[论文解读] $4$-uniform BCT permutations from generalized butterfly structure

Nian Li, Zhao Hu+2 more|arXiv (Cornell University)|Jan 2, 2020

Cryptographic Implementations and Security参考文献 19被引用 9

一句话总结

本文提出在 $\mathbb{F}_{2^{4k+2}}$ 上的第六个无限排列家族，具有 4-均匀的回旋均匀性（BCT），通过广义蝴蝶结构构造。通过分析有限域上的迹函数和不变量，作者证明这些排列在差分和回旋风格密码分析中均达到最优抗性，扩展了偶维向量空间中已知的构造。

ABSTRACT

As a generalization of Dillon's APN permutation, butterfly structure and generalizations have been of great interest since they generate permutations with the best known differential and nonlinear properties over the field of size $2^{4k+2}$. Complementary to these results, we show in this paper that butterfly structure, more precisely the closed butterfly also yields permutations with the best boomerang uniformity, a new and important parameter related to boomerang-style attacks. This is the sixth known infinite family of permutations in the literature with the best known boomerang uniformity over such fields.

研究动机与目标

• 在偶数维中构造新的 4-均匀 BCT 排列，特别是针对 $n \equiv 2 \pmod{4}$ 的情形，此时 APN 排列尚未知。
• 扩展已知的具有最优 BCT 性质的排列家族，解决在更高偶维中构造此类函数的开放问题。
• 证明广义蝴蝶结构可产生具有目前已知最佳回旋均匀性的排列，补充现有关于差分均匀性的结果。

提出的方法

• 在 $\mathbb{F}_{2^m} \times \mathbb{F}_{2^m}$ 上使用闭合蝴蝶结构，由一个双变量多项式 $R(x,y)$ 参数化，对每个 $y$ 诱导排列。
• 利用有限域上的迹函数和代数恒等式分析 Boomerang Connectivity Table (BCT) 的条目。
• 应用涉及 $z$、$\overline{z}$ 和 $\theta$ 的表达式的不变性性质，证明 $\operatorname{Tr}_1^n(\Delta_z)$ 在 $Z_a = \{a, \eta_a, a + \eta_a\}$ 上以受控方式消失。
• 利用 $S_F(a,b)$（即 BCT 方程的解数）的基于迹的表征，将最大值限制在 4 以内。
• 借助 $\phi(z)$、$H(z)$ 和 $E(z)$ 的对称恒等式和代换，代数化简并求值 BCT 条目。
• 通过证明 $\beta(F) \leq 4$，即对所有 $a,b \neq 0$，有 $S_F(a,b) \leq 4$ 或 $S_F(a,b) = 0$，取决于迹的行为。

实验结果

研究问题

• RQ1 广义蝴蝶结构是否能在偶数维 $n \equiv 2 \pmod{4}$ 中生成具有 4-均匀 BCT 的排列？
• RQ2 闭合蝴蝶构造是否能产生具有最优回旋均匀性的函数，其性能可与或优于已知家族相媲美？
• RQ3 哪些代数不变量和迹恒等式控制此类构造中 BCT 条目的行为？

主要发现

• 所提出的排列家族实现 $\beta(F) \leq 4$，确认了 4-均匀的回旋均匀性。
• 该构造提供了在 $\mathbb{F}_{2^{4k+2}}$ 上具有 4-均匀 BCT 的第六个已知无限排列家族，填补了文献中的空白。
• 证明依赖于证明 $\operatorname{Tr}_1^m(\Delta_z) = 0$ 对于 $Z_a$ 中至多一个 $z$ 成立，或对所有 $z \in Z_a$ 成立，从而限制了解的数量。
• 当 $\operatorname{Tr}_1^m(\Delta_z) = 0$ 对所有 $z \in Z_a$ 成立时，BCT 条目 $S_F(a,b) = 0$，确保均匀性不会出现爆炸。
• $E(z)$ 的不变性和在 $Z_a$ 上的迹恒等式在限制 BCT 方程解数方面起着关键作用。
• 该方法避免了显式计算复合逆，转而使用对称迹恒等式高效求值 BCT 条目。