1 引言

分组密码是现代密码学的重要组成部分,它广泛应用于军事、金融、外交、政治等各个方面.分组密码具有加密速度快、易于标准化、便于软件实现等特点,在数据加密、消息认证、伪随机数生成器中都有广泛地应用.现阶段对于分组密码的研究随着不同的应用背景产生了不同的变化,在网络通信快速发展的阶段,轻量级分组密码应运而生,轻量级密码的典型算法包括 PESENT[1]、PRINT[2]、M idori[3]、PRINCE[4]、SKINNY[5]、M IBS[6]等,SKINNY是一种由Beierle等人在2016年美密会[5]上提出的SPN型轻量级密码算法,目标与NSA近期设计的SIMON[7]算法在软硬件表现上相抗衡,且在单密钥条件下,SKINNY在一定轮数下有着更强的安全界.与SIMON类似,SKINNY有较大的分组长度和密钥长度,共有6个版本 (SKINNY-n-t,SKINNY-n-2t,SKINNY-n-3t),分组长度 n可为64-bit或 128-bit,密钥长度t可为n,2n或3n.SKINNY采用可调的密钥,有灵活的密钥长度,因此被称为可调分组密码算法.

不可能差分攻击是目前对于SKINNY算法的攻击的有效攻击之一,其余攻击包括线性攻击、差分攻击、零相关攻击等.SKINNY的设计者利用发现的11轮不可能差分区分器,对SKINNY-n-t(n=64或n=128)进行了16轮不可能差分攻击.Mohamed Tolba等人[8]利用设计者提出的11轮不可能差分区分器分别提出了对18,20,22轮SKINNY-n-t(n=64或n=128),SKINNY-n-2t(n=64或n=128),SKINNY-n-3t(n=64或n=128)的不可能差分攻击.本文利用中间相错思想找出了SKINNY在区分器输入输出只有一个活动块的情况下存在的最长长度达到11轮的所有16个截断不可能差分,并利用找出的多条不可能差分路径进行了对SKINNY算法的多差分分析,从分析结果可以看出:由于算法优良的扩散性质,导致利用共享字块减少攻击计算量的目标无法实现.因此,重点进行了单条路径的不可能差分攻击,通过结合S盒的性质、列混合变换性质和由可调密钥编排算法推导出的轮可调密钥之间的关系,采用并行攻击技术和早夭技术[9],实现了对20轮SKINNY-64-128的攻击.其中,并行攻击技术不同于以往串行地依次猜测每轮轮密钥的过程,而是将密钥猜测过程并行地分为两部分;早夭技术使得在满足设定条件后可停止搜索,减少了时间复杂度,能够使攻击更为有效地排除错误的候选密钥.攻击需要229个选择明文对,时间复杂度为2119.3,存储量为294个半字节.和现有结果[8]相比,在对SKINNY-64-128攻击中,减少了时间复杂度和数据复杂度,存储复杂度294个半字节相当于289个文本对,因而有所增加.我们将攻击结果与现有的SKINNY-64-128的不可能差分结果进行对比,如表1所示:

本文结构安排如下:在第2节对SKINNY算法进行符号说明及简要描述;第3节利用中间相错技术构造SKINNY算法的不可能差分区分器并给出所有16个最长11轮的SKINNY不可能差分区分器;第4节先利用可调密钥编排算法给出了轮子密钥之间的关系,再利用并行攻击技术和早夭技术,结合S盒和列混合变换性质,给出了对SKINNY-64-128的20轮不可能差分攻击,并给出了具体的计算复杂度;第5节是对本文的总结.

本文中我们提出了一个基于BGP的域间二维路由的设计方案，域间二维路由在进行路由决策的时候同时考虑目的地址和源地址，实现了灵活的流量控制，能够满足用户的多样化需求。本文中我们设计了域间二维路由协议的控制层，使用MPBGP的可选属性携带二维路由的配置信息，同时兼容传统路由协议，方便ISP进行增量部署。我们还给出了适用于域间二维路由的数据层设计，使用前人提出的FISE转发表结构，可以解决二维转发表造成的TCAM空间爆炸的问题。整体而言，域间二维路由是一种新型路由方式，灵活和细粒度的流量控制使得其具有很好的应用前景。

 

表1 SKINNY的不可能差分结果对比Table 1 Summ ary of impossible-diff erential of SKINNY

  

∗表示文献[8]未考虑SKINNY算法M C变换非MDS矩阵的性质,其时间复杂度应高于给出的具体数值.

 

SK IN N Y版本 轮数 时间复杂度 数据复杂度 存储复杂度 文献SKINNY-64-64 18 257.1 247.52 25 8.52 [8]SKINNY-128-128 18 2116.94 292.42 21 15.42 [8]SKINNY-64-128 20 2121.08 247.69 27 4.69 [8]∗SKINNY-64-128 20 2119.3 229 28 9 本文4.2节SKINNY-128-256 20 2245.72 292.1 21 47.1 [8]

2 SKINNY算法

2.1 符号说明

n,t,z:n,t分别为分组长度和密钥长度,z=t/n;

换位思考法就是在解决纠纷时，要从不同的立场、角度、高度、层次进行深入细致的分析和研究的一种调解方法。通过该方法做到考虑周全，使问题解决彻底，不留后遗症。换位思考法一般针对刚愎自用、固执己见、爱争强好胜的纠纷当事人而使用。

在第17轮MC变换前△w16的第四列中:△w16[3,7]̸=0,△w16[11,15]=0,MC变化后△x17的第四列中:△x17[3,7,11,15]̸=0,利用 M−1性质有:△x17[7]⊕△x17[11]⊕△x17[15]=0,△x17[7]⊕△x17[15]̸=0,△x17[3]⊕△x17[15]=0,故 △x17[3,7]有 (24−1)·(24−2)≈ 28个可能值.由性质1知,第 18轮 S盒输入 x17[3,7]约有 28个个可能值,对应 28个输出 y17[3,76].又由 TK 17[3,7]=y17[3,7]⊕z17[3,7]知,TK 17[3,7]共有28个取值.

第(4)步时间复杂度是232×2n+55×220=2n+107次查表,存储量是 232×2n+43×64=2n+82个半字节;

x i:第i轮SubCells(SC)操作的输入;

y i:第i轮AddRoundTweakey(AK)操作的输入;第i轮AddRoundConstantEquivlantTweakey(AEK)操作的输入;z i:第i轮ShiftRows(SR)操作的输入;

w i:第i轮MixColumn(MC)操作的输入;x i[j]:x i的第j个块;

x i[j][k]:x i的第j个块的第k个比特;

x i[j,l]:x i的第j个块和第l个块;

重型颅脑损伤在临床上具有较高的致残率和死亡率，其主要病理变化为颅内压持续性升高，且患者伴有不同程度的神经功能缺损，故临床上治疗的关键是有效降低患者颅内压、改善其神经功能[8]。常规颞顶骨瓣开颅术由于受到骨窗限制，只能行局部颅内减压，无法达到快速、彻底减压效果。近年来，标准大骨瓣减压术广泛应用于治疗颅脑损伤患者，可以起到彻底清除患者血肿、快速降低颅内压等效果[2]。

x i[j]{⊕[k,l,m]}:x i的第j个块中第k,l,m个比特的异或;△x i,△x i[j]:状态x i的差分和块x i[j]的差分.

2.2 算法描述

轻量级分组密码SKINNY的分组长度分为64比特和128比特两个版本,内部状态值可利用4×4的块数组表示,每一个块是一个半字节(n=64)或一个字节(n=128).SKINNY是一个可调密钥体系[10,11],其密钥长度有三个版本,分别为:t=n,t=2n,t=3n,故 SKINNY-n-t共有 6个版本.可调密钥状态可利用 z个块数组表示,分别记为:TK 1(z=1),TK 1和 TK 2(z=2),TK 1,TK 2和TK 3(z=3).

对于南京体育学院休闲体育专业的学生来说，目前仅有的民间体育老师在课时分配、授课范围、项目多样性等方面还远远不够。南京体育学院民间体育课程的老师在课程开展之前都是从事武术专业的老师，因为课程发展的需求，所以兼职担当民间体育课程的老师，在这方面还是急需专业人才的引进。民间体育专业的教师由一名教授，两名教师组成，民间体育教师的学历在一定程度上也影响着课程的开展。教师学历越高或者经验越足，适应能力就越强。所以政府和学校可以开放招聘机制，鼓励更多的教师学习民间体育，执教民间体育专业。

2.2.1 SKINNY算法的加密过程

首先,SKINNY 的明文m=m 0∥m 1∥···∥m 14∥m 15,是长度为 s的块,s=n/16.内部状态初始化为:

 

其次,SKINNY 的可调密钥 tk=tk0∥tk1∥···∥tk16z−1,对于 0 6 i 6 15:当 z=1时,TK 1[i]=tk i;当 z=2时,TK 1[i]=tk i,TK 2[i]=tk16+i;当 z=3时,TK 1[i]=tk i,TK 2[i]=tk16+i,TK 3[i]=tk32+i.

最后,内部状态通过迭代r次轮函数来进行更新,由分组长度和可调密钥长度决定,如表2所示.

步骤2：根据径流量的原始值与模拟值得到误差序列，利用ARIMA模型拟合误差序列，得到误差序列的预测值并根据该预测值对径流量模拟值进行修正，得到新的径流量预测值

 

表2 SKINNY-n-t的轮数 rTable2NumberofroundsrforSKINNY-n-t

  

n t=n t=2n t=3n 64 32 36 40 128 40 48 56

每一轮SKINNY加密由五个操作构成:SubCells,AddConstants,AddRoundTweakey,ShiftRows和 MixColumns,如图1所示:

  

图1 SKINNY的轮函数Figure1SKINNYroundfunction

SubCells(SC):利用s-bitS盒作用于状态每一个块的非线性双射.s=4时,S盒如表3所示:

 

表3 SKINNY-64中应用的4-bitS盒Table34-bitS-boxusedinSKINNY-64

  

x 0 1 2 3 4 5 6 7 8 9 a b c d e f S4(x)c 6 9 0 1 a 2 b c 8 5 d 4 e 7 f

(5)由TK 18[0:7]的当前值求TK 17[0,1,2,3,5,6,7]

AddRoundTweakey(ART):可调密钥数组的第一和第二行与状态异或,即对块06i67:

当 z=1时,IS[i]=IS[i]⊕TK1[i];

当 z=2 时,IS[i]=IS[i]⊕TK1[i]⊕TK2[i];

当 z=3 时,IS[i]=IS[i]⊕TK1[i]⊕TK2[i]⊕TK3[i].

ShiftRows(SR):状态第2,3,4行分别向右移动1,2,3个位置,第1行不变,该操作可通过应用置换P来实现,P=[0,1,2,3,7,4,5,6,10,11,8,9,13,14,15,12].

MixColumns(MC):状态的每一列乘上一个二进制矩阵M:

 

2.2.2 SKINNY算法的密钥编排算法

由于SKINNY是一个可调分组密码算法,它的密钥编排算法涉及到置换PT和LFSR两种变换,且只选取密钥更新后的前两行作为SKINNY加密的轮子密钥,如图2所示.当z=1时,轮密钥(TK1)只通过置换PT更新;当z=2,3时,轮密钥(TK1,TK2和TK3)先后经过置换PT和LFSR来更新.每一轮更新后提取出密钥块的前两行作为轮密钥.置换PT=[9,15,8,13,10,14,12,11,0,1,2,3,4,5,6,7],LFSR有多种选择方式,见表4.

  

图2 SKINNY的可调密钥编排Figure 2 Tweakey schedule of SKINNY

 

表4 SKINNY可调密钥调度中使用的LFSRTable 4 SKINNY LFSR used in tweakey schedule

  

TK s LFSR TK 2 4 (x3∥x2∥x1∥x0)→(x2∥x1∥x0∥x3⊕x2)8 (x7∥x6∥x5∥x4∥x3∥x2∥x1∥x0)→(x6∥x5∥x4∥x3∥x2∥x1∥x0∥x7⊕x5)TK 3 4 (x3∥x2∥x1∥x0)→(x0⊕x3∥x3∥x2∥x1)8 (x7∥x6∥x5∥x4∥x3∥x2∥x1∥x0)→(x0⊕x6∥x7∥x6∥x5∥x4∥x3∥x2∥x1∥x0)

在攻击中,将AC操作和ART操作记作AK,将AK与MC◦SR操作交换顺序后密钥TK的等价密钥记作ETK,ETK r+1=MC◦SR(TK r).

3 SKINNY的11轮不可能差分区分器构造

为减少需要的选择明文数量,我们利用结构思想生成攻击所需的文本对.区分器前三轮用等价密钥代替密钥,故第一轮没有可调密钥,可在y′处构造结构,随后应用MC−1,SR−1,SC−1来获得相应明文.y′处所构造的结构在第3,4,5,6,9,11,14这7个块(半字节)处活动,即遍历所有228个取值,而在其余9个块处保持固定值.这样的结构共可生成24×7×(24×7−1)/2≈255个对,即有255个对可满足不可能差分区分器的输入差分值与明文差分值.此后,在该不可能差分区分器后扩展6轮.

（1）围捆式沉箱出运工艺原理。在以往的钢丝绳捆绑沉箱出运施工中，牵引系统主要靠预制场的地锚及卷扬机、半潜驳卷扬机，通过直径达65mm的钢丝绳捆绑沉箱一周进行系固及移运。施工中通常使用钢丝绳系好沉箱（围捆），钢丝绳所处位置在沉箱底座基础向上约1.2m～1.6m左右处，钢丝绳与沉箱边角接触处用枕木隔开，调整好钢丝绳长度，使得围捆钢丝绳的两侧相等，再通过卸扣连接牵引及溜尾钢丝绳。

对于SKINNY算法,若ShiftRows变换后一列存在两个或多个活动块,则经过MixColumns变换后,活动性质将很快扩散到整列,故我们考虑区分器输入输出只有一个活动块的情况,利用中间相错技术,通过穷尽搜索发现其存在最长长度达11轮的截断不可能差分,并构造出所有16个长度为11轮的不可能差分区分器.如下表5所示.‘1’表示该位置活动,‘0’表示该位置非活动.

在构造出所有长度为11轮的16个不可能差分区分器后,我们初步设想尝试并行使用多个不可能差分区分器对SKINNY进行攻击,希望可以通过攻击涉及到的共享密钥块,减少密钥猜测量从而减少攻击复杂度.但在实际分析后发现:由于算法的优良扩散性质,猜测密钥的复杂度与穷举猜测的复杂度相近,并没有优势,因而,本文主要研究采用单个不可能差分区分器,利用并行技术和早夭技术,结合S盒差分性质及列混合变换性质,对SKINNY进行攻击.

本文选取其中一个11轮的不可能差分区分器对20轮SKINNY进行攻击,该区分器异于M oham ed Tolba等[8]用的11轮不可能差分区分器,具体细节如图3.输入中只有第12个块x3[12]活动,输出中只有第9个块x14[9]活动.活动块x3[12]在六轮后的状态x9中有△x9[9]活动,而x19[9]逆推后在状态y9处有△y9[9]是非活动的,这与S盒变换是双射矛盾,故该差分路径概率为0,是一条不可能差分.

 

表5 16个SKINNY-64算法的11轮不可能差分区分器Table 5 16 11-round impossible-differential distinguishers of SKINNY

  

输入 轮数 输出 输入 轮数 输出(0000000000001000) 6r 5 r 9 (0000000010000000)(0000000000001000) 6r 5 r 9 (0000000010000000) (0000000000001000) 5r 6r 9 (0000000000010000)(0000000000000100) 6r 5 r 9 (0000000001000000) (0000000000001000) 5r 6r 9 (0000000000100000)(0000000000000100) 6r 5 r 9 (0000000001000000) (0000000000000100) 5r 6r 9 (0000000000010000)(0000000000000010) 6r 5 r 9 (0000000000100000) (0000000000000100) 5r 6r 9 (0000000001000000)(0000000000000010) 6r 5 r 9 (0000000000100000) (0000000000000010) 5r 6r 9 (0000000000100000)(0000000000000001) 6r 5 r 9 (0000000000001000) (0000000000000010) 5r 6r 9 (0000000000100000)(0000000000000001) 6r 5 r 9 (0000000010000000) (0000000000000001) 5r 6r 9 (0000000000010000) (0000000000000001) 5r 6r 9 (0000000000010000)

  

图3 SKINNY的不可能差分区分器Figure 3 Impossible differential distinguisher of SKNNIY

4 SKINNY-64-128的20轮不可能差分分析

并行技术是“同时实施,独立异步”的技术,较串行技术而言,可以减少时间复杂度.但在不同的算法实施中,如何分割,如何选择并行区间,是最终能够减少计算量的关键.本节对SKINNY应用并行攻击技术的关键在于如何将攻击涉及到的45个轮密钥块并行地分为两部分或多部分.早夭技术是当满足设定条件后提前退出的技术,通过终止操作,亦可以减少时间复杂度.在2008年印密会中,Jiqiang Lu[14]等人将早夭技术用于AES的不可能差分分析,有效改进了先前对于AES的不可能差分攻击.早夭技术实施的重点在于如何建立并实施“早夭”条件,将早夭技术用于排除错误候选密钥的过程中,需着重解决如何建立两部分并行密钥之间的联系的问题.

本节对SKINNY-64-128的20轮不可能差分攻击中,在分析密钥编排算法后,发现由于密钥编排算法中置换变换存在周期性的特点,使得部分轮密钥间存在一定联系.因而,可以利用并行技术,将攻击中涉及到的45个轮子密钥块并行的分成两部分,在求解其中一并行密钥区间中的部分密钥时,可结合S盒的性质和列混合变换的性质,由第i+1轮的轮子密钥依次猜测第i轮的轮子密钥.通过分析SKINNY的密钥编排算法推导出密钥间的关系,并利用该密钥间的关系,由已经猜测出的部分密钥可直接计算出此密钥区间内的剩余密钥块,这减少了猜测密钥所需的计算量.最后,在利用另一部分密钥排除候选密钥的过程中,发现两部分并行密钥区间可通过明密文序号关联.故通过建立对应关系表并在攻击时查表得到两部分对应并行密钥.进而可应用早夭技术,在判断一部分密钥为错误密钥时判断对应的并行密钥为错误密钥,终止对剩余密文对的检测,这减少了密钥猜测所需的时间复杂度和数据复杂度.

我们选取图3中所示的11轮不可能差分区分器,在区分器的前面添加3轮,后面添加6轮得到20轮减轮SKINNY-64-128,图4描述了具体攻击.

不可能差分密码分析由Kundsen[12]和Biham[13]等人分别独立提出,它与经典差分密码分析利用高概率差分来恢复密钥相反,而是利用概率为0的差分(即不可能差分)来构造区分器,并利用区分器排除导致差分为0的候选密钥.中间相错技术是寻找到两条以概率1存在的差分△α→△γ,△ζ→△β,将SKINNY的加密过程分为两个部分E=E2◦E 1,E2满足△ζ→△β,△ζ为输入差分,△β为输出差分,E1满足 △α→△γ,△α为输入差分,△γ为输出差分,而 △V=△ζ,故 △α→△β概率为 0,此时称△α→△β为一条不可能差分,以△α作为E的输入差分,△β作为E的输出差分,可构造一个不可能差分区分器.

由于SKINNY的列混合变换中矩阵M 是非MDS矩阵,这使得密钥恢复过程中差分的传播与值的计算不完全一致,因而在不可能差分分析中涉及到需要猜测的可调轮密钥不仅仅是与状态y′i活动位置及y i前两行活动位置相对应的轮密钥块,还包括一些与非活动位置对应的轮密钥块.经过分析,我们给出20轮SKINNY-64-128涉及到的可调密钥块表,如表6所示.可知,整个攻击中共涉及到45个可调密钥块,包括 15个等价密钥半字节 ETK 1[0,1,3,4,5,6,8,9,10,11,14],ETK 2[0,7,10,13]和 30个密钥半字节TK 15[3],TK 16[1,2,3,5,7],TK 17[0,1,2,3,4,5,6,7],TK 18[0,1,2,3,4,5,6,7],TK 19[0,1,2,3,4,5,6,7].其中与状态y′i及y i非活动位置相对应的可调密钥块有7个,分别为:ETK 1[0,1,8,10],ETK 2[0],TK 16[5],TK 17[4],其余38个均与活动位置相对应.

 

表6 20轮攻击涉及到的可调密钥块Table 6 Tweakey nibbles involved in 20-round attack

  

R oun d Tw eakey n ibb les 0 ETK 1[0,1,3,4,5,6,8,9,10,11,14]2 ETK 2[0,7,10,13]15 TK 15[3]16 TK 1 6[1,2,3,5,7]17 TK 17[0,1,2,3,4,5,6,7]18 TK 18[0,1,2,3,4,5,6,7]19 TK 1 9[0,1,2,3,4,5,6,7]None 1

4.1 SKINNY-64-128的密钥关系

根据SKINNY的密钥编排算法可知,密钥更新中P 16T=P T,即密钥中每一块的位置变换周期为16,再结合LFSR,我们可得到SKINNY-64-128的可调密钥关系,如表7所示.

  

图4 SKINNY-64-128的20轮不可能差分攻击Figure 4 Impossible differential attack on 20-round SKNNIY-64-128

 

7 SKINNY-64-128的可调密钥关系Table 7 SKINNY-64-128 tweakey relations

  

i=19,TK i[j,j=0:7]=LF101(TK 1[l])⊕LF102(TK 2[l]),l=15,11,9,14,8,12,10,13 TK i[j][0] TK i[j][1] TK i[j][2] TK i[j][3]TK 1[l][0]⊕TK 2[l]{⊕[0,1,3]}TK 1[l][0]⊕TK 2[l]{⊕[0,1,2,3]}TK 1[l][0]⊕TK 2[l]{⊕[0,1,2]}TK 1[l][0]⊕TK 2[l]{⊕[1,2,3]}i=18,TK i[j,j=0:7]=LF91(TK 1[l])⊕LF92(TK 2[l]),l=1,7,0,5,2,6,4,3 TK i[j][0] TK i[j][1] TK i[j][2] TK i[j][3]TK 1[l][0]⊕TK 2[l]{⊕[0,1,2,3]}TK 1[l][1]⊕TK 2[l]{⊕[0,1,2]}TK 1[l][2]⊕TK 2[l]{⊕[1,2,3]}TK 1[l][3]⊕TK 2[l]{⊕[0,2]}i=17,TK i[j,j=0:7]=LF91(TK 1[l])⊕LF92(TK 2[l]),l=9,15,8,13,10,14,12,11 TK i[j][0] TK i[j][1] TK i[j][2] TK i[j][3]TK 1[l][0]⊕TK 2[l]{⊕[0,1,2,3]}TK 1[l][1]⊕TK 2[l]{⊕[0,1,2]}TK 1[l][2]⊕TK 2[l]{⊕[1,2,3]}TK 1[l][3]⊕TK 2[l]{⊕[0,2]}i=16,TK i[j,j=0:7]=LF81(TK 1[l])⊕LF82(TK 2[l]),l=0,1,2,3,4,5,6,7 TK i[j][0] TK i[j][1] TK i[j][2] TK i[j][3]TK 1[l][0]⊕TK 2[l]{⊕[0,1,2]}TK 1[l][0]⊕TK 2[l]{⊕[1,2,3]}TK 1[l][0]⊕TK 2[l]{⊕[0,2]}TK 1[l][0]⊕TK 2[l]{⊕[1,3]}i=15,TK i[j,j=0:7]=LF81(TK 1[l])⊕LF82(TK 2[l]),l=8,9,10,11,12,13,14,15 TK i[j][0] TK i[j][1] TK i[j][2] TK i[j][3]TK 1[l][0]⊕TK 2[l]{⊕[0,1,2]}TK 1[l][0]⊕TK 2[l]{⊕[1,2,3]}TK 1[l][0]⊕TK 2[l]{⊕[0,2]}TK 1[l][0]⊕TK 2[l]{⊕[1,3]}i=1,ETK i[j,j=0:15]=TK 1[l]⊕TK 2[l],l=0,1,2,3,0,1,2,3,7,4,5,6,0,1,2,3 ETK i[j][0] ETK i[j][1] ETK i[j][2] ETK i[j][3]TK 1[l][0]⊕ TK 2[l][0] TK 1[l][1]⊕ TK 2[l][1] TK 1[l][2]⊕ TK 2[l][2] TK 1[l][3]⊕ TK 2[l][3]i=2,ETK i[j,j=0:15]=LF1(TK 1[l])⊕LF2(TK 2[l]),l=9,15,8,13,9,15,8,13,11,10,14,12,9,15,8,13 ETK i[j][0] ETK i[j][1] ETK i[j][2] ETK i[j][3]TK 1[l][0]⊕TK 2[l]{⊕[2,3]} TK 1[l][1]⊕ TK 2[l][0] TK 1[l][2]⊕ TK 2[l][1] TK 1[l][3]⊕ TK 2[l][2]

通过分析SKINNY的密钥编排算法,我们发现由于密钥更新过程中存在置换,使得密钥块的“位置”以周期16变换,且第 i轮与第i+2轮的轮子密钥涉及到的初始可调密钥块的位置相同,如第 19轮与第 17轮涉及到初始可调密钥的第 9至 16个块.在计算分析后,我们根据 TK 19[0,1,2,3,4,5,7],TK 18[0,1,2,3,4,7],TK 17[0,1,2,3,5,6,7],TK 16[1,2,3,5,7],求得 TK 15[3],ETK 1[1,3,5,6,8,10,14],ETK 2[0,7,10,13].具体推导过程如下:

(3)培养学生的物理兴趣、实事求是的科学态度、良好的学习习惯和创新精神,结合物理教学对学生进行辩证唯物主义教育、爱国主义教育和道德教育。

对于 TK 17[p],p={0,1,2,3,5,6,7}和 TK 19[q],q={2,0,4,7,3,5,1},可求出 TK 1[l],TK 2[l],l={9,15,8,13,14,12,11},由此可求出 TK 15[3],ETK 2[0,7,10,13].对于 TK 16[p],p={1,2,3,7},TK 18[q],q={0,4,7,1}可求出TK 1[l],TK 2[l],l={1,2,3,7},由此可求出ETK 1[1,3,5,6,8,10,14].对于 TK 16[5],TK 18[3],可求出TK 1[5],TK 2[5],继而可求出 ETK 1[10].对于 TK 18[2],ETK 1[4],可求出TK 1[0],TK 2[0],继而可求出ETK 1[0].

综上可知,根据TK 19[0,1,2,3,4,5,7],TK 18[0,1,2,3,4,7],TK 17[0,1,2,3,5,6,7],TK 16[1,2,3,5,7],可求得 TK 15[3],ETK 1[1,3,5,6,8,10,14],ETK 2[0,7,10,13],而 ETK 1[0]可根据 TK 18[2]与 ETK 1[4]求得.

4.2 SK INN Y-64-128的不可能差分分析

性质 1(S盒的差分性质)[15]对于有限域上非零的输入差分 α和输出差分 β,方程 S(x)⊕x+α=β平均求得一个解,对于S盒的逆,该性质同样成立.

在对SKINNY算法不可能差分分析中,需多次利用S盒的差分性质.为减少攻击复杂度,我们采用如下技术方法:

首先我们利用并行攻击技术,在明密文对满足不可能差分的条件下,将整个过程的参与密钥并行分为两个部分.第一部分为 ETK1[4,9,11],第二部分为 ETK1[0,1,3,5,6,8,10,14],ETK 2[0,7,10,13]和TK 15[3],TK 16[1,2,3,5,7],TK 17[0:7],TK 18[0:7],TK 19[0:7].在求解第二部分的密钥时,由后向前,先利用 S盒的性质攻击最后一轮轮可调密钥TK 19[0:7],根据TK 19[0:7]结合列混合变换性质求得 TK 18[0:7].同理根据 TK 18[0:7]结合列混合变换性质求得 TK 17[0,1,2,3,5,6,7],依次求解直至求得TK 16[1,2,3,7].至此,利用如上密钥,结合额外猜测的与非活动位置相对应的可调密钥块TK 14[4],TK 16[5],将另一部分并行的密钥ETK 1[4,9,11]结合早夭技术参与到有效排除错误的候选密钥的过程中.在得到部分候选密钥后,可通过密钥间的关系求得第二部分并行密钥中剩余的TK 15[3],ETK 1[0,1,3,5,6,8,10,14],ETK 2[0,7,10,13],从而得到候选密钥.攻击流程如图5所示:

JI Cheng, FEI Shu-qin, CHEN Ming, ZHANG Rong-xue, XU Wen-rong, QIAN Hui

  

图5 SKINNY-64-128的攻击流程Figure 5 Technology process of SKINNY-64-128

(1)构造明文结构在处选取2n个结构,每一个结构在第3,4,5,6,9,11,14这7个块(半字节)处活动,利用这2n+28个文本依次通过MC−1,SR−1,SC−1共可得到2n+55个明文对(P,P′).访问加密机得到每一个对应的密文(C,C′),通过MC−1,SR−1部分反向解密得到

(2)求解 ETK 1[4,9,11]

对于 2n+55个明文对 (P,P′)中的每一个对,第 2轮 MC变化前 △w1的第二列:△w1[5,9,13]̸=0,△w1[1]=0,MC变化后的第二列中:利用MC的性质有:△w1[9]⊕△w1[13]=0,△w1[5]⊕△w1[9]=0,故 △w2[5,9]有 (24−1)≈24个可能值,通过 SR−1后,△z1[4,11]约有 24个可能值.在第 2轮 MC变化前 △w1的第四列:△w1[3,7,11]̸=0,△w1[15]=0,MC变化后的第四列中:利用MC的性质有:△w1[3]⊕△w1[11]=0,△w1[7]⊕△w1[11]=0,故 △w2[11]有 1·(24−1)≈ 24个可能值,通过 SR−1后,△z1[9]约有 24个可能值.综上,由性质1知,第 2轮S盒的部分输出 z1[4,9,11]约有28个可能值,故S盒的部分输入△x1[4,9,11]约有28个可能值.又由知,每个明文对可求出28个ETK 1[4,9,11],2n+55个明文对可求出2n+55+8=n+63个ETK 1[4,9,11].把ETK 1[4,9,11]全部存在表Ω中,索引是明文对应的密文对序号.

(3)求解TK 19[0:7]

对于一个密文对,第20轮AK操作后的差分△z1[19]等于密文差分△c为已知的,进而第20轮SC操作后的差分已知.在第19轮MC操作前后△w18与△x19均为活动块,根据性质1知,对于第20轮S盒的输入 (x19,x19⊕△x19),平均每个密文对可求出 24×16=64个 x19,即 S盒的输出 y19遍历 264个取值.由 TK 19[0:7]=y19[0:7]⊕z19[0:7]知,TK19[0:7]共有232个取值.2n+55个密文对可求出2n+55+32=2n+87个TK19[0:7].将这64个半字节的值全部存储在表T(1)中,索引是TK 19[0:7]的232个所有可能取值.每个TK 19[0:7]平均保留2n+55个密文对和

(4)由TK 19[0:7]的当前值求TK 18[0:7]

北京东方妇女老年大学焦作校区，创建了老年教育全新模式，在创新中办好寄宿制老年大学，为老年朋友创造了一个老有所学、老有所乐、老有所为的学习乐园和享老乐园，确立了文化享老的办学理念，创建文化、养生、田园、医疗、旅游“五位一体”的综合办学模式，创新“灵活多样、精品带动、重在参与”的办学方法，营造轻松、快乐、奋发向上的学习环境。

对于表T(1)中的每一对SR−1求得进而第19轮SC操作后的差分已知.

在第18轮MC变换前△w17的第一列中:△w17[8]=0,△w17[0,4,12]̸=0,MC变化后△x18的第一列中: △x18[0,4,8,12]̸=0,利用 M−1 性质有:△x18[4]⊕△x18[8]⊕△x18[12]̸=0,△x18[4]⊕△x18[8]=0,△x18[0]⊕△x18[12]̸=0,故 △x18[0,4]有 1·(24−1)≈ 24个可能值.由性质 1知,第 19轮 S盒输入x18[0,4]约有24个可能值,对应24个输出y18[0,4].又由TK 18[0,4]=y18[0,4]⊕z18[0,4]知,TK 18[0,4]共有24个取值.

本节研究挤压添加耐高温α-淀粉酶脱胚玉米制取糖浆的挤压——糖化水解参数对各考察指标的影响。通过SAS9.1对试验数据的优化频率分析，综合以上指标，确定挤压——糖化系统参数范围：挤压原料淀粉酶添加量0.73～1.00L/t、螺杆转速130.0～154.1r/min、液化淀粉酶添加酶量0.48～0.66L/t、液化时间15.2～23.1min、糖化葡萄糖淀粉酶添加量1.39～1.62L/t。在上述优化参数范围内选择3组，进行验证试验，同时进行对照试验，试验结果为3次结果的平均值。

在第18轮MC变换前△w17的第二列中:△w17[1,9,13]̸=0,△w17[5]=0,MC变化后△x18的第二列中:△x18[1,5,9,13]̸=0,利用 M−1 性质有:△x18[5]⊕△x18[9]⊕△x18[13]=0,△x18[5]⊕△x18[13]̸=0,△x18[1]⊕△x18[13]̸=0,故 △x18[1,5]有 1·(24−1)≈ 24个可能值.由性质1知,第 19轮 S盒输入x18[1,5]约有24个可能值,对应24个输出y18[1,5].又由TK 18[1,5]=y18[1,5]⊕z18[1,5]知,TK 18[1,5]共有24个取值.

在第 18轮 MC变换前 △w17的第三列中:△w17[2,6,10,14]̸=0,MC变化后 △x18的第三列中:△x18[2,6,10,14]̸=0,故 △x18[2,6]约有 28个可能值.由性质1知,第 19轮 S盒输入 x18[2,6]约有 28个可能值,对应28个输出y18[2,6].又由TK 18[2,6]=y18[2,6]⊕z18[2,6]知,TK 18[2,6]共有28个取值.

第18轮MC变换前△w17的第四列中:△w17[3,7]̸=0,△w17[11,15]=0,MC变化后△x18的第四列中:△x18[3,7,11,15]̸=0,利用 M−1 性质有:△x18[7]⊕△x18[11]⊕△x18[15]̸=0,△x18[7]⊕△x18[15]=0,△x18[3]⊕△x18[15]=0,故 △x18[3,7]有 1·(24−1)≈24个可能值.由性质1知,第 19轮 S盒输入x18[3,7]约有24个可能值,对应24个输出y18[3,7].又由TK 18[3,7]=y18[3,7]⊕z18[3,7]知,TK 18[3,7]共有24个取值.

在第17轮MC变换前△w16的第三列中:△w16[2,14]̸=0,△w16[6,10]=0,MC变化后 △x17的第三列中:△x17[2,6,14]̸=0,△x17[10]=0,利用 M−1性质有:△x17[6]⊕△x17[14]=0,△x17[2]⊕△x17[14]̸=0,故△x17[2,6]有(24−1)·(24−2)≈28个可能值.由性质1知,第18轮S盒输入x17[2,6]约有28个可能值,对应28个输出y17[2,6].又由TK 17[2,6]=y17[2,6]⊕z17[2,6]知,TK 17[2,6]共有28个取值.

AddCounstants(AC):状态与一个4×4的轮常量异或,轮常量由一个6-bitLFSR生成,生成方法可参考文献[5];

对于表T(2)中的每一对进而第18轮SC操作后的差分已知.

在第17轮MC变换前△w16的第一列中:△w16[0,8]=0,△w16[4,12]̸=0,MC变化后△x17的第一列中:△x17[0,8]̸=0,△x17[4,12]=0,利用 M−1性质易知,△x17[0]约有 24个可能值.由性质 1知,第 18轮 S盒输入 x17[0]约有 24个可能值,对应 24个输出 y17[0].又由 TK 17[0]=y17[0]⊕z17[0]知,TK 17[0]共有24个取值.

在第17轮MC变换前△w16的第二列中:△w16[1]̸=0,△w16[5,9,13]=0,MC变化后△x17的第二列中:△x17[1,5,13]̸=0,△x17[9]=0,利用 M−1性质有:△x17[5]⊕△x17[13]=0,△x17[1]⊕△x17[13]=0,故△x17[1,5]有24个可能值.由性质1知,第18轮S盒输入x17[1,5]约有24个可能值,对应24个输出y17[1,5].又由TK 17[1,5]=y17[1,5]⊕z17[1,5]知,TK 17[1,5]共有24个取值.

综上所述,平均每个可求出24+4+8+4个TK 18[0:7].2n+55个可求出2n+55+20=2n+75个TK 18[0:7].将这64个半字节的值全部存储在表T(2)中,索引是TK 18[0:7]的232个所有可能取值.每个TK 18[0:7]平均保留2n+75−32=n+43个和

TK i:第i轮的子密钥;

综上所述,平均每个可求出24+4+8+8=224个TK 17[0,1,2,3,5,6,7],2n+43个可求出2n+43+24个TK 17[0,1,2,3,5,6,7].将这64个半字节的值全部存储在表T(3)中,索引是TK 17[0,1,2,3,5,6,7]的228个所有可能取值.每个TK 17[0,1,2,3,5,6,7]平均保留2n+67−28=n+39个

(6)由TK 17[0,1,2,3,5,6,7]的当前值求TK 16[1,2,3,7]

对于表T(3)中的每一对求得进而第17轮SC操作后的差分已知.

DG-SHGR路由将雷区FAR定义为凸包H的扩展区域,区域中心点位于H内,再依比例因子(scale factor)扩展。

在第16轮MC变换前△w15的第二列中:△w15[9]̸=0,△w15[1,5,13]=0,MC变化后△x16的第二列中:△x16[1,9,13]̸=0,△x16[5]=0,利用 M−1性质有:△x16[9]⊕△x16[13]=0,△x16[1]⊕△x16[13]=0,故△x16[1]有(24−1)≈24个可能值.由性质1知,第17轮S盒输入x16[1]约有24个可能值,对应24个输出y16[1].又由TK 16[1]=y16[1]⊕z16[1]知,TK 16[1]共有24个取值.

在第16轮MC变换前△w15的第三列中:△w15[14]̸=0,△w15[2,6,10]=0,MC变化后△x16的第三列中:△x16[2]̸=0,△x16[6,10,14]=0,利用M−1性质易知△x16[2]有(24−1)≈24个可能值.由性质1知,第17轮S盒输入x16[2]约有24个可能值,对应24个输出y16[2].又由TK 16[2]=y16[2]⊕z16[2]知,TK 16[2]共有24个取值.

在第 16轮 MC变换前 △w15的第四列中:△w15[3]̸=0,△w15[7,11,15]=0,MC变化后 △x16的第四列中:△x16[3,7,15]̸=0,△x16[11]=0利用 M−1性质有:△x16[7]⊕△x16[15]=0,△x16[2]⊕△x16[14]=0,故△x16[3,7]有(24−1)≈24个可能值.由性质1知,第17轮S盒输入x16[3,7]约有24个可能值,对应24个输出y16[3,7].又由TK 16[3,7]=y16[3,7]⊕z16[3,7]知,TK 16[3,7]共有24个取值.

综上所述,平均每个可求出24+4+4=212个TK 16[1,2,3,7],2n+39个可求出2n+39+12=2n+51个TK 16[1,2,3,7].将这64个半字节的值全部存储在表T(4)中,索引是TK 16[1,2,3,7]的216个所有可能取值.每个TK 16[1,2,3,7]平均保留2n+51−16=n+35个

(7)运用早夭技术判定候选密钥

由可调轮密钥间的关系,我们可依据 TK 19[0:7],TK 18[0:7],TK 17[0:7],TK 16[1,2,3,5,7],求得TK 15[3],ETK 1[1,3,5,6,13,14],ETK 2[0,7,10,13].对当前的TK 19[0:7],TK 18[0:7],TK 17[0:7],TK 16[1,2,3,5,7],建立一个具有 212个地址的表 T,每个地址对应 ETK 1[4,9,11]的一个值且每个地址存放 0或 1.将所有的地址初始化为 0,设置一个计数器 Count并初始化为 0.遍历表 T(4)中的每个依次向前寻找,直至寻找到表T(1)中的密文对,查出表Ω1中相对应的ETK 1[4,9,11](平均有 2n+27个.检查表 T在该地址的值是否为 0,若为 0,则将其修改为 1,并将 Count值加 1.若Count值等于 212,则判断当前 TK 19[0:7],TK 18[0:7],TK 17[0:7],TK 16[1,2,3,5,7]错误,不再对剩余的密文操作,同时将表T清除,而后检测 TK 19[0:7],TK 18[0:7],TK 17[0:7],TK 16[1,2,3,5,7]的下个可能值.若在所有密文对都检测完毕后,Count值小于 212,则判定 TK 19[0:7],TK 18[0:7],TK 17[0:7],TK 16[1,2,3,5,7]是正确密钥,TK 15[3],ETK 2[0,7,10,13],ETK 1[1,3,5,6,10,11,14]亦可随之求出,搜索使得T(ETK 1[4,9,11]=0)的ETK 1[4,9,11],最后将TK 19[0:7],TK 18[0:7],TK 17[0:7],TK 16[1,2,3,5,7],ETK 2[0,7,10,13]判定为候选密钥.

4.3 复杂度分析

第(2)步时间复杂度是2n+55×28次查表,存储量是2n+39×28×3=3·2n+47个半字节;

第(3)步时间复杂度是232×2n+55=2n+87次查表,存储量是232×2n+55×64=2n+93个半字节;

ETK i:第i轮的轮子密钥的等价密钥;

从效果来看，新生活运动并未取得蒋介石期望的成效，反而迅速沦为空洞的官样文章。之所以失败，原因是多方面的，单从意识形态建设的角度来看，一是其内容和指向上偏重传统，与现代国家的目标背离;二是意识形态的宣导依赖于党政机关甚至军警的强力推动，而没有政党嵌入式的动员。正如魏斐德指出的，南京国民政府“与欧洲法西斯相比，最显著的差异在于，国民党人无力或者不愿去发动真正的群众运动”⑯。基于上述两点，新生活运动的效果不佳可想而知。

第(5)步时间复杂度是232×2n+43×224=2n+109次查表,存储量是228×n+39×64=2n+73个半字节;

电源是在工业自动化中应用PLC控制技术的基础，是生产过程正常运行的根本。根据PLC的研究结果表明，PLC在工作中适用的交流源是50Hz和220V，PLC控制设备导线的抗干扰能力是非常强大的。有的企业在这一方面都有较高的要求，必须安装具有一定效果的屏蔽层，以此来降低电力线的干扰。另外，用于输入和输出两端的电压，一般情况下用的都是直流稳压电源。

第(6)步时间复杂度是228×2n+39×212=2n+79次查表,存储量是216×2n+35×64=2n+57个半字节;

第(7)步存储量是12个比特,即28个半字节.

性质 2设{0,1}m中的一个元素通过一次检测的概率为1−2−m,则{0,1}m中全部元素通过2m t次独立检验但不通过2m(t+1)次的概率为

 

证明: 已知{0,1}m中的一个元素通过一次检测的概率为1−2m,则{0,1}m中的一个元素通过N次独立检验的概率p1=(1−2m)N,全都不通过N 次独立检验的概率p2=[1−(1−2−m)N]2m.根据泰勒展开,当 m 足够大时,p1 ≈ e−2−m N,p2 ≈ e−2m−1.4 4 2 5×2−m N.

因此,0,1m中全部元素通过2m t次独立检验但不通过2m(t+1)次的概率为p t=e−2m−1.4 423(t+1)−e−2m−1.44 25 t,期望为

现分析第(7)步的时间复杂度,一个错误的(TK 19[0:7],TK 18[0:7],TK 17[0:7],TK16[1,2,3,5,7])通过明文对检测的概率是 1−28/212= 1−1/24,此时 m = 4,由性质2知期望 E(t)=故第 (7)步的平均时间复杂度为 2116×212×20.15=2128.15次查表.若不采用早夭技术,则需遍历所有的密文对,时间复杂度为2116×2n+39×20.15=2n+155.5,显然高于采用早夭技术的时间复杂度.又TK 19[0:7],TK 18[0:7],TK 17[0:7],TK 16[1,2,3,5,7]的剩余密钥量为Γ=2116×(1−2−4),恢复密钥需要212Γ次加密.

综上所述,整个攻击数据复杂度为 2n+28=229,总的存储复杂度约为 2n+93=294,需要的时间复杂度为 2128.15次查表加上 212Γ次加密,经分析,当 n=1时,时间复杂度最优.与 AES算法类似[16],一轮 SKINNY轮函数加密的复杂度相当于 16次查表的复杂度,故总的时间复杂度为:(1/20)×1/16×2n+109+(1/20)×(1/16)×2128.15+212Γ≈2119.3次加密.

5 总结

本文评估了新型轻量级分组密码算法SKNNY抵抗不可能差分的安全性.在区分器输入输出只有一个活动块的情况下,利用中间相错技术构造并寻找到SKINNY最长长度为11轮的所有16个不可能差分区分器,并选择其中一个区分器,通过结构思想构造明文结构,而后利用并行攻击技术与早夭技术,结合SKINNY的S盒性质和列混合变换性质,对20轮SKINNY-64-128进行攻击.SKINNY的MC变换所用的非MDS矩阵,使得在不可能差分分析过程中差分与值的传播不一致,因而使得攻击中涉及的可调密钥块不仅仅是与活动位置相对应的密钥块,还包括部分与非活动位置相对应的密钥块.这是本文分析最初忽略的地方,而后完善攻击并做出改正.在攻击中通过分析SKINNY的可调密钥编排算法,给出了部分可调轮子密钥之间的关系,这直接减少了密钥猜测量.通过将几个有效技术和SKINNY存在的性质及密钥关系结合,降低了攻击的时间复杂度和数据复杂度.如何结合其它攻击方法构造较长轮数的区分器,并加大密钥筛选的力度将是下一步值得研究的工作.

References

[1]BOGDANOV A,KUNDSEN L R,LEANDER G,et al.PRESENT:An ultra-lightweight block cipher[C].In:Cryptographic Hardware and Embedded Systems—CHES 2007,Springer Berlin Heidelberg,2007:450–466.[DO I:10.1007/978-3-540-74735-2_31]

[2]KUNDSEN L,LEANDER G,POSCHMANN A,et al.PRINT cipher:A block cipher for IC-printing[C].In:Cryptographic Hardware and Embedded Systems—CHES 2010,Springer Berlin Heidelberg,2010:16–32.[DO I:10.1007/978-3-642-15031-9_2]

[3]BANIK S,BOGDANOV A,ISOBE T,et al.M idori:A b lock cipher for low energy[C].In:Advances in Cryptology—ASIACRYPT 2015,Springer Berlin Heidelberg,2015:411–436.[DO I:10.1007/978-3-662-48800-3_17]

[4]BORGHOFF J,CANTEAUT A,GNEYSU T,et al.PRINCE—A low-latency b lock cipher for pervasive computing applications:Extended abstract[C].In:Advances in Cryptology—ASIACRYPT 2012,Springer Berlin Heidelberg,2012:208–225.[DOI:10.1007/978-3-642-34961-4_14]

[5]BEIERLE C,JEAN J,KLBL S,et al.The SKINNY family of block ciphers and its low-latency variant MANT IS[J].IACR Cryptology ePrint Archive,2016:2016/660.

[6]lZADI M,SADEHIYAN B,SADEGHIAN SS,et al.MIBS:A new lightweight b lock cipher[C].In:Cryptology and Network Security—CANS 2009,Springer Berlin Heidelberg,2009:334–348.[DOI:10.1007/978-3-642-10433-6_22]

[7]BEAULIEU R,SHORS D,SMITH J,et al.The SIMON and SPECK families of lightweight b lock ciphers[J].IACR Cryptology ePrint Archive,2013:2013/404.

[8]TOLBA M,ABDELKHALEK A,YOISSEF A M.Impossible differential cryptanalysis of reduced-round SKINNY[J].Cryptology ePrint Archive,2016:2016/1115.

[9]LIX R,FU F W,GUANG X.Multiple impossible differential cryptanalysis on reduced FOX[J].IEICE Transactions on Fundamentals of Electronics,Communications and Computer Sciences,2015,E98-A(3):906–911.[DOI:10.1587/transfun.E98.A.906]

[10]JEAN J,NIKOLIC I,PEYRIN T.Tweaks and keys for b lock ciphers:The tweakey framework[C].In Advances in Cryptology—ASIACRYPT 2014,Springer Berlin Heidelberg,2014:274–288.[DO I:10.1007/978-3-662-45608-8_15]

[11]LISKOV M,RIVEST R L,WAGNER D.Tweakableb lock ciphers[J].Journal of Cryptology,2011,24(3):588–613.[DO I:10.1007/3-540-45708-9_3]

[12]KNUDSEN L R.DEAL—a 128-bit b lock cipher[J].Complexity,1998,258(2):216.

[13]BIHAM E,B IRYUKOV A,SHAM IR A.Cryptanalysis of Skip jack reduced to 31 rounds using impossible differentials[C].In:Advances in Cryptology—EUROCRYPT 1999,Sp ringer Berlin Heidelberg,1999:12–23.[DO I:10.1007/3-540-48910-X 2]

[14]LU JQ,DUNKELMAN O,KELLER N,et al.New impossible differential attacks on AES[C].In:Progress in Cryptology—INDOCRYPT 2008,Sp ringer Berlin Heidelberg,2008:279–293.[DOI:10.1007/978-3-540-89754-5_22]

[15]ANKELE R,BANIK S,CHAKRABORT I A,et al.Related-key imposible-differential attack on reduced-round SKINNY.IACR Cryptology ePrint Archive,2016:2016/1127.

[16]DAEMEN J,RIJM EN V.The Design of Rijndael-AES—The Advanced Encryption Standard[A].Sp ringer-Verlag,New York,2002.[DO I:10.1007/978-3-662-04722-4]