文档介绍：几个分组密码和杂凑函数的
安全性分析
（申请清华大学工学博士学位论文）
培养单位：计算机科学与技术系
学科：计算机科学与技术
研究生：白东霞
指导教师：王小云教授
二○一五年六月
Cryptanalysis of Several Block Ciphers
and Hash Functions
Dissertation Submitted to
Tsinghua University
in partial fulﬁllment of the requirement
for the degree of
Doctor of Philosophy
in
Computer Science and Technology
by
Bai Dongxia
Dissertation Supervisor : Professor Wang Xiaoyun
June, 2015
摘要
摘要
随着计算机技术的快速发展，信息安全问题日益突出，密码学作为信息安全
的基础，发挥着十分重要的作用。作为基础密码算法，分组密码和杂凑函数在信
息安全领域中得到了广泛应用，其安全性分析一直是国际密码学领域研究的热
点。本文主要对分组密码 Camellia 和 ARIA，及杂凑函数 SM3 和 BLAKE-256 的
安全性进行研究，并给出一些有意义的分析结果。
分组密码 Camellia 由日本电信电话公司（NTT）和三菱公司于 2000 年设
计，作为 ISO/IEC 分组密码标准、欧洲 NESSIE 计划分组密码标准和日本 CRYP-
TREC 项目推荐算法，Camellia 算法受到了密码学界的高度关注。本文利用不
可能差分分析对带 FL/FL−1 层的 Camellia 算法进行安全性分析，首次给出带两
个 FL/FL−1 层的 7 轮不可能差分路线，比之前分析所用路线多包含一层密钥相关
的 FL/FL−1 函数，故可减少密钥猜测量，进而给出了首个 11 轮 Camellia-128 的
不可能差分分析，同时给出了 11/12 轮 Camellia-192 和 14 轮 Camellia-256 的不可
能差分分析。
分组密码 ARIA 由韩国学者在 2003 年设计，并在 2004 年确定为韩国加密标
准，其结构与 AES 很相似。本文结合 2010 年 Dunkelman 等人与 2013 年 Derbez 等
对 AES 的中间相遇攻击思想，使用 Multiset 无序集结构和差分枚举技术，以较少
的字节变量给出了 ARIA 的 4 轮和 5 轮区分器，相比之前的中间相遇攻击结果，
给出了首个 7 轮 ARIA-128 和 9 轮 ARIA-256 的中间相遇攻击，将中间相遇攻击结
果提高 1 轮，同时以更低的攻击复杂度分析了 7 轮 ARIA-192 和 8 轮 ARIA-256。
杂凑算法 SM3 由我国密码学家王小云等设计，2010 年底公布为我国密码行
业标准。本文利用高概率差分路线对 SM3 压缩函数进行 Boomerang 攻击，通过
消息修改技术降低复杂度，给出了 34/35 步的实际攻击和 36/37/38