AES-256密码算法的相关差分分析

Related Differentials Cryptanalysis on AES-256

摘要

高级加密标准（AES）是目前使用最广泛的分组密码算法，许多密码方案使用减轮AES作为其核心部件。AES-256通过256比特密钥提供强大的安全强度，是公认能够有效抵御未来量子计算攻击的AES版本。相关差分分析由AES的设计者提出，将只使用一个差分特征的传统差分分析扩展成使用一对输入和输出都具有特定关联性的差分特征，已被用于生成7轮AES-128的密钥恢复攻击，这是AES-128轮数最长的攻击之一。目前没有AES-256的相关差分分析结果。本文将相关差分分析技术应用于AES-256密码算法，给出了8轮AES-256的相关差分密钥恢复攻击，数据和存储复杂度为{\mathrm{2}}^{\mathrm{110.24}}，时间复杂度为{\mathrm{2}}^{\mathrm{235.76}}，这是对AES-256算法进行相关差分安全性评估的首个结果，填补了AES-256在相关差分分析领域的空白。

Abstract

The advanced encryption standard（AES) is the most widely used block cipher. Round-reduced variants of AES are employed as the core components of many cryptographic schemes. AES-256 is widely recognized as the version of AES capable of effectively resisting future quantum computing attacks because it provides robust security strength via a 256-bit key. Related differentials cryptanalysis is proposed by the designers of AES. The traditional differential cryptanalysis that only uses one differential is extended to use a pair of differentials where both the input and output have specific correlations. This technique has been applied to mount a key recovery attack on 7-round AES-128, which is one of the attacks with the longest number of rounds for AES-128. Currently, there are no results about the related differentials cryptanalysis on AES-256. Related differentials cryptanalysis is applied to AES‑256 to develop a related differentials key recovery attack for 8‑round AES‑256 with the data and memory complexities of 2^110.24 and the time complexity of 2^235.76 in this paper. This attack is the first result about the security evaluation of AES‑256 against related differentials cryptanalysis, filling the gap in the field of related differentials cryptanalysis on AES-256.

Graphical abstract

关键词

分组密码 / 减轮AES / AES-256算法 / 相关差分 / 密钥恢复攻击

Key words

block cipher / round-reduced AES / AES-256 / related differentials / key recovery attack

高级加密标准（Advanced Encryption Standard，AES）^[1]是目前使用最广泛、研究最多的分组密码算法。AES采用SPN（Substitution‑Permutation Network）结构和宽轨迹策略设计，通过简单的轮变换迭代实现混淆和扩散效果。许多密码算法、Hash函数和伪随机数发生器采用类似AES的结构来设计，有些密码算法甚至直接使用减轮AES作为算法的关键部件。研究AES密码的安全性分析在分组密码研究领域具有重大意义。从AES提出至今二十多年来，学者们进行了大量密码分析研究。虽然未对AES产生实际的威胁，但持续的研究促进了人们对AES密码结构性质的认识和AES型密码分析技术的发展。对AES主要的密码分析技术有：积分^[2-3]、零相关线性^[4-7]、子空间路径^[8]、混合差分^[9]、yoyo^[10-11]、交换攻击^[12]、飞去来器^[13]、中间相遇攻击^[14-21]、不可能差分^[22-23]、相关差分^[24-25]等。

AES算法的分组长度为128比特，密钥长度支持128、192和256比特，分别用AES-128、AES-192和AES-256来表示。AES-256因其256比特密钥长度能够提供远超实际需求的安全强度，被公认为能够有效抵御未来量子计算攻击的AES版本，也是美国国家安全局批准的用于保护绝密级信息的唯一AES版本^[26]。对于8轮以上AES-256，目前在单密钥模式下的密钥恢复攻击有中间相遇攻击、不可能差分攻击和积分攻击。下面分别介绍AES-256在这3类分析方法下的研究进展。

中间相遇攻击把密钥猜测过程从加密方向和解密方向分别推进到某个中间状态，并通过匹配中间值来筛选候选密钥。文献[14-19,21]给出了在单密钥模式下8~10轮AES-256的中间相遇攻击。不可能差分分析技术利用概率为0的差分特征攻击密码算法。Lu等^[22]利用4轮不可能差分区分器给出了8轮AES-256的密钥恢复攻击。积分分析利用明文分组经过多轮加密后某些比特位的线性组合的性质来攻击算法。Fouque等^[2]利用4轮积分区分器给出了8轮AES-256的密钥恢复攻击。

相关差分的概念由AES的设计者^[24]提出，是多维差分^[27]的一种特殊形式。文献[25]给出7轮AES-128的相关差分攻击，这是目前AES-128轮数最长的密钥恢复攻击之一。之前的研究尚未对AES-256进行相关差分分析。本文将相关差分分析技术应用于AES-256密码算法，通过把该7轮攻击扩展1轮，给出8轮AES-256的相关差分密钥恢复攻击，数据、时间和存储复杂度分别为{\mathrm{2}}^{\mathrm{110.24}}、{\mathrm{2}}^{\mathrm{235.76}}、{\mathrm{2}}^{\mathrm{110.24}}。本文算法是对AES-256算法进行相关差分安全性评估的首个结果，填补了AES-256在相关差分分析领域的空白。

表1给出目前在单密钥模式下8轮以上AES-256密钥恢复攻击的主要结果，其中：数据复杂度表示选择的明文量；时间复杂度中MA表示内存访问，其他是对应轮数的AES加密。

1 AES算法和相关差分分析

1.1 AES算法和符号说明

AES算法中，128比特状态通常用有限域{\mathbb{F}}_{{\mathrm{2}}^{\mathrm{8}}}上\mathrm{4}\times \mathrm{4}的矩阵来描述，矩阵中元素顺序如图1所示。

有限域{\mathbb{F}}_{{\mathrm{2}}^{\mathrm{8}}}中的元素对应次数小于8的多项式，本文用其系数的16进制来表示。AES的轮变换包括以下4个操作。1）字节替换（\mathrm{S}\mathrm{B}）：状态矩阵的每个字节查询同一个8比特S盒。2）行移位（\mathrm{S}\mathrm{R}）：将状态矩阵的第i行循环左移i个字节，其中i=\mathrm{0,1},\mathrm{2,3}。3）列混合（\mathrm{M}\mathrm{C}）：用{\mathbb{F}}_{{\mathrm{2}}^{\mathrm{8}}}上的MDS矩阵（Maximum Distance Separable Matrix）乘以状态矩阵的每一列。4）轮密钥加（\mathrm{A}\mathrm{K}）：将状态与轮密钥逐比特异或。

AES的一个轮变换为\mathrm{R}=\mathrm{A}\mathrm{K}\circ \mathrm{M}\mathrm{C}\circ \mathrm{S}\mathrm{R}\circ \mathrm{S}\mathrm{B}。加密时，明文先进行一个轮密钥加，再进行相应数量的轮变换，最后一轮没有\mathrm{M}\mathrm{C}操作。AES-128、AES-192和AES-256的迭代轮数分别为10、12和14。

本文记“+”表示异或操作。记“\mathrm{A}{\mathrm{K}}_r”表示与第r轮的轮密钥{\mathit{K}}_r进行异或，r\ge \mathrm{0}。当交换\mathrm{M}\mathrm{C}和\mathrm{A}\mathrm{K}的顺序时，记“\mathrm{A}{\mathrm{K}}_{\mathrm{r}}^{\mathrm{\text{'}}}”表示与等效轮密钥{\mathit{K}}_r^{\text{'}}=\mathrm{M}{\mathrm{C}}^{-\mathrm{1}}\left({\mathit{K}}_r\right)进行异或，其中\mathrm{M}{\mathrm{C}}^{-\mathrm{1}}表示列混合MC的逆运算。记{\mathrm{R}}^n表示n轮完整的AES，最后一轮有\mathrm{M}\mathrm{C}。对于一个向量\mathit{x}，记x_i表示\mathit{x}的第i个分量。记K_{r,i}^{\mathrm{\text{'}}}表示等效轮密钥{\mathit{K}}_r^{\text{'}}的第i个字节，\mathrm{0}\le i\le \mathrm{15}。记\alpha ‖\beta表示\alpha与\beta的级联值。对于两个集合I、J，满足J\subseteq I，记I\backslash J表示所有的元素i,满足i\in I且i\notin J。

1.2 相关差分分析

定义1（相关差分^[24]） 两个差分\mathrm{\Delta }\mathit{x}=（\mathrm{\Delta }{x}_{\mathrm{0}},\mathrm{\Delta }{x}_{\mathrm{1}},\dots ,

\mathrm{\Delta }{x}_{n-\mathrm{1}}）,\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}=\left(\mathrm{\Delta }{x}_{\mathrm{0}}^{\text{'}},\mathrm{\Delta }{x}_{\mathrm{1}}^{\text{'}},\dots ,\mathrm{\Delta }{x}_{n-\mathrm{1}}^{\text{'}}\right)\in {\mathbb{F}}_q^n是相关差分，当且仅当对于i=\mathrm{0},\mathrm{1},\dots ,n-\mathrm{1},\mathrm{\Delta }{x}_i\mathrm{\Delta }{x}_i^{\text{'}}\left(\mathrm{\Delta }{x}_i+\mathrm{\Delta }{x}_i^{\text{'}}\right)=\mathrm{0}\mathrm{。}式中，q为素数方幂。

任何差分\mathrm{\Delta }\mathit{x}都与自身构成相关差分，全零差分与任何差分\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}构成相关差分，本文排除这两种情况。对于任意状态\mathit{\alpha }\in {\mathbb{F}}_q^n及任意相关差分\mathrm{\Delta }\mathit{x},\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}\in {\mathbb{F}}_q^n，可以得到四元组\left(\mathit{\alpha },\mathit{\alpha }+\mathrm{\Delta }\mathit{x},\mathit{\alpha }+\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}},\mathit{\alpha }+\mathrm{\Delta }\mathit{x}+\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}\right)。对于每个i=\mathrm{0,1},\dots ,n-\mathrm{1}，集合\{{\alpha }_i,{\alpha }_i+\mathrm{\Delta }{x}_i,{\alpha }_i+\mathrm{\Delta }{x}_i^{\text{'}},{\alpha }_i+\mathrm{\Delta }{x}_i+\mathrm{\Delta }{x}_i^{\text{'}}\}由两对相等的值组成。因此，在SPN型密码结构中，相关差分通过双射S盒层的概率为1。在相关差分分析中，只需要考虑相关差分在线性层的传播。

定义2（相关差分特征^[24]） 设\mathrm{\Delta }\mathit{x}\mathbf{、}\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}为相关差分，对于线性映射M，设\mathrm{\Delta }\mathit{y}=M\left(\mathrm{\Delta }\mathit{x}\right)，\mathrm{\Delta }{\mathit{y}}^{\mathit{\text{'}}}=M\left(\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}\right)。如果\mathrm{\Delta }\mathit{y}\mathbf{、}\mathrm{\Delta }{\mathit{y}}^{\mathbf{\text{'}}}是相关差分，则称\mathrm{\Delta }\mathit{x}\to \mathrm{\Delta }\mathit{y}、\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}\to \mathrm{\Delta }{\mathit{y}}^{\mathit{\text{'}}}是M的相关差分特征。

对于AES算法，当状态被看作是由4条对角线构成的{\mathbb{F}}_{{\mathrm{2}}^{\mathrm{32}}}^{\mathrm{4}}中的向量，且\mathrm{\Delta }\mathit{x},\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}\in {\mathbb{F}}_{{\mathrm{2}}^{\mathrm{32}}}^{\mathrm{4}}满足定义1时，称\mathrm{\Delta }\mathit{x}\mathbf{、}\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}为对角线相关差分。

文献[25]证明由对角线相关差分构成的四元组满足4轮AES的零差分性质，如定理1所示。

定理1^[25] 设\mathrm{\Delta }\mathit{x},\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}\in {\mathbb{F}}_{{\mathrm{2}}^{\mathrm{8}}}^{\mathrm{4}\times \mathrm{4}}为对角线相关差分，对任意状态\mathit{\alpha }\in {\mathbb{F}}_{{\mathrm{2}}^{\mathrm{8}}}^{\mathrm{4}\times \mathrm{4}}，记\left({\mathit{X}}_{\mathrm{0}},{\mathit{X}}_{\mathrm{1}},{\mathit{X}}_{\mathrm{2}},{\mathit{X}}_{\mathrm{3}}\right)=\left(\mathit{\alpha },\mathit{\alpha }+\mathrm{\Delta }\mathit{x},\mathit{\alpha }+\mathrm{\Delta }\mathit{x}\mathit{\text{'}},\mathit{\alpha }+\mathrm{\Delta }\mathit{x}+\mathrm{\Delta }\mathit{x}\mathit{\text{'}}\right)，则{\mathrm{R}}^{\mathrm{2}}\left({\mathit{X}}_{\mathrm{0}}\right)+{\mathrm{R}}^{\mathrm{2}}\left({\mathit{X}}_{\mathrm{1}}\right)+{\mathrm{R}}^{\mathrm{2}}\left({\mathit{X}}_{\mathrm{2}}\right)+{\mathrm{R}}^{\mathrm{2}}\left({\mathit{X}}_{\mathrm{3}}\right)=\mathrm{0}, 且经过4轮AES加密后，\mathrm{M}{\mathrm{C}}^{-\mathrm{1}}\left({\mathrm{R}}^{\mathrm{4}}\left({\mathit{X}}_{\mathrm{0}}\right)+{\mathrm{R}}^{\mathrm{4}}\left({\mathit{X}}_{\mathrm{1}}\right)\right)的第i条反对角线为零，当且仅当\mathrm{M}{\mathrm{C}}^{-\mathrm{1}}\left({\mathrm{R}}^{\mathrm{4}}\left({\mathit{X}}_{\mathrm{2}}\right)+{\mathrm{R}}^{\mathrm{4}}\left({\mathit{X}}_{\mathrm{3}}\right)\right)的第i条反对角线为零，i=\mathrm{0,1},\mathrm{2,3}。

如果AES算法的输入差分\mathrm{\Delta }\mathit{x}\mathbf{、}\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}与输出差分\mathrm{\Delta }\mathit{y}\mathbf{、}\mathrm{\Delta }{\mathit{y}}^{\mathbf{\text{'}}}均为对角线相关差分，则称\mathrm{\Delta }\mathit{x}\to \mathrm{\Delta }\mathit{y}、 \mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}\to \mathrm{\Delta }{\mathit{y}}^{\mathit{\text{'}}}为对角线相关差分特征。对于AES的4个完整轮{\mathrm{R}}^{\mathrm{4}}，文献[25]给出了8个对角线相关差分特征，每个相关差分特征的概率为{\mathrm{2}}^{-\mathrm{192}}。令\mathrm{\Delta }\mathit{x}\mathbf{、}\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}是{\mathrm{R}}^{\mathrm{4}}的输入相关差分，\mathrm{\Delta }\mathit{y}\mathbf{、}\mathrm{\Delta }{\mathit{y}}^{\mathbf{\text{'}}}是输出相关差分，其中一个对角线相关差分特征如式（1）~（3）所示：

\mathrm{\Delta }\mathit{x}=\left[\begin{array}{cccc}∆x_{\mathrm{0}}& ∆x_{\mathrm{4}}& ∆x_{\mathrm{8}}& ∆x_{\mathrm{12}}\\ ∆x_{\mathrm{1}}& ∆x_{\mathrm{5}}& ∆x_{\mathrm{9}}& ∆x_{\mathrm{13}}\\ ∆x_{\mathrm{2}}& ∆x_{\mathrm{6}}& ∆x_{\mathrm{10}}& ∆x_{\mathrm{14}}\\ ∆x_{\mathrm{3}}& ∆x_{\mathrm{7}}& ∆x_{\mathrm{11}}& ∆x_{\mathrm{15}}\end{array}\right]\to

\mathrm{\Delta }\mathit{y}=\left[\begin{array}{cccc}E{\gamma }_{\mathrm{0}}& \mathrm{9}{\gamma }_{\mathrm{1}}& D{\gamma }_{\mathrm{2}}& B{\gamma }_{\mathrm{3}}\\ \mathrm{9}{\gamma }_{\mathrm{0}}& D{\gamma }_{\mathrm{1}}& B{\gamma }_{\mathrm{2}}& E{\gamma }_{\mathrm{3}}\\ D{\gamma }_{\mathrm{0}}& B{\gamma }_{\mathrm{1}}& E{\gamma }_{\mathrm{2}}& \mathrm{9}{\gamma }_{\mathrm{3}}\\ B{\gamma }_{\mathrm{0}}& E{\gamma }_{\mathrm{1}}& \mathrm{9}{\gamma }_{\mathrm{2}}& D{\gamma }_{\mathrm{3}}\end{array}\right]（1）

\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}=\left[\begin{array}{cccc}∆x_{\mathrm{0}}& \mathrm{0}& ∆x_{\mathrm{8}}& \mathrm{0}\\ \mathrm{0}& ∆x_{\mathrm{5}}& \mathrm{0}& ∆x_{\mathrm{13}}\\ ∆x_{\mathrm{2}}& \mathrm{0}& ∆x_{\mathrm{10}}& \mathrm{0}\\ \mathrm{0}& ∆x_{\mathrm{7}}& \mathrm{0}& ∆x_{\mathrm{15}}\end{array}\right]\to

\mathrm{\Delta }{\mathit{y}}^{\mathit{\text{'}}}=\left[\begin{array}{cccc}E{\gamma }_{\mathrm{0}}& \mathrm{0}& D{\gamma }_{\mathrm{2}}& \mathrm{0}\\ \mathrm{0}& D{\gamma }_{\mathrm{1}}& \mathrm{0}& E{\gamma }_{\mathrm{3}}\\ D{\gamma }_{\mathrm{0}}& \mathrm{0}& E{\gamma }_{\mathrm{2}}& \mathrm{0}\\ \mathrm{0}& E{\gamma }_{\mathrm{1}}& \mathrm{0}& D{\gamma }_{\mathrm{3}}\end{array}\right]（2）

\mathrm{\Delta }\mathit{x}+\mathrm{\Delta }\mathit{x}\mathit{\text{'}}=\left[\begin{array}{cccc}\mathrm{0}& ∆x_{\mathrm{4}}& \mathrm{0}& ∆x_{\mathrm{12}}\\ ∆x_{\mathrm{1}}& \mathrm{0}& ∆x_{\mathrm{9}}& \mathrm{0}\\ \mathrm{0}& ∆x_{\mathrm{6}}& \mathrm{0}& ∆x_{\mathrm{14}}\\ ∆x_{\mathrm{3}}& \mathrm{0}& ∆x_{\mathrm{11}}& \mathrm{0}\end{array}\right]\to

\mathrm{\Delta }\mathit{y}+\mathrm{\Delta }\mathit{y}\mathit{\text{'}}=\left[\begin{array}{cccc}\mathrm{0}& \mathrm{9}{\gamma }_{\mathrm{1}}& \mathrm{0}& B{\gamma }_{\mathrm{3}}\\ \mathrm{9}{\gamma }_{\mathrm{0}}& \mathrm{0}& B{\gamma }_{\mathrm{2}}& \mathrm{0}\\ \mathrm{0}& B{\gamma }_{\mathrm{1}}& \mathrm{0}& \mathrm{9}{\gamma }_{\mathrm{3}}\\ B{\gamma }_{\mathrm{0}}& \mathrm{0}& \mathrm{9}{\gamma }_{\mathrm{2}}& \mathrm{0}\end{array}\right]（3）

式中：\mathrm{\Delta }\mathit{x}在所有对角线上均取非零值，{\gamma }_i\in {\mathbb{F}}_{{\mathrm{2}}^{\mathrm{8}}}不全为零，i=\mathrm{0,1},\mathrm{2,3}。其他7个对角线相关差分特征的输入相关差分与\mathrm{\Delta }\mathit{x}\mathbf{、}\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}相同，输出相关差分可以通过将\mathrm{\Delta }\mathit{y}\mathbf{、}\mathrm{\Delta }\mathit{y}\mathit{\text{'}}的所有列进行相同的循环移位，和/或交换\mathrm{\Delta }{\mathit{y}}^{\mathit{\text{'}}}\mathrm{与}(\mathrm{\Delta }\mathit{y}+\mathrm{\Delta }\mathit{y}\mathit{\text{'}})的值得到。

文献[25]将这8个对角线相关差分特征后面加上3轮，给出7轮AES-128的密钥恢复攻击。设\mathrm{\Delta }\mathit{x},\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}\in {\mathbb{F}}_{{\mathrm{2}}^{\mathrm{8}}}^{\mathrm{4}\times \mathrm{4}}是式（1）~式（3）中的输入对角线相关差分。任意选择明文{\mathit{P}}_{\mathrm{0}}\in {\mathbb{F}}_{{\mathrm{2}}^{\mathrm{8}}}^{\mathrm{4}\times \mathrm{4}}，构造明文四元组\left({\mathit{P}}_{\mathrm{0}},{\mathit{P}}_{\mathrm{1}},{\mathit{P}}_{\mathrm{2}},{\mathit{P}}_{\mathrm{3}}\right)=\left({\mathit{P}}_{\mathrm{0}},{\mathit{P}}_{\mathrm{0}}+\mathrm{\Delta }\mathit{x},{\mathit{P}}_{\mathrm{0}}+\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}},{\mathit{P}}_{\mathrm{0}}+\mathrm{\Delta }\mathit{x}+\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}\right)，使得平均存在一个明文四元组在前4轮AES上满足这8个对角线相关差分特征中任意一个。由定理1可知，经过6轮AES加密后，该明文四元组满足：

{\mathrm{R}}^{\mathrm{6}}\left({\mathit{P}}_{\mathrm{0}}\right)+{\mathrm{R}}^{\mathrm{6}}\left({\mathit{P}}_{\mathrm{1}}\right)+{\mathrm{R}}^{\mathrm{6}}\left({\mathit{P}}_{\mathrm{2}}\right)+{\mathrm{R}}^{\mathrm{6}}\left({\mathit{P}}_{\mathrm{3}}\right)=\mathrm{0}（4）

对于密文四元组\left({\mathit{C}}_{\mathrm{0}},{\mathit{C}}_{\mathrm{1}},{\mathit{C}}_{\mathrm{2}},{\mathit{C}}_{\mathrm{3}}\right)，逐字节猜测{\mathit{K}}_{\mathrm{7}}的可能值，将密文部分解密，利用式（4）对猜测的密钥值进行筛选，并将剩余的密钥候选值进行加密验证。更多攻击的细节参照文献[25]。

2 AES‑256的8轮相关差分攻击

2.1 攻击策略

在8轮AES中，分别交换第6轮、第7轮中\mathrm{M}\mathrm{C}和\mathrm{A}\mathrm{K}的顺序，如图2所示。记4轮加密后的状态为 Y，第6轮\mathrm{M}\mathrm{C}后的状态为 Z，第7轮\mathrm{M}\mathrm{C}前的状态为\mathit{W}。设\mathrm{\Delta }\mathit{x},\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}\in {\mathbb{F}}_{{\mathrm{2}}^{\mathrm{8}}}^{\mathrm{4}\times \mathrm{4}}是对角线相关差分，其中\mathrm{\Delta }\mathit{x}在所有对角线上取非零值，\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}在两条不相邻的对角线上取非零值。对任意明文{\mathit{P}}_{\mathrm{0}}\in {\mathbb{F}}_{{\mathrm{2}}^{\mathrm{8}}}^{\mathrm{4}\times \mathrm{4}}，令\left({\mathit{P}}_{\mathrm{0}},{\mathit{P}}_{\mathrm{1}},{\mathit{P}}_{\mathrm{2}},{\mathit{P}}_{\mathrm{3}}\right)=({\mathit{P}}_{\mathrm{0}},{\mathit{P}}_{\mathrm{0}}+\mathrm{\Delta }\mathit{x},{\mathit{P}}_{\mathrm{0}}+\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}},{\mathit{P}}_{\mathrm{0}}+\mathrm{\Delta }\mathit{x}+\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}})。对于前4轮AES，\left({\mathit{P}}_{\mathrm{0}},{\mathit{P}}_{\mathrm{1}},{\mathit{P}}_{\mathrm{2}},{\mathit{P}}_{\mathrm{3}}\right)满足文献[25]给出的8个对角线相关差分特征中任意一个的概率为\mathrm{8}\times {\mathrm{2}}^{-\mathrm{192}}={\mathrm{2}}^{-\mathrm{189}}。也就是说，经过4轮AES后，输出差分（{\mathit{Y}}_{\mathrm{0}}+{\mathit{Y}}_{\mathrm{1}}）、({\mathit{Y}}_{\mathrm{0}}+{\mathit{Y}}_{\mathrm{2}})仍然是对角线相关差分，其中({\mathit{Y}}_{\mathrm{0}}+{\mathit{Y}}_{\mathrm{1}})在所有对角线上取非零值，({\mathit{Y}}_{\mathrm{0}}+{\mathit{Y}}_{\mathrm{2}})只在两条不相邻的对角线上取非零值的概率为{\mathrm{2}}^{-\mathrm{189}}。此时(\mathrm{R}\left({\mathit{Y}}_{\mathrm{0}}\right)+\mathrm{R}\left({\mathit{Y}}_{\mathrm{2}}\right))只在两列上取非零值。为了减少猜测密钥后需要部分解密的四元组数，采用与文献[25]相同的做法，限制(\mathrm{R}\left({\mathit{Y}}_{\mathrm{0}}\right)+\mathrm{R}\left({\mathit{Y}}_{\mathrm{2}}\right))在两条对角线上取值为零。对于只在两列上取非零值的\left(\mathrm{R}\left({\mathit{Y}}_{\mathrm{0}}\right)+\mathrm{R}\left({\mathit{Y}}_{\mathrm{2}}\right)\right)来说，该限制条件的概率为\mathrm{6}\times {\mathrm{2}}^{-\mathrm{32}}\approx {\mathrm{2}}^{-\mathrm{29.42}}。如果一个明文四元组\left({\mathit{P}}_{\mathrm{0}},{\mathit{P}}_{\mathrm{1}},{\mathit{P}}_{\mathrm{2}},{\mathit{P}}_{\mathrm{3}}\right)满足前4轮的对角线相关差分特征和\left(\mathrm{R}\left({\mathit{Y}}_{\mathrm{0}}\right)+\mathrm{R}\left({\mathit{Y}}_{\mathrm{2}}\right)\right)的限制条件，则称该四元组为正确四元组。任意一个明文四元组是正确四元组的概率为{\mathrm{2}}^{-\mathrm{189}}\times {\mathrm{2}}^{-\mathrm{29.42}}={\mathrm{2}}^{-\mathrm{218.42}}。

对于正确四元组\left({\mathit{P}}_{\mathrm{0}},{\mathit{P}}_{\mathrm{1}},{\mathit{P}}_{\mathrm{2}},{\mathit{P}}_{\mathrm{3}}\right)，有({\mathit{Y}}_{\mathrm{0}}+{\mathit{Y}}_{\mathrm{2}})在两条不相邻的对角线上取值为零，({\mathit{Y}}_{\mathrm{0}}+{\mathit{Y}}_{\mathrm{3}})在另外两条对角线上取值为零，则\mathrm{M}{\mathrm{C}}^{-\mathrm{1}}\left({\mathit{Z}}_{\mathrm{0}}+{\mathit{Z}}_{\mathrm{2}}\right)在两条不相邻的反对角线上取值为零，\mathrm{M}{\mathrm{C}}^{-\mathrm{1}}\left({\mathit{Z}}_{\mathrm{0}}+{\mathit{Z}}_{\mathrm{3}}\right)在另外两条反对角线上取值为零。因为({\mathit{Y}}_{\mathrm{0}}+{\mathit{Y}}_{\mathrm{1}})、({\mathit{Y}}_{\mathrm{0}}+{\mathit{Y}}_{\mathrm{2}})是对角线相关差分，由定理1可知:

{\mathit{Z}}_{\mathrm{0}}+{\mathit{Z}}_{\mathrm{1}}+{\mathit{Z}}_{\mathrm{2}}+{\mathit{Z}}_{\mathrm{3}}=\mathrm{0}（5）

由于\left(\mathrm{R}\left({\mathit{Y}}_{\mathrm{0}}\right)+\mathrm{R}\left({\mathit{Y}}_{\mathrm{2}}\right)\right)在两条对角线上取值为零，所以({\mathit{Z}}_{\mathrm{0}}+{\mathit{Z}}_{\mathrm{2}})在两列上取值为零。由式（5）可得，({\mathit{Z}}_{\mathrm{1}}+{\mathit{Z}}_{\mathrm{3}})在相同的两列上取值为零。因此，在状态\mathit{W}处的四元组\left({\mathit{W}}_{\mathrm{0}},{\mathit{W}}_{\mathrm{1}},{\mathit{W}}_{\mathrm{2}},{\mathit{W}}_{\mathrm{3}}\right)满足({\mathit{W}}_{\mathrm{0}}+{\mathit{W}}_{\mathrm{2}})和({\mathit{W}}_{\mathrm{1}}+{\mathit{W}}_{\mathrm{3}})各自在相同的两条反对角线上取值为零。对于密文四元组\left({\mathit{C}}_{\mathrm{0}},{\mathit{C}}_{\mathrm{1}},{\mathit{C}}_{\mathrm{2}},{\mathit{C}}_{\mathrm{3}}\right)，猜测{\mathit{K}}_{\mathrm{8}}的全部字节和{\mathit{K}}_{\mathrm{7}}^{\mathrm{\text{'}}}的部分字节，将密文部分解密到状态\mathit{W}、Z 处，利用上述差分性质对猜测的密钥值进行筛选。

为了能够成功恢复密钥，需要构造的明文四元组包含一个正确四元组，即需要构造{\mathrm{2}}^{\mathrm{218.42}}个明文四元组\left({\mathit{P}}_{\mathrm{0}},{\mathit{P}}_{\mathrm{1}},{\mathit{P}}_{\mathrm{2}},{\mathit{P}}_{\mathrm{3}}\right)=({\mathit{P}}_{\mathrm{0}},{\mathit{P}}_{\mathrm{0}}+\mathrm{\Delta }\mathit{x},{\mathit{P}}_{\mathrm{0}}+\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}},{\mathit{P}}_{\mathrm{0}}+\mathrm{\Delta }\mathit{x}+\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}})，其中：{\mathit{P}}_{\mathrm{0}}是任意选择的明文；\mathrm{\Delta }\mathit{x}\mathbf{、}\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}是对角线相关差分；\mathrm{\Delta }\mathit{x}在所有对角线上取非零值；\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}}在两条不相邻的对角线上取非零值，使得平均存在一个正确四元组。选择规模为s的4个集合A_i\subseteq {\mathbb{F}}_{{\mathrm{2}}^{\mathrm{8}}}^{\mathrm{4}}(i=\mathrm{0,1},\mathrm{2,3})来构成s^{\mathrm{4}}个明文，其中第i条对角线取集合A_i的所有可能值。这些明文能构成\frac{\mathrm{1}}{\mathrm{2}}{s}^{\mathrm{4}}{\left(s-\mathrm{1}\right)}^{\mathrm{4}}对\left({\mathit{P}}_{\mathrm{0}},{\mathit{P}}_{\mathrm{1}}\right)。对每对\left({\mathit{P}}_{\mathrm{0}},{\mathit{P}}_{\mathrm{1}}\right)，存在唯一一对\left({\mathit{P}}_{\mathrm{2}},{\mathit{P}}_{\mathrm{3}}\right)与其构成明文四元组。考虑到\left({\mathit{P}}_{\mathrm{0}},{\mathit{P}}_{\mathrm{1}}\right)和\left({\mathit{P}}_{\mathrm{2}},{\mathit{P}}_{\mathrm{3}}\right)在四元组中的先后顺序，构造出的明文四元组数为\frac{\mathrm{1}}{\mathrm{4}}{s}^{\mathrm{4}}{\left(s-\mathrm{1}\right)}^{\mathrm{4}}。取s={\mathrm{2}}^{\mathrm{27.56}}，有\frac{\mathrm{1}}{\mathrm{4}}{s}^{\mathrm{4}}{\left(s-\mathrm{1}\right)}^{\mathrm{4}}\approx {\mathrm{2}}^{\mathrm{218.48}}。此时攻击的数据复杂度为s^{\mathrm{4}}={\mathrm{2}}^{\mathrm{110.24}}。

2.2 攻击流程及复杂度分析

在预计算阶段，对任意{\alpha }_i\in {\mathbb{F}}_{{\mathrm{2}}^{\mathrm{8}}}，i=\mathrm{0,1},\mathrm{2,3}，遍历k\in {\mathbb{F}}_{{\mathrm{2}}^{\mathrm{8}}}，计算出满足{\displaystyle \sum _{i=\mathrm{0}}^{\mathrm{3}}}\mathrm{S}{\mathrm{B}}^{-\mathrm{1}}\left({\alpha }_i+k\right)=\mathrm{0}的k的值，并将该值以{\alpha }_{\mathrm{0}}‖{\alpha }_{\mathrm{1}}‖{\alpha }_{\mathrm{2}}‖{\alpha }_{\mathrm{3}}为索引存储到预计算表T中。在线阶段的流程如下。

步骤1：选择规模为s={\mathrm{2}}^{\mathrm{27.56}}的4个集合{\mathit{A}}_{\mathrm{0}},{\mathit{A}}_{\mathrm{1}},

{\mathit{A}}_{\mathrm{2}},{\mathit{A}}_{\mathrm{3}}\subseteq {\mathbb{F}}_{{\mathrm{2}}^{\mathrm{8}}}^{\mathrm{4}}，构造{\mathrm{2}}^{\mathrm{110.24}}个明文，其中第i条对角线取集合{\mathit{A}}_i的所有可能值，i=\mathrm{0},\mathrm{1},\mathrm{2},\mathrm{3}。询问加密机获得对应的密文，以明文为索引将密文存储到密文表中。

步骤2：对于{\mathit{K}}_{\mathrm{8}}的每一个可能值，执行如下操作。

1）对集合{\mathit{A}}_{\mathrm{1}}、{\mathit{A}}_{\mathrm{3}}的每个元素，构造第1、3条对角线取该对应元素，第0、2条对角线取{\mathit{A}}_{\mathrm{0}}、{\mathit{A}}_{\mathrm{2}}所有可能值的s^{\mathrm{2}}={\mathrm{2}}^{\mathrm{55.12}}个明文\mathit{P}，查询密文表得到密文\mathit{C}。利用猜测的{\mathit{K}}_{\mathrm{8}}将\mathit{C}部分解密得到状态\mathit{W}，将\mathit{P}‖\mathit{W}以\mathit{W}的第m\mathrm{、}n条反对角线的值为索引存储到6个Hash表H_{m,n}中，。对{\mathrm{2}}^{\mathrm{55.12}}个明文操作完成之后，对于H_{m,n}的每个索引，提取出所有对\left(\mathit{W},\mathit{W}\mathit{\text{'}}\right)，并将\mathit{P}、\mathit{P}\mathit{\text{'}}在第0条和第2条对角线的级联值作为索，把\left(\mathit{W},\mathit{W}\mathit{\text{'}}\right)存储到表格L_{m,n}中，。清空6个Hash表H_{m,n}后，对{\mathit{A}}_{\mathrm{1}}、{\mathit{A}}_{\mathrm{3}}的下一个元素进行相同操作。

2）对于每个表格L_{m,n}，，利用两种方式构造状态四元组。

方式1：对于L_{m,n}中任意一对\left(\mathit{W},\mathit{W}\mathit{\text{'}}\right)，取同索引下的另一对\left(\overline{\mathit{W}},\overline{\mathit{W}}\mathit{\text{'}}\right)，可构成状态四元组\left(\mathit{W},{\overline{\mathit{W}}}^{\mathit{\text{'}}},{\mathit{W}}^{\mathit{\text{'}}},\overline{\mathit{W}}\right)，因其对应的明文\left(\mathit{P},{\mathit{P}}^{\mathit{\text{'}}}\right)和\left(\overline{\mathit{P}},{\overline{\mathit{P}}}^{\mathit{\text{'}}}\right)可以构成需要的明文四元组\left(\mathit{P},{\overline{\mathit{P}}}^{\mathit{\text{'}}},{\mathit{P}}^{\mathit{\text{'}}},\overline{\mathit{P}}\right)=({\mathit{P}}_{\mathrm{0}},{\mathit{P}}_{\mathrm{0}}+\mathrm{\Delta }\mathit{x},{\mathit{P}}_{\mathrm{0}}+\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}},{\mathit{P}}_{\mathrm{0}}+\mathrm{\Delta }\mathit{x}+\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}})。

方式2：对于L_{m,n}索引a‖b下的任意一对\left(\mathit{W},\mathit{W}\mathit{\text{'}}\right)，

其中a、b分别代表索引的前半部分和后半部分，取索引b‖a下的任意一对\left(\overline{\mathit{W}},\overline{\mathit{W}}\mathit{\text{'}}\right)，它们可以构成状态四元组\left(\mathit{W},\overline{\mathit{W}},{\mathit{W}}^{\mathit{\text{'}}},{\overline{\mathit{W}}}^{\mathrm{\text{'}}}\right)，因为对应的明文可构成需要的明文四元组\left(\mathit{P},\overline{\mathit{P}},{\mathit{P}}^{\mathit{\text{'}}},\overline{\mathit{P}}\mathit{\text{'}}\right)=({\mathit{P}}_{\mathrm{0}},{\mathit{P}}_{\mathrm{0}}+\mathrm{\Delta }\mathit{x},{\mathit{P}}_{\mathrm{0}}+\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}},

{\mathit{P}}_{\mathrm{0}}+\mathrm{\Delta }\mathit{x}+\mathrm{\Delta }{\mathit{x}}^{\mathit{\text{'}}})。

3）对于步骤2）中构造的每个四元组，对每个在反对角线\{\mathrm{0,1},\mathrm{2,3}\}\backslash \{m,n\}上的索引j，以W_j‖W_j^{\text{'}}‖{\overline{W}}_j‖{\overline{W}}_j^{\text{'}}的值检索预计算表T，得到K_{\mathrm{7},j}^{\text{'}}的候选值。对所有的j操作完成后，执行如下操作。

对方式1中构造出的四元组\left(\mathit{W},{\overline{\mathit{W}}}^{\mathit{\text{'}}},{\mathit{W}}^{\mathit{\text{'}}},\overline{\mathit{W}}\right)，利用恢复出的{\mathit{K}}_{\mathrm{7}}^{\mathit{\text{'}}}候选值将其部分解密，得到\mathrm{M}{\mathrm{C}}^{-\mathrm{1}}\left(\mathit{Z}+\mathit{Z}\mathit{\text{'}}\right)、\mathrm{M}{\mathrm{C}}^{-\mathrm{1}}\left(\mathit{Z}+\overline{\mathit{Z}}\right)在列\{\mathrm{0,1},\mathrm{2,3}\}\backslash \{m,n\}上的值。检查\mathrm{M}{\mathrm{C}}^{-\mathrm{1}}\left(\mathit{Z}+\mathit{Z}\mathit{\text{'}}\right)是否在两条不相邻的反对角线为零、\mathrm{M}{\mathrm{C}}^{-\mathrm{1}}\left(\mathit{Z}+\overline{\mathit{Z}}\right)是否在另外两条反对角线为零。如果成立，穷举{\mathit{K}}_{\mathrm{7}}^{\mathit{\text{'}}}在第m条和第n条反对角线的可能值，并将对应的密钥进行加密验证。

对方式2中构造出的四元组\left(\mathit{W},\overline{\mathit{W}},{\mathit{W}}^{\mathit{\text{'}}},{\overline{\mathit{W}}}^{\mathit{\text{'}}}\right)，利用恢复出的{\mathit{K}}_{\mathrm{7}}^{\mathit{\text{'}}}候选值将其部分解密，得到\mathrm{M}{\mathrm{C}}^{-\mathrm{1}}\left(\mathit{Z}+\mathit{Z}\mathit{\text{'}}\right)、\mathrm{M}{\mathrm{C}}^{-\mathrm{1}}\left(\mathit{Z}+{\overline{\mathit{Z}}}^{\mathit{\text{'}}}\right)在列\{\mathrm{0,1},\mathrm{2,3}\}\backslash \{m,n\}上的值。检查\mathrm{M}{\mathrm{C}}^{-\mathrm{1}}\left(\mathit{Z}+\mathit{Z}\mathit{\text{'}}\right)是否在两条不相邻的反对角线为零、\mathrm{M}{\mathrm{C}}^{-\mathrm{1}}\left(\mathit{Z}+{\overline{\mathit{Z}}}^{\mathit{\text{'}}}\right)是否在另外两条反对角线为零。如果成立，穷举{\mathit{K}}_{\mathrm{7}}^{\mathit{\text{'}}}在第m条和第n条反对角线的可能值，并将对应的密钥进行加密验证。

攻击的数据复杂度为{\mathrm{2}}^{\mathrm{110.24}}，下面分析攻击的时间复杂度。预计算阶段需要{\mathrm{2}}^{\mathrm{32}}\times {\mathrm{2}}^{\mathrm{8}}\times \mathrm{4}={\mathrm{2}}^{\mathrm{42}}次内存访问（MA）。预计算表T中，在每个索引下平均存在一个k的值。在线阶段，步骤1需要{\mathrm{2}}^{\mathrm{110.24}}次8轮AES加密加上{\mathrm{2}}^{\mathrm{110.24}}次MA。在步骤2-1）中，构造6个表格H_{m,n}的时间复杂度为{\mathrm{2}}^{\mathrm{128}}\times {\mathrm{2}}^{\mathrm{110.24}}\times \left(\mathrm{1}+\mathrm{16}+\mathrm{6}\right)\approx {\mathrm{2}}^{\mathrm{242.76}}MA。对于{\mathit{K}}_{\mathrm{8}}的每个可能值和每个m\mathrm{、}n，提取出的\left(\mathit{W},\mathit{W}\mathit{\text{'}}\right)平均有{\mathrm{2}}^{\mathrm{55.12}}\times \left(\begin{array}{c}{\mathrm{2}}^{\mathrm{55.12}}\\ \mathrm{2}\end{array}\right)\times {\mathrm{2}}^{-\mathrm{64}}\approx {\mathrm{2}}^{\mathrm{100.36}}对。构造6个表格L_{m,n}的时间复杂度为{\mathrm{2}}^{\mathrm{128}}\times \mathrm{6}\times {\mathrm{2}}^{\mathrm{100.36}}\approx {\mathrm{2}}^{\mathrm{230.94}}MA。每个表格L_{m,n}的索引有{\mathrm{2}}^{\mathrm{110.24}}个。步骤2-2）中，对于任意一对\left(\mathit{W},\mathit{W}\mathit{\text{'}}\right)，平均有\left({\mathrm{2}}^{\mathrm{100.36}}-\mathrm{1}\right)\times {\mathrm{2}}^{-\mathrm{110.24}}\times \mathrm{2}\approx {\mathrm{2}}^{-\mathrm{8.88}}个对应的\left(\overline{\mathit{W}},\overline{\mathit{W}}\mathit{\text{'}}\right)与之构成四元组。因此，在步骤2-2）中构造出的四元组数一共有{\mathrm{2}}^{\mathrm{128}}\times \mathrm{6}\times ({\mathrm{2}}^{\mathrm{100.36}}\times {\mathrm{2}}^{-\mathrm{8.88}}/\mathrm{2})\approx {\mathrm{2}}^{\mathrm{221.06}}。在步骤2-3）中，对每个四元组平均能恢复出一个{\mathit{K}}_{\mathrm{7}}^{\mathit{\text{'}}}在反对角线\{\mathrm{0,1},\mathrm{2,3}\}\backslash \{m,n\}上的候选值，所以部分解密的复杂度为{\mathrm{2}}^{\mathrm{221.06}}\times (\mathrm{8}+\mathrm{8}\times \mathrm{2})\approx {\mathrm{2}}^{\mathrm{225.64}}MA，加密验证的复杂度为{\mathrm{2}}^{\mathrm{221.06}}\times {\mathrm{2}}^{-\mathrm{63}}\times {\mathrm{2}}^{\mathrm{64}}={\mathrm{2}}^{\mathrm{222.06}}次8轮加密。因此，整个攻击的时间复杂度取决于步骤2-1）中构造6个表格H_{m,n}的复杂度，为{\mathrm{2}}^{\mathrm{242.76}}MA，等价于{\mathrm{2}}^{\mathrm{242.76}}/(\mathrm{16}\times \mathrm{8})={\mathrm{2}}^{\mathrm{235.76}}次8轮加密。

下面分析攻击的存储复杂度。预计算表T的规模为{\mathrm{2}}^{\mathrm{32}}。步骤1中密文表的规模为{\mathrm{2}}^{\mathrm{110.24}}。步骤2-1）中对集合A_{\mathrm{1}}、A_{\mathrm{3}}的每个元素，6个Hash表H_{m,n}的空间可以复用，所以这6个Hash表的规模一共为\mathrm{6}\times {\mathrm{2}}^{\mathrm{55.12}}\approx {\mathrm{2}}^{\mathrm{57.71}}。6个表格L_{m,n}的规模一共为\mathrm{6}\times {\mathrm{2}}^{\mathrm{100.36}}\times \mathrm{2}\approx {\mathrm{2}}^{\mathrm{103.94}}。因此，攻击的存储复杂度取决于密文表的规模{\mathrm{2}}^{\mathrm{110.24}}。

3 结束语

目前，在单密钥模式下对8轮以上AES-256的密钥恢复攻击有中间相遇攻击、不可能差分攻击和积分攻击。本文将相关差分分析技术应用于AES-256密码算法，通过在7轮AES-128的攻击后面增加1轮给出8轮AES-256的相关差分密钥恢复攻击，数据、时间和存储复杂度分别为{\mathrm{2}}^{\mathrm{110.24}}、{\mathrm{2}}^{\mathrm{235.76}}和{\mathrm{2}}^{\mathrm{110.24}}。该攻击算法是对AES-256算法进行相关差分安全性评估的首个结果。如何结合中间相遇、状态检测等技术进一步降低该攻击的复杂度是下一步研究的问题。

参考文献

[1] DAEMEN J， RIJMEN V. The design of rijndael： the advanced encryption standard（AES）［M］. Berlin， Germany： Springer， 2002.

[2] FOUQUE P A， KARPMAN P， KIRCHNER P， et al. Efficient and provable white-box primitives［C］// Advances in cryptology-ASIACRYPT 2016. Berlin， Germany： Springer，2016：159-188.

[3] DUNKELMAN O， GHOSH S， KELLER N， et al. Partial sums meet FFT： improved attack on 6-round AES［C］//Advances in Cryptology-EUROCRYPT 2024. Cham， Switzerland： Springer， 2024：128-157.

[4] BOGDANOV A， RIJMEN V. Linear hulls with correlation zero and linear cryptanalysis of block ciphers［J］. Designs， Codes and Cryptography， 2014，70（3）：369-383.

[5] SUN B， LIU M C， GUO J， et al. Provable security evaluation of structures against impossible differential and zero correlation linear cryptanalysis［C］// Advances in Cryptology‑EUROCRYPT 2016. Berlin， Germany： Springer， 2016：196-213.

[6] SUN B， LIU M C， GUO J， et al. New insights on AES-like SPN ciphers［C］// Advances in Cryptology-CRYPTO 2016. Berlin， Germany： Springer， 2016：605-624.

[7] HU K， CUI T T， GAO C， et al. Towards key-dependent integral and impossible differential distinguishers on 5-round AES［C］// Proceedings of the 25th International Conference on Selected Areas in Cryptography. Cham， Switzerland： Springer， 2019：139-162.

[8] GRASSI L， RECHBERGER C， RØNJOM S. Subspace trail cryptanalysis and its applications to AES［J］. IACR Transactions on Symmetric Cryptology， 2016，2016（2）：192-225.

[9] BAR-ON A， DUNKELMAN O， KELLER N， et al. Improved key recovery attacks on reduced-round AES with practical data and memory complexities［J］. Journal of Cryptology， 2020，33（3）：1003-1043.

[10] RØNJOM S， BARDEH N G， HELLESETH T. Yoyo tricks with AES［C］// Advances in Cryptology-ASIACRYPT 2017. Cham， Switzerland： Springer， 2017：217-243.

[11] MONDAL S K， RAHMAN M， SARKAR S， et al. Revisiting yoyo tricks on AES［J］. IACR Transactions on Symmetric Cryptology， 2023，2023（4）：28-57.

[12] BARDEH N G， RØNJOM S. The exchange attack： how to distinguish six rounds of AES with 2^88.2 chosen plaintexts［C］// Advances in Cryptology-ASIACRYPT 2019. Cham，Switzerland： Springer， 2019：347-370.

[13] DUNKELMAN O， KELLER N， RONEN E， et al. The retracing boomerang attack［C］//Advances in Cryptology-EUROCRYPT 2020. Cham， Switzerland： Springer， 2020：280-309.

[14] DEMIRCI H， SELÇUK A A. A meet-in-the-middle attack on 8-round AES［C］// Fast Software Encryption. Berlin， Germany： Springer， 2008：116-126.

[15] DEMIRCI H， TAŞKIN İ， ÇOBAN M， et al. Improved meet-in-the-middle attacks on AES［C］// Proceedings of the 10th International Conference on Cryptology in India. Berlin， Germany： Springer， 2009：144-156.

[16] DUNKELMAN O， KELLER N， SHAMIR A. Improved single-key attacks on 8-round AES-192 and AES-256［C］// Advances in Cryptology： ASIACRYPT 2010. Berlin， Germany： Springer， 2010：158-176.

[17] DERBEZ P， FOUQUE P A， JEAN J. Improved key recovery attacks on reduced-round AES in the single-key setting［C］// Advances in cryptology-EUROCRYPT 2013. Berlin， Germany： Springer， 2013：371-387.

[18] DERBEZ P， FOUQUE P A. Exhausting demirci-selçuk meet-in-the-middle attacks against reduced-round AES［C］// Fast Software Encryption. Berlin，Germany： Springer， 2014：541-560.

[19] LI L B， JIA K T， WANG X Y. Improved single-key attacks on 9-round AES-192/256［C］// Fast Software Encryption. Berlin， Germany： Springer， 2015：127-146.

[20] LI R J， JIN C H. Meet-in-the-middle attacks on 10-round AES-256［J］. Designs， Codes and Cryptography， 2016，80（3）：459-471.

[21] DONG X L， LIU J， WEI Y Z， et al. Meet-in-the-middle attacks on AES with value constraints［J］. Designs， Codes and Cryptography， 2024，92（9）：2423-2449.

[22] LU J Q， DUNKELMAN O， KELLER N， et al. New impossible differential attacks on AES［C］// Proceedings of the 9th International Conference on Cryptology in India. Berlin， Germany： Springer， 2008：279-293.

[23] LEURENT G， PERNOT C. New representations of the AES key schedule［J］. Journal of Cryptology， 2024，38（1）：No.2.

[24] DAEMEN J， RIJMEN V. New criteria for linear maps in AES-like ciphers［J］. Cryptography and Communications， 2009，1（1）：47-69.

[25] GHAEDI BARDEH N， RIJMEN V. New key-recovery attack on reduced-round AES［J］. IACR Transactions on Symmetric Cryptology， 2022，2022（2）：43-62.

[26] National Security Agency， Directorate Cybersecurity. Announcing the commercial national security algorithm suite 2.0［EB/OL］. （2025-05-30）［2026-06-23］.

[27] TIESSEN T. Polytopic cryptanalysis［C］// Advances in Cryptology-EUROCRYPT 2016. Berlin， Germany： Springer， 2016：214-239.