[论文解读] Balanced permutations Even-Mansour ciphers

Shoni Gilboa, Shay Gueron+1 more|IACR Cryptology ePrint Archive|Sep 1, 2014

Cryptographic Implementations and Security参考文献 5被引用 6

一句话总结

本文提出了一种基于 AES 的新型 256 位块密码构造方法（EM256AES），采用源自 Luby-Rackoff 框架的平衡置换，实现了 Even-Mansour 块密码的新构造。该方案证明了对于发起 $ o(2^{n/2}) $ 次查询的敌手，该密码不可区分于随机置换，提供了接近原生 AES 的实用安全性和性能，仅带来约 2 倍的性能开销。

ABSTRACT

The $r$-rounds Even-Mansour block cipher is a generalization of the well known Even-Mansour block cipher to $r$ iterations. Attacks on this construction were described by Nikolić et al. and Dinur et al., for $r = 2, 3$. These attacks are only marginally better than brute force, but are based on an interesting observation (due to Nikolić et al.): for a "typical" permutation $P$, the distribution of $P(x) \oplus x$ is not uniform. This naturally raises the following question. Call permutations for which the distribution of $P(x) \oplus x$ is uniform "balanced." Is there a sufficiently large family of balanced permutations, and what is the security of the resulting Even-Mansour block cipher? We show how to generate families of balanced permutations from the Luby-Rackoff construction, and use them to define a $2n$-bit block cipher from the $2$-rounds Even-Mansour scheme. We prove that this cipher is indistinguishable from a random permutation of $\{0, 1\}^{2n}$, for any adversary who has oracle access to the public permutations and to an encryption/decryption oracle, as long as the number of queries is $o (2^{n/2})$. As a practical example, we discuss the properties and the performance of a $256$-bit block cipher that is based on our construction, and uses AES as the public permutation.

研究动机与目标

• 解决标准 Even-Mansour 密码在公开置换非均匀随机时的安全局限性，特别是由于 $ P(x) \oplus x $ 分布不均所致。
• 使用相同的 $ n $-位置换通过两轮 Luby-Rackoff 构造，构建一个大型平衡置换家族——其中 $ P(x) \oplus x $ 均匀分布。
• 利用这些平衡置换设计一个安全的 2n-位块密码，确保在标准自适应 chosen-plaintext 和 chosen-ciphertext 查询下，与随机置换不可区分。
• 通过具体实例化 EM256AES，评估该构造的实用性和性能，其中以 AES 作为底层原 primitive。

提出的方法

• 通过使用两个相同的 $ n $-位置换，对 $ \{0,1\}^{2n} $ 上的两轮 Luby-Rackoff 构造，构建 $ \{0,1\}^{2n} $ 上的平衡置换。
• 将这些平衡置换作为公开组件，用于包含秘密密钥 $ K_0, K_1, K_2 $ 的两轮 Even-Mansour 密码。
• 通过混合论证法证明：对于发起 $ o(2^{n/2}) $ 次加密/解密预言机查询的敌手，该密码与随机置换不可区分。
• 分析任何敌手的优势在对公开置换的查询次数上为线性，在对加密/解密预言机的查询次数上为二次方。
• 设计一个实用实例 EM256AES，使用 AES 作为基础置换，支持 256 位块大小和 128 位 IV。
• 在现代硬件上使用 AES-NI 指令集对 EM256AES 进行优化与基准测试，与 AES 和 Rijndael-256 的性能进行比较。

实验结果

研究问题

• RQ1 能否构造出足够大的平衡置换家族，使得 $ P(x) \oplus x $ 在 $ \{0,1\}^n $ 上均匀分布？
• RQ2 使用此类平衡置换的 Even-Mansour 密码是否仍能保持强安全性，即使公开置换并非均匀随机选择？
• RQ3 该 2n-位块密码在加密和公开置换预言机查询复杂度方面的具体安全界是什么？
• RQ4 该新密码在实际应用中与标准 AES 和其他 256 位块密码相比，性能表现如何？
• RQ5 该构造能否通过将 IV 用作可调节参数并每轮会话刷新密钥，适配为支持可调节加密？

主要发现

• 通过使用相同的 $ n $-位置换进行两轮 Luby-Rackoff 构造，可以构建 $ \{0,1\}^{2n} $ 上的平衡置换家族，确保 $ P(x) \oplus x $ 均匀分布。
• 由此产生的 2n-位 Even-Mansour 密码对任何发起 $ o(2^{n/2}) $ 次加密/解密预言机查询且对公开置换发起次指数级查询的敌手，与随机置换不可区分。
• 该安全界是紧致的，即存在 $ O(2^{n/2}) $ 次查询的区分攻击，与标准 EM 密码最优已知攻击的查询复杂度一致。
• 实际实现的 EM256AES 密码（基于 AES）在 Intel Haswell 处理器上，串行模式下吞吐量为每字节 8.92 个周期，平行模式下为 1.44 个周期，约为 AES 同模式下速度的一半。
• 尽管使用相同的 AES-NI 指令集，EM256AES 的性能仍显著优于 Rijndael-256（每字节 3.85 个周期）。
• 提出一种协议设计：每 $ 2^{n/3} $ 个块刷新一次密钥，从而限制每把密钥的暴露面，并确保在推导出的查询界内保持安全。