[发明专利]一种对称密钥加密的非线性变换方法及其实现装置

说明书

技术领域

本发明属于信息安全领域，具体涉及到一种分组密码算法中的非线性变换(S盒)的设计及其复合域硬件实现方式。

背景技术

信息安全涉及到信息的保密性、完整性、认证性等内容。其中，密码理论是信息安全的基础。密码算法主要分为对称密码算法和非对称密码算法两大类。对称加密算法指加密密钥和解密密钥相同，或知道密钥之一很容易推导得到另一个密钥。通常情况下，对称密码算法的设计不仅要考虑到算法的安全强度，更要注重算法的实现性能：软件实现性能和硬件实现性能。软件实现主要考虑的是算法的实现速度以及与内存的需求，有时候还与具体运行环境(如CPU的计算能力)以及源代码的质量有关。硬件实现因为具备更高的速度和更强的物理安全性，实现价值更强，但除了实现的速度与内存，硬件实现的总体代价也是必须考虑的。

以分组密码为例，一个分组密码算法大体上都包含混淆层与扩散层。混淆层一般是用若干并置、独立的S盒构成，作为提供混淆作用的部件，S盒多采用随机置换或有限域上的非线性函数，而扩散层则多采用线性变换。从算法实现的角度来看，线性变换的复杂度相对较低，因此混淆层的实现方式，特别是S盒的实现方式在很大程度上决定了整个密码算法的实现性能，这也是分组密码的研究热点之一。作为分组密码的典型代表，高级加密标准(AES)的S盒是用有限域GF(2⁸)上的求乘法逆和GF(2)上的仿射变换复合而成。根据设计者的介绍，该S盒所选取的函数具备比较理想的密码学性质。然而，因为代数结构过于清晰简洁，以有限域求逆复合放射变换作为S盒并不具备较强的抗代数攻击的性能。

AES的S盒的软件实现一般采用查表的方式，但8×8的S盒的存储量为2⁸×8比特，这对于芯片面积有着严格要求的嵌入式系统是难以接受的。因此对于S盒的硬件实现，必须作相应的转化，特别针对于其中求乘法逆这一非线性操作。目前比较流行的技术是引入元素的复合域表示，其基本思想是通过一个可逆的线性变换T将原域GF(2⁸)上的每个元素映射到复合域GF((2⁴)²)上同构的元素，并在复合域GF((2⁴)²)中求乘法逆，再用线性变换T¹还原到原域进行余下的操作。这种基于复合域的转化方法有效地减少了芯片的面积，对于硬件实现来说既减少开销，又避免了内存读写数据产生的延迟。不过原域与复合域之间的转化，以及复合域求逆引入的一系列子域GF(2⁴)的运算。

综上所述，一个好的密码算法应当既具备理想的安全强度，又能在软硬件实现中体现出优越性。但算法理论上的安全性与实际的实现性能往往是一对矛盾，如何在其中找到一个平衡点是一个非常复杂的问题。

发明内容

本发明旨在提供一种密码学性能较强的8×8的S盒，在保持AES的S盒原有的结构和密码学性质的基础上，通过增加非线性运算的次数，在提高S盒的代数免疫度的同时又不降低其复合域硬件实现方式的复杂度。

本发明的技术方案概述如下：

一种对称密钥加密的非线性变换方法，该非线性变换可看作一个8×8的S盒，其特征在于，

-该S盒选自于有限域GF(2⁸)＝GF(2)/(x⁸+x⁴+x³+x²+1)，GF(2⁸)中的任一元素x均可看作一个字节，记x＝(x₇，x₆，L，x₀)^T，x_i∈GF(2)代表字节x不同的比特位。

-该S盒的运算为：

S：GF(2⁸)→GF(2⁸)

x a y＝f(p(g(x)))

代数结构见图1，以下说明所用的符号与图1一致。

-S盒由有限域中的三个函数复合而成，其中函数g(x)表示有限域GF(2⁸)中的乘法逆函数：

g：GF(2⁸)→GF(2⁸)

x a w＝x^-1

-p(w)定义有限域GF(2⁸)中的一个线性化单项式：

p：GF(2⁸)→GF(2⁸)