引言

在當今數字化時代，隨著物聯網和嵌入式設備的廣泛應用［1］，如何在體積小、能耗低、軟硬件計算資源受限［2］等環境中確保數據安全性，已經成為密碼研究的一個重要課題。輕量級分組密碼算法以其高效的加密速度和較低的資源占用，逐漸成為當今密碼領域的研究熱點。這些算法不僅在物聯網中得到了廣泛應用，還延伸至5G/6G通信、智能醫療、車聯網等高安全性和高實時性場景，進一步凸顯了其重要性和應用價值。

近年來，眾多輕量級密碼算法相繼被提出，如PRESENT、LBlock、ZORRO、PFP等［3-6］。與傳統的分組密碼算法相比，這些算法在設計時通常會降低復雜度以適應資源受限的環境，這可能導致其安全性下降，從而增加被攻擊的風險。因此，對輕量級分組密碼算法進行系統的安全性分析顯得尤為重要。分析成果既可以為密碼算法的應用提供參考，也可以為后續設計者提供相應的參考。對于分組密碼，目前有效的分析方法包括差分分析［7］、線性分析［8］、不可能差分分析［9］、中間相遇攻擊、積分分析等。其中，差分分析最早是由Biham等人［10］于1991年針對DES提出的，這種攻擊方法本質上是尋找密碼算法中的高概率差分特征以此構成相應差分路徑來恢復密鑰，并且其對具有迭代差分屬性的分組密碼是十分高效的。近年來，隨著計算技術的發展，許多基于數學工具的自動化搜索最優解技術逐漸成熟，如基于混合整數線性規劃(MILP)、基于布爾可滿足性問題(SAT/SMT)求解等。

在輕量級分組密碼中，PFP算法是2017年黃玉劃等人［6］提出的一種基于FeistelSP結構的輕量級分組密碼，其設計借鑒了國際標準PRESENT算法，但在軟硬件實現效率上超越了PRESENT算法。在設計者提出PFP算法之初，便通過差分分析、不可能差分分析、線性分析等方法對該算法進行了安全性評估。其中，對于差分分析設計者指出加密15輪時，PFP至少有53個活躍的S盒，并以此計算PFP算法的15輪差分概率為2-106，從而推斷該算法沒有明顯的 15輪差分特征；并且設計者也用他們找到的5輪不可能差分區分器，進行了6輪的不可能差分攻擊。然而，2020年沈璇等人［9］找到了7輪不可能差分區分器，并進行了9輪的攻擊；2023年李艷俊等人［11］找到PFP算法的4輪迭代差分路徑，從而構造了22輪的區分器，并實現了26輪的密鑰恢復攻擊。2024年陸金玉等人［12］建立了PFP算法的SMT模型，找到了20條概率為2-10的4輪迭代差分，并以此構造了25輪的差分路徑，基于該差分路徑實現了27輪的密鑰恢復攻擊。

本文在文獻［12］構造的25輪區分器基礎上，前面增加1輪，后面增加2輪，形成28輪簡化的加密算法。通過分析新增3輪的結構特點，進行了明文結構構造，并利用提前拋棄技術優化密鑰猜測過程，首次實現了對PFP算法28輪的密鑰恢復，整個攻擊的過程需要263個明文的數據量，時間復雜度約為257.2次28輪加密。表1給出了PFP算法現有攻擊結果比較。

本文詳細內容請下載：

http://www.jysgc.com/resource/share/2000006824

作者信息：

劉健1,2，張巖1，黃丁韞3,王伊婷1,章濤1

(1.中國電子科技集團公司第十五研究所信息產業信息安全測評中心，北京100083；

2.清華大學 網絡科學與網絡空間研究院，北京100084；

3.北京電子科技學院 密碼科學與技術系，北京100070)