[论文解读] Quantum impossible differential and truncated differential cryptanalysis

Huiqin Xie, Li Yang|arXiv (Cornell University)|Dec 18, 2017

Quantum Computing Algorithms and Architecture参考文献 18被引用 4

一句话总结

本文提出两种基于 Bernstein-Vazirani 算法的量子算法，用于在分组密码中寻找高概率截断差分和不可能差分。通过将多轮视为单一的黑箱函数，并利用量子振幅放大技术，这些算法在经典方法上实现了二次加速，能够在不依赖概率为1的差分特征的情况下发现更一般的不可能差分，从而提升了对对称密码的后量子密码分析能力。

ABSTRACT

Traditional cryptography is suffering a huge threat from the development of quantum computing. While many currently used public-key cryptosystems would be broken by Shor's algorithm, the effect of quantum computing on symmetric ones is still unclear. The security of symmetric ciphers relies heavily on the development of cryptanalytic tools. Thus, in order to accurately evaluate the security of symmetric primitives in the post-quantum world, it is significant to improve classical cryptanalytic methods using quantum algorithms. In this paper, we focus on two variants of differential cryptanalysis: truncated differential cryptanalysis and impossible differential cryptanalysis. Based on the fact that Bernstein-Vazirani algorithm can be used to find the linear structures of Boolean functions, we propose two quantum algorithms that can be used to find high-probability truncated differentials and impossible differentials of block ciphers, respectively. We rigorously prove the validity of the algorithms and analyze their complexity. Our algorithms treat all rounds of the reduced cipher as a whole and only concerns the input and output differences at its both ends, instead of specific differential characteristics. Therefore, to a certain extent, they alleviate the weakness of conventional differential cryptanalysis, namely the difficulties in finding differential characteristics as the number of rounds increases.

研究动机与目标

• 通过使用量子算法增强经典密码分析技术，应对量子计算对对称密码日益增长的威胁。
• 克服经典差分密码分析的局限性，特别是随着轮数增加时寻找差分特征的指数级困难。
• 开发能够高效识别分组密码中高概率截断差分和不可能差分的量子算法，且不依赖于概率为1的差分特征。
• 通过避免对量子预言机查询的需求，降低量子攻击者的资源要求，提升实用性。
• 通过增进对量子密码分析能力的理解，为设计抗量子对称原 primitive 提供基础。

提出的方法

• 所提出的方法使用 Bernstein-Vazirani (BV) 算法识别表示分组密码输入输出差分映射的布尔函数中的线性结构。
• 在截断差分密码分析中，该算法将密码的轮函数视为黑箱函数，并应用 BV 算法检测高概率的输入输出差分对。
• 在不可能差分密码分析中，该方法构建两个函数以表示差分的前向和后向传播，并利用 BV 算法检测不可能以概率1发生的输入输出对。
• 该方法通过仅关注端到端的输入输出差分，避免追踪各轮之间的个体差分特征，从而降低复杂度。
• 经典计算的时间复杂度降低至 O((r−2)(2n⁴ + nα log α))，并通过振幅放大实现量子加速。
• 这些算法仅需 n + m + 1 量子比特，通过在函数评估之间复用量子比特，且无需量子预言机访问，因此更具实用性。

实验结果

研究问题

• RQ1 量子算法能否比经典方法更高效地在分组密码中寻找高概率截断差分？
• RQ2 Bernstein-Vazirani 算法能否在不依赖概率为1的差分特征存在的情况下检测不可能差分？
• RQ3 与经典中间相遇技术相比，所提出的量子方法在不可能差分密码分析中的效率和通用性如何？
• RQ4 该量子算法能否发现密钥无关的差分，从而扩大密码分析的适用范围？
• RQ5 在后量子环境下，将量子算法应用于对称密码分析的资源成本（量子比特数、时间、数据）是多少？

主要发现

• 所提出的截断差分密码分析量子算法可识别高概率的输入输出差分对，经典计算的时间复杂度为 O((r−2)(2n⁴ + nα log α))，并通过振幅放大实现二次加速。
• 不可能差分密码分析算法通过分析端到端的差分传播，检测一般不可能差分，且无需依赖中间的、概率为1的差分特征，因此发现的案例比经典方法更广泛。
• 该方法仅需 n + m + 1 个量子比特，因量子比特在评估间被复用，降低了物理资源需求。
• 这些算法无需量子预言机访问，因此比依赖 Q2 类查询的先前量子攻击更具实用性。
• 对于任意满足 δ′_E^(r−1) ≤ p₀ < 1 的分组密码，若经典中间相遇技术可找到一个不可能差分，则所提算法亦可找到该差分，表明其具有更广的适用性。
• 该算法所发现的不可能差分具有密钥无关性，相较于依赖密钥特定特征的经典方法，其应用价值更高。