[論文レビュー] On the boomerang uniformity of (quadratic) permutations over $F_{2^n}$

Sihem Mesnager, Chunming Tang+1 more|arXiv (Cornell University)|Mar 1, 2019

Coding theory and cryptography参考文献 22被引用数 9

ひとこと要約

本稿は、$\mathbb{F}_{2^n}$ 上の二次的置換関数におけるブーメラン均一性の新しい定式化を提示し、2階微分の零点と関連付ける。偶数次元における微分均一性が4の二次的置換関数に対して、ブーメラン均一性も4であることを証明し、対称暗号における応用およびブーメラン攻撃に対する耐性を備えた最適なSボックスの新規族を確立する。

ABSTRACT

At Eurocrypt'18, Cid, Huang, Peyrin, Sasaki, and Song introduced a new tool called Boomerang Connectivity Table (BCT) for measuring the resistance of a block cipher against the boomerang attack (which is an important cryptanalysis technique introduced by Wagner in 1999 against block ciphers). Next, Boura and Canteaut introduced an important parameter (related to the BCT) for cryptographic Sboxes called boomerang uniformity. In this context, we present a brief state-of-the-art on the notion of boomerang uniformity of vectorial functions (or Sboxes) and provide new results. More specifically, we present a slightly different (and more convenient) formulation of the boomerang uniformity and show that the row sum and the column sum of the boomerang connectivity table can be expressed in terms of the zeros of the second-order derivative of the permutation or its inverse. Most importantly, we specialize our study of boomerang uniformity to quadratic permutations in even dimension and generalize the previous results on quadratic permutation with optimal BCT (optimal means that the maximal value in the Boomerang Connectivity Table equals the lowest known differential uniformity). As a consequence of our general result, we prove that the boomerang uniformity of the binomial differentially $4$-uniform permutations presented by Bracken, Tan, and Tan equals $4$. This result gives rise to a new family of optimal Sboxes.

研究の動機と目的

• ベクトル関数におけるブーメラン均一性の定式化を精緻化・簡素化すること。
• ブーメラン均一性と置換関数の2階微分との間の関係を確立すること。
• 最良のブーメラン接続表（BCT）を有する既存の二次的置換関数に関する結果を一般化すること。
• Bracken, Tan, および Tan が提案した二項式微分4均一置換関数がブーメラン均一性4を有することを証明すること。
• 偶数次元における最適なブーメラン均一性を有する二次的置換関数の新規族を同定すること。

提案手法

• 置換関数の2階微分を用いたブーメラン均一性の見直し定式化を導入すること。
• ブーメラン接続表（BCT）の行和・列和を、$F$ もしくは $F^{-1}$ の2階微分の零点の観点から表現すること。
• 偶数次元における$\mathbb{F}_{2^n}$ 上の二次的置換関数に注目し、微分均一性が4であるものに絞って分析すること。
• このような置換関数に対して、BCTにおける最大値が微分均一性によって上限付けられることを示し、ブーメラン均一性が4に等しいことを証明すること。
• 有限体の代数的恒等式および性質を用いて、特定の条件下で$\mathrm{BCT}_F(a,b) \leq q$ が成り立ち、結果として $b(F) = q$ が得られることを示すこと。
• 一般結果を既知の構成に適用し、$F(x) = x^{2^t+1}$ および $F(x) = x^{2^m+2} + \lambda x$ などの例を検証し、ブーメラン均一性を確認すること。

実験結果

リサーチクエスチョン

• RQ1 2階微分を用いることで、二次的置換関数のブーメラン均一性をより便利に特徴付けることができるか？
• RQ2 BCTの行和・列和と、置換関数の2階微分の零点との間にどのような関係があるか？
• RQ3 $\mathbb{F}_{2^n}$ 上の微分均一性4の二次的置換関数で、$n$ が偶数である場合、常にブーメラン均一性4を有するか？
• RQ4 一般結果を用いて、最適なブーメラン均一性を有する新規な置換関数族を構成できるか？
• RQ5 従来の構成を超えて、最良のBCTを有する二次的置換関数の例は十分に豊富に存在するか？

主な発見

• 微分均一性4の二項式置換関数 $F(x) = x^{2^t+1}$ で、$n \equiv 2 \pmod{4}$ かつ $\gcd(t,n) = 2$ を満たすものについては、ブーメラン均一性が正確に4に等しい。
• $n = 2m$、$m$ が奇数、$l$ が $\mathbb{F}_{2^n}^*$ 内で位数3を有するとき、置換関数 $F(x) = x^{2^m+2} + \lambda x$ のブーメラン均一性は4である。
• 一般結果により、偶数次元 $\mathbb{F}_{2^n}$ 上の微分均一性4の任意の二次的置換関数が、ブーメラン均一性4を有することが証明された。
• 追加の置換関数族 $F(x) = \beta x^{2^s+1} + \beta^{2^k} x^{2^{-k}+2^{k+s}}$ は、$n=3k$、$k \equiv 2 \pmod{4}$、$3 \nmid k$、$g\gcd(n,s)=2$ を満たす場合、ブーメラン均一性4を有する。
• $\mathbb{F}_{2^6}$ 上の数値実験により、$g\gcd(n,s)=2$ かつ $n \equiv 2 \pmod{4}$ を満たす形の $F(x) = x^{2^{s+1}+2} + A x + B x^4 + C x^{16}$ の二次的置換関数が960個存在し、最良のBCTを有することが確認された。
• このような置換関数の数は、[4, 系8] や [23, 定理5.3] で知られていた構成を上回っており、最適なSボックスが豊富に存在することが示された。