のS-Boxのうち120個は、非線形性および微分均一性の観点で、AESおよびCamelliaのS-Boxよりも優れた暗号的スコアを達成した。
• 本手法により、2,684個の新しいほぼ完全非線形（APN）関数が生成され、そのうち336個は完全なアバランチおよびビット独立性の性質を示した。
• $\mathbb{S}^2_{2^4}$ 上の擬似逆関数は、$\mathbb{F}_{2^8}$ における逆関数の暗号的挙動を効果的に模倣でき、高品質なS-Box生成を可能にした。
• 半体多項式環における展開から導出された擬似立方関数は、APN関数を効果的に生成でき、古典的な有限体関数を半体設定で模倣する手法の有効性を示した。
• 256次非同型半体において、$ (\delta, \lambda) = (4, 16) $ を満たすS-Boxは、$\mathbb{F}_{2^8}$ に同型である場合を除き、一切発見されなかった。これは、このような最適パrameterを有する構造が有限体に特有であることを示唆している。