[发明专利]基于依赖密钥的S盒的SM4白盒实现方法

权利要求书

1.一种基于依赖密钥的S盒的SM4白盒实现方法，其特征在于：SM4白盒加密/解密方法共有32轮；每轮需要16个D盒和4个R盒；

其中，

D盒是用于将本轮输入的32比特数据进行状态变换的查找表，定义如下：

其中：

(1)r＝1，2，…，32是当前的轮数，i，j＝0，1，2，3，i，j都由右向左增序，i是指32比特输入的序，j是每个32比特输入的8比特分位的序；

(2)D_r，i，j算子8进32出，其为左作用算子，即D_r，i，j的作用方式为其中“ο”是函数或算子的作用；

(3)f＝(mb_r，3，…，mb_r，0)，MB是在GF(2)上随机选取的32×32可逆线性变换，mb是在GF(2)上随机选取的8×8可逆线性变换；

(4)b_{r，α，i，j}，α＝0，1，2，3是4个独立随机选取的8比特数值；

(5)B和B′为：

(5.1)

(5.2)

(5.3)B_{r+i-1，1，3}，B_{r+i-1，1，2}，B_{r+i-1，1，1}，B_{r+i-1，1，0}，B_{r+i-1，0，3}，B_{r+i-1，0，2}，B_{r+i-1，0，1}，B_{r+i-1，0，0}是8个独立随机选取的32比特随机数；

(5.4)B′_r+i-1，3，B′_r+i-1，2，B′_r+i-1，1，B′_r+i-1，0是只有3个自由度的4个32比特随机数；

(5.5)XOR(x)是左作用算子，对于与x等长的值y，其中为比特异或运算；

R盒是用于密钥保护的查找表，定义如下：

其中：

(1)R_r，j算子8进32出，其为左作用算子，即R_r，j的作用方式为

(2)

(3)k_r是SM4密码算法第r轮的32比特轮密钥，k_r，j是k_r的第j个字节，

k_r＝(k_r，3，k_r，2，k_r，1，k_r，0)；

(4)S_r，j是SM4白盒实现方法轮函数中的8比特依赖密钥S盒，即其中f为g(x)＝x⁸+x⁷+x⁶+x⁵+x⁴+x²+1生成的GF(2⁸)上的求逆运算，λ_r，j为8×8的可逆线性变换，u_r，j为8比特向量，且λ_r，j，u_r，j由密钥控制生成，M是标准SM4密码算法轮函数中的32比特循环移位生成的线性变换，M^j是M的第j个32×8子变换，即M＝(M³，M²，M¹，M⁰)；

(5)MB与D盒中的MB一致；

(6)B_r+3，1，j是独立随机选取的32比特随机数，且

整个SM4白盒实现方法以(x′₃，x′₂，x′₁，x′₀)为输入，经过32轮变换后，输出(x′₃₅，x′₃₄，x′₃₃，x′₃₂)，其中要保护E₃，E₂，E₁，E₀，E₃₅，E₃₄，E₃₃，E₃₂以及它们的逆；第r轮以4个32比特数值(x′_r+2，x′_r+1，x′_r，x′_r-1)＝(E_r+2(x_r+2)，E_r+1(x_r+1)，E_r(x_r)，E_r-1(x_r-1))为输入，其中，x_l是标准SM4算法的中间值；

计算一个新的32比特数值x′_r+3＝E_r+3(x_r+3)，每轮计算步骤如下：

(1)

(2)

其中：

(a)x′_l，j是x′_l的第j个字节；

(b)s_r是32比特中间值；

(c)s_r，j是s_r的第j个字节。