一种新的类CLEFIA密码结构抵抗差分分析的安全性评估

Security Evaluation Against Differential Cryptanalysis for A New CLEFIA-Like Cryptographic Structure

摘要

提出一种新的类\mathrm{C}\mathrm{L}\mathrm{E}\mathrm{F}\mathrm{I}\mathrm{A}密码结构，并给出这种结构抵抗差分分析的安全性评估结果。在轮函数都是双射的条件下，当迭代轮数u=\mathrm{6}k(k\ge \mathrm{1})或\mathrm{6}k+\mathrm{1}(k\ge \mathrm{3})时，证明u轮活动指标（活动轮函数个数）至少为u；当迭代轮数u为其他值时，证明u轮活动指标至少为（u-\mathrm{1}）。此外，给出的活动指标的下界是可达的。

Abstract

A new CLEFIA-like cryptographic structure is proposed, and its security evaluation results, particularly its resistance to differential analysis, are presented. It is proven that when all round functions are bijective, the u-round active index (the number of active round functions) is u for u = 6k (k ≥ 1) or 6k + 1 (k ≥ 3) while the u-round active index for the CLEFIA-like cryptographic structure is (u-1) in other cases. Furthermore, the lower bound of the active index established in this study is confirmed to be reachable.

Graphical abstract

关键词

类

\mathrm{C}\mathrm{L}\mathrm{E}\mathrm{F}\mathrm{I}\mathrm{A}

密码结构 / 差分分析 / 活动指标

Key words

CLEFIA-like cryptographic structure / differential cryptanalysis / active index

差分分析^[1-2]是一种常用的分组密码分析方法，其基本思想是利用分组密码差分分布的不平衡性，构造高概率差分特征，进而恢复密钥比特。差分分析能否取得成功，关键在于所构造的差分特征概率的大小。而活动轮函数（或活动S盒）的个数决定着差分特征概率的大小，因此，活动轮函数（或活动S盒）个数的下界就成了一个重要的指标。另一方面，CLEFIA密码结构^[3-5]是一种常见的密码结构，CLEFIA算法^[5]就采用了这样的结构。围绕CLEFIA算法、CLEFIA密码结构或其变形结构，研究者们进行了深入的研究。一是对CLEFIA算法本身进行研究，主要是对该算法抵抗常见密码分析方法的能力进行评估；二是对CLEFIA密码结构或其变形结构进行研究，主要包括可证明安全性分析、扩散环节的优化设计等。文献[6]基于CLEFIA密码结构提出一种\mathrm{4}r+m(r\ge \mathrm{0,0}\le m\le \mathrm{3})轮类CLEFIA密码结构，并对这种结构进行了差分分析，该结构实际上是CLEFIA密码结构的一种变形。提出一种新的类CLEFIA密码结构，并详细分析了这种结构抵抗差分分析的能力。最后，将本文的结果与文献[6-7]中的结果进行了比较。

1 CLEFIA和类CLEFIA密码结构

首先介绍CLEFIA密码结构和一类变形密码结构。

CLEFIA密码结构和一类变形密码结构分别如图1和图2所示。变形密码结构的块移位变换与CLEFIA密码结构有所不同，并且在块移位变换之后加入1个异或运算“\oplus”：(a,b,c,d)\to (a,b\oplus d,c,d)。

下面介绍类CLEFIA密码结构。

(\mathrm{6}r+m)(r\ge \mathrm{0,0}\le m\le \mathrm{5})轮类CLEFIA密码结构中，第\mathrm{6}k(k\ge \mathrm{1})轮是如图2所示的变形密码结构，其他轮都是如图1所示的CLEFIA密码结构。

定义1^[8] 设(X,+)和(Y,+)为有限交换群，f:X\to Y，\alpha \in X，\beta \in Y，差分概率p_f(\alpha \to \beta )定义为

p_f(\alpha \to \beta )=\frac{\mathrm{1}}{\left|X\right|}\#\{x\in X:f(x+\alpha )-f(x)=\beta \}\mathrm{。}

式中，“|•|”和“\#\{•\}”都表示集合的基数。

定义2^[9] 输入差分不为零的轮函数为活动轮函数。

定义3n轮差分特征中活动轮函数的个数称为(n轮)活动指标。

引理1^[7] 对轮函数都是双射的CLEFIA密码结构，n(n\ge \mathrm{0})轮活动指标\ge n-⌈(n\mathrm{m}\mathrm{o}\mathrm{d}\mathrm{6})/\mathrm{6}⌉。其中：n\mathrm{m}\mathrm{o}\mathrm{d}\mathrm{6}表示\mathrm{6}除n所得的余数；⌈x⌉表示不小于x的最小整数。

2 类CLEFIA密码结构抵抗差分分析的安全性

在本文中，假设轮函数f_{\mathrm{0}}和f_{\mathrm{1}}都是双射。

首先，对CLEFIA密码结构（见图1）的差分对应进行分析。为研究方便，用\mathrm{\Delta }{X}_i=(\mathrm{\Delta }{x}_{\mathrm{4}i},\mathrm{\Delta }{x}_{\mathrm{4}i+\mathrm{1}},\mathrm{\Delta }{x}_{\mathrm{4}i+\mathrm{2}},\mathrm{\Delta }{x}_{\mathrm{4}i+\mathrm{3}})(i\ge \mathrm{0})表示输入或输出差分，其中，差分块\mathrm{\Delta }{x}_{\mathrm{4}i+j}=\mathrm{0}或\mathrm{1}，i\ge \mathrm{0,0}\le j\le \mathrm{3}。这里，“\mathrm{0}”表示\mathrm{\Delta }{x}_{\mathrm{4}i+j}为零差分块，“\mathrm{1}”表示\mathrm{\Delta }{x}_{\mathrm{4}i+j}为非零差分块。显然非零输入差分共有15种，即(\mathrm{0,0},\mathrm{0,1}),(\mathrm{0,0},\mathrm{1,0}),

\cdots ,(\mathrm{1,1},\mathrm{1,1})，可分别用数字\mathrm{1},\mathrm{2},\cdots ,\mathrm{15}表示，且差分块之间的运算分别为：“\mathrm{0}\oplus \mathrm{0}=\mathrm{0}”, “\mathrm{0}\oplus \mathrm{1}=\mathrm{1}”, “\mathrm{1}\oplus \mathrm{0}=\mathrm{1}”, “\mathrm{1}\oplus \mathrm{1}=\mathrm{0}\mathrm{或}\mathrm{1}”。这里，“\mathrm{1}\oplus \mathrm{1}=\mathrm{0}\mathrm{或}\mathrm{1}”表示两个非零差分块的异或结果。事实上，两个非零差分块的值有可能相等（此时异或结果为零差分块，记为“\mathrm{0}”），也有可能不相等（这时异或的结果就为非零差分块，记为“\mathrm{1}”）。

例如，当输入差分为\mathrm{3}=(\mathrm{0,0},\mathrm{1,1})时，1轮差分对应为：\mathrm{3}\stackrel{\mathrm{1}\left(\mathrm{1}\right)}{\to }\mathrm{4,6}。该差分对应是这样得到的：由轮函数f_{\mathrm{0}}和f_{\mathrm{1}}都是双射可知，输入差分块“\mathrm{0}”和“\mathrm{1}”分别经轮函数f_{\mathrm{0}}和f_{\mathrm{1}}作用后的输出差分块为“\mathrm{0}”和“\mathrm{1}”，输入差分\mathrm{3}=(\mathrm{0,0},\mathrm{1,1})经过轮函数f_{\mathrm{0}}和f_{\mathrm{1}}作用后的输出差分为(\mathrm{0,0}\oplus \mathrm{0,1},\mathrm{1}\oplus \mathrm{1})=(\mathrm{0,0},\mathrm{1,0})或(\mathrm{0,0},\mathrm{1,1})，再经过循环左移变换作用后的输出差分为(\mathrm{0,1},\mathrm{0,0})或(\mathrm{0,1},\mathrm{1,0})，故输入差分\mathrm{3}=(\mathrm{0,0},\mathrm{1,1})经过1轮\mathrm{C}\mathrm{L}\mathrm{E}\mathrm{F}\mathrm{I}\mathrm{A}密码结构的输出差分为(\mathrm{0,1},\mathrm{0,0})=\mathrm{4}或(\mathrm{0,1},\mathrm{1,0})=\mathrm{6}，即\mathrm{3}\stackrel{\mathrm{1}\left(\mathrm{1}\right)}{\to }\mathrm{4}或6，其中轮函数f_{\mathrm{1}}是活动的。这里，差分对应a\stackrel{u(v)}{\to }b(\mathrm{1}\le a,b\le \mathrm{15})表示输入差分a经过u(u\ge \mathrm{1})轮迭代后输出差分为b，且活动指标为v。

类似地，可以给出1轮CLEFIA密码结构的所有差分对应如下所示。

\mathrm{1}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{2}； \mathrm{2}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{6}；\mathrm{3}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{4,6}； \mathrm{4}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{8}； \mathrm{5}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{10}； \mathrm{6}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{14}； \mathrm{7}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{12,14}； \mathrm{8}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{9}； \mathrm{9}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{11}； \mathrm{10}\stackrel{\mathrm{1}(\mathrm{2})}{\to }\mathrm{15}； \mathrm{11}\stackrel{\mathrm{1}(\mathrm{2})}{\to }\mathrm{13,15}； \mathrm{12}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{1,9}； \mathrm{13}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{3,11}； \mathrm{14}\stackrel{\mathrm{1}(\mathrm{2})}{\to }\mathrm{7,15}； \mathrm{15}\stackrel{\mathrm{1}(\mathrm{2})}{\to }\mathrm{5,7},\mathrm{13,15}。

由以上可得如下结论。

引理2 对1轮CLEFIA密码结构（见图1），有：

1）活动指标\ge \mathrm{0}；

2）活动指标为0的情形只能为

\mathrm{1}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{2}; \mathrm{4}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{8}; \mathrm{5}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{10};

3）活动指标为1的情形只能为

\mathrm{2}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{6}; \mathrm{3}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{4,6}; \mathrm{6}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{14}; \mathrm{7}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{12,14}；

\mathrm{8}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{9}; \mathrm{9}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{11}; \mathrm{12}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{1,9}; \mathrm{13}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{3,11};

4）活动指标为2的情形只能为

\mathrm{10}\stackrel{\mathrm{1}(\mathrm{2})}{\to }\mathrm{15}；\mathrm{11}\stackrel{\mathrm{1}(\mathrm{2})}{\to }\mathrm{13,15};\mathrm{14}\stackrel{\mathrm{1}(\mathrm{2})}{\to }\mathrm{7,15}；

\mathrm{15}\stackrel{\mathrm{1}(\mathrm{2})}{\to }\mathrm{5,7},\mathrm{13,15}。

其次，对变形密码结构（如图2）的差分对应进行分析。

引理3 对变形密码结构Q_k(x_{\mathrm{0}},x_{\mathrm{1}},x_{\mathrm{2}},x_{\mathrm{3}})=(x_{\mathrm{1}}\oplus f_{\mathrm{0}}(x_{\mathrm{0}}\oplus k_{\mathrm{0}}),x_{\mathrm{0}}\oplus x_{\mathrm{2}},x_{\mathrm{3}}\oplus f_{\mathrm{1}}(x_{\mathrm{2}}\oplus k_{\mathrm{1}}),x_{\mathrm{2}})1轮差分对应都具有形式({\alpha }_{\mathrm{0}},{\alpha }_{\mathrm{1}},{\alpha }_{\mathrm{2}},{\alpha }_{\mathrm{3}})\to ({\alpha }_{\mathrm{1}}\oplus {\gamma }_{\mathrm{0}},{\alpha }_{\mathrm{0}}\oplus {\alpha }_{\mathrm{2}},{\alpha }_{\mathrm{3}}\oplus {\gamma }_{\mathrm{1}},{\alpha }_{\mathrm{2}})，且轮函数f_{\mathrm{0}}和f_{\mathrm{1}}相应的差分对应分别为{\alpha }_{\mathrm{0}}\to {\gamma }_{\mathrm{0}}和{\alpha }_{\mathrm{1}}\to {\gamma }_{\mathrm{1}}。

证明 令{\gamma }_{\mathrm{0}}=f_{\mathrm{0}}(x_{\mathrm{0}}\oplus {\alpha }_{\mathrm{0}}\oplus k_{\mathrm{0}})\oplus f_{\mathrm{0}}(x_{\mathrm{0}}\oplus k_{\mathrm{0}})，{\gamma }_{\mathrm{1}}=f_{\mathrm{1}}(x_{\mathrm{2}}\oplus {\alpha }_{\mathrm{2}}\oplus k_{\mathrm{1}})\oplus f_{\mathrm{1}}(x_{\mathrm{2}}\oplus k_{\mathrm{1}})，则

\begin{array}{l}{Q}_k(x_{\mathrm{0}}\oplus {\alpha }_{\mathrm{0}},x_{\mathrm{1}}\oplus {\alpha }_{\mathrm{1}},x_{\mathrm{2}}\oplus {\alpha }_{\mathrm{2}},x_{\mathrm{3}}\oplus {\alpha }_{\mathrm{3}})\oplus Q_k(x_{\mathrm{0}},x_{\mathrm{1}},x_{\mathrm{2}},x_{\mathrm{3}})=\\ (x_{\mathrm{1}}\oplus {\alpha }_{\mathrm{1}}\oplus f_{\mathrm{0}}(x_{\mathrm{0}}\oplus {\alpha }_{\mathrm{0}}\oplus k_{\mathrm{0}}),x_{\mathrm{0}}\oplus {\alpha }_{\mathrm{0}}\oplus x_{\mathrm{2}}\oplus {\alpha }_{\mathrm{2}},x_{\mathrm{3}}\oplus {\alpha }_{\mathrm{3}}\oplus \\ f_{\mathrm{1}}(x_{\mathrm{2}}\oplus {\alpha }_{\mathrm{2}}\oplus k_{\mathrm{1}}),x_{\mathrm{2}}\oplus {\alpha }_{\mathrm{2}})\oplus (x_{\mathrm{1}}\oplus f_{\mathrm{0}}(x_{\mathrm{0}}\oplus k_{\mathrm{0}}),x_{\mathrm{0}}\oplus x_{\mathrm{2}},x_{\mathrm{3}}\oplus \\ f_{\mathrm{1}}(x_{\mathrm{2}}\oplus k_{\mathrm{1}}),x_{\mathrm{2}})=\end{array}

\begin{array}{l}({\alpha }_{\mathrm{1}}\oplus f_{\mathrm{0}}(x_{\mathrm{0}}\oplus {\alpha }_{\mathrm{0}}\oplus k_{\mathrm{0}})\oplus f_{\mathrm{0}}(x_{\mathrm{0}}\oplus k_{\mathrm{0}}),{\alpha }_{\mathrm{0}}\oplus {\alpha }_{\mathrm{2}},{\alpha }_{\mathrm{3}}\oplus f_{\mathrm{1}}(x_{\mathrm{2}}\oplus \\ {\alpha }_{\mathrm{2}}\oplus k_{\mathrm{1}})\oplus f_{\mathrm{1}}(x_{\mathrm{2}}\oplus k_{\mathrm{1}}),{\alpha }_{\mathrm{2}})=\\ ({\alpha }_{\mathrm{1}}\oplus {\gamma }_{\mathrm{0}},{\alpha }_{\mathrm{0}}\oplus {\alpha }_{\mathrm{2}},{\alpha }_{\mathrm{3}}\oplus {\gamma }_{\mathrm{1}},{\alpha }_{\mathrm{2}})\end{array}

其中，轮函数f_{\mathrm{0}}和f_{\mathrm{1}}相应的差分对应分别为{\alpha }_{\mathrm{0}}\to {\gamma }_{\mathrm{0}}和{\alpha }_{\mathrm{2}}\to {\gamma }_{\mathrm{1}}。证毕。

由引理3知，对变形密码结构，当输入差分\mathrm{3}=(\mathrm{0,0},\mathrm{1,1})时，1轮差分对应为：\mathrm{3}\stackrel{\mathrm{1}\left(\mathrm{1}\right)}{\to }\mathrm{5}\mathrm{或}\mathrm{7}。该差分对应是这样得到的：输入差分\mathrm{3}=(\mathrm{0,0},\mathrm{1,1}),经过轮函数f_{\mathrm{0}}和f_{\mathrm{1}}作用后的输出差分为(\mathrm{0,0},\mathrm{1,1}\oplus \mathrm{1})=(\mathrm{0,0},\mathrm{1,0})或(\mathrm{0,0},\mathrm{1,1})，然后经过块移位变换作用后的输出差分为(\mathrm{0,0},\mathrm{0,1})或(\mathrm{0,0},\mathrm{1,1})，再经过“\oplus”运算后，输出差分为(\mathrm{0,1},\mathrm{0,1})或(\mathrm{0,1},\mathrm{1,1})，故输入差分\mathrm{3}=(\mathrm{0,0},\mathrm{1,1})经过1轮变形密码结构后的输出差分为(\mathrm{0,1},\mathrm{0,1})=\mathrm{5}或(\mathrm{0,1},\mathrm{1,1})=\mathrm{7}，即\mathrm{3}\stackrel{\mathrm{1}\left(\mathrm{1}\right)}{\to }\mathrm{5}\mathrm{或}\mathrm{7}，其中轮函数f_{\mathrm{1}}是活动的。

类似地，可以给出1轮变形密码结构的所有差分对应，如下所示。

\mathrm{1}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{2}； \mathrm{2}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{7}； \mathrm{3}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{5,7}； \mathrm{4}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{8}； \mathrm{5}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{10}

\mathrm{6}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{15}； \mathrm{7}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{13,15}； \mathrm{8}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{12}； \mathrm{9}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{14}；\mathrm{10}\stackrel{\mathrm{1}(\mathrm{2})}{\to }\mathrm{11,15}； \mathrm{11}\stackrel{\mathrm{1}(\mathrm{2})}{\to }\mathrm{9,11,13,15}； \mathrm{12}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{4,12}； \mathrm{13}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{6,14}； \mathrm{14}\stackrel{\mathrm{1}(\mathrm{2})}{\to }\mathrm{3,7},\mathrm{11,15};\mathrm{15}\stackrel{\mathrm{1}(\mathrm{2})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}。

引理4 对1轮变形密码结构（如图2），有：

1）活动指标\ge \mathrm{0}；

2）活动指标为0的情形只能为

\mathrm{1}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{2}; \mathrm{4}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{8}; \mathrm{5}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{10};

3）活动指标为1的情形只能为

\mathrm{2}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{7}; \mathrm{3}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{5,7}; \mathrm{6}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{15}; \mathrm{7}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{13,15}；\mathrm{8}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{12}; \mathrm{9}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{14}; \mathrm{12}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{4,12}; \mathrm{13}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{6,14};

4）活动指标为2的情形只能为

\mathrm{10}\stackrel{\mathrm{1}(\mathrm{2})}{\to }\mathrm{11,15}; \mathrm{11}\stackrel{\mathrm{1}(\mathrm{2})}{\to }\mathrm{9,11,13,15}; \mathrm{14}\stackrel{\mathrm{1}(\mathrm{2})}{\to }\mathrm{3,7},\mathrm{11,15}；

\mathrm{15}\stackrel{\mathrm{1}(\mathrm{2})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}。

然后，对6轮类CLEFIA密码结构的差分对应进行分析。

与引理2之前的分析方法类似，并结合引理2和引理4，可以得到6轮类CLEFIA密码结构的所有差分对应，如下所示。

\mathrm{1}\left\{\begin{array}{l}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{4,10,12}\\ \stackrel{\mathrm{6}(\mathrm{7})}{\to }\mathrm{3,6},\mathrm{7,11,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{8})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}\end{array}\right.\mathrm{2}\left\{\begin{array}{l}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{2}\\ \stackrel{\mathrm{6}(\mathrm{7})}{\to }\mathrm{14}\\ \stackrel{\mathrm{6}(\mathrm{8})}{\to }\mathrm{4,5},\mathrm{7,10,11,12,13,15}\\ \stackrel{\mathrm{6}(\mathrm{9})}{\to }\mathrm{1,3},\mathrm{5,6},\mathrm{7,9},\mathrm{11,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{10})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}\end{array}\right.\mathrm{3}\left\{\begin{array}{l}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{2,6},\mathrm{14}\\ \stackrel{\mathrm{6}(\mathrm{7})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{8})}{\to }\mathrm{4,5},\mathrm{7,10,11,12,13,15}\\ \stackrel{\mathrm{6}(\mathrm{9})}{\to }\mathrm{1,3},\mathrm{5,6},\mathrm{7,9},\mathrm{11,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{10})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}\end{array}\right.

\mathrm{4}\left\{\begin{array}{l}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{5,7},\mathrm{10}\\ \stackrel{\mathrm{6}(\mathrm{7})}{\to }\mathrm{6,9},\mathrm{11,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{8})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}\end{array}\right.

\mathrm{5}\left\{\begin{array}{l}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{2,8}\\ \stackrel{\mathrm{6}(\mathrm{7})}{\to }\mathrm{14,15}\\ \stackrel{\mathrm{6}(\mathrm{8})}{\to }\mathrm{1,3},\mathrm{4,5},\mathrm{6,7},\mathrm{9,10,11,12,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{9})}{\to }\mathrm{1,3},\mathrm{5,6},\mathrm{7,9},\mathrm{11,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{10})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}\end{array}\right.\mathrm{6}\left\{\begin{array}{l}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{7}\\ \stackrel{\mathrm{6}(\mathrm{7})}{\to }\mathrm{2,8}\\ \stackrel{\mathrm{6}(\mathrm{8})}{\to }\mathrm{4,9},\mathrm{10,11,12,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{9})}{\to }\mathrm{1,3},\mathrm{4,5},\mathrm{6,7},\mathrm{9,10,11,12,13,14,15}\\ \begin{array}{l}\stackrel{\mathrm{6}(\mathrm{10})}{\to }\mathrm{1,3},\mathrm{5,6},\mathrm{7,9},\mathrm{11,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{11})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}\end{array}\end{array}\right.

\mathrm{7}\left\{\begin{array}{l}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{3,7},\mathrm{11,15}\\ \stackrel{\mathrm{6}(\mathrm{7})}{\to }\mathrm{2,5},\mathrm{7,8},\mathrm{10}\\ \stackrel{\mathrm{6}(\mathrm{8})}{\to }\mathrm{4,6},\mathrm{9,10,11,12,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{9})}{\to }\mathrm{1,3},\mathrm{4,5},\mathrm{6,7},\mathrm{9,10,11,12,13,14,15}\\ \begin{array}{l}\stackrel{\mathrm{6}(\mathrm{10})}{\to }\mathrm{1,3},\mathrm{5,6},\mathrm{7,9},\mathrm{11,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{11})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}\end{array}\end{array}\right.\mathrm{8}\left\{\begin{array}{l}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{8}\\ \stackrel{\mathrm{6}(\mathrm{7})}{\to }\mathrm{15}\\ \stackrel{\mathrm{6}(\mathrm{8})}{\to }\mathrm{4,5},\mathrm{6,7},\mathrm{10,11,12,14,15}\\ \stackrel{\mathrm{6}(\mathrm{9})}{\to }\mathrm{1,3},\mathrm{5,6},\mathrm{7,9},\mathrm{11,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{10})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}\end{array}\right.

\mathrm{9}\left\{\begin{array}{l}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{12}\\ \stackrel{\mathrm{6}(\mathrm{7})}{\to }\mathrm{2,8}\\ \stackrel{\mathrm{6}(\mathrm{8})}{\to }\mathrm{3,5},\mathrm{7,10,11,14,15}\\ \stackrel{\mathrm{6}(\mathrm{9})}{\to }\mathrm{1,3},\mathrm{4,5},\mathrm{6,7},\mathrm{9,10,11,12,13,14,15}\\ \begin{array}{l}\stackrel{\mathrm{6}(\mathrm{10})}{\to }\mathrm{1,3},\mathrm{5,6},\mathrm{7,9},\mathrm{11,13,14,15},\\ \stackrel{\mathrm{6}(\mathrm{11})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}\end{array}\end{array}\right.\mathrm{10}\left\{\begin{array}{l}\stackrel{\mathrm{6}(\mathrm{7})}{\to }\mathrm{7,12}\\ \stackrel{\mathrm{6}(\mathrm{8})}{\to }\mathrm{2,8},\mathrm{10}\\ \stackrel{\mathrm{6}(\mathrm{9})}{\to }\mathrm{3,4},\mathrm{5,6},\mathrm{7,9},\mathrm{10,11,12,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{10})}{\to }\mathrm{1,3},\mathrm{4,5},\mathrm{6,7},\mathrm{9,10,11,12,13,14,15}\\ \begin{array}{l}\stackrel{\mathrm{6}(\mathrm{11})}{\to }\mathrm{1,3},\mathrm{5,6},\mathrm{7,9},\mathrm{11,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{12})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}\end{array}\end{array}\right.

\mathrm{11}\left\{\begin{array}{l}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{14}\\ \stackrel{\mathrm{6}(\mathrm{7})}{\to }\mathrm{7,8},\mathrm{12}\\ \stackrel{\mathrm{6}(\mathrm{8})}{\to }\mathrm{2,8},\mathrm{10,13,15}\\ \stackrel{\mathrm{6}(\mathrm{9})}{\to }\mathrm{1,3},\mathrm{4,5},\mathrm{6,7},\mathrm{9,10,11,12,13,14,15}\\ \begin{array}{l}\stackrel{\mathrm{6}(\mathrm{10})}{\to }\mathrm{1,3},\mathrm{4,5},\mathrm{6,7},\mathrm{9,10,11,12,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{11})}{\to }\mathrm{1,3},\mathrm{5,6},\mathrm{7,9},\mathrm{11,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{12})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}\end{array}\end{array}\right.\mathrm{12}\left\{\begin{array}{l}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{8,13,15}\\ \stackrel{\mathrm{6}(\mathrm{7})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}\\ \stackrel{\mathrm{6}(\mathrm{8})}{\to }\mathrm{4,5},\mathrm{6,7},\mathrm{10,11,12,14,15}\\ \stackrel{\mathrm{6}(\mathrm{9})}{\to }\mathrm{1,3},\mathrm{5,6},\mathrm{7,9},\mathrm{11,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{10})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}\end{array}\right.\mathrm{13}\left\{\begin{array}{l}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{9,11,12,13,15}\\ \stackrel{\mathrm{6}(\mathrm{7})}{\to }\mathrm{2,4},\mathrm{8,10,12}\\ \stackrel{\mathrm{6}(\mathrm{8})}{\to }\mathrm{3,5},\mathrm{6,7},\mathrm{10,11,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{9})}{\to }\mathrm{1,3},\mathrm{4,5},\mathrm{6,7},\mathrm{9,10,11,12,13,14,15}\\ \begin{array}{l}\stackrel{\mathrm{6}(\mathrm{10})}{\to }\mathrm{1,3},\mathrm{5,6},\mathrm{7,9},\mathrm{11,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{11})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}\end{array}\end{array}\right.\mathrm{14}\left\{\begin{array}{l}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{15}\\ \stackrel{\mathrm{6}(\mathrm{7})}{\to }\mathrm{2,7},\mathrm{12}\\ \stackrel{\mathrm{6}(\mathrm{8})}{\to }\mathrm{2,6},\mathrm{8,10,14}\\ \stackrel{\mathrm{6}(\mathrm{9})}{\to }\mathrm{1,3},\mathrm{4,5},\mathrm{6,7},\mathrm{9,10,11,12,13,14,15}\\ \begin{array}{l}\stackrel{\mathrm{6}(\mathrm{10})}{\to }\mathrm{1,3},\mathrm{4,5},\mathrm{6,7},\mathrm{9,10,11,12,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{11})}{\to }\mathrm{1,3},\mathrm{5,6},\mathrm{7,9},\mathrm{11,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{12})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}\end{array}\end{array}\right.\mathrm{15}\left\{\begin{array}{l}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{14,15}\\ \stackrel{\mathrm{6}(\mathrm{7})}{\to }\mathrm{2,7},\mathrm{8,12}\\ \stackrel{\mathrm{6}(\mathrm{8})}{\to }\mathrm{2,4},\mathrm{5,6},\mathrm{7,8},\mathrm{10,11,12,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{9})}{\to }\mathrm{1,3},\mathrm{4,5},\mathrm{6,7},\mathrm{9,10,11,12,13,14,15}\\ \begin{array}{l}\stackrel{\mathrm{6}(\mathrm{10})}{\to }\mathrm{1,3},\mathrm{4,5},\mathrm{6,7},\mathrm{9,10,11,12,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{11})}{\to }\mathrm{1,3},\mathrm{5,6},\mathrm{7,9},\mathrm{11,13,14,15}\\ \stackrel{\mathrm{6}(\mathrm{12})}{\to }\mathrm{1,3},\mathrm{5,7},\mathrm{9,11,13,15}\end{array}\end{array}\right.

由以上讨论，可得如下结论。

引理4 对6轮类CLEFIA密码结构，有：

1）活动指标\ge \mathrm{6}；

2）活动指标为6的情形只能为

\mathrm{1}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{4,10,12}; \mathrm{2}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{2}; \mathrm{3}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{2,6},\mathrm{14}; \mathrm{4}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{5,7},\mathrm{10};\mathrm{5}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{2,8}; \mathrm{6}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{7}; \mathrm{7}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{3,7},\mathrm{11,15}; \mathrm{8}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{8};\mathrm{9}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{12}; \mathrm{11}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{14}; \mathrm{12}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{8,13,15};\mathrm{13}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{9,11,12,13,15}; \mathrm{14}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{15}; \mathrm{15}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{14,15}。

引理5 对类CLEFIA密码结构，设最后一轮的输出差分{\alpha }^{(\mathrm{3})}=\mathrm{1,4},\mathrm{5}，则18轮差分特征{\alpha }^{(\mathrm{0})}\stackrel{\mathrm{6}(v_{\mathrm{1}})}{\to }{\alpha }^{(\mathrm{1})}\stackrel{\mathrm{6}(v_{\mathrm{2}})}{\to }{\alpha }^{(\mathrm{2})}\stackrel{\mathrm{6}(v_{\mathrm{3}})}{\to }{\alpha }^{(\mathrm{3})}(\mathrm{1}\le {\alpha }^{(i-\mathrm{1})}\le \mathrm{15,1}\le i\le \mathrm{3})的活动指标\ge \mathrm{19}，即v_{\mathrm{1}}+v_{\mathrm{2}}+v_{\mathrm{3}}\ge \mathrm{19}。

证明 由引理4中的 1)知，6轮差分特征的活动，指标\ge \mathrm{6}，从而v_i\ge \mathrm{6}(\mathrm{1}\le i\le \mathrm{3})，故只需证明v_{\mathrm{1}}\mathrm{、}{v}_{\mathrm{2}}\mathrm{、}{v}_{\mathrm{3}}中至少有1个大于6即可。以下分3种情形进行讨论。

1）{\alpha }^{(\mathrm{3})}=\mathrm{1}时，由引理4中的 2）知，6轮差分特征{\alpha }^{(\mathrm{2})}\stackrel{\mathrm{6}(v_{\mathrm{3}})}{\to }{\alpha }^{(\mathrm{3})}的活动指标不可能恰好为6，故由v_i\ge \mathrm{6}(\mathrm{1}\le i\le \mathrm{3})知v_{\mathrm{3}}\ge \mathrm{7}。

2）{\alpha }^{(\mathrm{3})}=\mathrm{4}且v_{\mathrm{3}}=\mathrm{6}时，由引理4中的 2）知，6轮差分特征{\alpha }^{(\mathrm{2})}\stackrel{\mathrm{6}(v_{\mathrm{3}})}{\to }{\alpha }^{(\mathrm{3})}只能为\mathrm{1}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{4}，从而{\alpha }^{(\mathrm{2})}=\mathrm{1}，再由情形1）的证明过程知，6轮差分特征{\alpha }^{(\mathrm{1})}\stackrel{\mathrm{6}(v_{\mathrm{2}})}{\to }{\alpha }^{(\mathrm{2})}的活动指标不可能恰好为6，故由v_i\ge \mathrm{6}(\mathrm{1}\le i\le \mathrm{3})知v_{\mathrm{2}}\ge \mathrm{7}。

3）{\alpha }^{(\mathrm{3})}=\mathrm{5}且v_{\mathrm{2}}=v_{\mathrm{3}}=\mathrm{6}时，由引理4中的 2）知，6轮差分特征{\alpha }^{(\mathrm{2})}\stackrel{\mathrm{6}(v_{\mathrm{3}})}{\to }{\alpha }^{(\mathrm{3})}只能为\mathrm{4}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{5}，6轮差分特征{\alpha }^{(\mathrm{1})}\stackrel{\mathrm{6}(v_{\mathrm{2}})}{\to }{\alpha }^{(\mathrm{2})}只能为\mathrm{1}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{4}，从而{\alpha }^{(\mathrm{1})}=\mathrm{1}，再由情形1）的证明过程知，6轮差分特征{\alpha }^{(\mathrm{0})}\stackrel{\mathrm{6}(v_{\mathrm{1}})}{\to }{\alpha }^{(\mathrm{1})}的活动指标不可能恰好为6，故由v_i\ge \mathrm{6}(\mathrm{1}\le i\le \mathrm{3})知v_{\mathrm{1}}\ge \mathrm{7}。

由情形1）~情形3）知，v_{\mathrm{1}}\mathrm{、}{v}_{\mathrm{2}}\mathrm{、}{v}_{\mathrm{3}}中至少有1个大于6。本引理结论成立。证毕

定理1 对(\mathrm{6}r+m)(r\ge \mathrm{0,0}\le m\le \mathrm{5})轮类CLEFIA密码结构，u(\mathrm{1}\le u\le \mathrm{6}r+m)轮活动指标\ge N(u)。其中，

N(u)=\left\{\begin{array}{l}u,\hspace{1em}u=\mathrm{6}k(k\ge \mathrm{1})\mathrm{或}\mathrm{6}k+\mathrm{1}(k\ge \mathrm{3});\\ u-\mathrm{1},\mathrm{其他}\mathrm{。}\hspace{1em}\end{array}\right.

证明 分以下3种情形进行讨论。

1）u=\mathrm{6}k(k\ge \mathrm{1})。这时候，由引理4中的 1）知，6轮活动指标\ge \mathrm{6}，因此\mathrm{6}k轮活动指标\ge \mathrm{6}k，即u轮活动指标\ge u，本情形下定理结论成立。

2）u=\mathrm{6}k+\mathrm{1}(k\ge \mathrm{3})。设类CLEFIA密码结构的(\mathrm{6}k+\mathrm{1})轮差分特征为{\alpha }^{(\mathrm{0})}\stackrel{\mathrm{6}(v_{\mathrm{1}})}{\to }{\alpha }^{(\mathrm{1})}\stackrel{\mathrm{6}(v_{\mathrm{2}})}{\to }\cdots \stackrel{\mathrm{6}(v_k)}{\to }{\alpha }^{(k)}\stackrel{\mathrm{1}(v_{k+\mathrm{1}})}{\to }{\alpha }^{(k+\mathrm{1})}(\mathrm{1}\le {\alpha }^{(i-\mathrm{1})}\le \mathrm{15,1}\le i\le k+\mathrm{2})，其中，{\alpha }^{(i-\mathrm{1})}\stackrel{\mathrm{6}(v_i)}{\to }{\alpha }^{(i)}(\mathrm{1}\le i\le k)表示第i(\mathrm{1}\le i\le k)个6轮差分特征，{\alpha }^{(k)}\stackrel{\mathrm{1}(v_{k+\mathrm{1}})}{\to }{\alpha }^{(k+\mathrm{1})}表示最后1轮差分特征，v_i(\mathrm{1}\le i\le k+\mathrm{1})表示相应的活动指标。显然，上述(\mathrm{6}k+\mathrm{1})轮活动指标为(v_{\mathrm{1}}+v_{\mathrm{2}}+\cdots +v_k+v_{k+\mathrm{1}})，且由引理4中的 1）知v_i\ge \mathrm{6}(\mathrm{1}\le i\le k)。若v_{k+\mathrm{1}}\ge \mathrm{1}，则由v_i\ge \mathrm{6}(\mathrm{1}\le i\le k)知v_{\mathrm{1}}+v_{\mathrm{2}}+\cdots +v_k+v_{k+\mathrm{1}}\ge \mathrm{6}k+\mathrm{1}。若v_{k+\mathrm{1}}=\mathrm{0}，则由引理2中的 2）知{\alpha }^{(k)}=\mathrm{1,4},\mathrm{15}，再由引理5知v_{k-\mathrm{2}}+v_{k-\mathrm{1}}+v_k\ge \mathrm{19}，故由v_i\ge \mathrm{6}(\mathrm{1}\le i\le k)知v_{\mathrm{1}}+v_{\mathrm{2}}+\cdots +v_k+v_{k+\mathrm{1}}=(v_{\mathrm{1}}+v_{\mathrm{2}}+\cdots +v_{k-\mathrm{3}})+(v_{k-\mathrm{2}}+v_{k-\mathrm{1}}+v_k)+v_{k+\mathrm{1}}\ge \mathrm{6}(k-\mathrm{3})+\mathrm{19}=\mathrm{6}k+\mathrm{1}，即v_{\mathrm{1}}+v_{\mathrm{2}}+\cdots +v_k+v_{k+\mathrm{1}}\ge \mathrm{6}k+\mathrm{1}。

3）u=\mathrm{6}k+j(k\ge \mathrm{1},j\ne \mathrm{0,1})或u=\mathrm{6}k+\mathrm{1}(k=\mathrm{0,1},\mathrm{2})。这时候，由引理4中的 1）知，6轮活动指标\ge \mathrm{6}，因此\mathrm{6}k轮活动指标\ge \mathrm{6}k，再由引理2.1知，CLEFIA密码结构j(j\ge \mathrm{1})轮活动指标\ge j-\mathrm{1}，因此(\mathrm{6}k+j)(k\ge \mathrm{1},j\ne \mathrm{0,1})轮活动指标\ge \mathrm{6}k+j-\mathrm{1}，(\mathrm{6}k+\mathrm{1})(k=\mathrm{0,1},\mathrm{2})轮活动指标\ge \mathrm{6}k，即u轮活动指标\ge u-\mathrm{1}，本情形下定理结论成立。

由情形1）~情形3）知，本定理成立。证毕。

由定理1可立得定理2。

定理2 对(\mathrm{6}r+m)\left(r\ge \mathrm{0,0}\le m\le \mathrm{5}\right)轮类CLEFIA密码结构，设轮函数的最大差分概率为p_{\mathrm{m}\mathrm{a}\mathrm{x}}，则u(\mathrm{1}\le u\le \mathrm{6}r+m)轮差分特征概率\le {\left[P_{\mathrm{m}\mathrm{a}\mathrm{x}}\right]}^{N(u)}。其中，

N(u)=\left\{\begin{array}{l}u,u=\mathrm{6}k(k\ge \mathrm{1})\mathrm{或}\mathrm{6}k+\mathrm{1}(k\ge \mathrm{3});\\ u-\mathrm{1},\mathrm{其他}\mathrm{。}\hspace{1em}\end{array}\right.

事实上，对(\mathrm{6}r+m)\left(r\ge \mathrm{0,0}\le m\le \mathrm{5}\right)轮类CLEFIA密码结构，定理1给出的活动指标下界是可达的，即确实存在这样的差分特征，其活动指标达到了定理1给出的下界，换句话说，u轮活动指标恰好为N(u)。

具体地，下述差分特征的活动指标达到了定理1给出的下界。

1）u=\mathrm{6}k(k\ge \mathrm{1})时，\mathrm{6}k轮差分特征（共有(k+\mathrm{1})\mathrm{个}\mathrm{7}）\mathrm{7}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{7}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\cdots \stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{7}的活动指标为\mathrm{6}k。

2）u=\mathrm{6}k+\mathrm{1}(k\ge \mathrm{3})时，(\mathrm{6}k+\mathrm{1})轮差分特征（共有(k+\mathrm{1})\mathrm{个}\mathrm{2}）\mathrm{2}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{2}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\cdots \stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{2}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{6}的活动指标为(\mathrm{6}k+\mathrm{1})。

3）u=\mathrm{6}k+\mathrm{1}(\mathrm{0}\le k\le \mathrm{2})时。若k=\mathrm{0}，则u=\mathrm{6}k+\mathrm{1}=\mathrm{1}，1轮差分特征\mathrm{5}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{10}的活动指标为0；若k=\mathrm{1}，则u=\mathrm{6}k+\mathrm{1}=\mathrm{7}，7轮差分特征\mathrm{4}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{5}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{10}的活动指标为6；若k=\mathrm{2}，则u=\mathrm{6}k+\mathrm{1}=\mathrm{13}，13轮差分特征\mathrm{1}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{4}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{5}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{10}的活动指标为12。

3）u=\mathrm{6}k+\mathrm{2}(k\ge \mathrm{0})时。若k=\mathrm{0}，则u=\mathrm{6}k+\mathrm{2}=\mathrm{2}，2轮差分特征\mathrm{3}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{4}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{8}的活动指标为1；若k\ge \mathrm{1}，则(\mathrm{6}k+\mathrm{2})轮差分特征（共有k\mathrm{个}\mathrm{7}）\mathrm{7}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{7}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\cdots \stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{7}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{3}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{4}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{8}的活动指标为(\mathrm{6}k+\mathrm{1})。

4）u=\mathrm{6}k+\mathrm{3}(k\ge \mathrm{0})时。若k=\mathrm{0}，则u=\mathrm{6}k+\mathrm{3}=\mathrm{3}，3轮差分特征\mathrm{3}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{4}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{8}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{9}的活动指标为2；若k\ge \mathrm{1}，则(\mathrm{6}k+\mathrm{3})轮差分特征（共有k\mathrm{个}\mathrm{7}）\mathrm{7}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{7}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\cdots \stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{7}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{3}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{4}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{8}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{9}的活动指标为(\mathrm{6}k+\mathrm{2})。

5）u=\mathrm{6}k+\mathrm{4}(k\ge \mathrm{0})时。若k=\mathrm{0}，则u=\mathrm{6}k+\mathrm{4}=\mathrm{4}，4轮差分特征\mathrm{3}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{4}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{8}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{9}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{11}的活动指标为3；若k\ge \mathrm{1}，则(\mathrm{6}k+\mathrm{4})轮差分特征（共有k\mathrm{个}\mathrm{7}）\mathrm{7}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{7}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\cdots \stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{7}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{3}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{4}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{8}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{9}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{11}的活动指标为(\mathrm{6}k+\mathrm{3})。

6）u=\mathrm{6}k+\mathrm{5}(k\ge \mathrm{0})时，(\mathrm{6}k+\mathrm{5})轮差分特征（共有k\mathrm{个}\mathrm{7}）\mathrm{7}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{7}\stackrel{\mathrm{6}(\mathrm{6})}{\to }\cdots \stackrel{\mathrm{6}(\mathrm{6})}{\to }\mathrm{7}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{12}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{1}\stackrel{\mathrm{1}(\mathrm{0})}{\to }\mathrm{2}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{6}\stackrel{\mathrm{1}(\mathrm{1})}{\to }\mathrm{14}的活动指标为(\mathrm{6}k+\mathrm{4})。最后，将本文结果与文献[6-7]中密码结构的相应结果进行比较，如表1所示。

由表1知，对于本文提出的类CLEFIA密码结构，当迭代轮数u=\mathrm{6}k(k\ge \mathrm{1})或\mathrm{6}k+\mathrm{1}(k\ge \mathrm{3})时，u(u\ge \mathrm{1})轮活动指标至少为u；当迭代轮数u取其他值时，u(u\ge \mathrm{1})轮活动指标至少为(u-\mathrm{1})。与文献[6-7]中的密码结构相比，(\mathrm{6}k+\mathrm{1})(k\ge \mathrm{3})轮活动指标的下界比文献[6-7]中的相应结果增加了1。另外，进一步分析表明，所提结构抵抗线性分析^[10]的安全性评估结果为：在轮函数都是双射的条件下，当迭代轮数u=\mathrm{6}k(k\ge \mathrm{1})或\mathrm{6}k+\mathrm{5}(k\ge \mathrm{2})时，u(u\ge \mathrm{1})轮活动指标至少为u；当迭代轮数u取其他值时，u(u\ge \mathrm{1})轮活动指标至少为(u-\mathrm{1})。对线性分析而言，这里的活动指标是指输出线性逼近不为零的轮函数的个数。

3 结束语

提出一种新的类CLEFIA密码结构，并详细分析了这种结构抵抗差分分析的能力。具体地，当迭代轮数u=\mathrm{6}k(k\ge \mathrm{1})或\mathrm{6}k+\mathrm{1}(k\ge \mathrm{3})时，u轮活动指标至少为u；当轮数u取其他值时，u轮活动指标至少为(u-\mathrm{1})；此外，本文给出的活动指标的下界是可达的。下一步需要考虑的是这种结构抵抗其他密码分析方法的能力。

参考文献

[1] BIHAM E， SHAMIR A. Differential cryptanalysis of DES-like cryptosystems［J］. Journal of Cryptology，1991，4（1）：3-72.

[2] KNUDSEN L R.Practically secure Feistel ciphers［C］∥Fast Software Encryption. Berlin， Germany：Springer，1994：211-221.

[3] ZHENG Y L， MATSUMOTO T， IMAI H. On the construction of block ciphers provable secure and not relying on any unproven hypotheses［C］∥Advances in Cryptology-CRYPTO’ 89 Proceedings. New York， USA： Springer， 1990：461-480.

[4] 吴文玲，冯登国，张文涛.分组密码的设计与分析［M］.北京：清华大学出版社，2009：221.

[5] SHIRAI T， SHIBUTANI K， AKISHITA T，et al. The 128-bit blockcipher CLEFIA［C］∥Proceedings of the 14th International Conference on Fast Software Encryption. Berlin， Germany： Springer，2007：181-195.

[6] 杨继林，王念平.类CLEFIA密码结构抵抗差分分析能力评估［J］.密码与信息安全学报，2018，30（5）：7-11.

[7] 王健康.几类分组密码模型的安全性分析［D］.郑州：信息工程大学，2013.

[8] 金晨辉，郑浩然，张少武， 密码学［M］.北京：高等教育出版社，2009.

[9] SCHNEIER B， KELSEY J. Unbalanced Feistel networks and block cipher design［C］∥Fast Software Encryption. Berlin，Germany： Springer，1996：121-144.

[10] MATSUI M. Linear cryptanalysis method for DES cipher［C］∥Advances in Cryptology-EUROCRYPT 93. Berlin，Germany： Springer，1994：386-397.

基金资助

国家自然科学基金(61672031)