[논문 리뷰] On the Differential-Linear Connectivity Table of Vectorial Boolean Functions

Canteaut, Anne, Kölsch, Lukas외 5명|arXiv (Cornell University)|2019. 08. 17.

Coding theory and cryptography참고 문헌 49인용 수 7

한 줄 요약

이 논문은 벡터형 부울 함수의 미분-선형 연결 표(table, DLCT)에 대한 이론적 기반을 구축한다. 이는 함수의 자기상관성과 연결되며, 월리스 변환과 미분 분포 표(Differential Distribution Table, DDT)를 통해 특성화되고, 절대 지표에 대한 경계를 유도한다. 이 논문은 DLCT에서 가장 큰 크기 값이 절대 지표와 (2배의 인자만을 제외하고) 일치함을 증명하며, $(n,n)$-순열의 DLCT 항목이 4의 배수임을 보이고, 애핀 및 EA 동치성 하에 불변임을 보이며, CCZ 동치성 하에선 불변이 아님을 밝힌다.

ABSTRACT

Vectorial Boolean functions are crucial building-blocks in symmetric ciphers. Different known attacks on block ciphers have resulted in diverse cryptographic criteria for vectorial Boolean functions, such as differential uniformity and nonlinearity. Very recently, Bar-On et al. introduced at Eurocrypt'19 a new tool, called the differential-linear connectivity table (DLCT), which allows for taking into account the dependency between the two subciphers $E_0$ and $E_1$ involved in differential-linear attacks. This new notion leads to significant improvements of differential-linear attacks on several ciphers. This paper presents a theoretical characterization of the DLCT of vectorial Boolean functions and also investigates this new criterion for some families of functions with specific forms. More precisely, we firstly reveal the connection between the DLCT and the autocorrelation of vectorial Boolean functions, we characterize properties of the DLCT by means of the Walsh transform of the function and of its differential distribution table, and we present generic bounds on the highest magnitude occurring in the DLCT of vectorial Boolean functions, which coincides (up to a factor~\(2\)) with the well-established notion of absolute indicator. Next, we investigate the invariance property of the DLCT of vectorial Boolean functions under the affine, extended-affine, and Carlet-Charpin-Zinoviev (CCZ) equivalence and exhaust the DLCT spectra of optimal $4$-bit S-boxes under affine equivalence. Furthermore, we study the DLCT of APN, plateaued and AB functions and establish its connection with other cryptographic criteria. Finally, we investigate the DLCT and the absolute indicator of some specific polynomials with optimal or low differential uniformity, including monomials, cubic functions, quadratic functions and inverses of quadratic permutations.

연구 동기 및 목표

• 벡터형 부울 함수를 위한 미분-선형 연결 표(DLCT)의 이론적 특성화를 제공하는 것.
• DLCT와 벡터형 부울 함수의 자기상관성 간의 관계를 조사하는 것.
• $(n,m)$-함수에 대한 절대 지표의 일반적 하한 경계를 도출하고, 그의 나눗셈 성질을 연구하는 것.
• 애핀, 확장 애핀 (EA), 그리고 CCZ 동치성 하에서 DLCT와 자기상관 스펙트럼의 불변성 분석하는 것.
• 애핀 동치 하에서 최적의 4비트 S-박스의 자기상관 스펙트럼을 체계적으로 결정하고, APN, 플라티우드, AB 함수와 같은 특수 클래스를 연구하는 것.

제안 방법

• DLCT와 벡터형 부울 함수의 자기상관 표 간에 2배의 인자만을 제외하고 직접적인 등가성을 수립함.
• 함수의 월리스 변환과 미분 분포 표(DDT)를 사용하여 DLCT를 특성화함.
• DDT와 월리스 스펙트럼의 성질을 활용하여 $(n,m)$-함수의 절대 지표에 대한 일반적 하한 경계를 도출함. 특히 $m \geq n$인 경우에 중점을 둠.
• 벡터형 부울 함수의 자기상관성의 나눗셈 성질에 기반하여, 임의의 $(n,n)$-순열의 자기상관 계수는 4의 배수임을 증명함.
• 애핀, EA, CCZ 동치성 하에서 자기상관 스펙트럼의 불변성을 분석함. 이는 애핀 동치성 하에 불변이며, 최대 크기 값은 EA 동치성 하에 불변이지만 CCZ 동치성 하에선 불변이 아님을 보임.
• Leander와 Poschmann의 분류를 기반으로 모든 최적의 4비트 S-박스의 자기상관 스펙트럼을 체계적으로 계산하고, 단항식, 삼차식, 이차식, 이차 순열의 역수와 같은 특수 다항식을 연구함.

실험 결과

연구 질문

• RQ1 벡터형 부울 함수의 DLCT는 그 자기상관 표와 어떻게 관련되어 있으며, 이 관계는 공식적으로 특성화될 수 있는가?
• RQ2 $(n,m)$-함수에 대해 절대 지표(즉, 첫 번째 행과 열을 제외한 DLCT 내 최대 크기)에 대한 일반적 경계는 무엇이며, 기존 암호학 기준과 어떻게 관련되는가?
• RQ3 DLCT는 애핀, EA, CCZ 동치성 하에서 어느 정도 불변이며, 이는 S-박스 분류에 어떤 영향을 미치는가?
• RQ4 APN, 플라티우드, AB 함수의 자기상관 스펙트럼은 관련된 균형 잡힌 부울 함수의 월리스 변환과 어떻게 관련되는가?
• RQ5 저 미분 균일성과 함께 단항식, 삼차 함수, 이차 함수, 이차 순열의 역수의 정확한 자기상관 스펙트럼은 무엇인가?

주요 결과

• 임의의 벡터형 부울 함수의 DLCT에서 가장 큰 크기 값은 절대 지표와 (2배의 인자만을 제외하고) 일치함. 이는 잘 알려진 암호학적 측정 기준이다.
• 임의의 $(n,n)$-순열의 자기상관 계수는 4의 배수임을 입증하여, 이러한 함수의 DLCT에 강력한 구조적 제약 조건을 설정함.
• 자기상관 스펙트럼은 애핀 동치성 하에 불변이며, 최대 크기 값은 확장 애핀 (EA) 동치성 하에 불변이지만, CCZ 동치성 하에선 불변이 아님.
• 체 $\mathbb{F}_{2^n}$ 상에서 $n > 5$ 인 경우, 골드 APN 순열 $F(x) = x^{2^i+1}$의 역함수의 절대 지표는 $2^{(n+1)/2}$를 초월하여 엄밀히 더 큼. 이는 이 함수가 AB가 아님을 시사함.
• 특히 $n=5$일 경우, 모든 골드 APN 순열의 역함수는 절대 지표가 정확히 8임을 확인하여 최적의 경우에 대해 구체적인 수치적 값을 확인함.
• APN 및 AB 함수의 자기상관성은 특정 클래스의 균형 잡힌 부울 함수의 월리스 변환으로 표현될 수 있으며, 이는 DLCT 성질과 기존의 스펙트럼 특성 간의 연결 고리를 제공함.