[论文解读] Generating and Exploring S-Box Multivariate Quadratic Equation Systems with SageMath

Anastasia-Maria Leventi-Peetz, J.-V. Peetz|arXiv (Cornell University)|Jun 13, 2015

Cryptographic Implementations and Security参考文献 6被引用 2

一句话总结

本论文提出一种基于SageMath的方法，用于自动生成并分析密码学S盒（如Rijndael的S盒）的多变量二次（MQ）方程组。结果表明，常用代数攻击抗性（RAA）度量指标（如Cui等人提出的指标）无法准确预测实际求解难度，SAT求解器实验显示，度量得分与实际计算开销之间无显著相关性。

ABSTRACT

A new method to derive Multivariate Quadratic equation systems (MQ) for the input and output bit variables of a cryptographic S-box from its algebraic expressions with the aid of the computer mathematics software system SageMath is presented. We consolidate the deficiency of previously presented MQ metrics, supposed to quantify the resistance of S-boxes against algebraic attacks.

研究动机与目标

• 开发一种自动、透明的方法，从S盒的代数表达式中生成多变量二次（MQ）方程组。
• 批判性评估Cui等人及Courtois-Pieprzyk提出的现有RAA（代数攻击抗性）度量的有效性。
• 证明Cui等人声称的改进型S盒（SAIA）尽管RAA度量得分高，但其密码学安全性并未真正提升。
• 展示SageMath能够实现MQ系统及其Gröbner基的快速、可验证分析，适用于S盒评估。
• 挑战一种假设：即更高的度量值（如log2(Γ)、log2(ΓCP)）表示更强的代数攻击抗性。

提出的方法

• 利用SageMath在GF(2)上构建多项式环，并在不可约多项式m(t) = t^8 + t^4 + t^3 + t + 1的模下构造商环。
• 通过拉格朗日插值和模逆运算，将输入、中间和输出字节变量建模为GF(2)[t]/(m(t))上的多变量多项式。
• 通过展开逆变换与仿射变换的复合（SRD = A ∘ I），自动推导出MQ系统。
• 利用SageMath与PolyBoRi/BRiAl的集成，为生成的MQ系统计算Gröbner基。
• 采用SAT求解器计算MQ系统的实际求解时间，作为代数攻击难度的实际度量。
• 将理论上的RAA度量得分（如log2(Γ)、log2(ΓCP)）与SAT求解器的实际性能进行比较，以检验其预测有效性。

实验结果

研究问题

• RQ1 Cui等人提出的RAA度量是否能准确预测从S盒导出的MQ系统求解难度？
• RQ2 声称更具代数攻击抗性的S盒SAIA，其实际求解难度是否显著高于原始的Rijndael S盒？
• RQ3 SageMath能否有效用于自动化并验证S盒MQ系统的生成及其分析？
• RQ4 为何高RAA度量得分与SAT求解器的实际求解时间之间无相关性？
• RQ5 S盒的更复杂代数表达式是否可能导致更简单、更易求解的MQ系统？

主要发现

• Rijndael S盒的MQ系统（23个方程，81个单项式）由SAT求解器在0.6秒内求解，而SAIA S盒的MQ系统（2,039个方程，18,232个单项式）耗时7秒——与预测的难度增加相矛盾。
• SAIA S盒的log2(ΓCP)得分为28.5（Rijndael为20.0），但其SAT求解时间仅从0.6秒增至7秒，未显示显著难度提升。
• 通过代数简化得到的SAIA S盒更简单MQ系统仅含32个方程和137个单项式，求解时间仅0.8秒，与原始Rijndael的0.7秒相当。
• SAIA MQ的Gröbner基包含8个7次方程，共263个单项式，其SAT求解时间（0.15秒）快于原始Rijndael Gröbner基的0.7秒。
• 未发现RAA度量得分（如log2(Γ)、log2(ΓCP)）与实际SAT求解器运行时间之间存在一致相关性，表明其作为硬度预测指标不可靠。
• 原始Rijndael S盒映射为Cui等人提出的AIA形式后，生成了含2,039个方程和18,232个单项式的MQ系统——表明复杂表达式并不必然导致更难的系统。