[논문 리뷰] Generating S-Boxes from Semi-fields Pseudo-extensions

Jean‐Guillaume Dumas, Jean-Baptiste Orfila|arXiv (Cornell University)|2014. 11. 10.

Cryptographic Implementations and Security참고 문헌 8인용 수 3

한 줄 요약

이 논문은 유한체 대신 유한 준체의 가짜 확장을 구성하여 고보안 8×8 S-박스와 거의 완벽한 비선형성(APN) 함수를 생성하는 새로운 방법을 제안한다. $\mathbb{S}^2_{2^4}$에서 준체 기반의 가짜 역함수와 가짜 세제곱 함수를 사용하여, 최대 비선형성과 미분 불변성을 갖는 12,781개의 동치가 아닌 S-박스와 2,684개의 새로운 APN 함수를 생성하였으며, 이 중 336개는 완벽한 암호화 효과와 비트 독립성 특성을 갖는다.

ABSTRACT

Specific vectorial boolean functions, such as S-Boxes or APN functions have many applications, for instance in symmetric ciphers. In cryptography they must satisfy some criteria (balancedness, high nonlinearity, high algebraic degree, avalanche, or transparency) to provide best possible resistance against attacks. Functions satisfying most criteria are however difficult to find. Indeed, random generation does not work and the S-Boxes used in the AES or Camellia ciphers are actually variations around a single function, the inverse function in F_2^n. Would the latter function have an unforeseen weakness (for instance if more practical algebraic attacks are developped), it would be desirable to have some replacement candidates. For that matter, we propose to weaken a little bit the algebraic part of the design of S-Boxes and use finite semifields instead of finite fields to build such S-Boxes. Since it is not even known how many semifields there are of order 256, we propose to build S-Boxes and APN functions via semifields pseudo-extensions of the form S_{2^4}^2, where S_{2^4} is any semifield of order 16 . Then, we mimic in this structure the use of functions applied on a finite fields, such as the inverse or the cube. We report here the construction of 12781 non equivalent S-Boxes with with maximal nonlinearity, differential invariants, degrees and bit interdependency, and 2684 APN functions.

연구 동기 및 목표

• AES와 Camellia에서 사용하는 역함수의 대체 S-박스 구조를 개발하여 향후 대수적 공격에 취약해질 수 있는 가능성을 방지하기 위해.
• 2^8 차수의 알려진 준체가 부족한 문제를 해결하기 위해, 2^4 차수의 더 작은 준체($\mathbb{S}_{2^4}$)의 2차 가짜 확장을 구성함으로써.
• 유한체 내의 역함수와 세제곱 함수의 암호학적 행동을 준체 기반의 구조에서 모방하여 유용한 보안 성질을 유지하기 위해.
• 높은 비선형성, 최대 미분 균일성, 완벽한 암호화 효과 등 최적 또는 근접 최적의 암호학적 기준을 갖는 새로운 S-박스와 APN 함수를 생성하기 위해.
• 선형 및 미분 암호분석에 대한 저항력이 향상된 차세대 대칭 암호의 기초로 준체를 사용할 수 있는지의 타당성을 탐색하기 위해.

제안 방법

• 유한체 다항식의 기약성에서 유도된 가짜 기약 조건을 사용하여, 2^4 차수의 준체에서 2차 가짜 확장 $\mathbb{S}^2_{2^4}$를 구성한다.
• 준체 곱셈과 덧셈을 포함한 대수적 표현을 사용하여, $\mathbb{F}_{2^8}$ 내의 역함수 행동을 모방하는 $\mathbb{S}^2_{2^4}$ 상의 가짜 역함수를 정의한다.
• 가짜 역함수의 출력에 애핀 변환을 적용하여 $\mathbb{F}_2^8$에서 $\mathbb{F}_2^8$로의 전단사 S-박스를 생성한다.
• 준체 다항식 환에서 $ (aX + b)^3 $의 대수적 전개를 이용하여, 유한체 내의 세제곱 함수를 모방하는 가짜 세제곱 함수를 $\mathbb{S}^2_{2^4}$ 상에 유도한다.
• 다양한 S-박스와 APN 함수를 생성하기 위해, 2^4 차수 준체의 모든 동치류를 효율적인 알고리즘으로 열거하고 테스트한다.
• 비선형성, 미분 균일성($\delta$), 대수적 차수, 암호화 효과, 비트 독립성 등의 표준 암호학적 기준을 사용하여 모든 생성된 함수를 평가한다.

실험 결과

연구 질문

• RQ1 준체 기반의 가짜 확장은 AES와 Camellia의 성능을 충족하거나 초월하는 암호학적 성질을 갖는 S-박스를 생성하는 데 사용될 수 있는가?
• RQ2 유한체 내의 역함수와 세제곱 함수가 준체 가짜 확장에서 얼마나 잘 모방될 수 있으며, 높은 비선형성과 낮은 미분 균일성을 유지할 수 있는가?
• RQ3 이 준체 가짜 확장 프레임워크를 통해 얼마나 많은 서로 다른 동치가 아닌 S-박스와 APN 함수를 생성할 수 있는가?
• RQ4 생성된 S-박스와 APN 함수는 비선형성, 미분 균일성, 암호화 효과 등의 핵심 기준에서 최적 또는 근접 최적의 값을 달성하는가?
• RQ5 이 방법을 통해 기존에 알려지지 않은 APN 함수, 특히 완벽한 암호화 효과와 비트 독립성 점수를 갖는 함수를 도출할 수 있는가?

주요 결과

• 저자들은 준체 가짜 확장 $\mathbb{S}^2_{2^4}$에서 유래한 12,781개의 동치가 아닌 S-박스를 성공적으로 생성하였으며, 이들 모두 최대 비선형성과 미분 불변성을 갖는다.
• 12,781개의 S-박스 중 120개는 비선형성과 미분 균일성 측면에서 AES와 Camellia S-박스보다 더 뛰어난 암호학적 점수를 확보하였다.
• 이 방법은 2,684개의 새로운 거의 완벽한 비선형성(APN) 함수를 생성하였으며, 이 중 336개는 완벽한 암호화 효과와 비트 독립성 특성을 갖는다.
• $\mathbb{S}^2_{2^4}$ 상의 가짜 역함수는 $\mathbb{F}_{2^8}$ 내의 역함수의 암호학적 행동을 효과적으로 모방하여 고품질의 S-박스 생성을 가능하게 하였다.
• 준체 다항식 전개에서 유도된 가짜 세제곱 함수는 APN 함수를 성공적으로 생성하였으며, 고전적인 유한체 함수의 행동을 준체 환경에서 모방하는 것이 가능함을 보여주었다.
• 256 차수의 비동치 준체에서 $ (\delta, \lambda) = (4, 16) $를 갖는 S-박스는 $\mathbb{F}_{2^8}$에 동치인 경우를 제외하고는 발견되지 않았으며, 이는 이러한 최적 매개변수에 대해 유한체의 구조가 유일함을 시사한다.