[论文解读] Wreath Products in Stream Cipher Design

Vladimir Anashin|arXiv (Cornell University)|Feb 5, 2006

Coding theory and cryptography参考文献 16被引用 7

一句话总结

本文提出了一种新型流密码设计，采用褶积积（wreath products）与T-函数——即由算术与按位运算组合而成、可在现代处理器上高效实现的函数。在较弱条件下，该设计证明了生成的密钥流具有最大周期、均匀分布、高线性复杂度，且对代数与统计密码分析具有强抗性，适用于高性能、安全的软件实现。

ABSTRACT

The paper develops a novel approach to stream cipher design: Both the state update function and the output function of the corresponding pseudorandom generators are compositions of arithmetic and bitwise logical operations, which are standard instructions of modern microprocessors. Moreover, both the state update function and the output function are being modified dynamically during the encryption. Also, these compositions could be keyed, so the only information available to an attacker is that these functions belong to some exponentially large class. The paper shows that under rather loose conditions the output sequence is uniformly distributed, achieves maximum period length and has high linear complexity and high $\ell$-error linear complexity. Ciphers of this kind are flexible: One could choose a suitable combination of instructions to obtain due performance without affecting the quality of the output sequence. Finally, some evidence is given that a key recovery problem for (reasonably designed) stream ciphers of this kind is intractable up to plausible conjectures.

研究动机与目标

• 开发一种新型流密码设计方法，利用标准处理器指令以实现可移植性与高效性。
• 确保生成的密钥流具有最大周期、均匀分布与高线性复杂度。
• 证明在合理计算假设下，即使已知部分输出，密钥恢复问题仍为不可行。
• 基于褶积积与T-函数，为构造密码学强伪随机生成器提供数学基础。

提出的方法

• 状态更新函数定义为 $ x_{i+1} = (i \bmod m + x_i + 4 \cdot v_{i\bmod m}(x_i)) \bmod 2^n $，其中 $ v_j $ 为由算术与按位运算构成的T-函数。
• 输出函数为 $ z_i = (1 + \pi(x_i) + 4 \cdot w_{i\bmod m}(\pi(x_i))) \bmod 2^n $，其中 $ \pi $ 为反转 $ x_i $ 的位序。
• 系统在 $ m $ 个不同的T-函数之间动态切换，用于状态与输出更新，确保结构多样性。
• 该构造依赖于T-函数的数学性质，以及其与 $ p $-进分析和遍历理论的兼容性。
• 通过分析其二进制对应序列，证明了对于 $ k \leq n $，$ k $-元组的分布为均匀分布。
• 由于将位函数表示为代数正规形式（ANF）时，单项式数量呈指数增长，因此密钥恢复攻击不可行。

实验结果

研究问题

• RQ1 能否仅使用标准处理器指令（算术与按位运算）构造出具有最大周期与高线性复杂度的流密码？
• RQ2 通过轮换使用一组T-函数动态修改状态与输出函数，是否能保持密钥流的强统计特性？
• RQ3 在合理计算假设下，此类密码的密钥恢复问题是否不可行？
• RQ4 在伪随机生成器设计中使用褶积积结构，能否实现如高 $ \ell $-误差线性复杂度与2-进跨度等可证明的安全属性？

主要发现

• 密钥流达到最大可能周期长度 $ 2^n m $，且每个 $ n $-位值在循环中恰好出现 $ m $ 次。
• 状态序列的二进制对应序列周期为 $ 2^n m n $，且所有 $ k $-元组（$ k \leq n $）的出现频率精确为 $ 1/2^k $，确保均匀分布。
• 每个比特流 $ \{\delta_s(z_i)\} $ 的线性复杂度超过 $ 2^{n-1} $，表明对线性密码分析具有强抗性。
• $ \ell $-误差线性复杂度也较高，表明对密钥流中的误差具有鲁棒性。
• 位函数在代数正规形式（ANF）表示中，单项式数量随 $ n $ 呈指数增长，使得在无界次数限制下代数攻击不可行。
• 实证测试表明，输出序列通过了 DIEHARD 与 NIST 统计测试套件，支持其伪随机性。