[论文解读] Generating S-Boxes from Semi-fields Pseudo-extensions

Jean‐Guillaume Dumas, Jean-Baptiste Orfila|arXiv (Cornell University)|Nov 10, 2014

Cryptographic Implementations and Security参考文献 8被引用 3

一句话总结

本文提出了一种新颖的方法，通过构建有限半域的伪扩张而非有限域，生成高安全性的8×8 S-Boxes和几乎完美非线性（APN）函数。利用基于半域的伪逆和在$\mathbb{S}^2_{2^4}$上的伪立方运算，作者生成了12,781个非等价S-Boxes，其具有最大非线性度和差分不变量，以及2,684个新的APN函数，其中包括336个具备完美雪崩和位独立性特性的函数。

ABSTRACT

Specific vectorial boolean functions, such as S-Boxes or APN functions have many applications, for instance in symmetric ciphers. In cryptography they must satisfy some criteria (balancedness, high nonlinearity, high algebraic degree, avalanche, or transparency) to provide best possible resistance against attacks. Functions satisfying most criteria are however difficult to find. Indeed, random generation does not work and the S-Boxes used in the AES or Camellia ciphers are actually variations around a single function, the inverse function in F_2^n. Would the latter function have an unforeseen weakness (for instance if more practical algebraic attacks are developped), it would be desirable to have some replacement candidates. For that matter, we propose to weaken a little bit the algebraic part of the design of S-Boxes and use finite semifields instead of finite fields to build such S-Boxes. Since it is not even known how many semifields there are of order 256, we propose to build S-Boxes and APN functions via semifields pseudo-extensions of the form S_{2^4}^2, where S_{2^4} is any semifield of order 16 . Then, we mimic in this structure the use of functions applied on a finite fields, such as the inverse or the cube. We report here the construction of 12781 non equivalent S-Boxes with with maximal nonlinearity, differential invariants, degrees and bit interdependency, and 2684 APN functions.

研究动机与目标

• 开发替代AES和Camellia中逆函数的S-Box构造方法，以应对未来代数攻击可能带来的脆弱性。
• 通过构造较小半域（$\mathbb{S}_{2^4}$）的2次伪扩张，解决已知$2^8$阶半域缺失的问题。
• 在基于半域的结构中模拟有限域中逆函数和立方函数的密码学行为，以保持理想的安全部性特性。
• 生成具有最优或近似最优密码学标准的新S-Boxes和APN函数，如高非线性度、最大差分均匀度以及完美雪崩特性。
• 探索将半域作为下一代对称密码基础的可行性，以增强对线性和差分密码分析的抵抗能力。

提出的方法

• 通过源自有限域多项式不可约性的伪不可约性条件，从$2^4$阶半域构造2次伪扩张$\mathbb{S}^2_{2^4}$。
• 在$\mathbb{S}^2_{2^4}$上定义伪逆函数，通过涉及半域乘法和加法的代数表达式，模拟$\mathbb{F}_{2^8}$中逆函数的行为。
• 对伪逆函数的输出应用仿射变换，生成从$\mathbb{F}_2^8$到$\mathbb{F}_2^8$的双射S-Boxes。
• 通过半域多项式环中$(aX + b)^3$的代数展开，推导出$\mathbb{S}^2_{2^4}$上的伪立方函数，以模拟有限域中的立方函数。
• 使用高效算法枚举并测试所有$2^4$阶半域的同构类，以生成多样化的S-Boxes和APN函数。
• 使用标准密码学准则评估所有构造的函数：非线性度、差分均匀度（$\delta$）、代数次数、雪崩效应和位独立性。

实验结果

研究问题

• RQ1 基于半域的伪扩张是否可用于生成密码学特性与AES和Camellia相当或更优的S-Boxes？
• RQ2 在半域伪扩张中，有限域中的逆函数和立方函数在在多大程度上可被模拟，同时保持高非线性度和低差分均匀度？
• RQ3 使用此半域伪扩张框架可生成多少种不同且非等价的S-Boxes和APN函数？
• RQ4 所生成的S-Boxes和APN函数是否在关键指标上达到最优或近似最优值，如非线性度、差分均匀度和雪崩效应？
• RQ5 该方法是否能产生新的、此前未知的APN函数，特别是具备完美雪崩和位独立性评分的函数？

主要发现

• 作者成功从半域伪扩张$\mathbb{S}^2_{2^4}$中生成了12,781个非等价S-Boxes，全部具有最大非线性度和差分不变量。
• 在12,781个S-Boxes中，有120个在非线性度和差分均匀度方面优于AES和Camellia S-Boxes的性能。
• 该方法生成了2,684个新的几乎完美非线性（APN）函数，其中336个表现出完美雪崩和位独立性特性。
• 在$\mathbb{S}^2_{2^4}$上定义的伪逆函数有效模拟了$\mathbb{F}_{2^8}$中逆函数的密码学行为，从而实现了高质量S-Box的生成。
• 通过半域多项式展开推导出的伪立方函数成功生成了APN函数，证明了在半域结构中模仿经典有限域函数的可行性。
• 在非同构的256阶半域中，未发现$(\delta, \lambda) = (4, 16)$的S-Boxes，除非其同构于$\mathbb{F}_{2^8}$，这凸显了有限域结构在实现此类最优参数时的独特性。