/
Tags: системы письма графическое представление мысли
ISBN: 978-5-93700-474-1
Text
Тим Бейн
Винсент Рэймен
Тим Бейн, Винсент Рэймен
Линейный
криптоанализ
Linear Cryptanalysis
Tim Beyne, Vincent Rijmen
Линейный
криптоанализ
Тим Бейн, Винсент Рэймен
Москва, 2026
УДК 003.26
ББК 16.8
Б41
Б41
Тим Бейн, Винсент Рэймен
Линейный криптоанализ / пер. с англ. А. А. Слинкина. – М.: ДМК Пресс,
2026. – 180 с.: ил.
ISBN 978-5-93700-474-1
Данное руководство посвящено анализу безопасности (криптоанализу) фундаментальных блоков, на которых основаны криптографические приложения.
Линейный криптоанализ рассматривается с математической точки зрения
и сопровождается обзором наиболее влиятельных публикаций. Главы дополнены большим количеством примеров и упражнений, опирающихся на теорию
и практику.
Предварительные знания теории криптографии не требуются. Издание будет
полезно как начинающим читателям, изучающим криптографию, так и опытным экспертам, применяющим ее на практике.
УДК 003.26
ББК 16.8
Все права защищены. Любая часть этой книги не может быть воспроизведена в какой
бы то ни было форме и какими бы то ни было средствами без письменного разрешения
владельцев авторских прав.
ISBN (анг.) 978-1-00960-786-5
ISBN (рус.) 978-5-93700-474-1
© Tim Beyne and Vincent Rijmen 2026
© Оформление, издание, перевод, ДМК Пресс, 2026
Оглавление
Предисловие от издательства....................................................................... 9
Предисловие....................................................................................................... 10
Глава 1. Введение. ............................................................................................ 13
1.1. Криптографические примитивы................................................................. 13
1.1.1. Анализ.................................................................................................... 13
1.1.2. Проектирование.................................................................................... 14
1.2. Линейные аппроксимации.......................................................................... 15
1.2.1. Смещение............................................................................................... 16
1.2.2. Таблицы линейной аппроксимации.................................................... 17
1.3. Линейные следы и лемма о набегании знаков.......................................... 19
1.4. Восстановление ключа................................................................................. 21
1.4.1. Алгоритм Мацуи 1................................................................................. 21
1.4.2. Алгоритм Мацуи 2................................................................................. 23
1.5. Оставшиеся проблемы................................................................................. 24
1.6. Историческая справка.................................................................................. 24
1.7. Литература..................................................................................................... 25
1.8. Упражнения................................................................................................... 25
Глава 2. Корреляционные матрицы.......................................................... 27
2.1. Корреляция случайной величины на 𝔽2. ......................................................27
2.2. Корреляция между булевыми функциями................................................. 28
2.3. Корреляционные матрицы.......................................................................... 29
2.4. Корреляционные матрицы структурных функций.................................... 31
2.5. Линейные следы........................................................................................... 33
2.6. Историческая справка.................................................................................. 35
2.7. Литература..................................................................................................... 36
2.8. Упражнения................................................................................................... 37
Глава 3. Оптимизация линейных следов................................................ 42
3.1. Метод ветвей и границ................................................................................. 42
3.1.1. Поиск в глубину..................................................................................... 42
3.1.2. Метод Мацуи.......................................................................................... 43
3.2. Смешанно-целочисленное линейное программирование....................... 46
3.2.1. Пример: шифр типа Rijndael................................................................ 46
3.2.2. Построение модели............................................................................... 48
3.2.3. Решение модели.................................................................................... 50
3.3. Выполнимость и выполнимость в теориях................................................ 50
3.3.1. Пример: шифр add-rotate-xor............................................................... 51
6
Оглавление
3.3.2. Построение модели..............................................................................52
3.3.3. Решение модели...................................................................................53
3.4. Историческая справка................................................................................54
3.5. Литература...................................................................................................54
3.6. Упражнения.................................................................................................54
Глава 4. Статистика линейного криптоанализа ..................................58
4.1. Статистический вывод...............................................................................58
4.1.1. Статистические оценки.......................................................................58
4.1.2. Проверка гипотез.................................................................................59
4.2. Восстановление ключа с помощью проверки статистических гипотез.....62
4.2.1. Известная корреляция.........................................................................62
4.2.2. Неизвестная корреляция.....................................................................64
4.3. Стратегии выборки.....................................................................................66
4.4. Восстановление ключа с использованием ранжирования ключей.........67
4.5. Историческая справка................................................................................68
4.6. Литература...................................................................................................68
4.7. Упражнения.................................................................................................68
Глава 5. Методы восстановления ключа...............................................69
5.1. Восстановление ключа по алгоритму 2.....................................................69
5.2. Подход Мацуи..............................................................................................70
5.2.1. Однонаправленный случай.................................................................70
5.2.2. Двунаправленный случай....................................................................72
5.3. Метод быстрого преобразования Фурье...................................................73
5.3.1. Циркулянтная структура.....................................................................73
5.3.2. Умножение на циркулянтные матрицы.............................................74
5.4. Историческая справка................................................................................76
5.5. Литература...................................................................................................76
5.6. Упражнения.................................................................................................77
Глава 6. Множественный линейный криптоанализ. .........................78
6.1. Множественный линейный криптоанализ...............................................78
6.1.1. Множественные линейные аппроксимации......................................78
6.1.2. Различители.........................................................................................81
6.2. Многомерный линейный криптоанализ...................................................84
6.2.1. Многомерные линейные аппроксимации.........................................84
6.2.2. Различители.........................................................................................86
6.2.3. Атаки с выбранным открытым текстом.............................................87
6.3. Заключительные замечания......................................................................88
6.3.1. Восстановление ключа.........................................................................88
6.3.2. Нахождение подходящих линейных аппроксимаций.......................89
6.4. Историческая справка................................................................................89
6.5. Литература...................................................................................................89
6.6. Упражнения.................................................................................................90
Глава 7. Оптимальная проверка статистических гипотез...............94
7.1. Вероятностные меры..................................................................................94
Оглавление
7
7.2. Простые гипотезы.......................................................................................95
7.2.1. Теория Неймана–Пирсона...................................................................96
7.2.2. Два многомерных нормальных распределения.................................97
7.2.3. Два распределения почти равны.........................................................98
7.3. Составные гипотезы..................................................................................101
7.3.1. Коэффициенты Байеса.......................................................................102
7.3.2. Гипотеза рандомизации с правильным ключом.............................102
7.3.3. Гипотеза рандомизации с неправильным ключом.........................104
7.4. Оптимальное восстановление ключа......................................................106
7.5. Историческая справка...............................................................................107
7.6. Литература.................................................................................................107
7.7. Упражнения................................................................................................107
Глава 8. Аппроксимации с нулевой корреляцией............................109
8.1. Идея............................................................................................................109
8.2. Нахождение аппроксимаций с нулевой корреляцией...........................110
8.3. Использование аппроксимаций с нулевой корреляцией......................112
8.3.1. Одна аппроксимация.........................................................................113
8.3.2. Несколько аппроксимаций................................................................115
8.4. Статистический подход............................................................................116
8.5. Историческая справка..............................................................................117
8.6. Литература.................................................................................................117
8.7. Упражнения...............................................................................................118
Глава 9. Различные обобщения...............................................................121
9.1. Точные свойства........................................................................................121
9.1.1. Атаки с насыщением..........................................................................121
9.1.2. Инвариантные подпространства......................................................123
9.1.3. Нелинейные инварианты..................................................................125
9.2. Приближенные свойства..........................................................................127
9.2.1. Статистическое насыщение..............................................................127
9.2.2. Нелинейные аппроксимации............................................................128
9.2.3. Каркас проецирования......................................................................128
9.3. Историческая справка..............................................................................129
9.4. Литература.................................................................................................129
9.5. Упражнения...............................................................................................130
Глава 10. Функции на абелевых группах............................................132
10.1. Линейная алгебра над полем ℂ.................................................................................... 132
10.1.1. Нормированные векторные пространства и двойственные им.....133
10.1.2. Пространства со скалярным произведением.................................135
10.1.3. Сингулярное разложение................................................................137
10.1.4. Тензорные произведения векторных пространств.......................137
10.2. Анализ Фурье на конечных абелевых группах......................................138
10.2.1. Характеры группы............................................................................139
10.2.2. Преобразование Фурье....................................................................141
10.2.3. Двойственность Понтрягина...........................................................143
8
Оглавление
10.3. Историческая справка............................................................................144
10.4. Литература...............................................................................................144
10.5. Упражнения.............................................................................................145
Глава 11. Геометрический подход..........................................................148
11.1. Геометрический взгляд...........................................................................148
11.1.1. Криптоаналитические свойства.....................................................148
11.1.2. Распространение..............................................................................149
11.1.3. Геометрия.........................................................................................151
11.2. Линейный криптоанализ........................................................................152
11.2.1. Корреляционные матрицы..............................................................152
11.2.2. Множественный линейный криптоанализ....................................154
11.3. Точное распространение........................................................................155
11.3.1. Прямое распространение................................................................155
11.3.2. Обратное распространение.............................................................155
11.3.3. Нулевая корреляция.........................................................................156
11.3.4. Инварианты......................................................................................156
11.4. Приближенное распространение...........................................................157
11.4.1. Отображения аппроксимации........................................................157
11.4.2. Геометрия.........................................................................................158
11.4.3. Принцип доминирующих следов....................................................159
11.5. Историческая справка............................................................................160
11.6. Литература...............................................................................................160
11.7. Упражнения.............................................................................................160
Приложение A. Нормальное распределение. ...................................164
Приложение B. Краткий справочник по статистике. ......................167
Приложение C. Список блочных шифров. ..........................................169
Литература.......................................................................................................170
Предметный указатель...............................................................................174
Предисловие от издательства
Отзывы и пожелания
Мы всегда рады отзывам наших читателей. Расскажите нам, что вы думаете об
этой книге – что понравилось или, может быть, не понравилось. Отзывы важны
для нас, чтобы выпускать книги, которые будут для вас максимально полезны.
Вы можете написать отзыв на нашем сайте www.dmkpress.com, зайдя на страницу книги и оставив комментарий в разделе «Отзывы и рецензии». Также
можно послать письмо главному редактору по адресу dmkpress@gmail.com;
при этом укажите название книги в теме письма.
Если вы являетесь экспертом в какой-либо области и заинтересованы в написании новой книги, заполните форму на нашем сайте по адресу http://dmkpress.com/
authors/publish_book/ или напишите в издательство по адресу dmkpress@gmail.com.
Список опечаток
Хотя мы приняли все возможные меры для того, чтобы обеспечить высокое
качество наших текстов, ошибки все равно случаются. Если вы найдете ошибку
в одной из наших книг – возможно, ошибку в основном тексте или программном коде, – мы будем очень благодарны, если вы сообщите нам о ней. Сделав
это, вы избавите других читателей от недопонимания и поможете нам улучшить последующие издания этой книги.
Если вы найдете какие-либо ошибки в коде, пожалуйста, сообщите о них
главному редактору по адресу dmkpress@gmail.com, и мы исправим это в следующих тиражах.
Нарушение авторских прав
Пиратство в интернете по-прежнему остается насущной проблемой. Издательство «ДМК Пресс» очень серьезно относится к вопросам защиты авторских прав и лицензирования. Если вы столкнетесь в интернете с незаконной
публикацией какой-либо из наших книг, пожалуйста, пришлите нам ссылку на
интернет-ресурс, чтобы мы могли применить санкции.
Ссылку на подозрительные материалы можно прислать по адресу
dmkpress@gmail.com.
Мы высоко ценим любую помощь по защите наших авторов, благодаря которой мы можем предоставлять вам качественные материалы.
Предисловие
Криптоанализ остается молодой и быстро развивающейся областью знаний.
Поэтому лекторам и их ассистентам часто бывает трудно найти подходящие
учебники для эффективного преподавания теории и практики студентам.
Данной книгой мы надеемся закрыть этот пробел хотя бы в части линейного
криптоанализа.
На наш взгляд, из всех методов криптоанализа шифров с симметричным
ключом именно линейный криптоанализ лучше подходит для первокурсников. Интуитивно понятно, как строятся и выполняются линейные атаки. В то
же время для научного описания линейного криптоанализа необходимы некоторые базовые, а иногда даже продвинутые сведения из линейной алгебры.
О чем эта книга
Вы можете рассчитывать, что, тщательно изучив эту книгу, получите глубокое
понимание базовой теории линейного криптоанализа и познакомитесь с ее
наиболее важными обобщениями (множественный и многомерный линейный
криптоанализ, линейный криптоанализ с нулевой корреляцией и т. д.). Если вы
также будете прилежно решать упражнения, то сможете применить полученные знания на практике. И тогда в нужное время у вас не возникнет проблем
с пониманием современной литературы.
Тем не менее в книге такого размера невозможно не то что дать полный
обзор всех работ на эту тему, но хотя бы перечислить их. Поэтому мы сознательно сделали упор на базовые криптоаналитические результаты, а многие
важные, но имеющие лишь косвенное отношение к теме вопросы (например,
связь с линейными кодами, булевы функции и т. д.) вынесли в упражнения.
Большинство примеров и упражнений относятся к блочным шифрам, но мы
ожидаем, что вы сможете применить линейный криптоанализ и к другим
криптографическим примитивам, таким как потоковые шифры.
Стремясь избежать обвинения в неосновательном фаворитизме, мы осо
знанно ограничились короткими списками литературы. Они приведены в конце каждой главы. Отбор ссылок основан на историческом взгляде, в список могли и не попасть лучшие источники для получения дополнительных сведений.
Помимо линейного, существует много других важных методов криптоанализа. Кое-какие из них упомянуты в книге, но только тогда, когда мы понимали, как связать их с нашим изложением линейного криптоанализа. Поэтому
некоторые важные криптоаналитические методы вообще не обсуждаются.
Как эту книгу может использовать начинающий
Эта книга основана на односеместровом курсе линейного криптоанализа, который мы впервые прочли в Лёвенском католическом университете осенью
Предисловие
11
2023 года. Это был первый курс криптоанализа, рассчитанный на студентовмагистрантов, знакомых с математикой и математическими методами. Этот
учебник может лечь в основу похожих курсов, или же его можно прочитать от
корки до корки в рамках самообразования. Впрочем, книгу можно читать и по
частям, и некоторые рекомендации по этому поводу приведены ниже.
Главы 1–5 помогут освоить базовые принципы линейного криптоанализа,
например их можно включить в более широкий курс криптоанализа. Главы 6–9
посвящены более специальным темам и могут быть полезны читателю, желающему углубить и расширить свои знания вплоть до современного состояния
дел. В главах 10–11 как раз и обсуждается современное состояние дел; мы рекомендуем их тем, кто собирается изучать другие криптоаналитические методы, например дифференциальный и интегральный криптоанализ, а также
исследователям, делающим свои первые самостоятельные шаги.
Для коротких курсов из одной-двух лекций мы не рекомендуем ограничиваться только главой 1. Эта глава поднимает больше вопросов, чем дает ответов. По той же причине начинающим следует быстро переходить к главе 2, а не
пытаться понять каждое слово в главе 1 при первом чтении.
Читателям, больше интересующимся математическими аспектами линейного
криптоанализа, нежели криптоанализом конкретных шифров, мы не рекомендуем долго задерживаться на главе 1, а главы 3, 5 и 9 они могут без опаски пропустить.
Как эту книгу может использовать специалист
Будучи сами исследователями и рецензируя чужие работы, мы иногда встречаем такие, где используются устаревшие методы и чрезмерно упрощенные
аппроксимации. С помощью этой книги мы рассчитываем помочь в распространении знаний о современном состоянии дел. Специалисты, возможно, сочтут ее полезным справочником благодаря кое-какой актуальной информации, обзор которой приведен ниже.
Уже в главе 2 мы выдвигаем на первый план определение линейного криптоанализа с помощью корреляционных матриц. На наш взгляд, это самый эффективный способ получить основные результаты, не слишком увеличивая
уровень абстракции. Рано или поздно, без корреляционных матриц все равно
не обойтись, а введя их раньше, мы упростим переход к главам 10 и 11.
Обсуждение статистических аспектов линейного криптоанализа – тонкая
материя. С одной стороны, явные формулы полезны для понимания главных
факторов, влияющих на стоимость атаки. С другой стороны, в интересах точности желательно использовать как можно меньше упрощений. Мы старались
соблюсти баланс, приводя замкнутые формулы там, где это можно сделать,
не увязнув в технических деталях и всякий раз точно указывая, на какие упрощения пришлось пойти. Следует иметь в виду, что большинство существенных
аппроксимаций в главах 4 и 7 связаны со статистическим моделированием реальности (стратегия выборки, зависимость корреляций от ключей, рандомизация с неправильным ключом и т. д.), а не с математическими вопросами типа
скорости сходимости в предельной теореме.
Наше изложение многомерного линейного криптоанализа в главе 6 оригинально в том смысле, что не зависит от выбора базиса пространства масок.
12
Предисловие
Этот подход к многомерным линейным аппроксимациям далее развивается
в главе 11.
В главе 11 вводится геометрический подход к криптоанализу с относительно конкретной точки зрения с упором на линейный криптоанализ и некоторые тесно связанные с ним методы. Более общая трактовка потребовала бы
математической подготовки за пределами линейной алгебры. Тем не менее
мы попытались согласовать изложение результатов и примеров с общей теорией, представление о которой дают несколько упражнений. Например, с самого начала мы настаиваем на различии между ℂ[G] и ℂG – но мы не обсуждаем
структуру коалгебры и алгебры этих пространств.
Глава 1
Введение
Приложений криптографии множество, их легко встретить в повседневной
жизни. Но эта книга не о приложениях, а о тех базовых строительных блоках,
на которых зиждется их безопасность. Эти строительные блоки называются
криптографическими примитивами, и наша книга является введением в анализ их безопасности. Вместо того чтобы рассматривать разнообразные методы
на начальном уровне, мы займемся углубленным изучением одного семейства
методов – линейного криптоанализа.
В этой главе рассматривается история вопроса, которая привела к открытию
линейного криптоанализа. Плюсом такого описания «от Адама» является конкретность, но вообще-то оно не очень эффективно. Однако поднимает важные
вопросы, изучаемые в последующих главах.
1.1. Криптографические примитивы
Принимая во внимание дискретную природу современной криптографии,
большинство примитивов оперируют битовыми строками фиксированной
длины. В этой книге множество битовых векторов длины n обозначается 𝔽2n,
где 𝔽2 – поле целых чисел по модулю 2. Самыми известными примитивами
являются блочные шифры. Блочный шифр с размером блока n – это семейство
обратимых функций, отображающих 𝔽2n в 𝔽2n. Функция, принадлежащая этому
семейству, обозначается Ek, где индекс k – обычно битовый вектор – называется ключом.
1.1.1. Анализ
В большинстве приложений блочных шифров ключ хранится в секрете. Таким
образом, безопасность блочного шифра определяется тем, насколько противнику трудно узнать (восстановить) его ключ. Однако определение безопасности блочного шифра можно обобщить, и зачастую так и поступают. Например,
если имеется возможность опрашивать блочный шифр, то можно говорить
о том, насколько трудно понять (различить), взаимодействуем ли мы с шифром
или с алгоритмом-пустышкой, который возвращает случайные результаты1.
Трудность атаки включает несколько аспектов, начиная со свойств реализующего ее алгоритма: времени его работы, требований к памяти, степени параллелизма, вероятности успеха и т. д. Следует также принимать во внимание
1
Результаты должны быть согласованы с тем, что шифр является перестановкой.
14
Введение
количество и тип требуемой информации. В случае атаки с известным открытым текстом доступны пары вход–выход для примитива – входы выбираются
из известного распределения. В случае атаки с выбранным открытым текстом
входы задаются атакующим.
Существует простая стратегия атаки, которая работает для любого блочного шифра: исчерпывающий поиск ключа. Для нее требуется несколько известных
пар (открытый текст, шифртекст): (x1,y1), …, (xq, yq). Далее в цикле перебираются все возможные значения ключа k и для каждого проверяется, верно ли, что
yi = Ek(xi) для i = 1, …, q. Исчерпывающий поиск ключа требует мало памяти и легко распараллеливается. Часто его используют как эталон для оценки релевантности других атак: чтобы алгоритм можно было квалифицировать как атаку, он
должен превосходить исчерпывающий поиск хотя бы в одном аспекте.
1.1.2. Проектирование
Шифры можно конструировать путем композиции сравнительно простых
функций:
Ek = R(r)
∘…∘ R(1)
.
k
k
«Сравнительно простые» обычно означает, что функции R(r)
, …, R(1)
допускаk
k
ют эффективное вычисление на целевой платформе (платформах) и имеют
компактное и хорошо понятное математическое описание. Все современные
блочные шифры идут по этому пути.
Итеративные шифры – это шифры, в которых функции R(i)
являются экземk
плярами семейства функций с одним ключом:
Ek = Rk ∘…∘ Rk .
r
1
Функции Rk называются раундами Fk. Последовательность (k1, …, kr) называi
ется расширенным ключом блочного шифра. Она строится путем применения
функции, называемой разверткой ключа, к ключу k.
Шифры с чередованием ключа – это итеративные шифры, в которых раундовая функция является композицией функции, независимой от ключа, и прибавления ключа (в поле 𝔽2n):
Rk (x) = R(x) + ki.
i
0
1
2
S
S
S
S
3
4
5
S
S
S
S
6
7
8
S
S
S
S
Рис. 1.1. Блочный шифр с размером блока 9 бит и четырьмя раундами
1.2. Линейные аппроксимации 15
Термины «итеративный шифр» и «шифр с чередованием ключа» часто употребляются гибко: даже если первый или последний раунд немного отличается
от прочих, шифр все равно называется итеративным или с чередованием ключа.
На рис. 1.1 изображен блочный шифр с размером блока n = 9. В этой главе
он будет сквозным примером. Шифр представляет собой подстановочно-перестановочную сеть с ключом k длиной 45 бит, принадлежащим 𝔽45
. Раундовая
2
функция состоит из следующих трех операций.
S-блок. Эта операция применяет функцию S: 𝔽23 → 𝔽23 к трем группам битов состояния:
(x8, … , x0) ↦ S(x8, x7, x6)‖S(x5, x4, x3)‖S(x2, x1, x0),
где символ «‖» обозначает конкатенацию битовых векторов. S-блочная функция S впервые была использована в блочном шифре 3-Way и определена следующей таблицей подстановки. В приложении C приведен список всех упоминаемых в книге шифров, включая 3-Way.
x
000 001 010 011 100 101 110 111
S(x) 111 010 100 101 001 110 011 000
Перестановка битов. Вторая операция переставляет биты состояния, отображая i-й выходной бит S-блока j на входной бит j + 1 (mod 3) S-блока i. Конкретно (x8, …, x0) ↦ (x5, x2, x8, x4, x1, x7, x3, x0, x6).
Сложение с ключом. Каждый раунд завершается прибавлением раундового ключа к состоянию. На i-м раунде (нумерация начинается с 1) операции
сложения с ключом соответствует функция (x8, …, x0) ↦ (x8 + k9i+8, …, x0 + k9i).
На рис. 1.1 сложение с ключом представлено символом ⊕.
После прибавления битов ключа (k8, …, k0) к открытому тексту шифр последовательно вычисляет эти операции четыре раза.
Во избежание недопонимания подчеркнем, что в этом примере использован учебный шифр, который на практике применять не следует. Из-за малого
размера ключа (45 бит) становится возможен исчерпывающий поиск (поскольку число возможных ключей равно всего лишь 245) и даже более эффективные
атаки, которые будут описаны ниже в этой главе. Также отметим, что в большинстве реальных шифров размер блока гораздо больше. Например, в шифре
Advanced Encryption Standard (AES) он равен 128 бит.
1.2. Линейные аппроксимации
Линейный криптоанализ основан на линейных аппроксимациях. Это вероятностные линейные соотношения между входными и выходными битами функции F : 𝔽n2 → 𝔽n2. Говоря «вероятностные», мы имеем в виду, что это соотношение
имеет место не для всех входных значений функции. А под линейностью мы
tioning that most real-world ciphers have much larger block sizes. For example, the
Standard (AES) has a block size of 128 bits.
1.2Advanced
LinearEncryption
approximations
1.2 Linear approximations
Введение
RR
EEVV
IIEE
R
WW
EV
CC
IE
OO
W
PPYY
C
O
PY
16
m
n
1.2 Linear approximations
m
n
v
y
=
ui xi 𝔽. . Если y = F(x), то линейной аппроксимации
i
i
понимаем линейность
над
полем
vi yi =
ui xi . 2
i=1
i=1
соответствует уравнение
вида
i=1
i=1
m
n
vi yi =
ui xi..
i=1
i=1
Его можно более компактно записать как vTF(x) = uTx, где u и v – векторы
с элементами (u1, …, un) и (v1, …, vm) соответственно. Иногда мы рассматриваем u и v как битовые строки. Векторы u и v называются входной и выходной
маской соответственно. Поскольку маски u и v определяют аппроксимацию,
мы говорим, что линейная аппроксимация является парой масок (u, v) в пространстве 𝔽n2 × 𝔽m2.
1.2.1. Смещение
Пусть x – равномерно распределенная случайная величина, принимающая
значения из 𝔽n2. Рассмотрим вероятность линейной аппроксимации (u, v)
функции F:
x ∈ Fnn2 | u x = v F(x)
Pr u x = v F(x) = x ∈ F2 | u xn = v F(x) ..
x u x = v F(x) =
Pr
.
2
x
2 n
If the above probability is 1/2, then u x and v F(x)
are
unrelated:
for half
T n T
half
the above probabilityвероятность
is 1/2, then uравна
x and 1v ⁄2, F(x)
are
unrelated:
for
ЕслиIf
вышеупомянутая
то
u
x
и
v
F(x)
никак
не свяx
∈
F
|
u
x
=
v F(x)
value,
and for the other
of the inputs x they have the
same
have
2 half they
Pr
u
x
=
v
F(x)
=
.
of
the
inputs
x
they
have
the
same
value,
and
for
the
other
half
they
have
n
заны: complementary
для половиныvalues.
входов
x
они
принимают
одинаковое
значение,
x
Based on this observation, the bias �u,v2 of a linear а для
values. Based on this
observation,
the bias
a linear
другойcomplementary
половины –(u,v)
дополнительные
Исходя
из �этого
u,v of наблюдения,
approximation
F is defined
asзначения.
If theofabove
probability
is 1/2, then u x and v F(x) are unrelated: for half
approximation
(u,v)аппроксимации
of F is defined as (u, v) функции F определяется как
смещение
ϵu,v линейной
of the inputs x they
1value, and for the other half they have
have the same
−1.
�u,v = Pr values.
u x = Based
v F(x)on
complementary
x
�u,v = Pr u x = v F(x) −this
2 .. observation, the bias �u,v of a linear
x
2as
approximation
(u,v)
of
F
is
defined
If �u,v �= 0, then the linear approximation (u,v) is called effective.
If �u,v �= 0, then the linear approximation (u,v) is called effective.
1
(u,Pr
v) называется
Если ϵu,v ≠ 0, то линейная аппроксимация
u x = v F(x)эффективной.
− .
�u,v =
x
2
Property
of
Cambridge
University
Press
do
not
share
or
copy
Пример 1.1.Property
Пусть SofIf–Cambridge
изUniversity
демонстрационного
определенного
�S-блок
the linear Press
approximation
(u,v) is
u,v �= 0, then
do not шифра,
share
orcalled
copy effective.
в разделе 1.1. Рассмотрим аппроксимацию (u, v) = (001, 011) функции S. Для
вычисления смещения построим следующую таблицу:
Property of Cambridge University Press do not share or copy
x
u Tx
S(x)
vTS(x)
000
001
010
011
100
101
110
111
0
1
0
1
0
1
0
1
111
010
100
101
001
110
011
000
0
1
0
1
1
1
0
0
1.2. Линейные аппроксимации 17
Отсюда следует, что смещение (001, 011) равно 6⁄8 − 1⁄2 =1⁄4. В качестве
упражнения можете показать, что смещение аппроксимации (100, 100) равно –1/4.
⊳
1.2.2. Таблицы линейной аппроксимации
Таблицей линейной аппроксимации (linear approximation table – LAT) функции F :
𝔽2n × 𝔽m2 называется таблица, содержащая смещения всех линейных аппроксимаций F, умноженная на масштабный коэффициент 2n. То есть
LATu,v = 2nϵu,v.
С учетом нулевых масок всего существует 2n+m аппроксимаций, и таблица
LAT содержит 2n строк и 2m столбцов. Заметим, что элементы LAT индексированы битовыми векторами, т. е. элементами 𝔽2n и 𝔽m2.
Теорема 1.1. Пусть F – функция из 𝔽2n в 𝔽m2. LAT F обладает следующими свойствами: “9781009607865book” — 2025/12/2 — 14:12 — page 6 — #18
“9781009607865book” — 2025/12/2 — 14:12 — page 6 — #18
1. LAT0,0 = 2n–1.
2. Для всех ненулевых u, принадлежащих 𝔽2n, LATu,0 = 0.
Если6F обратима, то LAT F дополнительно
обладает следующими свойствами:
Introduction
6
Introduction
3. Для всех ненулевых v, принадлежащих 𝔽m2, LATv,0 = 0.
4. Все элементы LAT – четные числа.
Proof The first property follows from �0,0 = Prx [0 = 0] − 1/2 = 1/2. For the
Proof
first
property
from �0,0 =изPrтого,
0] −ϵ1/2
Доказательство.
Первое
==
Pr1/2.
[0 =For
0] the
− 1⁄2 = 1⁄2.
x [0 =что
0,0
x
secondThe
property,
noteсвойство
thatfollowsвытекает
Что касается
второгоnote
свойства,
second property,
that заметим, что
��
��
��� x ∈ Fnn2 | u x = 0��� 1
�
�u,0 = x ∈ F2 | nu x = 0 � − 1 .
2
�u,0 =
− 2 ..
2n
2
For all u �= 0, there are 2n−1 values
x in Fnn2 such that u x = 0. Hence,
the first
n–1
n−1
ДляFor
любого
u
≠
0
существует
2
значений
x,
принадлежащих
𝔽2n, таких,
что uTx
u �= 0,
there1/2
are and
2 the
values
F2 such
u x = 0.then
Hence,
then first
termallabove
equals
resultx isinzero.
If Fthat
is invertible,
m=
and
1
= 0. Поэтому
первый
выражении
⁄2, и результат
равен
term
above
equalsчлен
1/2 в
and
thea result
isвыше
zero. Ifравен
F is
invertible,
then m =
n and0. Если
the third
property
follows
by
similar
argument.
Indeed,
F обратима,
то
m
=
n,
и
третье
свойство
доказывается
аналогично.
Действительно,
the third property follows by a similar argument. Indeed,
��
��
��
��
��� x ∈ Fnn2 | v F(x) = 0��� 1
��� y ∈ Fnn2 | v y = 0��� 1
�
�
�
�0,v = x ∈ F2 | v nF(x) = 0 − 1 = y ∈ F2 | nv y = 0 � − 1 ,,
2
2
�0,v =
−2=
− 2,
2n
2
2n
2
где второе
потому
whereравенство
the second имеет
equalityместо,
is due to
the factчто
thatFFобратима.
is invertible.
where the
equality
duefourth
to theproperty
fact that follows
F is invertible.
= second
0 or
thenisthe
from
properties
(1) toВ проЕсли u If= u
0 или
v =v0,=то0,четвертое
свойство следует
из
свойств
(1)–(3).
from properties (1) to
If
u
=
0
or
v
=
0,
then
the
fourth
property
follows
T
T
(3).
Otherwise,
the functions
u xx↦
and
x �→принимают
v F(x) both take
the value
тивном
случае
обе функции
x ↦x u�→x и
v F(x)
значение
0 в точthe Обозначим
functions
x and
�→ значений
v F(x)
bothx of
take
value
n–1
ности (3).
2exactly
входов.
a uколичество
таких,
0для
forOtherwise,
2n−1
inputs. Letx a�→denote
the xnumber
of values
x the
suchчто
thatuTx = 0
2 n−1 inputs.
Let a denote разбиению
the number of
of Fxn :such that
и vTF(x)0u =for
0. exactly
Это приводит
к следующему
𝔽2n:values of
2
x = 0 and v F(x) = 0. This leads to the following partition
u x = 0 and v F(x) = 0. This leads to the following partition of Fn2 :
=0
vvT F(x)
F(x) = 0
v F(x)
0
F(x)= =
=
11
vvT F(x)
v F(x) = 1
u Tx = 0
u x = 0
u xa= 0
a
a
n−1
n-1
22 −−aa
2n−1 − a
uTx = 1
u x = 1
u 2xn–1=− 1a
2n−1
−a
2n−1a − a
a
a
In particular, there are 2n−1 −a values of x such that u x = 1 and v F(x) = 0.
−aalso
values
of−x asuch
thatofu xxsuch
= 1 that
and uv xF(x)
= 0.
In
particular,
there arethere
2n−1are
values
Since
F is invertible,
2n−1
= 0 and
n−1
u x=1
u
18
Введение
v F(x) = 0
v F(x) = 1
a
2n−1
−a
2n−1 − a
a
−a–values
of x suchx that
u x=
1 and
F(x) =T 0.
In particular,
there are 2n−1
В частности,
существует
2n–1
a значений
таких,
что
uTx v=
1 и v F(x) = 0.
n−1
SinceFF. обратима,
is invertible, существует
there are also также
2
− a2n–1
values
of x such that
u x = 0что
anduTx = 0
Поскольку
– a значений
x таких,
n–1 − a)
= 1. It follows
thatчто
thereсуществует
are 2n−1 − (22n−1
of x such x таи vTF(x)v =F(x)
1. Отсюда
следует,
– (2n–1=– aa)values
= a значений
T
thatuTux =x 1=и1vand
v =F(x)
ких, что
F(x)
1. = 1.
И наконец,
количество
x таких,
uTxthat
= vuT F(x),
◻ to 2a.
In conclusion,
the number
of что
x such
x = равно
v F(x)2a.
is equal
1.2 The
linear approximation
table ofS.Sравна
equals
ПримерExample
1.2. Таблица
линейной
аппроксимации
⎡
⎤
4
0
0
0
0
0
0
0
⎢0 −2
0
2
0 −2
0 −2⎥
⎢
⎥
⎢
⎥
“9781009607865book”
2025/12/2
——
14:12
—0—
page
7−2
0—
−2
−2
014:12
2page
“9781009607865book”
—
2025/12/2
—
—
page
7—
#19
“9781009607865book”
2025/12/2
—
14:12
—
7—
—
#19
“9781009607865book”
2025/12/2
14:12
page
7—
#19
⎢0 ——
⎥
“9781009607865book”
—
2025/12/2
—
14:12
—
page
7#19
—
#19
⎢
⎥
2
0
0
2
2
0⎥
⎢0 −2
LAT = ⎢
⎥ ..
⎢0
0
0
0 −2
2 −2 −2⎥
⎢
⎥
⎢0
2
0
2 −2
0
2
0⎥
⎢
⎥
1.3
Linear
and
the
piling-up
7 77 77
⎣Linear
1.3
Linear
trails
and
the
piling-up
lemma
1.3
and
the
piling-up
0 trails
0trails
−2
2piling-up
2 lemma
2lemma
0
0⎦
1.3
Linear
trails
and
the
lemma
1.3
Linear
trails
and
the
piling-up
lemma
0 −2 −2
0 −2
0
0
2
functions,
the
LAT
can
easily
bebe
determined
analytically.
For
some
functions,
the
LAT
can
easily
be
determined
analytically.
Two
For
some
functions,
the
LAT
can
easily
determined
analytically.
Two
В For
качестве
упражнения
проверьте
свойства,
перечисленные
в Two
теореме
Assome
an
exercise,
verify
the
properties
listed
inbe
Theorem
1.1.
For
some
functions,
the
LAT
can
easily
determined
analytically.
Two
For
some
functions,
the
LAT
can
easily
be
determined
analytically.
Two� 1.1.⊳
examples
are
given
below
–
both
are
used
in
the
example
cipher
from
Для
некоторых
функций
LAT
легко
найти
аналитически.
Ниже
приведено
examples
are
given
below
–
both
are
used
in
the
example
cipher
from
examples
are
given
below
–
both
are
used
in
the
example
cipher
from
examples
are are
given
below
– both
are are
usedused
in the
example
cipher
fromfrom
examples
given
below
– both
in the
example
cipher
два
примера
–
оба используются в демонстрационном шифре из раздела 1.1.
Section
1.1.
Section
1.1.
Section
1.1.
Section
1.1.
Section
1.1.
Property of Cambridge University Press do not share or copy
Сложение с константой. Пусть F – функция, которая прибавляет константу c
Addition
with
awith
FLet
the
function
that
adds
aadds
c ctoctocits
Addition
with
aconstant.
Let
the
function
that
adds
aconstant
tocits
Addition
with
aconstant.
the
function
that
adds
aconstant
toits
кAddition
своему
аргументу,
т. е.Let
F(x)
=Fbe
xFbe
c.
Для
всех
линейных
аппроксимаций
with
aconstant.
Let
Fbe
the
function
that
adds
aconstant
Addition
aconstant.
constant.
Let
F+be
be
the
function
that
aconstant
constant
toits
its (u, v)
функции
F
имеем
input,
i.e.,
F(x)
=
x
+
c.
For
all
linear
approximations
(u,v)
of
F,
one
has
input,
i.e.,
F(x)
=
x
+
c.
For
all
linear
approximations
(u,v)
of
F,
one
has
input,
i.e.,
F(x)
=
x
+
c.
For
all
linear
approximations
(u,v)
of
F,
one
has
input,
i.e., i.e.,
F(x)F(x)
= x=+xc.+For
all linear
approximations
(u,v)
of F,ofone
has has
input,
c. For
all linear
approximations
(u,v)
F, one
PrPrPr
uPr
x xu=xu=xv=xv=F(x)
==Pr
x xu=xu=xv=xv=xv=xv+xv+vx+xv+cv+cvcv=c=cPr
+(u
xv)
=x=xv=xv=cv=cv.cv.c.c. .
u
v=F(x)
=Pr
u
=Pr
(u
+v)
vF(x)
=Pr
=Pr
Pr
+v)
uPr
uPr
(u
+v)
xv)
v F(x)
F(x)
=uPr
=(u
Pr
(u
+
x x x
x x x
x x x
x
x
x
x
x
x
Если
uuv,
v,
вероятность
равна
1/2
и,
следовательно,
смещение
равно
IfIf
uIfu�=
then
the
probability
isis
1/2,
and
hence
the
bias
isbias
IfIfuIfu=
�=
v,
the
probability
is1/2,
and
hence
the
bias
iszero.
=uv,
v,
IfuIf�=
uv,
�=≠
v,then
then
the
probability
is1/2,
and
hence
the
bias
iszero.
IfuIf=
uv,
=then
v,then
the
probability
and
hence
the
bias
iszero.
�=then
v,то
then
the
probability
is1/2,
1/2,
and
hence
the
iszero.
zero.
=then
v,then
then нулю.
равна
если
vTc = 0, и нулю, если vTc = 1. Если
Если
u
=
v,
то
вероятность
единице,
the
probability
is
one
if
v
c
=
0
and
zero
if
v
c
=
1.
Adopting
the
convention
the
probability
is
one
if
v
c
=
0
and
zero
if
v
c
=
1.
Adopting
the
convention
isisone
00and
zero
==Adopting
1.1.Adopting
thethe
probability
is one
if vififcvv=cc0==
and
zero
if vififcvv=cc1.
thethe
convention
theprobability
probability
one
and
zero
Adopting
theconvention
convention
b
b
b b=
b b=
b b1
bb b−1
принять
соглашение,
(−1)
=and
1and
для
=b−1
0
вfor
𝔽bfor
что
=,bias
−1
для
that
(−1)
for
b1for
=
0=b0=
in0=
=
in1=
is
that
(−1)
1=
b=bчто
in
(−1)
for
bи=b1=
in(−1)
bias
2b
that
(−1)
1for
inF
(−1)
=−1
−1
in,F
the
bias
2F
2,F,F
that
(−1)
==b1=
for
bfor
in0F
and
(−1)
==
in1F
the
bias
isisisbis = 1 в 𝔽2,
that
(−1)
02F
in
Fand
(−1)
=for
−1
for
b1=
12F
in
,
the
bias
2 2(−1)
2the
2and
2the
2
то смещение равно
v vcv c1vc1v c1 cif1 1u = v,
(−1)
(−1)
ifuifu=
(−1)
u=v,
=v,v,
(−1)
(−1)
2 ,2 2если
2if
2 if u = v,
�u,v
=
=
�=�u,v
u,v
��u,v
=
=
u,v
0 00 00
вelse.
противном
else.
else.
else.
else. случае.
Хотя
ключ
блочного
шифра
он
является
константой!
Although
the
key
of
cipher
isсекретный,
it itisitisjust
constant!
Hence,
the
bias
Although
the
key
block
cipher
issecret,
aconstant!
constant!
Hence,
the
bias
Although
the
key
aablock
cipher
issecret,
itisitjust
isjust
aaconstant!
Hence,
the
bias
Although
the
key
ofaofblock
aofaof
block
cipher
issecret,
aвсе-таки
Hence,
the
bias
Although
the
key
block
cipher
issecret,
secret,
isajust
just
constant!
Hence,
the
bias
Следовательно,
линейная
аппроксимация
сложения
с
ключом
описывается
ofofof
a aof
linear
approximation
over
a
key
addition
is
given
by
the
above
formula.
aof
approximation
over
addition
byby
the
above
formula.
alinear
approximation
over
akey
addition
isgiven
the
above
formula.
linear
approximation
over
aakey
addition
isisgiven
by
the
above
formula.
alinear
linear
approximation
over
akey
key
addition
isgiven
given
by
the
above
formula.
приведенной выше формулой.
Bit
permutation.
It Itis
tototo
see
that
ifthat
isFif
bit
permutation,
i.e.,
Перестановка
битов.
видеть,
что
если
FisFais–
перестановка
битов,
Bit
permutation.
Itis
is
difficult
see
that
ais
permutation,
i.e.,
Bit
permutation.
Itnot
isnot
not
difficult
to
see
that
abit
permutation,
i.e.,
Bit
permutation.
not
difficult
see
that
ifFifFif
bit
permutation,
i.e.,
Bit
permutation.
ItЛегко
isdifficult
not
difficult
to
see
Fais
abit
bit
permutation,
i.e.,то велинейной
аппроксимации
(u,
v)
функции
F
равна
единице,
itроятность
shuffles
the
bits
of
the
input,
then
the
probability
of
a
linear
approximation
it
shuffles
the
bits
of
the
input,
then
the
probability
of
a
linear
approximation
it
shuffles
the
bits
of
the
input,
then
the
probability
of
a
linear
approximation
it shuffles
the bits
of the
thenthen
the probability
of aoflinear
approximation
it shuffles
the bits
of input,
the input,
the probability
a linear
approximation если
1
2в
v(u,v)
=
F(u),
и
⁄
противном
случае.
То
есть
(u,v)
of
F
is
one
if
v
=
F(u)
and
1/2
otherwise.
That
is,
(u,v)
of
F
is
one
if
v
=
F(u)
and
1/2
otherwise.
That
is,
(u,v)
ofofisFFone
isisone
==F(u)
otherwise.
That
of F
if vifif=vvF(u)
andand
1/21/2
otherwise.
That
is, is,is,
(u,v)
one
F(u)
and
1/2
otherwise.
That
1 11 11
vifv=
=F(u),
ifv=vF(u),
=F(u),
F(u),
если
2 2 ,2 if
2if
2 if v = F(u),
�u,v
=
=
�=�u,v
u,v
=
��u,v
u,v =
0 00 else.
else.
0в0else.
else.
else.
противном
случае.
1.3
Linear
trails
and
the
piling-up
lemma
1.3
Linear
trails
and
the
piling-up
lemma
1.3
Linear
trails
and
the
piling-up
lemma
1.3
Linear
trails
and
the
piling-up
lemma
1.3
Linear
trails
and
the
piling-up
lemma
This
section
turns
totothe
ofofof
finding
the
bias
of
a aof
linear
approximation
This
section
turns
tothe
problem
the
bias
aof
approximation
This
section
turns
tothe
the
problem
offinding
the
bias
alinear
approximation
This
section
turns
problem
finding
the
bias
ofof
linear
approximation
This
section
turns
toproblem
the
problem
offinding
finding
the
bias
alinear
linear
approximation
1.3. Линейные следы и лемма о набегании знаков 19
1.3. Линейные следы и лемма о набегании знаков
В этом разделе мы займемся задачей о нахождении смещения линейной аппроксимации композиции функций F = Fr ∘…∘ F1 в случае, когда известны только смещения линейных аппроксимаций функций F1, …, Fr. Этот вопрос относится прежде всего к анализу итеративных шифров.
Пусть z1 – равномерно распределенная случайная величина и zi+1 = Fi(zi)
“9781009607865book” — 2025/12/2 — 14:12 — page 8 — #20
для i = 1, …, r. Чтобы найти смещение ϵu1,ur +1 линейной аппроксимации (u1, ur+1)
функции “9781009607865book”
F, рассмотрим последовательные
аппроксимации
функ— 2025/12/2 —линейные
14:12 — page
8 — #20
ций F1, …, Fr такие, что выходная маска каждой аппроксимации равна входной маске“9781009607865book”
следующей. Последовательность
, …, u 8) —
называется
ли— 2025/12/2 —масок
14:12 (u—
#20
1 page r+1
8 следом. Чтобы найти ϵ
Introduction
нейным
,
определим
случайные
величины
x
,
…,
xr
u1,ur +1
1
следующим
образом:
8
Introduction
8
r
2 2
3 3
x1 = u1 z1 + u2 z2
Introduction
xx21 =
= uu21 zz21 +
+ uu32 zz32
x2 ...= u2 z2 + u3 z3
x1 = u1 z1 + u2 z2
..
zr+1
xxr =
.= uur zzr +
+ uur+1
z
2
xr =
+ uu r+1zzr+1
.. uu 1r zz1r +
r+1 .
r+1
i=1 xr =
.
r
z1 +is
equal
The bias of x , i.e., Pr[x =1xxr0]=
the linear
zr+1to. the bias ofаппроксимации
=−uu1r1/2,
zrсмещению
+u
ur+1
Смещение xi, т. iе. Pr[xi = 0]ii=1
– ⁄2r, равно
r+1 zr+1 линейной
r
approximation (ui ,ui+1 ) of Fi . In general, the bias
of i=1 xi cannot be
r
(ui, ui+1)The
функции
общем
смещение
∑i=1
xi невозможно
bias of Fxii. ,Вi.e.,
Pr[x
= 0] −
to
the bias of theопределить,
linear
irслучае
1/2, is equal
rif x1, . . . ,xr are
,
.
.
.
,x
alone.
However,
determined
from
the
biases
of
x
x
=
u
z
+
u
z
.
1
r
r
1
r+1
1 x , …,
r+1
i=1F . In
зная смещения
x1, (u
…,
x
.
Однако
если
x
независимы,
то
его
approximation
,u
)
of
general,
the
bias
of
x
cannot
beможно
i i+1
i
r
1
r
i=1 i
independent,
then
it can
be computed
using
theequal
piling-up
lemma.
вычислить,
воспользовавшись
леммой
о
набегании
знаков.
The
bias
of
x
,
i.e.,
Pr[x
=
0]
−
1/2,
is
to
the
bias
of
the
linear
determined from
the biases
i
i of x1, . . . ,xr alone. However, if x1, . . . ,xr are
r
Lemma
1.2 (Piling-up
x1, . .the
. ,x
random
variables on F2
r be
approximation
(uiit,ucan
)beofcomputed
Fi . InLetgeneral,
the
bias
of lemma.
independent,
then
using
piling-up
i+1lemma)
i=1 xi cannot be
Лемма
1.2
(о
набегании
знаков).
Пусть
x
,
…,
x
–
случайные
величины
на 𝔽2 со
with
biases
�
,
.
.
.
,�
.
If
x
,
.
.
.
,x
are
independent,
then
the
bias
r However, if x1�, .of
1
1 of xr1, . . . ,x1r alone.
determined
from
ther biases
. .the
,xon
are
rsum
Lemma
1.2
(Piling-up
lemma)
Let x1, . . . ,xто
random variables
F+2 … +
r beсмещение
смещениями
ϵ
,
…,
ϵ
.
Если
x
,
…
,
x
независимы,
ϵ
суммы
x
xr
xindependent,
isr it can 1be computed
r
1
1 + · · · 1+ xr then
using the piling-up
lemma.
then the
bias � of the sum
равно with biases �1, . . . ,�r . If x1, . . . ,xr are independent,
r
1.2xr(Piling-up
lemma) Let
x
, . . . ,x be random variables on F2
xLemma
is
1 + ··· +
� = 2r−1 1 �i . r
r
with biases �1, . . . ,�r . If x1, . . . ,xr are independent,
then the bias � of the sum
i=1
�i .
� = 2r−1
x1 + · · · + xr is
Proof Consider the case r = 2. The bias i=1
ofr x1 + x2 satisfies
r−1
= 2bias of x�1i .1+ x2 satisfies 1
1 case r =12.�The
Proof 1Consider
the
+
�
=
+
�
+
�
+
1
−
−
�
1
−
−
�
1
2
1
2
Доказательство. Рассмотрим
случай r = 2. i=1
Смещение x
со 2
1 + x22 удовлетворяет
.
21
21
21
1
1
отношению + � =
�1 r =
�2 bias
+
1−
1 − − �for
.
2 general
Proof Consider
the +
case
2.+above
The
of
x�1 =
+−
x �1satisfies
Working
right-hand
side
yields
2 out the
2
2 2�2 1 � 2 . The result
2
2
r follows
by recursively
applying
= 2 case.
1 out
1
1 the r yields
1
1
Working
+ � the
= right-hand
+ �1 side+above
�2 + 1 −� =−2��11�2 . The
1 −result
− �for
.
2 .general
2 by
2 the
2
r follows
recursively
applying
the random
r = 2 case.
In the
case
of 2a linear
trail,
variables
x , . . .2,x are clearly
1
r
Working
out the right-hand
sidethe
above
yields �lemma
= 2�1 �is2 .used
The result
for general
not
independent.
Nevertheless,
piling-up
as a heuristic
Раскрывая
правой
части,
получаем
ϵ = 2ϵ
вtoобщем
In the скобки
case of aв linear
trail,
the random
variables
x11,ϵ.2.. .Результат
,xr are clearly
r followsthe
bybias
recursively
applying
the r = 2over
case.a composition
estimate
of
a
linear
approximation
of
functions:
случаеnot
получается
рекурсивным
формулы
2.
□
independent.
Nevertheless,применением
the piling-up lemma
is usedдля
as ra =heuristic
to
r
In линейного
thethe
case
trail,
the r−1
random
variables
x1,x. .,.очевидно,
,x
are clearly
estimate
biasofofaследа
alinear
linearслучайные
approximation
over
a composition
of rfunctions:
не являВ случае
величины
x1, …,
r
≈ 2piling-up
�ulemma
�u1,ur+1the
i ,ui+1 . is used as a heuristic to
not
independent.
Nevertheless,
r
ются независимыми. Тем не менее лемма
о
набегании
знаков
используется
r−1 i=1over a composition of functions:
estimate the
bias
of a linear
�ui ,ui+1
�u1approximation
как эвристика
для
оценки
смещения
аппроксимации
композиции
,ur+1 ≈ 2 линейной
.
Discussing
the
accuracy
of
this
heuristic
would
lead us too far at this point.
r
i=1
функций:
Instead, we defer this discussion
where the formalism of
≈ 2tor−1Chapter
�ui ,u2,
�u1this
,ur+1heuristic
Discussing the accuracy of
would
lead
i+1 . us too far at this point.
correlation matrices will allow us to settlei=1
the issue in a simple way.
Instead, we defer this discussion to Chapter 2, where the formalism of
Discussing
the
accuracy
of
would
lead
tooa far
at this effecpoint.
correlation
will
usheuristic
to settle cipher)
the issue
in
simple
way.
Example
1.3matrices
(Linear
trailallow
forthis
the
example
Toaus
find
nontrivial
r follows by recursively applying the r = 2 case.
20
In the case of a linear trail, the random variables x1, . . . ,xr are clearly
not independent. Nevertheless, the piling-up lemma is used as a heuristic to
Введение
estimate the bias of a linear approximation over a composition of functions:
�u1,ur+1 ≈ 2r−1
r
�ui ,ui+1..
i=1
Discussing the accuracy of this heuristic would lead us too far at this point.
Обсуждение
точности
этой
эвристики
прямо сейчас
бы нас слишком
Instead, we
defer this
discussion
to Chapter
2, whereзавело
the formalism
of
далеко.
Поэтому
мы
отложим
его
до
главы
2,
где
формализм
корреляционных
correlation matrices will allow us to settle the issue in a simple way.
матриц позволит решить этот вопрос просто.
Example 1.3 (Linear trail for—
the2025/12/2
example cipher)
To—
findpage
a nontrivial
effec— 14:12
9Чтобы
— #21
Пример 1.3.“9781009607865book”
(Линейный след для демонстрационного
шифра.)
найти неtive
approximation
over
three
rounds
of
the
example
cipher
from
Section
1.1,
тривиальную эффективную аппроксимацию для трех раундов демонстрациone
can
combine
three
effective
one-round
approximations.
онного шифра из раздела 1.1, можно скомбинировать три эффективные одноDenote
by a the (uniform random) input of the cipher, and by b, c and d the
раундовые
аппроксимации.
inputs of the first, second and
rounds. aFinally,
1.4third
Recovering
key let e be the output of the9
Обозначим a (случайный равномерно распределенный) вход шифра, а b, c
third round. Using the LAT of S (in Example 1.2) and our earlier observations
и d – входы первого, второго и третьего раундов. Наконец, пусть e – выход треon additions with a constant and bit permutations, one can verify that
тьего раунда. Воспользовавшись
LAT S (из
примера 1.2) и нашими
предыдущи1
− 14 случаев сложения
− 14 с константой и−перестановки
4
ми наблюдениями для
битов,
можно проверить, что
Property of SCambridge University
S Press do not share
S or copy
− 14
− 14
− 14
S
S
S
S
S
S
S
S
S
S
S
S
S Figure 1.2 The linear Strail from Example 1.3. S
1
k0 ,
a0 + 1.2.
b0 =Линейный
0 with bias
�0 из
= примера
Рис.
след
2 (−1) 1.3
k10
c10=со0 смещением
with bias �1 =ϵ −=14 (−1)
a0b+0 b+0 =
½ (−1),k0,
0
k22 ,k10,
b0 c+1 c+1 =d40 =
со0смещением
(−1)
with bias �2 =ϵ1−= 14–¼
(−1)
k22
c1 + d4 = 0 со смещением ϵ2 = 1–¼ (−1)
,
d + e = 0 with bias �3 = − 4 (−1)k31 k.31
d1 +4e4 = 40 со смещением
ϵ3 = –¼ (−1) .
The соответствующие
masks corresponding этому
to the above
trailпоказаны
are illustrated
Figure
this
Маски,
следу,
на in
рис.
1.2,1.2.
гдеInжирными
figure,
thick
lines
indicate
nonzero
bits
of
the
masks.
For
example,
the
mask
at трелиниями обозначены ненулевые биты масок. Например, маска на входе
the
input
of
the
third
round
is
000010000.
тьего раунда равна 000010000.
y =
x
Heuristically,
by the
piling-up
lemma andзнаков
the identity
(−1)x (−1)
Эвристически,
в силу
леммы
о набегании
и тождества
(−1)
(−1)y =
x+y
x+y
, the аппроксимация
linear approximation
(000000001,000010000)
or equivalently
(−1) , (−1)
линейная
(000000001,
000010000),– или
эквивалентно
a0 + e4 a=00,+имеет
e4 = 0 смещение
– has bias
1
..
16
As an exercise, try to find at least one other trail with the same input and output
masks and
show that theпопробуйте
absolute valueнайти
of its bias
smaller
1/16.
В качестве
упражнения
ещеisхотя
бы than
один
следSince
с такими
different trails
yield different
results, Lemma
1.2 should
be used forвеличина
the
же входными
и выходными
масками
и покажите,
чтоonly
абсолютная
trail that results in the highest bias. However, as shown in Chapter 2, even in
this case there is no guarantee that the results are accurate.
�
� ≈ (−1)k0 +k10 +k22 +k31 +1
1.4. Восстановление ключа 21
его смещения меньше 1⁄16. Так как разные следы дают разные результаты, лемму 1.2 следует использовать только для следа, который имеет наибольшее смещение. Однако, как показано в главе 2, даже в этом случае нет гарантии, что
“9781009607865book”
— 2025/12/2 — 14:12 — page 10 — #22
результаты
точны.
⊳
“9781009607865book” — 2025/12/2 — 14:12 — page 10 — #22
1.4. Восстановление ключа
Эффективную
линейную аппроксимацию
блочного шифра можно исполь10
Introduction
зовать10
для организации атаки с восстановлением
ключа. Есть два основных
Introduction
способа сделать это: «алгоритм Мацуи 1» и «алгоритм Мацуи 2», названные
в честь автора.
The shared principle behind both methods is that they rely on estimating
The
principle
behind
both
methods
is that
theyofrely
onThis
estimating
Оба the
метода
на
оценку
смещения
линейной
аппроксимации
по
bias shared
ofполагаются
a linear
approximation
using
a random
sample
data.
is why
the
bias
of
a
linear
approximation
using
a
random
sample
of
data.
This
is
why
случайной
выборке
данных.
Именно
поэтому
линейный
криптоанализ
часто
linear cryptanalysis is often referred to as a statistical attack.
называют
атакой.
linearстатистической
cryptanalysis is often
referred to as a statistical attack.
Matsui’sМацуи
Algorithm
1.4.1.1.4.1
Алгоритм
11
1.4.1 Matsui’s Algorithm 1
Алгоритм
Мацуи
1 восстанавливает
информации
о the
расширенном
Matsui’s
Algorithm
1 recovers one 1bitбит
of information
about
expanded keyключе
21. one bit of information about the expanded key
Matsui’s
Algorithm cipher.
1ключа
recovers
шифраof
с aчередованием
key-alternating
…∘ R
of aConsider
key-alternating
cipher.
Рассмотрим
блочный
шифр2 с block
чередованием
где=Rk (x) =
a key-alternating
cipher Ek =ключа
Rkr ◦ · E
· ·k ◦= RRkk1r ∘with
Rk1i ,(x)
i
R(x) + kR(x)
,i иConsider
обозначим
ϵ
смещение
линейной
аппроксимации
(u
,
ui+1=
))функa
key-alternating
block
cipher
E
=
R
◦
·
·
·
◦
R
with
R
(x)
i+1
k
k
k
k
+ki , and let �uui ,u
(uii,u
r approximation
i i+1
1
i,u i+1 denote the bias of the linear
ции R.of
Тогда
смещение
аппроксимации
(uapproximation
, u )then
функции
Rki+1
равно
R(x)+k
and let
�uiлинейной
the bias of(u
the
(ui ,u
)
i , bias
,u
i Rki+1
R. The
of the
linear
approximation
equals
i+1 denote
i ,ulinear
i+1 ) of
i
i
of R. The bias of the linear approximation
(u
,u
)
of
R
then
equals
i i+1
ki
ki
(−1)ui+1
�ui ,ui+1..
(−1)ui+1 ki �ui ,ui+1 .
In Section 1.3, the bias of a linear approximation was estimated using a linear
В разделе
1.3 смещение
линейной
аппроксимации
оценивалось
помощью
In Section
the bias of
a linear approximation
was estimated
using aсlinear
trail.
Let (u1.3,
.
1, . . . ,ur+1 ) be a linear trail for the composition Ek = Rkr ◦· · ·◦Rk1 …
линейного
следа.
Пусть
(u
,
…,
u
)
–
линейный
след
композиции
E
=
R
∘ . ∘ Rk1.
r+1 to this
k
k
trail. Let (uthe
. . ,ur+11) be
a linear
trail trail
for the
composition
Ek = Rkestimate
1, .piling-up
Applying
lemma
leads
to the following
r ◦· · ·◦Rrkof
1
Применив
лемму оpiling-up
набегании
знаков
к этому
следу, мы получим следующую
Applying
lemma
the
bias ofthe
the approximation
(uto,uthis trail
): leads to the following estimate of
оценку смещения аппроксимации1 (ur+1
,
u
):
1
r+1
):
the bias of the approximation
(u1,ur+1
r
r
ui+1 ki
r−1 r
r−1
z r
�u1,ur+1 ≈ 2
(−1)
�
=
2
(−1)
�ui ,ui+1 .
ui ,ui+1
�u1,ur+1 ≈ 2r−1 i=1 (−1)ui+1 ki �ui ,ui+1 = 2r−1 (−1)z i=1 �ui ,ui+1 ..
i=1
i=1
On the right, z is equal to ri=1 ui+1 ki . This will be the bit of information that
r
On the right,
z is equal
to i=1about
ui+1 kthe
willkey.
be the
bit of that
information
thata
i . This
Matsui’s
Algorithm
1 recovers
secret
Observe
this is not
r
T
В правой
части
z
равно
∑
u
k
.
Это
будет
тот
бит
информации
о
секретном
i=1
i+1
i
Matsui’s
recovers
secret
key.
Observe
that thisin
is some
not a
bit
of the Algorithm
key in the 1strict
senseabout
of thethe
word;
it is
a linear
expression
ключе, который восстанавливает алгоритм Мацуи 1. Заметим, что это не бит
bit of
the
key
in the key.
strict sense of the word; it is a linear expression in some
bits
of
the
expanded
ключа в строгом смысле слова, а линейное выражение от нескольких битов
bitsProvided
of the expanded
that thekey.
approximative nature of the equation does not switch
расширенного
ключа.
r
Provided
that
approximative
equation
does�unot
switch
the sign, z can
bethe
computed
from thenature
sign ofof the
�ui ,ui+1 and
1,ur+1 . The
i=1
rуравнения
При the
условии,
что
аппроксимативная
природа
не� изменяет
sign,
z
can
be
computed
from
the
sign
of
�
and
Theзнака,
u1,u
former can be determined from the theoretical analysis
The
i+1the trail.
r+1 .most
i=1 ui ,uof
r
z можно
вычислить
по
ϵu ,uthe иtheoretical
ϵufrom
. Первый
можно
с помоformer
can beofdetermined
from
analysis
of the определить
trail. The most
i=1obtained
likely
value
theзнаку
latter∏is
i i+1
1,ur+1 the empirical bias of the linear
likely value of (u
the
isThe
obtained
frombias
theisempirical
bias
ofвторого
linear
щью теоретического
анализа
Наиболее
вероятное
значение
получаempirical
estimated
using
atherandom
approximation
1,ulatter
r+1 ).следа.
,u
).
The
empirical
bias
is
estimated
using
a
random
approximation
(u
ется изsample
эмпирического
смещения
линейной
аппроксимации
(u
,
u
).
Эмпирическое
1 r+1
of plaintext-ciphertext
pairs.
1
r+1
смещение
оценивает
поsample
случайной
выборке пар (открытый
текст,
шифртекст).
sample
ofaplaintext-ciphertext
Given
random
of qpairs.
plaintext-ciphertext
pairs (xi ,y
i ), the empirical
random
sample of q plaintext-ciphertext
pairs (xi ,yi ), the empirical
biasGiven
of thea linear
approximation
(u1,ur+1 ) is
,u
)
is
bias
of
the
linear
approximation
(u
1
1
r+1
ограничимся
Алгоритм 1 имеет более широкое
применение,
но мы здесь
только слу
1
1
ключа.
= 1 1 ≤ i ≤ q u1 xi = ur+1 yi − 1 .
чаем с чередованием
= q 1 ≤ i ≤ q u1 xi = ur+1 yi − 2 .
q
2
The average of
is �u1,ur+1 . For independent samples, the variance of the
The average
of
the
is �approximation
samples,
the Indeed,
variancefor
of one
the
u1,ur+1 . For independent
number
of times
holds is close
to q/4.
the sign, z can be computed from the sign of i=1 �ui ,ui+1 and �u1,ur+1 . The
former can be determined from the theoretical analysis of the trail. The most
likely value of the latter is obtained from the empirical bias of the linear
22 approximation
Введение (u1,ur+1 ). The empirical bias is estimated using a random
sample of plaintext-ciphertext pairs.
Given a random
sampleqofпар
q plaintext-ciphertext
pairs
(xi ,yi ), the (x
empirical
Имея случайную
выборку
(открытый текст,
шифртекст)
, yi), мы выi
“9781009607865book”
—
2025/12/2
—
14:12
—
page
11
—
bias
of the linear approximation
(u1,ur+1 ) isаппроксимации (u1, ur+1)#23
числяем
эмпирическое
смещение линейной
по формуле
1
1
= 1 ≤ i ≤ q u1 xi = ur+1 yi − ..
q
2
1.4. For
Recovering
a key samples, the variance of the
11
The average
of
ϵ is �u. 1Для
independent
,ur+1
^ϵ равно
Среднее
независимых
выборок дисперсия количества
u1,ur +1
number
times the approximation
is close
to q/4.
Indeed,
for one
случаев,
когдаof аппроксимация
имеетholds
место,
близка
к q/4.
Действительно,
11/2 − �) ≈ 11/4. Hence,
1 the standard
sample,
the
variance
is
(1/2
+
�)(1
−
для одной выборки дисперсия равна ( ⁄2 + ϵ)(1 − ⁄2 − ϵ) ≈ ⁄4. Следовательно,
Масса вероятности
Probability mass
стандартное
отклонение ϵ приближенно равно 1 / 4 q. Отсюда следует, что для
0.10
2 Algorithm
1 is more widely applicable, but we only discuss the key-alternating case here.
определения знака ϵu1,ur +1 с высокой степенью достоверности требуется число
образцов q такое, что
0.05
Property
of Cambridge University Press do not share or copy
0.10
0
0.05
1
− 16
0
1
16
Empirical bias (26 samples with fixed key)
0
Figure 1.3 Histogram of the empirical bias for 1000 experiments.
1
− 16
0
1
16
√ (26 отборов с фиксированным ключом)
Эмпирическое смещение
deviation of
is approximately 1/ 4q. It follows that determining the sign of
�u1Рис.
withГистограмма
high confidence
requires a number
of для
samples
such that
эмпирического
смещения
1000qэкспериментов
,ur+1 1.3.
1
√ � |�u1,ur+1 |..
4q
Таким образом, для алгоритма Мацуи 1 требуется 2q ≫ 1/(2ϵu1,ur +1)2 образцов.
That is, Matsui’s Algorithm 1 needs q � 1/(2�u1,ur+1 ) samples.
Пример 1.4 (алгоритм Мацуи 1 для демонстрационного шифра). Рассмотрим
Example 1.4 (Matsui’s Algorithm 1 for the example cipher) Consider the
линейную аппроксимацию из примера 1.3. С помощью линейного следа
linear approximation
fromкак
Example
its
z
мы оценили
его смещение
−1⁄16 ·1.3.
(−1)Using
, гдеazlinear
= k0 trail,
+ k10 we
+ kestimated
+ k31. Поэтому
22
z
with
z = k0 + kдля
k22 + k31 . Based
on the above,
bias as −1/16
· (−1)
10 +определения
64-х образцов
должно
быть
достаточно
z. Чтобы
проверить,
64
samples
should
be
enough
to
determine
z.
To
test
how
well
насколько хорошо работает эта атака, мы выполнили ее 1000 the
раз attack
(с ключом
010000000
000000000
works,
we run it 1000
times (with
key 000000001
000000001
010000000
000000000
000000000)
и вычислили
эмпирическое
смеще000000000) and
record the empirical
bias.
histogram
ние. Гистограмма
результатов
показана
наAрис.
1.3. of the results is shown
in Figure 1.3.
Среднее эмпирическое смещение для 1000 экспериментов оказалось чуть
average
empirical bias– over
the 1000 experiments
slightly
smaller
меньше 1The
⁄16. Это
не совпадение
из результатов
главы 2 was
следует,
что
в действиthan
1/16.
This
is
not
a
coincidence
–
the
results
in
Chapter
2
imply
that
the 3⁄64.
тельности для использованного в эксперименте ключа смещение равно
bias
is
actually
3/64
for
the
key
used
in
the
experiment.
Simply
taking
the
sign
Простое взятие знака эмпирической корреляции, скорее всего, даст z = 0 (праof the
empirical correlation is most likely to yield z = 0 (the correct value). �
вильное
значение).
⊳
Linearкриптоанализ
cryptanalysis isобычно
usually called
a known-plaintext
but observe
Линейный
называется
атакой с attack,
известным
открытым
текстом,
но
заметим,
что
для
применения
алгоритма
Мацуи
1
полные
открытые
that full plaintexts and ciphertexts are not needed to apply Matsui’s Algorithm
T
T
x
и
u
y
.
В
упражнении
1.6 вам
и шифртексты
не
нужны,
достаточно
значений
u
1: The values of u1 xi and ur+1 yi suffice. In Exercise
i are asked to show
1 i 1.6,
r+1you
that this observation can be used to extend Matsui’s Algorithm 1 to the case
where only an estimate for Prxi [u1 xi = 0] is known (in addition to ur+1 F(x)).
This observation is also used in Matsui’s Algorithm 2, which is described in
“9781009607865book” — 2025/12/2 — 14:12 — page 12 — #24
1.4. Восстановление ключа 23
будет предложено доказать, что это наблюдение позволяет обобщить алгоритм
Introduction
Мацуи 12
1 на случай, когда известна только
оценка Prx [uT1xi = 0] (помимо uTr+1F(x)). Это
i
наблюдение используется также в алгоритме Мацуи 2, описанном в разделе 1.4.2.
гипотетическая
часть
guess part of
k 1 k1
Rk1
R k1
guess part of kr
гипотетическая часть kr
Rk2
...
...
R k2
Rkr−1
R kr − 1
Rkr
R kr
inner part
внутренняя часть
Figure 1.4 Partition of an iterated cipher into an inner and outer part.
Рис. 1.4. Разбиение итеративного шифра на внутреннюю и внешнюю части
Matsui’sМацуи
Algorithm
1.4.2.1.4.2
Алгоритм
22
Matsui’s
Algorithm
2 divides
the block
cipher
intoчасти,
two parts,
as illustrated
Алгоритм
Мацуи
2 разбивает
блочный
шифр
на две
как показано
на in
рис. 1.4.
Figure 1.4:
Внешняя часть, где большие части раундовых ключей восстанавливаются пуouter part, where large parts of the round keys are recovered by
тем The
угадывания.
guessing.
Внутренняя
часть,
линейная
аппроксимация
применяется
для фильтраThe inner
part, где
where
a linear approximation
is used
to filter the round
key
ции гипотез о раундовых ключах, сделанных во внешней части, и где для
guesses made in the outer part, and where Matsui’s Algorithm 1 can be
восстановления линейного выражения от некоторых битов расширенного
applied to recover a linear expression in some bits of the expanded key.
ключа можно использовать алгоритм Мацуи 1.
For simplicity, we describe the algorithm for the case where the outer part
Для простоты мы опишем алгоритм для случая, когда внешняя часть состоит
consists of the last round only. More generally, it is possible to include multiple
только из последнего раунда. В общем случае можно включить несколько раrounds at the beginning or end of the cipher, as long as not too many key bits
ундов в начало или конец шифра при условии, что требуется угадать не слишhave to
be guessed.
ком много
битов
ключа.
◦G
If
the
inner G
partвнутреннюю
is denoted by часть,
Gk , then
k , and hence
Если обозначить
тоEEkk ==RRk k°r G
, откуда
Gk = RG-1kk °=Ek. Для
k
k
−1
r
r
R
◦
E
.
For
a
linear
approximation
(u
,u
)
of
G
,
the
empirical
correlation
k
1 rG эмпирическая
k
линейной
(u1, ur) функции
корреляцияisравна
kr аппроксимации
k
1
1
.
= 1 ≤ i ≤ q u1 xi = ur R−1
kr (yi ) − .
q
2
Since kr kisr unknown
priori, we cannot
ur R−1
(y) from y. However,
Поскольку
заранее aнеизвестно,
мыdetermine
не можем
uTr R−1k (y) по y.
kопределить
r
r
typical function
Rkr hasRthe
property that
some masksчто
ur , для
a small
number маОднакоa типичная
функция
обладает
темfor
свойством,
некоторых
kr
−1
of bits
of the rounduTrkey
kr are
to compute
ur небольшое
Rkr (y) fromчисло
y.
сок ur для
вычисления
R−1k (y)
по required
y необходимо
лишь
битов раr
ундовогоMatsui’s
ключа kAlgorithm
.
2 proceeds by estimating the empirical bias for every
r
Далее
Мацуи
2 оценивает
эмпирическое
смещение
дляIt каждой
keyалгоритм
guess, using
the same
random sample
of plaintext-ciphertext
pairs.
is
гипотезы
о
ключе,
используя
одну
и
ту
же
случайную
выборку
пар
assumed that for a wrong key guess, the empirical bias is close to zero –(открытый
or at
текст, шифртекст).
Предполагается,
что
дляvalue
неверной
гипотезы
эмпирическое
least much closer
to zero than for the
right
of the key.
This assumption
is
смещение
близко
к
нулю
–
или
по
крайней
мере
гораздо
ближе
к
нулю,
чем
often used in practice, although there are cases where a number of “equivalent” для
истинного значения ключа. Это предположение часто применяется на практиkey guesses result in comparable empirical biases.
ке, хотя есть случаи, когда ряд «эквивалентных» гипотез о ключе дают сравниMatsui’s Algorithm 2 outputs those key guesses for which the correspondмые эмпирические смещения.
ing
empirical
is furthest
from zero. These
remaining
guesses эмпириare
Алгоритм
Мацуиbias
2 выводит
теaway
гипотетические
ключи,
для которых
called
candidate
keys.
Hence,
Matsui’s
Algorithm
2
yields
more
information
ческое смещение дальше всего отстоит от нуля. Остальные гипотезы называabout the secret key than Matsui’s Algorithm 1.
Property of Cambridge University Press do not share or copy
24
Введение
ются ключами-кандидатами. Таким образом, алгоритм Мацуи 2 дает больше
информации о секретном ключе, чем алгоритм Мацуи 1.
Определение частоты успехов алгоритма Мацуи 2 прямо сейчас завело бы
нас слишком далеко в сторону. Пока просто констатируем, что, как и в случае алгоритма Мацуи 1, объем данных, необходимый для достижения высокой
частоты успехов, пропорционален 1/ϵu2 ,u . В общем случае ϵu ,u ≥ ϵu2 ,u . Поэто1 r
1 r
1 r+1
му алгоритму Мацуи 2 может понадобиться меньше данных, чем алгоритму
Мацуи 1. Однако частота успехов алгоритма Мацуи 2 зависит также от числа K значений ключа, которые считаются возможными априори, и от числа
значений-кандидатов, возвращаемых в качестве выходов. Более детальный
анализ приведен в главе 4.
При наивной реализации на qK вычислений y ↦ uTr R−1k (y) тратится преобладаr
ющая часть времени работы алгоритма Мацуи 2. Далее и, в частности, в главе 5
обсуждаются более быстрые способы вычисления эмпирических смещений.
1.5. Оставшиеся проблемы
В конце первой главы уместно будет упомянуть некоторые проблемы, которые
мы до сих пор игнорировали. Сейчас вы уже знакомы с основной идеей линейного криптоанализа. Однако если бы вам пришлось применить полученные
знания к атаке на реальные блочные шифры – или даже на демонстрационный
шифр из раздела 1.1, – то вы, скорее всего, столкнулись бы с трудностями.
В разделе 1.3 мы использовали лемму о набегании знаков для оценки смещения линейной аппроксимации композиции функций. Понимание точности
этой оценки составляет важную часть главы 2.
Другой вопрос – как найти линейные аппроксимации и линейные следы
шифра с наибольшим (по абсолютной величине) смещением. Эта проблема
обсуждается в главе 3.
Наконец, в нашем обсуждении атак с восстановлением ключа в разделе 1.4
игнорируются такие важные аспекты, как вероятность успеха описанных методов. Важно хорошо понимать, сколько данных потребуется для восстановления ключа. Этот вопрос подробно обсуждается в главе 4.
1.6. Историческая справка
Линейные аппроксимации и их смещение тесно связаны с другими концепциями, которые уже использовались ранее для анализа булевых функций,
например с преобразованием Уолша–Адамара и минимальным расстоянием
Хэмминга до аффинной функции. В упражнении 1 исследуется эта последняя
идея. Несмотря на то что эти концепции изучались в контексте криптоанализа, ключевые составные части линейного криптоанализа отсутствовали.
Впервые линейные аппроксимации применили в криптоанализе Анна Тарди-Корфдир и Анри Жильбер в 1991 году. Они использовали линейные аппроксимации частей блочного шифра FEAL для организации атаки с восстановлением ключа. Термины «линейный криптоанализ» и «лемма о набегании
значений» ввел Мацуи в 1993 году. Он использовал линейный криптоанализ
для атаки на блочный шифр Data Encryption Standard (DES).
1.8. Упражнения 25
1.7. Литература
Matsui, Mitsuru (May 1994a). «Linear Cryptanalysis Method for DES Cipher». In: EUROCRYPT’93. Ed. by Tor Helleseth. Vol. 765. LNCS. Springer, Berlin, Heidelberg,
pp. 386–397. doi: 10.1007/3-540-48285-7_33.
Matsui, Mitsuru (Aug. 1994b). «The First Experimental Cryptanalysis of the Data Encryption Standard». In: CRYPTO’94. Ed. by Yvo Desmedt. Vol. 839. LNCS. Springer,
Berlin, Heidelberg, pp. 1–11. doi: 10.1007/3-540-48658-5_1.
Tardy-Corfdir, Anne and Henri Gilbert (Aug. 1992). «A Known Plaintext Attack
of FEAL-4 and FEAL-6». In: CRYPTO’91. Ed. by Joan Feigenbaum. Vol. 576. LNCS.
Springer, Berlin, Heidelberg, pp. 172–181. doi: 10.1007/3-540-46766-1_12.
1.8. Упражнения
Упражнение 1.1
Пусть F(x) = k2 + S(k1 + x), где k1, k2 – ключи, а S – S-блок, показанный в табл. 1.1.
1. Найдите нетривиальную линейную аппроксимацию F.
2. Примените алгоритм Мацуи 1 для восстановления одного бита ключа.
Таблица 1.1. 4-битовый S-блок S, значения записаны в шестнадцатеричном виде
(например, e = 1110)
0
1
2
3
4
5
6
7
8
9
a
b
c
d
e
f
8
2
4
0
f
5
7
c
a
6
b
3
e
d
9
1
Упражнение 1.2
Функция f : 𝔽2n → 𝔽2 называется линейной, если f(00 … 0) = 0 и f(x + y) = f(x) + f(y)
для всех x, y ∈ 𝔽2n.
Для любого u ∈ 𝔽2n обозначим ℓu : 𝔽2n → 𝔽2 линейную функцию, определенную
как ℓu(x) = uTx.
1. Покажите, что для любой линейной функции f : 𝔽2n → 𝔽2 существует маска
u ∈ 𝔽2n такая, что f = ℓu.
2. Постройте таблицы истинности всех 3-битовых линейных функций 𝔽23 → 𝔽2.
Упражнение 1.3
Еще до появления линейного криптоанализа было известно, что S-блок S5 :
𝔽26 → 𝔽24 шифра DES (см. табл. 1.2) обладает специальным «линейным свойством».
1. Вычислите LAT блока S5.
2. Что такое специальное линейное свойство?
1. Compute
the LAT
of S5of
. S5 .
1. Compute
the LAT
2. What is the special linear property?
2. What
is theisspecial
linearlinear
property?
2. What
the special
property?
Table 1.2. Hexadecimal lookup table representation of the DES S-box S5
Table
Введение
1.2. 1.2.
Hexadecimal
lookup
tabletable
representation
of theofDES
S-boxS-box
S5 S5
Table
Hexadecimal
lookup
representation
the DES
26
2 e1.2.cШестнадцатеричное
b 4 2 1 cтабличное
7 4 представление
a 7 b dS-блока
6 1S шифра
···
Таблица
DES
2 e c b 4 2 1 c 7 4 a 7 b d 6 1 5 ···
2
8
4
f
8
8
4
4
fe
f5
b
6
2
5 e
5
5
8
b 5
2
b
2
4
6c b
9 b
65 6
9 0
f
2
9
8
f
c
0 b
3
0
3
5
8 0
1
8
1
2
f 48
c
f 3f
c
9
1
c
2n
Упражнение
Let F : Fnn2 →n1.4
F2n
2
4
f
f
3
c
21
c
0
0
fc
2
f
f
b
1c
b
5
5
f0
1
a
a
f
7
7
b
9c
9a
5
c
d
d
a
a
a
7
67
6d
9
7
3
3
d
1
1
a
a4
a3
6
c
0
b
5
7
9
a
6
1
a
4
0 a
9
0
9
3
d 0
e
d
e
1
3a d
4 7
30 3
4 9
a
d
3
Exercise 1.4
Exercise
1.4 1.4
Exercise
e
4
7
e b
8
e
8
9
7 e
2
7
2
e
0 b7
5
0 e0
5
4
7
0
d
9
9
8
8
d2
8
e
e
85
6
6
6
9
d
68
d
3
3
9e
1
··· ···
·· ·· ·· · · ·
6
·1· · · ·...
d
·
36
...
2
5
8
e
d
3
...
be2nthe n-bit forking operation defined by F(x) = x�x.
Let FLet
: FnF2 : →
F→
forking
operation
defined
by F(x)
= x�x.
F2 2n
F2 the
be n-bit
the n-bit
forking
operation
defined
by F(x)
= x�x.
2 ofbe
Compute
the
LAT
F.
Пусть F : 𝔽2 → 𝔽 2 – операция
n-битового разветвления, определенная как
Compute
the LAT
of F.of F.
Compute
the LAT
F(x) = x‖x. Вычислите LAT функции F.
Exercise 1.5
Exercise
1.5 1.5
Exercise
Упражнение
1.5
Define the Hamming distance between functions f : Fn → F2 and g : Fn →
2 n n
nFn and g : Fn
Define
the Hamming
distance
between
functions
f : Ffn22 :→
Define
the Hamming
distance
between
functions
→
F→ 𝔽
→ как
2→ F
Определим
функциями
fF:2𝔽(number
𝔽22 and
иofg ones)
:g2 𝔽:→
2
2 2
2
F2 as dHрасстояние
(f ,g) = wt(fХэмминга
+ g), withмежду
wt the Hamming
weight
F
as
d
(f
,g)
=
wt(f
+
g),
with
wt
the
Hamming
weight
(number
of
ones)
F
as
d
(f
,g)
=
wt(f
+
g),
with
wt
the
Hamming
weight
(number
of
ones)
dH(f, g)
g),
где
wt
–
вес
Хэмминга
(число
единиц)
таблицы
истинности
2 = wt(f
2H + H
of the truth table of f + g.
tabletable
of f of
+ fg. + g.
the truth
f + g. of theoftruth
1. The nonlinearity of a function nf : Fnn2 →nF2 is defined by
1. 1.Нелинейность
функции
: 𝔽2f→
как
The
of a function
: F𝔽f22 :определяется
→
by by
1. nonlinearity
The nonlinearity
of a ffunction
F2F→
2 isFdefined
2 is defined
N (f ) = minn dH (f , �u + a)..
N (fN
)=
dH (f
. a) .
(fu)min
d,H�(f
, �a)
∈=
F2 min
u+
u+
n
n
u
a∈
∈F
F2u ∈ F2
a ∈ F2a ∈ F2
n−1 − max
n−1 .
—∈
14:12
Prove that N (f ) = 2n−1
Fnn2 | f—
(x)page
= �u16
(x)}|
−#28
2n−1
“9781009607865book”
—n−1
2025/12/2
—
u∈Fn2 |{x
n
n |{xn ∈|{x
ProveProve
that что
N
(fN
)=
F2∈| F
f 2(x)
(x)}|
− 2 − 2.n−1 ..
that
(f 2) = 2− max
− max
| f=
(x)�u=
�u (x)}|
Докажите,
See Exercise 1.2 for the notationu∈F
�u .2 u∈F2
See Exercise
1.2 for
�u . � u . m
See Exercise
1.2the
fornotation
the notation
том,
что такоеof
ℓua, см.
упражнение
2.ОThe
nonlinearity
function
F : Fnn2 →n1.2.
Fm
as
2 is defined
m
2. The
of a function
Fn: FF
as as
2. nonlinearity
The nonlinearity
of a function
F2F→
2 :m→
2 isFdefined
2 is defined
2. Нелинейность функции F : 𝔽2 → 𝔽 2 определяется как
N (F) =Introduction
min
N (�v ◦ F) .
16
N (F)N=
min
N (�vN◦(�F)v ..◦ F) .
(F)
min
v ∈=
Fm
2 \{0}
m
m
v ∈ F2v\{0}
∈ F2 \{0}
Property
of Cambridge University Press do not share or copy
Докажите,
что
Prove
that of
Property
Cambridge
University
Press
do not
or copy
Property
of Cambridge
University
Press
do share
not share
or copy
N (F) = 2n−1 − maxn |LATFu,v |..
u ∈ F2
v ∈ Fm
2 \{0}
Упражнение 1.6
Exercise 1.6
1. 1.Обобщите
алгоритм
Мацуи
когда,
uTr+1F(x),
известна
Extend Matsui’s
Algorithm
1 1toна
theслучай,
case where
onlyпомимо
an estimate
for the
T
только
оценка
вероятности
Pr
[u
=
0].
x in
1 addition to u
probability Prx [u1 x = 0] is known
F(x).
2. Как бы вы использовали
это обобщение, еслиr+1
бы открытым текстом яв2.лялся
Howанглийский
would you use
thisв extension
if UTF-8?
the plaintext is UTF-8-encoded
текст
кодировке
English text?
Упражнение 1.7
Exercise 1.7
Покажите, что, тщательно выбирая входы, смещение линейной аппроксимаShow that byфункции
choosing inputs
carefully,
bias of aфункцию
linear approximation
of
ции обратимой
можно
найти, the
вычислив
только в половине
an invertible function can be computed by evaluating the function at only half
входов.
of the inputs.
2
22
Correlation matrices
matrices
Correlation
Correlation
matrices
Глава 2
Корреляционные матрицы
In Chapter 1, we estimated the correlations of linear approximations by finding
In Chapter 1, we estimated the correlations of linear approximations by finding
In
Chapter linear
1, we estimated
the correlations
of linearlemma
approximations
finding
a suitable
trail and applying
the piling-up
– but thisby
approach
linear trailкорреляции
and applyingлинейных
the piling-up
lemma – but thisс approach
В главеa 1suitable
мы оценивали
аппроксимаций
помощью поarelied
suitable
linear
trail
and
applying
the
piling-up
lemma
–
but
this
approach
on an unjustified
independence
assumption. This
chapter puts
the pilingиска подходящего
линейного
следа и применения
леммы
набегании
знаков,
relied on an unjustified
independence
assumption. This
chapterо puts
the pilingrelied
on an and
unjustified
independence
assumption.
This
chapter
puts theoretical
the pilingup
lemma
linear
cryptanalysis
in
general
on
a
more
solid
но этот
на ничем неinобоснованное
предположение
о незаupподход
lemma опирался
and linear cryptanalysis
general on a more
solid theoretical
up
lemma
and
linear
cryptanalysis
in
general
onзнаков
aofmore
solid
theoretical
foundation.
This
is achieved
by using
the theory
correlation
matrices.
висимости.
В
этой
главе
под
лемму
о
набегании
и
линейный
крипто
foundation. This is achieved by using the theory of correlation matrices.
This isthese
achieved
using
theory ofthecorrelation
matrices.
Daemen
proposed
matrices
in
1994the
to simplify
description
of linear
анализfoundation.
вообщеproposed
подводится
болееby
солидный
фундамент.
Daemen
these matrices
in 1994 to теоретический
simplify the description
of linearДостиDaemen
proposed
these
matrices
in
1994
to
simplify
the
description
of
linear эти
cryptanalysis.
гается cryptanalysis.
это с помощью теории корреляционных матриц. Дамен предложил
cryptanalysis.
матрицы в 1994 году, чтобы упростить описание линейного криптоанализа.
случайной
величины
на 𝔽
2.1. Корреляция
2.1 Correlation
Correlation
of aa random
random
variable
on
F2
2F
2.1
of
variable
on
2
Correlation
of a random
variable
on F2
Напомним (см. 2.1
главу
1), что смещение
линейной
аппроксимации
равно заRecall from Chapter 1 that the bias of a linear approximation is the probability
Recallвfrom
Chapter
1 that the
bias ofодна
a linear
approximation
is the probability
ключенной
ней
вероятности
минус
вторая.
На
протяжении
всей
главы 1
Recall
thathalf.
the bias
of a linearChapter
approximation
is the
probability
that it from
holds,Chapter
minus 1one
Throughout
1, and in
Section
1.3 in
и в разделе
1.3 в частности
термин
«смещение»
также
в более
that it holds,
minus one half.
Throughout
Chapterупотреблялся
1, and in Section
1.3 in
that
it holds,
minus
one half.
Throughout
Chapter
1, in
andrelation
in Section
1.3 in
particular,
the
term
“bias”
was also
used more
generally
to a random
общемparticular,
смысле the
по term
отношению
случайному
биту x, т.
случайной
величине
“bias” wasкalso
used more generally
in е.
relation
to a random
particular,
the
term
“bias”
was
also
used
more
generally
in
relation
to
a
random
bit x, i.e., a random variable
on F . Specifically, the bias of x is equal to
на 𝔽2. Точнее,
x равно
bit x, i.e.,смещение
a random variable
on F22. Specifically, the bias of x is equal to
bit x, i.e., a random variable on F2 . Specifically, the bias of x is equal to
1
� = Pr [x = 0] − 11 ..
�xx = Pr
x [x = 0] − 2 .
�x = Pr
x [x = 0] − 2 .
x
2
In this chapter, it will be shown that the correlation of x is a more natural
In this
chapter,
it показано,
will be shown
that
the correlation
of x is a more
natural
В этой
главе
будет
что
корреляция
x – величина,
с которой
In
this chapter,
will The
be shown
that of
thexcorrelation
of xits
is bias:
a more
natural рабоquantity
to workitwith.
correlation
is simply twice
quantity
to work with.
The correlation
of x is simply
twice
its bias: смещению:
тать более
естественно.
Корреляция
x
просто
равна
удвоенному
quantity to work with. The correlation of x is simply twice its bias:
c = 2� = 2 Pr [x = 0] − 1 .
cx = 2�x = 2 Pr
x [x = 0] − 1..
cxx = 2�xx = 2 Pr
x [x = 0] − 1 .
x
If EX denotes the average of a random variable X, then the correlation of a
If EX denotes the average of a random variable X, then the correlation of a
EXобозначает
denotes
thealso
average
ofслучайной
a random
variable
X, then
theкорреляцию
correlation ofслучайa
ЕслиIf
𝔼X
среднее
величины
X, то
random
bit x can
be written
as
random bit x can also be written as
ного бита
x можно
также
записать
в виде
random
bit x can
also be
written as
c = Pr [x = 0] − Pr [x = 1] = E (−1)xx ,
cxx = Pr
x [x = 0] − Pr
x [x = 1] = E (−1)x ,
cx = Pr
x [x = 0] − Pr
x [x = 1] = E (−1) ,,
x
x
since (−1)00 = 1 and (−1)11 = −1.
since (−1)
=
and 1(−1)
= −1.
1 =
поскольку
1 и11 (−1)
= −1.
since(−1)
(−1)0 0= =
and (−1)
−1.
Еще одним основанием предпочесть17корреляции смещениям служит то, что
17 Pressлеммы
Property
of Cambridge
University
do not share
or copy
они упрощают
формулировку
и доказательство
набегании
17 Press
Property
of Cambridge
University
do not оshare
or copyзнаков.
Property of Cambridge University Press do not share or copy
Лемма 2.1 (о набегании знаков с корреляциями). Пусть x1, x2, …, xr – случайные
величины на 𝔽2. Если x1, …, xr независимы, то корреляция суммы x1 + … + xr удовлетворяет соотношению
the statement
and proof oftothe
piling-up
lemma.
ad hoc and
motivation
prefer
correlations
theAn
statement
proof of the
piling-up
lemma.over biases is that they simplify
Lemma
2.1 and
(Piling-up
correlations)
the statement
proof ofwith
the piling-up
lemma.Let x1,x2, . . . ,xr be random
Lemma 2.1 (Piling-up with correlations) Let x1,x2, . . . ,xr be random
variables
on
F
.
If
x
,
.
.
.
,x
are
independent,
correlation
of the
sum
2
1
r
Lemma 2.1
with correlations) then
Let xthe
random
1,xcorrelation
2, . . . ,xr be
variables
on F(Piling-up
of the
sum
2 . If x1, . . . ,xr are independent, then the
28 xvariables
Корреляционные
матрицы
+
·
·
·
+
x
satisfies
1
r 2 . If x1, . . . ,xr are independent, then the correlation of the sum
x1 + · · · +onxrFsatisfies
r
x1 + · · · + xr satisfies
r
cx1 +···+xr =
cxi .
r c
cx1 +···+xr =
xi ..
i=1
cx1 +···+xr = i=1 cxi .
Proof If X and Y are independent randomi=1
variables, then EXY = (EX)(EY).
Proof If X and Y are independent random variables, then EXY = (EX)(EY).
Hence,
Доказательство.
и independent
Y – независимые
величины,
то 𝔼XY = (𝔼X)
Proof If X Если
and YXare
random случайные
variables, then
EXY = (EX)(EY).
Hence,
r
(𝔼Y). Отсюда
r
x1 +···+xr
Hence,c
= E i=1 (−1)xxii = ri=1 E (−1)xxii .
x +···+x = E (−1)
cx11 +···+xrr = E (−1)x1 +···+xr = E ri=1
(−1) = i=1
E (−1) .
r
r
x1 +···+xr
xi =
xi .
=
E
(−1)
=
E
(−1)
c
x+y
.
x
+···+x
r
1
i=1
i=1
The second equality follows from the observation thatE (−1)
(−1)x+y
=
The xsecond
equality
follows
from
the
observation
that
(−1)
=
y
x+y
(−1)
(−1)
for
all
x
and
y
in
F
,
which
can
be
checked
case-by-case.
x+y
x
y
2
The равенство
equality
observation
thatдля
(−1)
=y ∈ 𝔽2,
xsecond
Второе
следует
чтоthe
(−1)be
= (−1) (−1)
любых x,
(−1)
(−1)y for
all
x andfollows
yиз
in того,
F2 ,from
which
can
checked
case-by-case.
x
y
(−1)
for
all
x
and
y
in
F
,
which
can
be
checked
case-by-case.
(−1)
что можно
проверить
отдельно
для
каждого
случая.
□
2
Compared to Lemma 1.2 from Chapter 1, Lemma 2.1 does not involve
Compared to Lemma 1.2 from Chapter 1, Lemma 2.1 does not involve
additional
factors
of two.1.2
This
convenient,
because
it means
that
there
is
По сравнению
сtoлеммой
изisглавы
1, в1,лемме
отсутствует
дополниCompared
Lemma
Chapter
Lemma2.1
does that
not there
involve
additional
factors
of two. 1.2
Thisfrom
is convenient,
because
it2.1
means
is
no
need
to
keep
track
of
the
number
of
functions
that
are
composed
when
тельная
степень
двойки.
Это
удобно,
потому
что
нам
не
нужно
отслеживать
additional
of two.
Thisnumber
is convenient,
because
means
that there
is коno
need tofactors
keep track
of the
of functions
thatitare
composed
when
личество
компонуемых
функций
при
применении
леммы
о
набегании
знаков
applying
the
piling-up
lemma
in
the
context
of
linear
cryptanalysis.
no need to
tracklemma
of the in
number
of functions
are composed when
applying
thekeep
piling-up
the context
of linearthat
cryptanalysis.
в контексте
линейного
криптоанализа.
applying2.2
the piling-up
lemma
the context
of linear
Remark
There is more
toin
using
correlations
thancryptanalysis.
notational convenience:
Remark 2.2 There is more to using correlations than notational convenience:
Замечание
2.2.
Смысл
использования
корреляций
не сводится
к удобству
the
correlation
c
is
the
nontrivial
coefficient
of
the
Fourier
transformation
of
x
Remark
2.2 There
to using
correlations
than
notational
convenience:
the
correlation
cx is is
themore
nontrivial
coefficient
of the
Fourier
transformation
of
обозначений:
корреляция
c
–
это
нетривиальный
коэффициент
преобраthe
probability cmass
function
of x. As a matter
of fact,
the piling-up lemma
x
the correlation
nontrivial
of the
Fourier
of
x is the
the
probability
mass
function
of x.coefficient
As a matter
of
the transformation
piling-up
lemma
зования
Фурье
функции
массы
вероятности
x.Fourier
Наfact,
самом
деле лемма
о набеis
a
special
case
of
the
convolution
theorem
for
transformations.
Later
thea probability
of x.theorem
As a matter
of fact,transformations.
the piling-up lemma
special
casemass
of thefunction
convolution
for оFourier
Later
гании is
знаков
–
это
частный
случай
теоремы
свертке
для
преобразований
chapters
will explain
this
link more theorem
clearly than
is possible
at present. Later
�
is a special
of thethis
convolution
for Fourier
transformations.
willcase
explain
linkмы
more
clearly than
is possible
at present.
�
Фурье.chapters
В последующих
главах
объясним
эту
связь лучше,
чем возможно
chapters момент.
will explain this link more clearly than is possible at present.
�
в настоящий
⊳
2.2 Correlation between Boolean functions
между булевыми
функциями
2.2. Корреляция
2.2 Correlation
between Boolean
functions
2.2
between
In addition
to theCorrelation
correlation of
a random Boolean
variable
onfunctions
F2 , there is a related поПомимо
корреляции
величины
𝔽2, существует
In addition
to theслучайной
correlation of
a random на
variable
on F2 , thereродственное
is a related
notion
of
correlation
between
two
Boolean
functions
which
is issometimes
нятие корреляции
двумя булевыми
функциями,
которое
иногда
бывает
In addition
to между
the correlation
a random
on Fwhich
a related
2 , there
notion
of correlation
betweenoftwo
Booleanvariable
functions
is
sometimes
n
n
n F
useful.
Specifically,
the
correlation
between
functions
f
:
F
→
and
полезно.
Точнее,
корреляция
между
функциями
f
:
𝔽
→
𝔽
и
g
:
𝔽
→
𝔽
опреде2
n
2
notion
of
correlation
between
two
Boolean
functions
which
is
sometimes
2— page
2
“9781009607865book”
— 2025/12/2
— 14:12
—
useful.
Specifically, the correlation
between
functions
f 2: F 19→
F#312and
ляетсяguseful.
следующим
F2 is образом:
defined
as correlation between functions f : F2n → F22 and
: Fnn2 →
Specifically,
the
2
g : F2 → F2 is defined as
g : Fn2 → F2 is defined
as,g) = 2 Pr [f (x) = g(x)] − 1,,
C(f
x [f (x) = g(x)] − 1 ,
C(f ,g) = 2 Pr
x [f (x) = g(x)] − 1 ,
C(f ,g)n = 2 Pr
matrices
19 иное,
x uniform
random on2.3
Fраспределенная
.Correlation
Thisxis nothing
but
the correlation
the random
где x –with
случайная
равномерно
величина
на 𝔽nof
. Это
не что
with x uniform random on Fn22 . This is nothing but the correlation2of the random
variable
f (x)
+ g(x). Another
name
for C(f
,g)
is the
correlation
coefficient
как корреляция
случайной
величины
+ g(x).
По-другому
C(f,
g)random
называется
with x uniform
on
Fn2 . This
is f(x)
nothing
but the
correlation
of the
variable
f (x) +random
g(x). Another
name
for C(f ,g)
is the
correlation
coefficient
коэффициентом
корреляции
между
f
и
g.
between
f
and
g.
variable ff (x)
Another name for C(f ,g) is the correlation coefficient
between
and+
g.g(x).
different,
then
C(f
,g)
= −1. two
Likewise,
C(f function
,g) = 0 ifis fa and
g are equal
on
The correlation
between
Boolean
measure
of their
Корреляция
между
двумя
булевыми
функциями
– это мера
их сходства.
Если
between
f
and
g.
The
correlation
between two Boolean function is a measure of their
half
of
the
inputs.
similarity.
If f g)and
g Если
are equal,
C(f различны,
,g)
= 1. If
fa C(f,
and
gg)are
always
f и g равны,
то
C(f,
= 1.
ftwo
и gthen
всегда
то
= −1.
Наконец,
The
correlation
between
Boolean
function
is
measure
of
their
similarity.
If fproperties
and g are
then C(f
= 1.variables,
If f andone
g are
of equal,
correlations
of ,g)
random
canalways
show
C(f, g) =similarity.
0,Using
если fthe
и gf равны
If
and g на
are половине
equal, thenвходов.
C(f ,g) = 1. If f and g are always
that
the
correlation
between
Boolean
functions
f
and
g
is
equal
to
(see что
Пользуясь свойствами корреляций случайных величин, можно показать,
Property
of
Cambridge
University
Press
do
not
share
or
copy
Exercise
2.1)
корреляцияProperty
между булевыми
функциями
и g равна
(см.
упражнение
of Cambridge
Universityf Press
do not
share
or copy 2.1)
do not share or copy
Property of Cambridge
Press
1 University
C(f ,g) = n
(−1)f (x)+g(x) = (−1)f ,(−1)g ,,
2
n
x∈F2
n
�·,·� is an
inner product between
functions
that
корреляции
где ⟨·,·⟩where
– скалярное
произведение
функций
𝔽2n → ℝ.FСледовательно,
2 → R. This shows
can be interpreted
as inner products,
which motivates
the term обоможноcorrelations
интерпретировать
как скалярные
произведения,
что и является
снованием
термина «корреляция».
“correlation.”
Every linear Boolean function is of the form �u (x) = u x for some u in Fn2
(see Exercise 1.2). The correlation of a linear approximation (u,v) with masks
n
m
u in Fn2 and v in Fm
2 of a function F : F2 → F2 is equal to C(�u,�v ◦ F). This
2n
x∈Fn2
where �·,·� is an inner product between functions Fn2 → R. This shows that
correlations can be interpreted as inner products,
which motivates
the term 29
2.3. Корреляционные
матрицы
“correlation.”
linear булева
Booleanфункция
function isимеет
of the form
for некоторого
some u in Fn2 u ∈ 𝔽2n
ЛюбаяEvery
линейная
вид �ℓuu(x)
(x) ==uuTx xдля
(see Exercise1.2).
1.2). Корреляция
The correlationлинейной
of a linear approximation
(u,v)(u,
with
(см. упражнение
аппроксимации
v)masks
с масками
n m функции
m F : 𝔽n → 𝔽m равна
n C(ℓ ,mℓ ◦ F). Это действительно удвоu ∈ 𝔽2n u
и in
v ∈F𝔽
and
v
in
F
of
a
function
F
:
F
→
F
is
equal
to
C(�
,�
◦
F).
This
u
v
2
2
2
u
v
2
2
2
2
енное is
смещение
ϵu,vthe
аппроксимации
(u, v).
indeed twice
bias �u,v of the approximation
(u,v).
2.3. Корреляционные матрицы
2.3 Correlation
В разделе 1.2.2 была определена
таблицаmatrices
линейной аппроксимации (LAT)
функции. Ниже определяется аналогичная таблица, содержащая корреляции
In Sectionаппроксимаций
1.2.2, the linear approximation
table (LAT) of a function was
всех линейных
функции.
defined. Definition 2.3 defines a similar table containing the correlations of
Определение
2.3 (корреляционная
all linear approximations
of a function.матрица). Корреляционной матрицей
n
m
m
n
функции
F
:
𝔽
→
𝔽
называется
матрица
CF aразмера
2 (Correlation
2
Definition 2.3
matrix)вещественная
The correlation
matrix of
function 2 ×2
с элементами
m
n
F
F : Fn2 → Fm
2 is a real 2 × 2 matrix C with coordinates
F
= C(�u,�v ◦ F) =
Cv,u
1
v F(x)+u x
(−1)
..
2n
n
x∈F2
The correlation
matrix ofFFтесно
is closely
related
to theF:LAT of F:
Корреляционная
матрица
связана
с LAT
F
LATu,v = 2n−1 Cv,u
..
Mind theвнимание
order of theна
indices:
the output
mask is выходная
the row-index
for correlation
Обратите
порядок
индексов:
маска
– это индекс
but the column-index
for the
Unlike
the LAT,
correlation
строкиmatrices,
в корреляционных
матрицах,
ноLAT.
индекс
столбца
в the
LAT.
В отличие от
LAT, корреляционная
матрица
– больше,
таблица,
корреляции
matrix is more than
a table containing
theчем
correlations
ofсодержащая
all linear approximaвсех линейных
аппроксимаций.
Она between
представляет
линейный
tions. It represents
a linear operator
real vector
spaces ofоператор
dimensionsмежду
n
вещественными
размерностей
и 2m. Вalready
описанных
The propertiesпространствами
of correlation matrices
that follow2below
2n and 2m . векторными
“9781009607865book”
—
2025/12/2
—
14:12
—
page
20
— #32
ниже suggest
свойствах
корреляционных
матриц
этот
факт
уже
предполагается
this, but a complete explanation will have to wait until Chapter 11. This
известным,
с полным
придетсяmay
подождать
главы 11.but
У такого
has theно
downside
thatобъяснением
some of these properties
seem a bitдо
miraculous,
подхода есть недостаток – некоторые свойства могут показаться каким-то
this follows the historical development of the subject and allows keeping this
чудом, но так мы следуем историческому развитию предмета и оставляем эту
chapter
more concrete.
20 конкретной.
Correlation matrices
главу более
: 𝔽m2 → 𝔽2lPress
– функции
с корреляционными
мат
Теорема 2.4.
ПустьofF Cambridge
: 𝔽2n → 𝔽m2 и G
Property
University
or copy
n
m do not share
l
F
G
2.4 Let F : F2 →Корреляционная
Fm
and
G
:
F
→
F
be
functions
with
рицамиTheorem
C и C соответственно.
матрица
их
композиции
G◦
2
2
2
F
F равнаcorrelation
CG◦F = CGCmatrices
.
C F and C G , respectively. The correlation matrix of their
composition G
F is given by C G◦F
= CGCF.
Доказательство.
По◦ определению
произведения
двух матриц, элемент (CGCF)v,u
равен Proof By the definition of the product of two matrices, C G C F is equal to
v,u
G
F
Cv,w
Cw,u
w∈Fm
2
1 1
=
(−1)v G(y)+w y+w F(y)+u x
n
m
m 2 2
n
m
w∈F2
x∈F2 y∈F2
1
1
= n
(−1)v G(y)+u x m
(−1)w (y+F(x)). .
2
2
n
m
m
x∈F2 y∈F2
w∈F2
The right-hand
side can
be rewritten
as follows:
Правую
часть можно
переписать
в виде
1
G
F
Cv,w
Cw,u
= n
(−1)v G(y)+u x δ y F(x)
2
m
n
m
w∈F2
x∈F2 y∈F2
1
v G(F(x))+u x
w∈F2m
2
w∈F2m
x∈F2n y∈F2m
2
2
2
v G(y)+u
w (y+F(x))
1
11
v G(y)+u
x 1 xx 11
w (y+F(x))
(−1)
(−1)
= n=
(−1)
.
..
= n1n (−1)
(−1)vv G(y)+u
(−1)ww (y+F(x))
G(y)+u
x m1
(y+F(x))
m
m
.
2 =22nn nmn mm (−1)
2 22 mm mm (−1)
x∈F22 x∈F
y∈F
y∈F
w∈F
w∈F
2
x∈F222n y∈F22m
2 w∈F22m
x∈F2 y∈F2
w∈F2
30Theright-hand
Корреляционные
матрицы
The
side side
can
can
rewritten
be
as follows:
as
Theright-hand
right-hand
sidebe
can
berewritten
rewritten
asfollows:
follows:
The right-hand side can be rewritten as follows:
v G(y)+u
11
G
GG
F
FF 1
v G(y)+u
x y xx yy
(−1)
C
=
δ F(x)
Cv,w
C
= n1n (−1)
(−1)vv G(y)+u
F(x)
G C
F n=
G(y)+u
xδδ y F(x)
v,wC
w,u
w,u
v,w
w,u
Cv,w Cw,u
δ F(x)
2 =22nn nmn mm (−1)
mm
w∈Fm
w∈F
x∈F
x∈F
y∈F
y∈F
2
2 w∈F22m
2 x∈F222n y∈F22m
w∈F2
x∈F2 y∈F2
v G(F(x))+u
1
11
v G(F(x))+u
x
(−1)
1
= n=
. xx. .
= (−1)
(−1)v G(F(x))+u
2 =22nnnn nn (−1)v G(F(x))+u x .
x∈F22 x∈F
x∈F22n
x∈F2
m
m
y
y
m
y
InЗдесь
the
In
the
equation,
δδ2 yℝ
::→
FF22mR→
is R
the
the
function
δ yby
(y)
(y)
1=
and
Infirst
the first
first equation,
equation,
→
R isisfunction
the
function
defined
by
δyy=
(y)
= 11 and
and
yдля
→
как
δydefined
(y) =defined
1
иbyδy(z)
=δ0
всех
z ≠ y. Выфункция
δy :δ 𝔽:m2 F
In
the first equation,
δ : определена
F2 → R is the
function
defined
by
δG◦F
(y)G◦F
= 1 and
y
y
y
G◦F. .The
G◦F
δ
(z)
δ
=
(z)
0
for
=
0
all
for
z
all
=
�
y.
z
=
�
The
y.
expression
The
expression
on
the
on
last
the
line
last
is
line
precisely
is
precisely
C
C
.
The
δ
(z)
=
0
for
all
z
=
�
y.
The
expression
on
the
last
line
is
precisely
C
The
ражение
в
последней
строке
в
точности
равно
C
.
На
первом
шаге
используy
G◦F
v,u
v,u
v,u
v,u
δ (z) = 0 for all z �= y. The expression on the last line is precisely Cv,u . The
firstравенство
step
first
uses
the
the
firststep
stepuses
usesequality
theequality
equality
ется
first step uses the equality
mma =
w a w a 2m, 22if
a0a,=
если
=00,,,
m ifif
(−1)
if a = 0 ,
(−1)
(−1)=ww aa=
= 2
(−1)
=
0 00вotherwise
otherwise
. случае.
..
противном
otherwise
m
w∈Fm
w∈F2m
0
otherwise .
2 w∈F
w∈F2m
2
mm mm
This
follows
follows
from
the fact
the
that
fact
for
that
all
for
t all
in
in
, имеем
FF22m,,
This
follows
from
the
fact
that
for
all
in
ЭтоThis
следует
изfrom
того,
что
для
всех
∈Ftt𝔽
2 F
This
follows
from the
fact
that
fortall
t2 in
2,
w a w a
(w+t)(w+t)
a
a
t a t t aa w a ww aa
w
a
(w+t)
a
=
(−1)(−1)
= (−1)
..
(−1)=w a=
= (−1)(−1)
(−1) (w+t)
(−1) t a (−1)(−1)
(−1).
a =(−1)
(−1)
=m mm (−1)
= (−1) m mm (−1)w a..
m
mm
w∈F2 w∈F
w∈F22m
w∈F2
w∈F2 w∈F
w∈F22m
w∈F2
all
For
nonzero
all
nonzero
a,
there
a,
there
exists
exists
at
least
at
least
one
t
one
such
t
such
that
t
that
a
=
t
a
1.
Hence,
the sum
the
For all nonzero a, there exists at least one t such that t a =
=1.1.Hence,
Hence,
thesum
sum
w∈F2 w∈F
w∈F22m
w∈F2
For
all nonzero
a, therea exists
at least по
oneменьшей
t such thatмере
t a =одно
1. Hence,
theчто
sumtTa = 1.
Для For
любого
ненулевого
существует
t такое,
is itsisis
own
its
own
opposite,
opposite,
which
which
means
means
it must
ititmust
be zero.
be
zero.
If a If
=
a0,
=
then
0,0, then
all
terms
all
terms
in inin
its
own
opposite,
which
means
must
be
zero.
If
a
=
then
all
terms
Следовательно,
сумма противоположна
самой
себе,Ifаaзначит,
должна
быть
is its own opposite,
which means it must
be zero.
= 0, then
all terms
in равна
the sum
the
are
to все
one
to
so
one
that
so
equals
ititequals
2m . 22mmm.1,
thesum
sum
are
equal
toчлены
one
soitthat
that
equals
.
нулю.
Если
aequal
=are
0,equal
то
равны
□
the sum
are
equal
to one soсуммы
that it equals
2 . так что она равна 2m.
Theorem
Theorem
2.4 –is2.4
theisismost
the
important
important
resultresult
related
related
to correlation
to
matrices.
matrices.
In In
Theorem
2.4
themost
most
important
result
related
tocorrelation
correlation
matrices.
In
Теорема
2.4
самый
результат,
относящийся
к корреляционным
Theorem
2.4
is theважный
most important
result related
to correlation
matrices. In
theory,
theory,
it
provides
it
provides
a
way
a
way
to
compute
to
compute
the
correlations
the
correlations
of
linear
of
linear
approximations
approximations
theory,
it
provides
a
way
to
compute
the
correlations
of
linear
approximations
матрицам.
Теоретически
онаtoдает
способ
вычислитьof
корреляции
линейных апtheory,
it provides a way
compute
the correlations
linear approximations
of Gof
◦ofFGGgiven
◦◦FF given
only
only
the
correlations
the
correlations
of linear
of
approximations
approximations
ofаппроксимаций
F of
and
and
InG.
given
only
theтолько
correlations
of linear
linear
approximations
of FFG.
and
G. In
In
проксимаций
G
◦
F,
зная
корреляции
линейных
of G ◦ F given only the correlations of linear approximations of F and G. In F и G.
Chapter
Chapter
1,
the
1,
piling-up
the
piling-up
lemma
lemma
was
used
was
used
to
achieve
to
achieve
this
–
this
but
–
unlike
but
unlike
the
pilingthe
pilingВ главеChapter
1 для
достижения
того
же
использовалась
лемма
оpilingнабегании
1, the piling-up
lemma
was
used to achieve
this—
– but
unlike
“9781009607865book”
—результата
2025/12/2
—
14:12
page
21 the
—
#33
Chapter
1, the piling-up lemma
was
used to achieve
this – but
unlike
the pilingзнаков,
в отличие
от
теорема
2.4 неheuristics.
требует
предположения
up lemma,
up
lemma,
Theorem
Theorem
2.4 does
2.4
does
not
not
any
independence
any
heuristics.
upно,
lemma,
Theorem
2.4последней,
doesrequire
notrequire
require
anyindependence
independence
heuristics.
up lemma, Theorem 2.4 does not require any independence heuristics.
о независимости.
Recall
Recall
that that
an
an
matrix
matrix
is a is
square
matrix
matrix
whose
whose
transpose
transpose
is isis
Recall
thatorthogonal
an orthogonal
orthogonal
matrix
is aa square
square
matrix
whose
transpose
Recallчто
thatматрица
an orthogonal
matrix is
a square matrixесли
whose
transposeк is
Напомним,
называется
ортогональной,
обратная
ней соequal
equal
to itsto
inverse.
its
The The
following
resultresult
shows
shows
that invertible
that
functions
functions
havehave
equal
to
itsinverse.
inverse.
Thefollowing
following
result
shows
thatinvertible
invertible
functions
have
equal
to its inverse. The following
result shows
that invertible
functionsчто
haveкорревпадает
с
транспонированной.
Следующий
результат
показывает,
orthogonal
orthogonal
correlation
correlation
matrices.
matrices.
2.4
Correlation
matrices
of
structured
functions
21
orthogonal correlation matrices.
orthogonal
correlation
matrices.функций ортогональны.
ляционные
матрицы
обратимых
n
𝔽University
– функция
корреляционной
матрицей
CF.
Теорема
2.5.
Пусть
F F: : 𝔽F2nUniversity
n → University
F
Property
Property
of
of
Cambridge
Press
doсnot
do
not
or copy
or
copy
Property
ofLet
Cambridge
Press
doshare
notshare
share
or
copy
2 n be Press
Theorem
2.5Cambridge
matrix
2 → F
2 F a function
Property
of Cambridge
University
Presswith
do correlation
notматрица.
share or
copyC . If
Если F является
перестановкой,
то
C
–
ортогональная
F is a permutation, then C F is an orthogonal matrix.
Доказательство.
Нетрудно
корреляционная
матрица
тождественProof It is not
difficult toвидеть,
see that что
the correlation
matrix of the
identity function
ной функции
является
единичной
(это
также
следует
из
теоремы
2.6).
Следоваis the identity matrix (this also follows
from Theorem 2.6). Hence, it suffices
−1
что C F –1 = (C F)T. Если F является перестановкой, то
F
F
тельно,toдостаточно
показать,
show that C
= (C ) . If F is a permutation, then
F
Cv,u
=
−1
1 �
1 �
F−1
(−1)v F(x)+u x = n
(−1)v y+u F (y) = Cu,v
..
n
2
2
n
n
x∈F2
y∈F2
F ) C F .
Существует
другое
доказательство,
основанное
на(C
вычислении
(CF)TC F.
There is an
alternative
proof that works
by computing
□
ПримерExample
2.1 (корреляционная
Корреляционная
матрица
2.1 (Correlation матрица).
matrix) The
correlation matrix
of the S-блока
S-box S :
𝔽23 → 𝔽23 Sдемонстрационного
шифра
раздела
1.11.1
равна
: F32 → F32 of the example
cipherизfrom
Section
is equal to
⎡
⎤
1
0
0
0
0
0
0
0
⎢0 −1/2
0 −1/2
0
1/2
0 −1/2⎥
⎢
⎥
⎢0
0 −1/2
1/2
0
0 −1/2 −1/2⎥
⎢
⎥
⎢
⎥
x∈Fn2
y∈Fn2
There is an alternative proof that works by computing (C F ) C F .
There is an alternative proof that works by computing (C F ) C F .
Example 2.1 (Correlation matrix) The correlation matrix of the S-box
Example
2.1 (Correlation
matrix) Theматрицы
correlation matrix of функций
the S-box 31
Корреляционные
S : F3 → F3 of the2.4.
example
cipher from Section 1.1структурных
is equal to
S : F322→ F322of the example cipher from Section 1.1 is equal to
⎡
⎤
0
0
0
0
0
0
0⎤
⎡1
0
00 −1/2
0
00
0
00 −1/2
0⎥
⎢10 −1/2
1/2
⎢⎢
⎥⎥
00 −1/20 −1/2
0 −1/2
0
1/2
0
−1/2
⎢⎢
⎥⎥
1/2
0
0
−1/2
−1/2
⎢
⎥
⎢⎢0
0 −1/2
1/2
0
0 −1/2 −1/2⎥
⎢⎢0
⎥⎥
1/2
−1/2
0
0
1/2
1/2
0
⎥⎥ .
CSS =⎢
.
0
1/2 −1/2
0
0
1/2
1/2
0⎥⎥
⎢⎢
⎢
0
0
0
0
−1/2
−1/2
1/2
−1/2
C = ⎢⎢
⎥⎥.
⎢⎢0
0
0
0 −1/2 −1/2
1/2 −1/2⎥⎥
0
1/2
1/2
0
1/2
0⎥⎥
⎢⎢0 −1/2
⎢⎣0 −1/2
⎥⎥
0
1/2
1/2
0
1/2
0
⎢0
0
1/2
1/2 −1/2
1/2
0
0⎥⎦
⎣0
0 −1/2
1/2
1/20 −1/2
00
0⎦
0 −1/2
−1/2 1/20
1/2
0 −1/2 −1/2
0 −1/2
0
0
1/2
of correlation
matrices индексированы
are indexed by bitvectors,
so representThe coordinates
Элементы
корреляционной
матрицы
битовыми
векторами,
coordinates
of correlation
matrices
are indexed
by bitvectors,
so
representThe
ing
them
as
an
array
of
numbers
involves
an
arbitrary
choice
of
ordering.
The капоэтому чтобы представить ее в виде массива чисел, необходимо выбрать
ing them as an array of numbers involves an arbitrary choice of ordering. The
ordering
chosen here is the
lexicographic
001 ≤лексикографический
010 ≤ 011 ≤ · · · ≤ 111.порякой-нибудь
произвольный
порядок.
Здесьone:
выбран
ordering
here≤is111.
the lexicographic one: 001 ≤ 010 ≤ 011 ≤ · · · ≤ 111.
док: 001
≤Since
010chosen
≤S011
is a≤ …
permutation, the matrix CSS is orthogonal. Indeed, all its
S
Since S является
is a permutation,
the matrix матрица
C is orthogonal.
Indeed, all Действиits
Поскольку
перестановкой,
ортогональна.
columnsShave
Euclidean
norm equal to one,
and everyC pair
of distinct columns
columns
have Euclidean
norm equal
to
one, andравна
every pair
of
distinctдва
columns
тельно,
евклидова
норма
каждого
ее
столбца
1,
а
любые
различных
is orthogonal:
is orthogonal:
столбца
ортогональны:
�
S
S
� Cw,u
CSw,v
= δuu (v)
S
C
C
=
δ (v).
3 w,u w,v
w∈F2
w∈F32
for all u and v 3in F332 . The same property holds for every pair of rows. As in the
Дляfor
всех
v ∈v𝔽in
. То же самое
справедливо
любых
строк.
Как и в
all uu,and
holds forдля
every
pair of двух
rows.
As in the
n property
2 F2 . The usame
proof
of Theorem
2.4, δu : F
→
function
defined
by 22
δuu (u)
=#34
1 and
u
n R is the —
u
n2: 𝔽
“9781009607865book”
—
2025/12/2
14:12
—
page
—
доказательстве
теоремы
2.4,
δ
→
ℝ
–
функция,
определенная
как
δ
proof
of
Theorem
2.4,
δ
:
F
→
R
is
the
function
defined
by
δ
(u)
=
1
and
2
“9781009607865book”
—
2025/12/2 —
— 14:12
14:12 —
— page
page 22
22 —
— #34
#34 �(u) = 1
u (v)
2 2025/12/2
=
0
for
all
v
=
�
u.
δ
“9781009607865book”
—
u
и δ (v)δ=u (v)
0 для
v ≠vu.
⊳
= 0всех
for all
�= u.
�
структурных функций
2.4. 22
Корреляционные матрицы
Correlation matrices
2.4 вCorrelation
matrices
structured
functions
22
Correlationof
matrices
22
Correlation
Как обсуждалось
разделе 1.1,matrices
криптографические
функции
являются компо2.4 Correlation
ofmatrices
structured
functions
зициями
функций
со
специальной
структурой,
благодаря
которой
их of
можно
As discussed in Section 1.1, cryptographic functions are compositions
As
discussed
in
Section
1.1,
cryptographic
functions
are
compositions
of
вычислять
эффективно.
В
этом
разделе
приводится
корреляционная
матрица
efficiently.
section
the
correlation
matrix
for
two
types
of
structured
functions This
with
specialgives
structure
that makes
it possible
to evaluate
them
efficiently.
Thissection
section
gives
thecorrelation
correlation
matrix
fortwo
two
types
ofstructured
structured
для двух
типовthat
широкоупотребительных
структурных
функций.
efficiently.
This
gives
the
matrix
for
types
of
functions
with
special
structure
that makes
it possible
to evaluate
them
functions
are
commonly
used.
functionsтипу
that are
are
commonlyлинейные
used.
К первому
относятся
и, более общо, аффинные функции.
functions
that
commonly
used.
The
first
type
are
linear,
and
more
generally
affine,
functions.
The
addition
The
first
type
are
linear,
and
more
generally
affine,
functions.
The
addition
Сложение
с
ключом
и
перестановка
битов
вPress
демонстрационном
шифре
из разThe
first
type
are
linear,
and
more
generally
affine,
functions.
The
addition
Property
of
Cambridge
University
do
not
share
or
copy
of
the
key
and
the
bit
permutation
in
the
example
cipher
from
Section
1.1
are
Property
of
Cambridge
University
Press
do
not
share
or
copy
дела 1.1
–
примеры
аффинных
функций.
of
the
key
and
the
bit
permutation
in
the
example
cipher
from
Section
1.1
are
of
the key of
andaffine
the bit
permutation in the example cipher from Section 1.1 are
examples
functions.
examples of
of affine
affine functions.
functions.
examples
m
Теорема
2.6. Пусть
FLet
: 𝔽2n :→F𝔽n2nm2→
– аффинное
отображение
вида
F(x)== Ax
Ax ++b,b,где A –
Theorem
2.6
be
an
affine
map
given
by
F(x)
Theorem 2.6
2.6 Let
Let FF
F:: FFn2 →
→ FF
Fm2m
be an
an affine
affine map
map given
given by
by
F(x)
= Ax
Ax +
+ b,
b,
m =
mF(x)
Theorem
be
матрица
размера
m×n
над
𝔽22, а over
b –22 вектор,
принадлежащий
𝔽
. Корреляционная
where
A
is
an
m
×
n
matrix
F
and
b
is
a
vector
in
F
.
The
correlation
m
2
2
2
where
A
is
an
m
×
n
matrix
over
F
and
b
is
a
vector
in
F
.
The
correlation
m
where
is
an msatisfies
× n matrix
over F22 and bсоотношению
is a vector in F22 . The correlation
F of
матрица
CF A
отображения
F удовлетворяет
matrix
C
F of F
matrix
C
F
satisfies
F
matrix C of F satisfies
F
v b u
C
F = (−1)v b δ u A v ..
C
=
(−1)
δ
A
v
Fv,u
v
b
u
v,u = (−1)
Cv,u
δ A v ..
Proof
The
proof
is by
direct
calculation:
Доказательство.
Доказательство
проводится прямым вычислением:
Proof The
The proof
proof
by direct
direct calculation:
calculation:
Proof
isis by
F
v b 1
(A v+u) x
v b u
C
F = (−1)v b 11n (−1)(A v+u) x = (−1)v b δ u A v .
A
=
(−1)
(−1)
=
(−1)
δ
v
C
Fv,u
v
b
(A
v+u)
x
v
b
u
2n
v,u = (−1)
= (−1) δ A v ...
Cv,u
n(−1)
22n x∈F
x∈Fn2n2
x∈F2
n 0 (w), which
x
n (−1)w
The
second
step
follows
from
the
equality
x∈F2n (−1)ww xx =
= 222nnδδδ00(w),
(w),
which мы
The
second
step
follows
from
the
equality
x∈Fn2(−1)
, которое
Второе
равенство
следует
из
тождества
=
which
The
second
step
follows
from
the
equality
x∈F
was
derived
as
aa part
of
the
proof
of
Theorem
2.4.
2
was
derived
as
part
of
the
proof
of
Theorem
2.4.
вывели
в ходе
доказательства
теоремы
2.4.
□
was
derived
as a part of the proof
of Theorem
2.4.
Theorem
2.6
can
be
interpreted
as
follows.
For
a
given
output
mask,
every
Theorem 2.6
2.6 can
can be
be interpreted
interpreted as
as follows.
follows. For
For aa given
given output
output mask,
mask, every
every
Theorem
linear
function
has
only
one
possible
effective
linear
approximation,
and
its
linear function
function has
has only
only one
one possible
possible effective
effective linear
linear approximation,
approximation, and
and its
its
linear
input
input mask
mask is
is aa linear
linear function
function of
of the
the given
given output
output mask.
mask. Furthermore,
Furthermore, all
all
F
Cv,u
= (−1)v
b
1
2n
(−1)(A
x∈Fn2
v+u) x
= (−1)v
δ A v .
b u
second step follows
from the equality x∈Fn (−1)w x = 2n δ 0 (w), which
The
Корреляционные
матрицы
2
was derived as a part of the proof of Theorem 2.4.
Теорему 2.6 можно интерпретировать следующим образом. Для заданной
can be interpreted
as функции
follows. Forсуществует
a given output
mask, every возвыходнойTheorem
маски 2.6
у всякой
линейной
единственно
linear
function
has
only
one
possible
effective
linear
approximation,
andявляется
its
можная эффективная линейная аппроксимация, а ее входная маска
input
mask
is
a
linear
function
of
the
given
output
mask.
Furthermore,
all
линейной функцией от заданной выходной маски. Кроме того, корреляция люthe effective linear
approximations
have correlation
Note that this
trueверно,
бой эффективной
линейной
аппроксимации
равнаone.
1. Заметим,
чтоisэто
даже когда
функция
Дляa сложения
с константой
even ifлинейная
the linear function
is не
notобратима.
invertible. For
constant addition,
the input входная и выходная
маски
линейной
аппроксимации
and output mask
of эффективной
an effective linear
approximation
must be equal,должны
and the быть
равны,correlation
а корреляция
±1 вonзависимости
отconstant.
значения константы.
is ±1 равна
depending
the value of the
ВторойThe
и последний
класс
структурных
обсуждаемый
в этом разsecond and last
class
of structured функций,
functions discussed
in this section
деле, иногда
называют
«кладочными
(от
выражения
«каменная
кладка»)
are sometimes called “bricklayer maps.” Figure 2.1 illustrates their structure. отображениями» (bricklayer map). На рис. 2.1 показана
их структура.
A bricklayer map is a function F : Fn → Fm built from l functions
Кладочное отображение – это функция F2: 𝔽2n → 𝔽2m2, построенная из l функций
F , . . . ,Fl that operate on disjoint chunks of the input. More precisely,
F1, …, Fl,1 которые
применяются к непересекающимся частям входа. Точнее,
“9781009607865book”
— ) 2025/12/2
— 14:12 — page 23 — #35
F(x1 x2 · · · x
l = F1 (x1 ) F2 (x2 ) · · · Fl (xl ),,
32
“9781009607865book”
—битовых
2025/12/2
—The
14:12
— layer
page of
23the—example
#35в демонгде ‖ обозначает
конкатенацию
векторов.
Уровень
S-блоков
where
denotes
concatenation
of
bitvectors.
S-box
страционном
шифре
из 1.1
примера
1.1
дает хороший пример.
cipher from
Section
is a good
example.
2.4 Correlation matrices of structured functions
23
···
···
···
2.4 Correlation
matrices
of structured
functions
23
···
F· l· ·
F·1· ·
F·2· ·
To describe the structure
of
correlation
matrices
of
bricklayer
maps,
the
·
·
·
F
F
F
· ·1·
· ·2·
· ·l ·
Kronecker product of matrices is useful. Let A be an m × n matrix over R with
···
··
· · · bricklayer maps, the
To Рис.
describe
structure
of ·correlation
matrices
of
2.1. the
Кладочная
функция,
построенная
из l функций
F1, …, Fl
coordinates
Kronecker product of matrices is useful. Let A be an m × n matrix over R with
⎡ function built from
⎤ F1, . . . ,Fl .
Figure
2.1 A bricklayer
l functions
Дляcoordinates
описания
структуры
корреляционных
A1,n кладочных отображений
A1,1 A1,2 · · · матриц
полезно произведение Кронекера.
A матрица размера
m×n над полем ℝ:
⎢ A2,1 Пусть
⎥
A2,2 · · · A2,n ⎤
⎢
⎥
⎡
A = ⎢ A1,1
.
A1,2
·. ·. · A1,n
.
..
.. ⎥
⎣ ..University
⎦
Property of Cambridge
Press
do
.
.
. not
⎢ A2,1
⎥ share or copy
A
·
·
·
A
2,2
2,n
⎢A
⎥
Am,2
·. · · Am,n
A = ⎢ m,1
.
..
.. ⎥. .
..
⎣ ..
.
. ⎦
Am,1 Am,2 · · · Am,n
Similarly, let B be a real p × q matrix. The Kronecker product of the matrices
Aтакже
and B B
is–a вещественная
real pm × qn matrix
A ⊗ размера
B, equal to
theПроизведением
block matrix
Пусть
матрица
p×q.
Кронекера
let B be a real
p × q вещественная
matrix. The Kronecker
product
the matrices
матрицSimilarly,
A и B называется
блочная
матрица
A ⊗ Bofразмера
pm×qn:
A and B is a real pm × qn⎡matrix A ⊗ B, equal to the block
⎤ matrix
A1,1 B A1,2 B · · · A1,n B
⎢ A2,1 B A2,2 B · · · A2,n B ⎥
⎢
⎡
⎥
⎤
A ⊗ B = ⎢ A1,1
. B A1,2
.. B ·. ·. · A1,n
.. B ⎥. .
⎣ ..
⎦
.
.
. B⎥
⎢ A2,1 B A2,2
· · · A2,n
⎢A B A B
⎥
A ⊗ B = ⎢ m,1
m,2
.
.. B ·. .· · Am,n
.. B ⎥ .
⎣ ..
.
.
. ⎦
Элементы A ⊗ B вычисляются
по
формуле:
Am,1 B Am,2 B · · · Am,n B
Equivalently, the coordinates of A ⊗ B satisfy
(A ⊗ B)p(i–1) + k,q(j–1) + l = Ai,j Bk,l.
Equivalently,
the
coordinates
B satisfyиндексировать парами индексов.
�
� of
Альтернативно элементы
⊗AB⊗можно
= Ai,j Bk,l .
A ⊗ BAp(i−1)+k,q(j
Поскольку элементы корреляционных
В этом случае имеем (A ⊗ B)(i,k),(j,l) = Ai,j Bk,l.−1)+l
� битовыми
�
матриц индексируются
следующее
= Ai,j Bиспользуется
A ⊗ B p(i−1)+k,q(jвекторами,
k,l .
−1)+l
соглашение:
Alternatively, one could index the coordinates
of A ⊗ B by pairs of indices.
In this case, one has (A ⊗ B)(i,k),(j,l) = Ai,j Bk,l . As the coordinates of
Alternatively,
one could
theby
coordinates
A⊗
B by pairs
of indices.
correlation matrices
are index
indexed
bitvectors,ofthe
following
convention
is
=
A
B
.
As
the
coordinates
of
In
this
case,
one
has
(A
⊗
B)
i,j k,l
(i,k),(j,l)
used:
correlation
matrices
are index
indexed
bitvectors,ofthe
following
convention
is
Alternatively,
one could
theby
coordinates
A⊗
B by pairs
of indices.
used:
In this case, one has (A ⊗ B)(i,k),(j,l) = Ai,j Bk,l . As the coordinates of
correlation matrices are indexed by bitvectors, the following convention is
� F
�
used:
C ⊗ C G v v ,u u = CvF1,u1 CvG2.5.
,
33
2,u2 Линейные следы
1 2 1 2
with
CF
and
CG
�
�
C F ⊗ C G v v ,u u = CvF1,u1 CvG2,u2,,
1 2 1 2of functions F and G, respectively.
the correlation matrices
i
2.7 Let F1, . . . ,F
with FiF: иFn2Gi →
Fm
где C Theorem
и C – корреляционные
матрицы
функций
соответственно.
l be functions
2 , and let n =
�l
�l
F
G
with
Cni and
correlation
matrices
of—
functions
Fthe
and
G, 24
respectively.
“9781009607865book”
—The
2025/12/2
14:12
—
page
— function
#36
and C
mF
=the
correlation
bricklayer
ni matrix
l
l
“9781009607865book”
— 2025/12/2
—
page
—
#36
Теоремаi=1
2.7.
Пусть
, …,i=1
Fl m–i .функции
Fi : 𝔽2—
→ 14:12
𝔽mi
, иofпусть
n =m24
∑i=1
ni и
m = ∑i=1
mi.
1
2
ni
n
m
i
→
F
defined
by
F(x
·
·
·
x
)
=
F
(x
)
·
·
·
F
)
is
to
F
:
F
n l (x
m equal
Theorem
2.7
Let
F
,
.
.
.
,F
be
functions
with
F
:
F
→
F
,
and
let
n
=
1
l
1
1
l
1
l
i
2
2
Корреляционная
матрица
�l
�l кладочной функции F : 𝔽22 → 𝔽 2,2 определенной как
m…
= ‖F i=1
i . The correlation matrix of the bricklayer function
F(x1‖ … ‖x
) =niFand
(x )‖
(x ),mравна
i=1
l
1 1
l l
F : Fn2 → Fm
defined
by
F(x
1 · · · xl ) =
l F1 (x1 ) · · · Fl (xl ) is equal to
2
�
24
Correlation
matrices
F
Fi
C =
C
24
Correlation
matrices
..
F
G
i=1
l
�
Fi
C
=
Fsatisfy
Proof Let uОбозначим
= u · · · u uand
of C FC
Доказательство.
= uv‖=
…v‖u l ·и· ·vC v
= v.. The
‖ … coordinates
‖vl. Элементы
равны
Proof Let u = u11 · · · ull and 1v = v11i=1
· · · vll .1 The coordinates
of C F satisfy
Property
of 1Cambridge
University
Press do not share or copy
F
v1 F1 (x1 )+···+vl Fl (xl )+u1 x1 +···+ul xl
(−1)
Cv,u
F = 1
v1 F1 (x1 )+···+vl Fl (xl )+u1 x1 +···+ul xl
Cv,u
= 2nn
(−1)
2 x1 ··· xl ∈Fn2n
Property of Cambridge
x1 ··· xl ∈F2 University Press do not share or copy
l
l 1
xi
= · · · n1 (−1)vvii FFii(x(xii)+u
)+uii xi
i
=
·
·
·
(−1)
n1
nl i=1 2 ni
2
x1 ∈ F2n1
xl ∈ F2nl
F
x1 ∈ F2
xl ∈ F2 i=1
l
l 1
xi
= n1 (−1)vvii FFii(x(xii)+u
)+uii xi
i
=
(−1)
2 ni
i=1 2 x∈Fnni
i=1
x∈F22 i
l
l
= CvFFi ,ui..
=
C
.
i=1 vi ,ui
i=1
The результат
result now follows
byиз
the definition of the
Kronecker product.
Теперь
следует
произведения
Кронекера.
□
The result now follows
by theопределения
definition of the
Kronecker product.
По-другому
можно 2.7
рассматривать
как of
примеAnotherдоказательство
way to think aboutтеоремы
the proof 2.7
of Theorem
is as an application
Another way to think about the proof of Theorem 2.7 is as an application of
нение the
леммы
о
набегании
знаков
в
форме
леммы
2.1.
Это
допустимо,
потому
piling-up lemma in the form of Lemma 2.1. This is acceptable because the
the piling-up
lemma
inFtheнезависимы.
form of Lemma 2.1. This is acceptable because the
,
…,
что входы
функций
F
inputs to the functions
F l, . . . ,F are truly independent.
1
inputs to the functions F11, . . . ,Fll are truly independent.
ПримерExample
2.2 (сложение
ключом).Consider
Рассмотрим
сложение
n-битовым
ключом,
2.2 (Key сaddition)
the addition
of an сn-bit
key, i.e., the
Example 2.2↦(Key
addition)
Consider
the addition
of an n-bit key,
i.e., the этой
n n. Для
т. е. функцию
наF𝔽
краткости
корреляционную
матрицу
.
For
brevity,
the
correlation
matrix
of
this
function
function xx�→
xx ++ kk on
2
brevity,
the correlation
matrix
of this function
function
x �→
x + k on F2n . For
k
функции
будем
. Эту
можно
представлять
себе как
is denoted
byобозначать
C kk. One can2Cthink
of операцию
this operation
as a bricklayer
map, since
is
denoted
by
C
.
One
can
think
of
this
operation
as
a
bricklayer
map,
since
кладочное
отображение,
потому
что
i-й
бит
x
+
k
равен
просто
x
+
k
.
Поэтому
i
i
the ith bit of x + k is just xi + ki . Hence, Theorem 2.7 implies that
the ith2.7
bit of
x + k isчто
just xi + ki . Hence, Theorem 2.7 implies that
из теоремы
следует,
n
n 1
0
k
1
0
C k=
.
C =
0 (−1)ki . .
i=1 0 (−1)ki
i=1
Alternatively, the same result can be obtained using Theorem 2.6.
Alternatively,
the sameтакже
result получить
can be obtained
using Theorem
2.6. 2.6.
Этот
результат можно
с помощью
теоремы
2.5. Линейные следы 2.5
Linear trails
�
�
⊳
2.5 Linear
trails
Теорема 2.4 выражает корреляции
всех линейных
аппроксимаций компо…
expresses
the correlations
of all
linear approximations
a
зицииTheorem
F = Fr ◦ 2.4 ◦
F1 r функций
в терминах
корреляций
линейныхofаппрокTheorem 2.4 expresses the correlations of all linear approximations of a
симаций
r функций
◦ ·F
· ·r ◦поF1отдельности.
of r functions В
in терминах
terms of theкорреляционных
correlations
composition
F =FF1,r …,
composition F = Fr ◦ · · · ◦ F1 of r functions in terms of the correlations
матриц
of имеем
linear approximations of the r functions F , . . . ,F individually. In terms of
of linear approximations of the r functions F11, . . . ,Frr individually. In terms of
correlation matrices,
correlation matrices,
C FF = C FFrr · · · C FF22C FF11 .
C = C ···C C .
34
Theorem 2.4 expresses the correlations of all linear approximations of a
composition
F = Fr ◦ · · ·—
◦ F2025/12/2
in terms
of the
1 of r functions
“9781009607865book”
— 14:12
— page
25 correlations
— #37
“9781009607865book”
—
—
14:12
—
page
25
—
#37
“9781009607865book”
— r2025/12/2
2025/12/2
—
14:12
—
page
25 In
—terms
#37 of
of linear
approximations of the
functions F
,
.
.
.
,F
individually.
1
r
Корреляционные матрицы
correlation matrices,
C F = C Fr · · · C F2 C F1. .
2.5 Linear trails
25
2.5
Linear
trails
25
ХотяAlthough
этот результат
представляет
теоретический
интерес,
практические
2.5
Linear
trails
25
this is an interesting
theoretical
result, the large
size of correlation
вычисления
трудны
из-за
большого
размера
корреляционных
матриц.
matrices makes it difficult to use in practical calculations. To get around thisЧтобы
обойти
эту
трудность,
воспользуемся
разреженностью
корреляционных
the
above
productthe
ofмы
matrices
terms of matrices.
coordinates
yields Corollary
issue,
we
exploit
sparsity
of in
correlation
In particular,
writing 2.8
out
the
above
product
of
matrices
inin terms
of
coordinates
yields
Corollary
2.8
the
above
product
of
matrices
terms
of
coordinates
yields
Corollary
2.8 элематриц.
А
именно
запись
приведенного
выше
произведения
в
терминах
below.
ментовbelow.
приводит к следствию 2.8 ниже.
below.
Corollary 2.8 Let F1, . . . ,Fr be functions on bitvectors. The correlation of a
Property
Cambridge
University
Press
do not
share
or Корреляция
copy ofofaa лиCorollary
2.8
be functions
on
The
correlation
11,,. ..F.. .,F
Corollary
2.8 ofLet
Let
F…,
,F
onbitvectors.
bitvectors.
The
correlation
r◦·be
–rrфункции
битовых
векторов.
Следствие
2.8.
Пусть
F1F,of
linear
approximation
F =r F
· ·functions
◦F1 isот
equal
to the sum
of the
correlations
linear
approximation
◦·
· ·· ·◦F
isisequal
totothe
sum
1равна
linear
approximation
=FFr…
◦·◦
◦F
equal
theкорреляций
sumofofthe
thecorrelations
correlations
нейнойof
аппроксимации
Fofof
=FFF=
F
сумме
всех линейных
all linear
trails with
the
same
and
r ◦ r input
1 1 output mask as the approximation:
of
all
linear
trails
with
the
same
input
and
output
mask
as
the
approximation:
all linearже
trails
with the
same inputмасками,
and outputкак
mask
as the approximation:
следов сofтакими
входной
и выходной
у аппроксимации:
r
r r Fi
CuFi+1
.
CuFFr+1,u1 =
i ,ui .
CCuFr+1,u1 ==u ,...,u
CuFi+1
i ,u . .
i
ur+1,u1
,u
r i=1 Cu
2
i+1 i
uu2,...,u
r i=1
2,...,ur i=1
Fi are sparse, then the sum in Corollary 2.8 contains a small
If the matrices FC
Fi are sparse, then
iC
ЕслиIfIfматрицы
C
разреженные,
то the
сумма
вinследствии
2.8contains
содержит
мало неthe
matrices
Corollary
2.8
aasmall
the matrices
C Fiterms.
are sparse,
thesum
sum
Corollary
contains
small
number
of nonzero
More then
generally,
thein
idea
is that a2.8
limited
number
of
нулевых
членов.
В
общем
случае
идея
в
том,
что
ограниченное
число
number
of
nonzero
terms.
More
generally,
the
idea
is
that
a
limited
number
ofследов
number
of
nonzero
terms.
More
generally,
the
idea
is
that
a
limited
number
trails determines
the
value сofнебольшой
the sum up to
a small error. This
isназывается
called theof апопределяет
значение
суммы
погрешностью.
Это
trails
determines
the
value
of
the
sum
up
to
a
small
error.
This
is
called
the
trails determines
the value of the sum up to a small error. This is called the
dominant
trail approximation.
проксимацией
доминирующих
следов.
dominant
trail
approximation.
dominant
trail
approximation.
The traditional
piling-up
principle that
was used
in Chapter
1 is valid under в глаТрадиционный
принцип
набегания
знаков,
который
мы использовали
The
piling-up
principle
that
Thetraditional
traditional
piling-up
principle
thatwas
wasused
usedininChapter
Chapter11isisvalid
validunder
under
the
assumption
that
a
single
trail
is
dominant:
ве 1, корректен
в предположении,
что
доминирует один след:
the
assumption
that
a
single
trail
is
dominant:
the assumption that a single trail is dominant:
r
r r Fi
CuFFr+1,u1 ≈
C i ,ui ,
Fi
CCuFr+1,u1 ≈≈ CCuuFi+1
,ui
ur+1,u1 i=1
ui+1
i+1,ui
i=1
i=1
(uслед
. . наибольшей
. ,ur+1 ) with the
largest absolute
correlation.
This
1,u2, с
где (u1for
,for
u ,the
…, trail
ur+1) –
по
абсолютной
величине
корреляцией.
(u
)) with
the
largest
absolute
correlation.
This
22,,. .. .. .,u
for2 the
the trail
trail
(u11,u
,u
,ur+1
with
theзнаков
largest
absolute
correlation.
This реexplains
why
the
piling-up
lemma
sometimes
gives
the correct
result,
even
Это объясняет,
почему
лемма
оr+1
набегании
иногда
дает
правильный
explains
why
the
piling-up
lemma
sometimes
gives
the
correct
result,
even
explains
why
the
piling-up
lemma
sometimes
gives
the
correct
result,
even
though
independence
assumption
it relies on doesоnot
hold.
зультат,
хотяthe
лежащее
в ее основе
предположение
независимости
не выполthough the
independence
assumption
it relies
on
does
not
hold.
independence
assumption
relies
on
does
not
hold.
няется.though
For a the
key-alternating
cipher
Ek = Rit
◦
·
·
·
◦
R
with
R
(x)
=
R(x)
+
ki ,
k
k
k
For
aakey-alternating
cipher
EEkk ==RRkrkr ◦◦· ·· ·· ·◦◦RRk1k1 with
RRkiki (x)
==R(x)
++kki i, ,
For
key-alternating
cipher
with
(x)
R(x)
…
r
i
1
takes the form ключа Ek = Rk °
ДляCorollary
шифра 2.8
с чередованием
° Rk1, где Rki(x) = R(x) + ki,
r
Corollary
2.8
form
Corollary
2.8takes
takesthe
theвид
form
следствие
2.8 принимает
r
r
rr R
ui+1
k
i=1
ki
r
=
(−1)
CuRi+1,ui .
(2.1)
CuEEr+1
r
u
k
,u
i
k
i=1 u
i+1
k
i
CCuEr+1
(−1)
C R ,ui ...
(2.1)
k ,u1 =
i=1 i+1
(2.1) (2.1)
i=1 Cuui+1
ur+1,u1 1 =u2,...,ur (−1)
i+1,ui
uu2,...,u
r
2,...,ur
i=1
i=1
In particular, the round keys influence the signs of trail correlations but not
In
the
influence
the
of
correlations
not
In particular,
particular,
the round
round keys
keys
influence
the signs
signs
of trail
trailкорреляций
correlations but
but
not но
В частности,
ключи
влияют
на знаки
следов,
their
absoluteраундовые
value.
their
absolute
value.
their
absolute value.
не на их
абсолютные
величины.
Example 2.3 (Revisiting Example 1.3) Like in Example 1.3, consider the
Example
2.3
Example
1.3)
Like
Example
1.3,
consider
the
Example
2.3 (Revisiting
(Revisiting
Example
1.3)
Likeofininthree
Example
1.3,
consider
the
Пример
2.3 (возврат
к примеру
1.3). Как
и в примере
1.3,
рассмотрим
линейную
linear
approximation
(000000001,000010000)
rounds
of the
example
linear
approximation
(000000001,000010000)
of
three
rounds
of
the
example
linear
approximation
(000000001,000010000)
of
three
rounds
of
the
example
аппроксимацию
(000000001,
000010000)
трех
раундов
демонстрационного
cipher from Section 1.1. In Example 1.3, a linear trail with the same input and
cipher
from
1.1.
aalinear
trail
with the
same
input
and
k01.3,
+k
+k
+k31линейный
+1
cipher
fromSection
Section
1.1.In
InExample
Example
1.3,
linear
trail
the
same
input
10
22
шифраoutput
из раздела
1.1.
примере
1.3 был
найден
след
сInодинаковыми
masks
and Вcorrelation
(−1)
/8 with
was found.
light and
of
k
+k
+k
+k
+1
0
10
22
31
k
+k
+k
+k
+1
output
and correlation
(−1)
was
found.
In
k0+k
+1light
0
10
22
31 /8
10+k22+k31
output
masks
correlation
/8(−1)
was
found.
In
light
ofсвете
входной
и masks
выходной
масками
и корреляцией
/8.
Вof
Corollary
2.8, itand
is necessary
to(−1)
check
whether or not
there
exist
other
trails
Corollary
2.8,
it
is
necessary
to
check
whether
or
not
there
exist
other
trails
Corollary
2.8,
it
is
necessary
to
check
whether
or
not
there
exist
other
trails
следствия
2.8 необходимо
проверить,
ли другие следы, способные
that might
affect the correlation
of theсуществуют
linear approximation.
that
might
affect
the
correlation
of
the
linear
approximation.
S
повлиять
на
корреляцию
линейной
аппроксимации.
that
might
affect
the
correlation
of
the
linear
approximation.
�= 0 contain at least
Since all bitvectors u �= 001 such that Cu,001
SS
�= 00 contain
atat least
Since
all
uu �=�= 001
such
that
CCu,001
contain
least
Since
all bitvectors
bitvectors
001
suchin
that
two
nonzero
bits,
at
least
two
S-boxes
the
second
theсодержат
cipher
u,001 �=
≠ 0,
по
Поскольку
все битовые
векторы
u ≠ 001
такие,
чтоround
CSu,001 of
two
nonzero
bits,
at
least
two
S-boxes
in
the
second
round
of
the
cipher
two
nonzero
bits,
at
least
two
S-boxes
in
the
second
round
of
the
cipher
mustмере
have два
a nonzero
input бита,
and output
mask to obtain
an effective
trail. раменьшей
ненулевых
как
минимум
два
S-блока
во
втором
must
a nonzero input
output mask
toto obtain
an
effective
must have
have
input and
and
mask
obtain
anLooking
effectiveattrail.
trail.
S-boxes
withaa nonzero
nonzero
maskoutput
are
called
active
S-boxes.
the поунде шифра
должны
иметьoutput
ненулевые
входную
и выходную
маски, at
чтобы
S-boxes
with
a
nonzero
output
mask
are
called
active
S-boxes.
Looking
the
S-boxes with
a nonzero
output layer
maskin
aremore
called
active
Looking atare
the
correlation
matrix
of the S-box
detail,
theS-boxes.
only possibilities
correlation
matrix
of
the
S-box
layer
in
more
detail,
the
only
possibilities
correlation matrix of the S-box layer in more detail, the only possibilitiesare
are
Property of Cambridge University Press do not share or copy
Property of Cambridge University Press do not share or copy
“9781009607865book” — 2025/12/2 — 14:12 — page 26 — #38
26
Correlation matrices
2.6. Историческая справка 35
26
Correlation matrices
26
Correlation matrices
∈ {101,011,111}.
Each
of theseс choices
leads выходной
to a unique маской
effectiveназываютtrail.
лучитьuэффективный
след.
S-блоки
ненулевой
Figure
2.2
shows
the
resulting
three
effective
trails.
ся активными.
Приглядевшись
к корреляционной
уровняtrail.
S-блоков
u ∈ {101,011,111}.
Each of these
choices leads to aматрице
unique effective
correlation
ofresulting
each
trail
can be
calculated
using
Theorem
andtrail.
2.7.
внимательнее,
мы
увидим,
что
возможности
–effective
u2.6
∈ {101,011,111}.
u
∈The
{101,011,111}.
Each
ofединственные
these
choices
leads
to a unique
Figure
2.2
shows
the
three
effective
trails.
Каждая
из
них
дает
уникальный
эффективный
след.
рис. 2.2
For
example,
consider
thetrail
trail
Figure
2.2a.
TheНа
correlation
over
the все
Figure
2.2
shows
the
three
effective
trails.
The
correlation
of resulting
each
caninbe
calculated
using
Theorem
2.6показаны
and 2.7.
S
k0 Cследа.
k0 +1 /2. For the second round,
три получающихся
эффективных
first
round
is
equal
to
(−1)
=
(−1)
101,001
correlation
of each
can
calculated
2.6 over
and 2.7.
ForThe
example,
consider
thetrail
trail
inbeFigure
2.2a.using
The Theorem
correlation
the
Корреляцию
каждого следа
вычислить,
применив теоремы 2.6 и 2.7.
Theorem
that
theможно
correlation
is(−1)2.2a.
ktrail
k0 +1 /2.
0 C S in Figure
For
example,
consider
the
The
correlation
over
the
first
round2.7is implies
equal
to
(−1)
=
For
the
second
round,
101,001
Например, рассмотрим след на
рис.
Корреляция в первом раунде равна
S 2.2a.
k0 C
round2.7isk0implies
equal to
(−1)
=is(−1)k0 +1 /2. For the second round,
Theorem
that
the
correlation
k0 first
S
+1
101,001
(‑1) C 101,001 = (−1)
/2.
Для
второго
следует,
что корреk10 +k
S
SраундаS из теоремыk10
+k16
16
(−1)
C010,010
C000,000 C
= (−1) 2.7
/4 .
Theorem 2.7
implies that
the
correlation
is010,010
ляция равна
S
S
S
k +k
(−1)k10 +k16 C010,010
C010,010
−1/2 C000,000
1
−1/2 = (−1) 10 16 /4 .
k10 +k16 S S S
k10 +k16
(−1)
C010,010
C000,000
C −1/2 = (−1)
/4 ..
1 010,010
−1/2
k21 +k22 +k31 +1
Finally, the correlation over
the
third
round
is
(−1)
/2. Hence, the
−1/2
1
−1/2
k
+k
+k
+k
+k
+k
+1
0
10
16
21
22
31
overall correlation
of the
(−1)
/16.
A similar
Finally,
the correlation
overtrail
the is
third
round is (−1)k21 +kk 22+k+k31+k+1+1
/2. Hence,
the
21 (check
22 +1
31 this!)
Наконец,
в
третьем
раунде
корреляция
равна
(−1)
/2.
Отсюда
общая
k
+k
+k
calculation
for
the
other
trails
gives
a
total
correlation
of
k
+k
+k
+k
+k
+k
+1
21
22
31
0
10
16
21
22
31
Finally,
the correlation
overtrail
the
third
round
is
(−1)
/2.
Hence,
the
overall correlation
of the
is
(−1)
/16.
A
similar
+k31+1
корреляция следа равна (−1)k0+k10+k16+k21+k22
/16.
Аналогичное
вычисление для
k
+k
+k
+k
+k
+k
+1
0
10
16
21
22
31
overall
correlation
of thetrails
trailgives
is (−1)
calculation
for the other
a total correlation of (check/16.
this!)A similar
κ1 полнуюκ1корреляцию,
+κ2
κ1 +κ3
κ1 +κ2 +κ3
других следов
дает
равную
(−1)
+ other
(−1) trails
/16
+ a(−1)
/16 (проверьте!)
+ (−1)
/32 ,
calculation
for/8the
gives
total correlation
of (check this!)
κ1
κ1 +κ2
κ1 +κ3
κ1 +κ2 +κ3
(−1) /8 + (−1)
/16 + (−1)
/16 + (−1)
/32 ,,
κ1 +κκ23+κ=
where (−1)
κ1 =κ1k/8
k31++
1, κκ21 +κ
=3 /16
k16 +
+ (−1)
k21 and
k13, + k23 .
3 /32
0 +
10 +κ1k+κ
222+
+ k(−1)
/16
(−1)
где κ1 =Since
k0 + there
k10 + are
k22 +
kother
+
1,
κ
=
k
+
k
и
κ
=
k
+
k
.
Поскольку
других
no
trails
with
the
same
input
and
output
masks,
aboveследов
2 + k
16
where κ1 = k0 + k3110 + k22
k21 and κ3 = kthe
31 +211, κ23 = k13
16 + 23
13 + k23 .
с одинаковыми
входной
и
выходной
масками
нет,
приведенное
выше
выражеexpression
it κcan
bekrewritten
as κ3 = kthe
where
κ1 =is
kactually
+ other
k10 exact.
+trails
k22 Note
+with
k31that
+ 1,
+ koutput
k23 .
Since
there
are
the
same
input
above
0 no
2 =
16 and
21 and masks,
13 +
ние точное. Заметим, что его можно переписать в виде
Since
there is
areactually
no other
trails
withthat
the same
and output
expression
exact.
it can
be rewritten
as masks, the above
Note
input
κ1
κ2
(−1)exact.
/8 Note
1 + (−1)
(−1)κ3 /2as..
expression is actually
that it /2
can 1be+rewritten
(−1)κ1 /8 1 + (−1)κ2 /21 + (−1)κ3 /2 .
Исходя
изon
вышесказанного,
корреляция
в зависимости
от ключа±1/32,
равна либо
κ1
κ2 key,
κ3
Based
the above,
depending
on the
correlation
(−1)
/8 1В+примере
(−1)
/2 1.4
1the
+
(−1)
/2 . is either
±1/32, либо ±3/32, либо
±9/32.
было
отмечено,
что корреляция
±3/32 on
or the
±9/32.
In Example
1.4, athe
correlation
close
to 3/32
observed.
above,
depending
key, the
correlation
is was
either
близкаBased
к 3/32. Это
объясняется
тем,onчто
тогда
использовался
ключ,±1/32,
для котороThis
is
because
the
key
that
was
used
in
that
example
satisfies
κ
=
0,±1/32,
κ2 = 1
1
above,
depending1.4,
on athe
key, the close
correlation
is was
eitherobserved.
±3/32
±9/32.
In Example
correlation
to 3/32
0, κ2 = on
1orиthe
κ3 =
0.
⊳
го κ1 = Based
and κis3 =
±3/32
or 0.
±9/32.
Example
a correlation
closesatisfies
to 3/32κwas
This
because
theInkey
that was1.4,
used
in that example
= observed.
0, κ = �
1
1
2
2.6. И
This
because
the key that was used in that example satisfies κ1 = 0, κ2 = �
1
and κis
0.
3 =
сторическая
справка
and κ3 = 0.
�
Корреляционные матрицы в 1994 году ввел Дамен на конференции по основаниям программной инженерии
(FSE), а remarks
также в своей докторской диссер2.6 Historical
тации, которую он защитил
в
следующем
году.
Важное отличие описания ли2.6introduced
Historical
remarks
Correlation
matrices were
by иDaemen
in 1994
at the FSE conferнейного
криптоанализа,
данного
Мацуи,
на
основе
корреляционных
матриц
2.6 from
Historical
remarks
ence,
and
in
his
PhD
thesis
the
following
year.
An
important
difference
заключается
в том,
что Мацуи
предполагал,
что in
(раундовые)
ключи
– равноCorrelation
matrices
were introduced
by Daemen
1994 at the FSE
conferbetween
description
of linear
cryptanalysis
itsatdescription
using стал
мерноCorrelation
распределенные
случайные
величины.
Уход
от случайных
ключей
were
by
Daemen
in and
1994
the FSE
conference,
andMatsui’s
inmatrices
his PhD
thesisintroduced
from
the
following
year.
An
important
difference
correlation
matrices
is
that
Matsui
assumed
(round)
keys
to
be
uniform
random
важным
шагом
вперед,
и
настоящая
книга
идет
по
тому
же
пути,
но
тогда он
ence,
andMatsui’s
in his PhD
thesis from
the following
year. and
An important
difference
between
description
of linear
cryptanalysis
its description
using
variables.
Moving
away
from
random
keys
was
an
important
advance
that
не былbetween
оценен
по
достоинству.
В
ранних
работах
по
линейному
криптоанализу
Matsui’s
description
of linear
cryptanalysis
andtoitsbedescription
using
correlation
matrices
is that Matsui
assumed
(round) keys
uniform random
this book Moving
also
follows,
but
onerandom
that
was
notwas
fully
appreciated
at the
time.
часто correlation
рассматривались
квадратичных
корреляций,
усредненных
по
matrices
isсвойства
that
Matsui
assumed
(round)
keys
to be uniform
random
variables.
away
from
keys
an
important
advance
that
ключам.
Самый
важный
пример
такого
результата
–
теорема
Нюберг
о
линейEarlybook
workMoving
in linear
cryptanalysis
was was
often
concerned
with properties
keyvariables.
away
from
keys
was
an appreciated
important
advance
that
this
also
follows,
but
onerandom
that
not
fully
at theoftime.
ной оболочке
(см.
упражнение
2.11).
averaged
squared
correlations.
The
most
important
example
of
such
a
result
is
this
follows,
but one that
fully appreciated
at theoftime.
Earlybook
workalso
in linear
cryptanalysis
was was
oftennot
concerned
with properties
keythe
linear
hull
theorem
due
to
Nyberg
(see
Exercise
2.11).
Early
work
in linear
cryptanalysis
often
concerned
with properties
of keyaveraged
squared
correlations.
Thewas
most
important
example
of such a result
is
averaged
correlations.
The most
important
the linearsquared
hull theorem
due to Nyberg
(see
Exerciseexample
2.11). of such a result is
the linear
hull theorem
due to Nyberg
(see Press
Exercise
Property
of Cambridge
University
do2.11).
not share or copy
Property of Cambridge University Press do not share or copy
Property of Cambridge University Press do not share or copy
36
Корреляционные матрицы
−1
− 1 ×− 1
1
2
S
S
S
S
S
S
S
S
S
2
2
2
(a) След с корреляцией (−1)k0+k10+k16+k21+k22+k31+1/16
1
2
− 1 ×− 1
−1
S
S
S
S
S
S
S
S
S
2
2
2
(b) След с корреляцией (−1)k0+k10+k13+k22+k23+k31+1/16
−1
− 1 ×− 1 ×− 1
−1
S
S
S
S
S
S
S
S
S
2
2
2
2
2
(c) След с корреляцией (−1)k0+k10+k13+k21+k22+k23+k31+1/32
Рис. 2.2. Три следа с четырьмя или более активными S-блоками
2.7. Литература
Daemen, Joan (Mar. 1995). «Cipher and Hash Function Design Strategies Based on
Linear and Differential Cryptanalysis». PhD thesis. KU Leuven.
Daemen, Joan, Reneґ Govaerts, and Joos Vandewalle (Dec. 1995). «Correlation Matrices». In: FSE’94. Ed. by Bart Preneel. Vol. 1008. LNCS. Springer, Berlin, Heidelberg, pp. 275–285. doi: 10.1007/3-540-60590-8_21.
Berlin,
Berlin, Heidelberg,
Heidelberg, pp.
pp. 275–285.
275–285. doi:
doi: 10.1007/3-540-60590-8
10.1007/3-540-60590-8 21.
21.
Nyberg,
Kaisa
(May
1995).
“Linear
Approximation
of
Block
Nyberg, Kaisa (May 1995). “Linear Approximation of Block Ciphers
Ciphers
(Rump
(Rump Session).”
Session).” In:
In: EUROCRYPT’94.
EUROCRYPT’94. Ed.
Ed. by
by Alfredo
Alfredo De
De Santis.
Santis.
Vol.
439–444.
2.8. Упражнения
Vol. 950.
950. LNCS.
LNCS. Springer,
Springer, Berlin,
Berlin, Heidelberg,
Heidelberg, pp.
pp.
439–444. doi:
doi: 37
10.1007/BFb0053460.
10.1007/BFb0053460.
Nyberg, Kaisa (May 1995). «Linear Approximation of Block Ciphers (Rump Session)». In: EUROCRYPT’94. Ed. by Alfredo De Santis. Vol. 950. LNCS. Springer,
Berlin, Heidelberg, pp. 439–444. doi:10.1007/BFb0053460.
2.8
2.8 Exercises
Exercises
2.8. Упражнения
Exercise
Exercise 2.1
2.1
n 2.1
n
Упражнение
Let
Let ff :: F
F2n →
→F
F2 and
and gg :: F
F2n →
→F
F2 be
be Boolean
Boolean functions.
functions. Prove
Prove that
that
2
2
2
2
Пусть f : 𝔽2n → 𝔽2 и g : 𝔽2n → 𝔽2 – булевы функции.
Докажите,
что
f
g
g .
C(f
C(f ,g)
,g) =
= (−1)
(−1)f f ,(−1)
,(−1)
.
g
C(f ,g) = 〈(−1) , (−1) 〉.
Here,
�·,·�
is
the
following
inner
product
vector
real-valued
Here,
is the following
inner скалярное
product on
on the
the
vector space
space of
of
real-valued проЗдесь
⟨·,·⟩ �·,·�
обозначает
следующее
произведение
в векторном
n
:
functions
on
F
n
n
2
:
functions
on
F
странстве вещественных
функций на 𝔽2:
2
11
�p,q�
p(x)
�p,q� =
= 2nn
p(x) q(x),
q(x),
2 x∈Fn2n
x∈F2
n
n
functions
F
→
for
functions
p𝔽:2:n →
F2n2ℝ.
→R
R and
and qq :: F
F2n2 →
→ R.
R.
для p :for
𝔽2n →
ℝ и q :p
Упражнение 2.2
Exercise
Exercise 2.2
2.2
As
Exercise
every
linear
Boolean
on
F
Как показано
упражнении
любая
булева
𝔽2n имеет
As shown
shownв in
in
Exercise 1.2,
1.2, 1.2,
every
linear линейная
Boolean function
function
onфункция
F2n2 is
is of
of the
theнаform
form
n
n
T
(x)
вид ℓu,��где
u ∈u𝔽in
иFℓn and
(x) =�u
x. = u x.
u with
2 F2 u and �u
u with u in
u (x) = u x.
2
n n
1.
for
all
and
vv in
(v).
1. Докажите,
что
v ∈F
C(ℓuuu,�
, ℓvvv))) =
= δδδuuu(v).
1. Prove
Prove that
that
forдля
all u
uвсех
and u,
in
F2n2𝔽,,2C(�
C(�
,�
=
(v).
2. Воспользовавшись
этим
свойством,
перефразируйте
доказательство
2.
Use
this
property
to
rephrase
the
proof
of
Theorem
2. Use this property to rephrase the proof of Theorem 2.6
2.6 for
for linear
linear functions.
functions.
теоремы 2.6 для линейных функций.
n
Упражнение
2.3
n
Exercise
Exercise 2.3
2.3
F
The
transformation
of
nf :: F
Let
→функция.
F22 be
be aa function.
function.
The Walsh–Hadamard
Walsh–Hadamard
transformation
of ff is
is
Пусть fLet
: 𝔽2f
→F
𝔽2n22 –→
Преобразованием
Уолша–Адамара
функции
n
the
function
W
:
F
→
R
defined
by
n
n
2 →
the function
Wff : F𝒲
R
defined
by
f называется
функция
:
𝔽
→
ℝ,
определенная
следующим
образом:
2f
2
11
u x+f (x)
W
(u)
=
(−1)
f
Wf (u) = 2nn
(−1)u x+f (x)...
2 x∈Fn2n
x∈F2
Докажите
следующие
утверждения:
Property
of
University
Property
of Cambridge
Cambridge
University Press
Press do
do not
not share
share or
or copy
copy
1. 𝒲f (u) = C(ℓu, f).
2. 𝒲f (u) = 0 тогда и только тогда, когда f + ℓu является сбалансированной
булевой функцией. Булева функция называется сбалансированной, если
она принимает значение 0 ровно на половине своих входов.
3. Корреляция линейной аппроксимации (u, v) функции F : 𝔽2n → 𝔽m2 равна
𝒲ℓv F (u).
°
Упражнение 2.4
В этом упражнении исследуется ряд интересных следствий теорем 2.4–2.7.
Все приведенные ниже результаты вытекают из одной из этих теорем. Пусть
F : 𝔽2n → 𝔽2n – перестановка. Докажите следующие утверждения.
to 2.7. All of the following results follow from those theorems. Let F : Fn2 →
Fn2 be a permutation. Prove the following claims:
1. For all u in Fn2 , the Walsh–Hadamard transformation (see Exercise 2.3)
�
�
2
2
38 satisfies
Корреляционные
матрицы
the identities
v∈Fn2 W�u ◦F (v) = 1 and
v∈Fn2 W�v ◦F (u) = 1.
�
2
In particular, the first equality implies that v∈Fn Wf (v) = 1 for every
2
1. Для любой u ∈ 𝔽2n преобразование Уолша–Адамара
(см. упражнение 2.3)
Boolean function f . This is sometimes called2 Parseval’s relation. 2
удовлетворяет тождествам ∑v∈𝔽n 𝒲ℓ °F (v) = 1 и ∑v∈𝔽n 𝒲ℓ °F (u) = 1. В частu
u
2 function
2
2. For all nonzero v in Fn2 , the Boolean
�v ◦ F is balanced.
ности, из первого утверждения следует, что ∑v∈𝔽n 𝒲f (v)2 = 1 для любой
2
� этот факт называют равенством Парсеваля.
булевой функции f. Иногда
Exercise
2.5
2. Для любой ненулевой v ∈ 𝔽2n булева функция ℓv ° F сбалансирована.
1. Give an algorithm with time-complexity Os (l s ) to compute the matrix* Упражнение
2.5
vector product with a matrix B of the form
l
1. Придумайте алгоритм с временной сложностью Os(l sl), который вычисляет произведение вектора на матрицу B вида
B = A1 ⊗ · · · ⊗ Al ,
B = A1 ⊗ … ⊗Al,
where
A1A
, .l –
. . матрицы
,Al are s ×размера
s matricess×s
andи ll ≥
an integer.
где
A1, …,
≥ 11 –isцелое
число.
n
n
Prove that что
for all
f : любой
F2 → Fфункции
2. 2.Докажите,
для
f : 𝔽22.3
→for
𝔽2 notation
(о том,Wчто
2 (see Exercise
f ), такое 𝒲f , см.
упражнение 2.3)
⎡
⎤
⎡
⎤
(−1)f (0,0,...,0)
Wf (0,0, . . . ,0)
� n �
� � ⎢(−1)f (0,0,...,1) ⎥
⎢Wf (0,0, . . . ,1)⎥
1 � 1
1
⎢
⎥.
⎢
⎥
⎢
⎥.
⎢
⎥= n
..
..
1
−1
⎣
⎦
⎣
⎦
2
.
.
i=1
f
(1,1,...,1)
Wf (1,1, . . . ,1)
(−1)
3. Придумайте алгоритм, вычисляющий 𝒲f за время O(n2n).
4. 3.Придумайте
алгоритм,
вычисляющий
корреляционную
матрицу заданn ) time.
Deduce an algorithm
to compute
Wf in O(n2
ной функции F: 𝔽2n → 𝔽m2 за время O(n2n+m) в предположении, что F задана
4. Deduce an algorithm to compute the correlation matrix of a given function
в табличной
форме. n+m
F : Fn2 → Fm
) time, assuming F is given as a lookup table.
2 in O(n2
Упражнение 2.6
В этом упражнении вам предлагается проанализировать конструкцию на
Property of Cambridge University Press do not share or copy
рис. 2.3. Ее вход обозначается x, а секретный ключ – k. Корреляционная матрица S-блока S показана в примере 2.1.
x
S
S
S
k
k
Рис. 2.3. Конструкция с тремя S-блоками
1. Найдите линейный след с корреляцией ±1⁄4.
2. Найдите линейную аппроксимацию с корреляцией 1 хотя бы для одного
ключа.
3. Предположим, что существует вход x, которому соответствует выход 001.
Исходя из вашего ответа на предыдущий вопрос, скажите, каковы возможные значения ключа.
2.8. Упражнения 39
Упражнение 2.7
В этом упражнении вам предлагается проанализировать конструкцию Ek :
𝔽26 → 𝔽26 на рис. 2.4. Ее секретный ключ обозначен k = k1‖k2. Корреляционная
матрица S-блока S приведена в примере 2.1.
k2
S
S
S
S
k1
“9781009607865book”
“9781009607865book”
“9781009607865book”
—2025/12/2
—2025/12/2
2025/12/2
——14:12
—14:12
14:12
——page
—page
page
3131—
31—#43
—#43
#43
Рис. 2.4. —
Конструкция
с четырьмя
S-блоками
1. Найдите линейный след с корреляцией ±1⁄4.
2. Найдите нетривиальную линейную аппроксимацию с корреляцией 1 для
2.8
2.82.8
Exercises
Exercises
Exercises
313131
k = 000000. Вычислите ее корреляцию
для всех значений k.
3. Исходя из вашего ответа на предыдущий вопрос, скажите, возможно ли,
что k1 = k2?
Exercise
Exercise
Exercise
2.8
2.82.8
Упражнение
2.8
2n n n n
Let
Letand
Let
and
and
: F: 2n
F:2nF
→
→F→
Fdenote
Fdenote
denote
thethebitwise-and
the
bitwise-and
bitwise-and
function
function
function
ononn-bit
on
n-bit
n-bit
inputs:
inputs:
inputs:
n n n2 2 2
2 2 2
Обозначим andn : 𝔽2n
→ 𝔽n2 функцию, вычисляющую поразрядное И своих
2
n-битовых входов:
and
and
:n (x
: n(x
.,..1.,.,x
. ,x
.n.,y
,x
,y
,1,y
.,..1.,.,y
. ,y
.n.)n,y
�→
) n�→
)(x
�→
(x
. ,x
.n.yn,x
) n. ) .
nand
1:, 1(x
n
1n
1 y1(x
1y,1.,y. .1.,.,x
ny)n.y
andn : (x1, …, xn, y1, …, yn) ↦ (x1y1, …, xnyn).
This
This
This
operation
operation
operation
is isused
is
used
used
ininsome
in
some
some
block
block
block
ciphers
ciphers
ciphers
(see
(see
(see
Exercise
Exercise
Exercise
2.9).
2.9).
2.9).
The
The
The
next
next
next
Эта
операция
используется
в for
некоторых
блочных
шифрах
(см.
упражнеquestions
questions
questions
work
work
work
towards
towards
towards
a formula
a formula
a formula
for
the
for
thecoordinates
the
coordinates
coordinates
ofof
the
of
the
correlation
the
correlation
correlation
matrix
matrix
matrix
ние 2.9).
Следующие
вопросы ведут к выводу формулы элементов корреляциofofand
of
and
.n . n .
nand
онной матрицы andn. a a a
b−
b−
b−
a+b
a+b
a+b
abab
ab
1.1.Show
1.Show
Show
that
that
that
1+
1+
(−1)
1+
(−1)
(−1)
++
(−1)
+
(−1)
(−1)
(−1)
(−1)
(−1)
=
=
2 (−1)
=
2 (−1)
2 (−1)
for
for
all
for
all
aall
aand
and
a and
b binin
bF2in
F. 2F. 2 .
a
b
a+b
ab
1. Покажите, что 1 + (−1) + (−1) − (−1) =2(−1) для любых a, b ∈ 𝔽2.
2.2.Compute
2.Compute
Compute
thethecorrelation
the
correlation
correlation
matrix
matrix
matrix
ofofand
of
and
by
by
hand.
hand.
1and
1 by
1hand.
2. Вручную вычислите корреляционную
матрицу and1.
3.Show
3.Show
Show
that
that
that
for
forall
for
allnall
n≥
≥
n1,≥
1,the
1,
thecoordinates
coordinates
ofofthe
of
the
correlation
the
correlation
correlation
matrix
matrix
matrix
of
ofand
of
and
nand
n n and
3. 3.Покажите,
что
для
любого
nthe
≥ 1coordinates
элементы
корреляционной
матрицы
n
are
are
given
are
given
given
by
by
the
by
the
formula
the
formula
formula
описываются формулой
u uv /2
vu/2
wt(w)
v /2
wt(w)
wt(w)
, if
если
и
ifu uif
uw
wand
w
and
and
v v
vw,
w,,w,
(−1)
(−1)
(−1)
and
and
n and
n n
Cw,u
Cw,u
C w,u
=
=
=
v v v
00 0
otherwise
otherwise
otherwise
, , случае,
,
в
противном
где wt(w) – количество ненулевых элементов w (его часто называют «весом
Хэмминга» w), а ≼ обозначает порядок на битовых строках, определенный как
x ≼ y тогда и только тогда, когда xi ≤ yi для всех i = 1, …, n.
* Упражнение 2.9
Simon – так называемый шифр Фейстеля, спроектированный в Агентстве нацио
нальной безопасности (АНБ) США. Он основан на функции поразрядного И из
40
This operation is used in some block ciphers (see Exercise 2.9). The next
questions work towards a formula for the coordinates of the correlation matrix
of andn .
a + (−1)b − (−1)a+b = 2 (−1)ab for all a and b in F .
1. Корреляционные
матрицы
Show that 1 + (−1)
2
2. Compute the correlation matrix of and by hand.
упражнения 2.8. Раундовая функция шифра 1Simon-32 показана на рис. 2.5. ПоразShow that for allсимволом
n ≥ 1, the∧,coordinates
of the correlation
matrix
of and
n
рядное3.И обозначается
а поразрядный
циклический
сдвиг
– симвоare
given
by
the
formula
лом ≪. В этом упражнении нам не важно, как генерируются раундовые ключи ki.
в двух
1. Найдите линейный след
раундах с максимальной абсолютной
(−1)u v /2wt(w) if u w and v w,
корреляцией.C andn =
w,u v
0
otherwise ,
2. Реализуйте шифр Simon-32
и оцените корреляцию
линейной аппроксимации, найденной вами в предыдущем вопросе, для ключа, состоящего из одних нулей. Согласуются ли результаты с вашими ожиданиями?
Попробуйте объяснить потенциальные расхождения.
≪ 1
∧
≪ 8
ki
1. Find a linear trail over two
rounds with maximal absolute correlation.
≪ 2
2. Implement Simon-32 and estimate the correlation of the linear approximation you found in the previous question for the all-zero key. Do the results
agree with what you expect? Try to explain potential discrepancies.
Рис. 2.5. Раундовая функция блочного шифра Simon
�
* Упражнение 2.10
n
Exercise 2.10
2025/12/2
— 14:12
page 32 — #44
A“9781009607865book”
function f : F2 → F2 is—called
a quadratic
form if—it satisfies
Функция f : 𝔽2n → 𝔽2 называется
квадратичной формой, если она имеет вид
f (x) =
ai,j xi xj ,,
i<j
32
Correlation matrices
with ai,j elements
of F2 and x𝔽1,2 .и. x. 1,x
of x.
x.
где множители
ai,j принадлежат
, …,
xn coordinates
– элементы
n the
1. Докажите,
чтоthere
существует
матрица
A такая,
f(x) = xTAx.
1. Prove that
exists anверхнетреугольная
upper-triangular matrix
A so that
f (x) =что
x Ax.
2. 2.Покажите,
до линейной замены
A
Show that,что
up toс точностью
a linear change-of-variables,
the matrixпеременных
A can be takenматрица
as
имеет вид:
Property of⎡Cambridge University Press do not ⎤share or copy
0 1
⎢0 0
⎥
⎢
⎥
⎢
⎥
0
1
⎢
⎥
⎢
⎥
0 0
⎢
⎥
⎢
⎥
..
⎢
⎥
.
⎢
⎥.
⎢
⎥.
⎢
⎥
0 1
⎢
⎥
⎢
⎥
0 0
⎢
⎥
⎢
⎥
0
⎢
⎥
⎢
⎥
..
⎣
⎦
.
0
3. Using Theorem 2.6 and the result of Exercise 2.8, derive a formula for the
correlation matrix of an arbitrary quadratic form f (this is a 2 × 2n matrix).
2.8. Упражнения 41
3. Воспользовавшись теоремой 2.6 и результатом упражнения 2.8, выведите формулу для корреляционной матрицы произвольной квадратичной
“9781009607865book”
— 2025/12/2
14:12 — что
pageабсолютная
33 — #45 величина
формы
f (это матрица размера
2×2n).—
Докажите,
корреляции любой нетривиальной линейной аппроксимации f не превосходит 2–r, где r – ранг A.
4. Пусть F: 𝔽2n → 𝔽m2 определена как F(x) = Q(x) + L(x), где функция L линейная,
а все элементы Q являются
формами. Придумайте
2.8квадратичными
Exercises
33 алгоритм, вычисляющий корреляцию заданной линейной аппроксимации F
за время O(n3).
Exercise 2.11
Упражнение 2.11
Consider a key-alternating cipher Ek with round function R and independent
Рассмотрим шифр с чередованием ключа Ek с раундовой функцией R и не
and uniform random round keys (k1, . . . ,kr ) = k. Prove the following claims:
зависимыми и равномерно распределенными раундовыми ключами
(k1, …, kr) = k..EДокажите
следующие утверждения.
k
1. E EkCv,u
= 0 for all (u,v) �= (0,0).
1. 𝔼k(Ck v,u
) = 0 для любых (u, v) ≠ (0, 0).
Forлюбых
all (ur+1
variance is равна
1,),
2. 2.Для
(u,u
u1the
) дисперсия
r+1
2
k
Ek CuEr+1
,u1
=
r
u2,...,ur i=1
2
CuRi+1,ui ..
This result was
called theтеоремой
linear hull theorem
Nyberg. оболочке.
Этот результат
называется
Нюберг by
о линейной
Глава 3
Оптимизация линейных следов
Нахождение линейных следов с высокой абсолютной корреляцией быстро
становится утомительным занятием, особенно для шифров с более сложной
структурой, чем пример, с которым мы работали до сих пор. Поскольку общее
число следов конечно, нахождение линейных следов с максимальной абсолютной корреляцией – пример задачи комбинаторной оптимизации.
В этой главе обсуждаются три распространенных метода оптимизации:
метод ветвей и границ Мацуи, смешанно-целочисленное линейное программирование и выполнимость или выполнимость формул в теориях. Попутно
вводятся два дополнительных примера шифров с разными стратегиями проектирования.
3.1. Метод ветвей и границ
Первый метод оптимизации, который мы обсудим, принадлежит Мацуи. Это
пример алгоритма ветвей и границ при поиске в глубину, но можно предложить многочисленные варианты базовой стратегии, дающие преимущество
в конкретных случаях.
3.1.1. Поиск в глубину
Алгоритм поиска в глубину обходит вершины графа, следуя по ребрам настолько далеко, насколько удастся, а затем выполняя возврат. На рис. 3.1 этот
процесс показан для случая, когда граф является деревом. Начав с корня a, алгоритм на каждом шаге выбирает одного из сыновей ранее выбранной вершины. На рис. 3.1 одна за другой посещаются вершины a, b, c и d. У вершины d нет
потомков, поэтому алгоритм возвращается к последней вершине, имеющей
неисследованных потомков. Это вершина b, из которой поиск продолжается
посещением вершин e и f. Поскольку у f нет потомков, алгоритм возвращается
к вершине e. После посещения g он возвращается в корень и продолжает исследовать вершины h, i и j.
Нахождение кратчайших путей в реберно взвешенном графе – типичное
приложение алгоритмов поиска в глубину. Кратчайшим путем между двумя
вершинами называется последовательность соединенных ребрами вершин
такая, что сумма весов этих ребер минимальна. Можно рассмотреть более общую задачу о поиске кратчайших путей между двумя множествами вершин.
Например, обход в глубину, показанный на рис. 3.1, можно было бы использовать для нахождения кратчайшего пути между корнем a и одной из листовых
3.1. Метод ветвей и границ 43
вершин d, f, g или j, для чего нужно было бы сохранять длину пути, по которому
следует алгоритм. Чтобы найти кратчайший путь, этот метод посещает каждую
вершину как минимум один раз. Однако можно надеяться найти достаточно
короткий путь раньше, применяя эвристику для выбора следующей подлежащей посещению вершины. Одна из возможных стратегий – всегда следовать
по ребру с наименьшим весом. Она называется жадным поиском.
f
d
c
g
e
j
i
b
h
a
Рис. 3.1. Обход дерева высоты 3 в глубину
Метод ветвей и границ находит кратчайший путь, не посещая все вершины.
Он основан на предположении о том, что продолжение пути никогда не уменьшает его полный вес. Если все веса неотрицательны, то это предположение заведомо верно. Метод ветвей и границ можно объединить с поиском в глубину,
модифицировав выбор следующей вершины. Пусть x – текущая вершина, f(x) –
полный вес текущего пути от корня к x, а B – полный вес наилучшего пути,
найденного к настоящему моменту. В алгоритме также используется нижняя
“9781009607865book” — 2025/12/2 — 14:12 — page 36 — #48
граница h(y) полного веса кратчайшего пути, начинающегося в вершине y.
Функция h: V → ℝ называется эвристикой. Сына y вершины x можно игнорировать, если
36
f(x) + wx,y +ofh(y)
≥ B,trails
Optimization
linear
где wx,y – вес ребра, соединяющего x и y. Действительно, f(x) + wx,y + h(y) – нижняя
граница полного веса всех путей, которые могли бы быть найдены в результаThe number
of vertices
visited byy.a depth-first branch and bound algorithm
те продолжения
поиска
из вершины
heavily
depends
on
the
heuristic
function
h. In ветвей
the worstиcase,
h(y)с =
0 for all в глуКоличество вершин, посещенных
методом
границ
поиском
vertices
y.
бину, сильно зависит от эвристической функции h. В худшем случае h(y) = 0 для
всех вершин y.
Matsui’s
method
3.1.2.3.1.2
Метод
Мацуи
F °=… F° rF◦ –· композиция
· · ◦ F1 be a composition
with
Пусть Let
F=F
r функций of
F1, r…,functions
Fr, где FFi 1: ,𝔽. n2.i .→,F𝔽r 2ni+1
. Напомn1i+1
nr i
Fi : следом
F2 → F
a trail is a sequence(u(u
,
.
.
.
,u
)
of
masks.
ним, что
называется
последовательность
,
…,
u
)
масок.
Множество
1
r+1
2 . Recall that
1
r+1
The set of allследов
possibleобразует
trails forms
a graph
G with vertex set
всех возможных
граф
G с множеством
вершин
V =
(i,ui ) | ui ∈ Fn2 i ..
1 ≤ i ≤ r+1
i
The edges are between vertices (i,ui ) and (i + 1,ui+1 ) with CuFi+1
,ui �= 0,
Fi
and their weight is equal to − log2 |Cui+1,ui |. If the edges have an orientation
(from i + 1 to i), then G is a directed acyclic graph. The total weight of a path
(1,u1 ),(2,u2 ), . . . ,(r + 1,ur+1 ) is equal to
44
Fi : F2 → F2 . Recall that a trail is a sequence (u1, . . . ,ur+1 ) of masks.
The set of all possible trails forms a graph G with vertex set
V =
(i,ui ) | ui ∈ Fn2 i .
1 ≤ i ≤ r+1
Оптимизация линейных следов
i
and
(i u+ 1,u
with CuFi+1
The edges
are between
vertices(i,(i,u
Fii �= 0,
i+1 )которых
Ребрами
соединены
вершины
ui) iиF) (i
+ 1,
), для
C,u
≠ 0, а вес
i+1
ui+1,ui
i
Fis
and
their
weight
equal
to
−
log
|C
|.
If
the
edges
have
an
orientation
u
,u
i
2 ориентировано
i+1 i
ребра равен −log2 |C u ,u |. Если ребро
(направлено из i + 1 в i),
i
(from i + 1ориентированным
to i), i+1
then
G is a directed
acyclic graph. The
total weight
of a path
то G является
ациклическим
графом.
Полный
вес пути
(1,u
),(2,u
),
.
.
.
,(r
+
1,u
)
is
equal
to
(1, u1), (2, u12), …, (r2 + 1, ur+1) равен
r+1
r
i=1
r
F
i
= − log
C i
− log2 CuFi+1
2
,ui
ui+1,ui ..
i=1
Следовательно, кратчайший путь между вершинами (1, u1) и (r + 1, ur+1) соответствует следу с максимальной абсолютной корреляцией. Метод Мацуи находит такие следы с помощью поиска в глубину, начиная с последнего раунда
и двигаясь к первому раунду1. Псевдокод метода приведен в алгоритме 3.1.
Эвристическая функция h: V → ℝ, используемая в алгоритме 3.1, определяется в терминах границ B1, …, Br максимальной абсолютной корреляции следа
из раунда 1 в раунд i. То есть
B.
− log
h h(i,
(i,uui )i) ==−log
2 2i Bi .
На практике
функцию
можно
улучшить,
приняв во
In practice, эвристическую
the heuristic function
can often часто
be improved
by taking
into account
внимание
конкретное
значение
маски
u
.
Заметим,
что
всегда
можно
i
the specific value of the mask ui . Note that
one can always choose Bi = 1. выбрать
Bi = 1.
The order in which the next masks are enumerated (lines 10 and 17) is left
Порядок перечисления масок (строки 10 и 17) в алгоритме 3.1 оставлен неunspecified in Algorithm 3.1, but it is important in practice. For the inner loop
определенным, но на практике он важен. Во внутреннем цикле (строка 10)
in order ofубыва-
(line
10), a greedyжадный
approach подход:
is usuallyмаски
used: choose
the masks ul−1
обычно
используется
ul−1 выбираются
в порядке
Fi
“9781009607865book”
—
2025/12/2
—
14:12
—
page
37 are
— #49
|Cul ,uпри
However, moreнеоднозначностей
variation is possible in
the way ties
Fi
l−1 |. разрешении
ния “9781009607865book”
|Cdecreasing
|. Однако
возможны
варианты.
ui+1,ui
—
2025/12/2
—
14:12
—
page
37
—
#49
broken. цикле
For the outer
loop17)
(line
17), anotherдругой
approachподход.
is necessary.
Typically,
Во внешнем
(строка
необходим
Обычно
используone uses a heuristic
based на
on looking
ahead by вперед
one round.
example,
ется эвристика,
основанная
заглядывании
на For
один
раунд.one
Наприcan count
the number
of S-boxesS-блоков,
that are guaranteed
to be active in the last
мер, можно
посчитать
количество
которые гарантированно
активны
3.1 Branch and bound
37
в последнем
round. раунде.
3.1 Branch and bound
37
1 Matsui’s original method starts with the first round, but working backwards is better when some
of the3.1.
functions
F1, . . . ,F
are
not invertible.
r метода
Algorithm
3.1
Outline
of Matsui’s
method for
finding trails.
Алгоритм
Псевдокод
Мацуи
нахождения
следов
Algorithm 3.1Input:
Outline of Matsui’s method for finding trails.
Вход:
Fr
Input:
C F1 , .F. . ,C
Functions F1, . . . ,Fr with correlation matrices
F
Property
ofсCambridge
Universityматрицами
Press
do
not
share
or
copy
1
r
Функции
F
,
…,
F
корреляционными
C
,
…,
C
F
F
l−1
r
CuFi ,u for all
r r with
. . ,F
C 1 , .that
. . ,C
Functions F1 1, .Bounds
B0 correlation
= 1, B1,matrices
. . . ,Br such
B
≥
l
i
i+1
i=1
l−1 Fi
for всех
Bounds B
B00 = =
B
. ,Br such
all u1, …, ul
Границы
1,u1B,1,1., .…,
что that
Bl ≥ Bl ≥
. ,u
1,Bl.r.такие,
i=1 Cui+1,ui для
Выход:
u1, . . . ,ul Output:
r Fi
Output:
(v1, . . . ,vr+1 )
with
maximal
След (v1, …, vr+1)Trail
с максимальной
величиной
i=1 Cvi+1,vi
i
Trail (v1, . . . ,vr+1 ) with maximal ri=1 CvFi+1
,vi
1 ⊳ Инициализировать
корреляцию
лучшего
изfar:
найденных
1: � Initialize абсолютную
absolute correlation
of the best trail
found so
к
настоящему
моменту
следов
of the best trail found so far:
1: � Initialize absolute
2: B ← correlation
0
2: 2:B ←
0 0
B←
3: � Recursive procedure to find the best trail, starting at the last round
3: 3:⊳ �
Рекурсивная
процедура
нахождения
лучшего
следа, начиная с последнего
Recursive4:procedure
to find
the best
procedure
search(u
,ur , .starting
. . ,ul ) at the last round
r+1trail,
раунда
4: procedure search(u
5:
if l r+1
= 1,uthen
r , . . . ,ul )
4: procedure SEARCH(ur+1, ur,
…, u ) i
if l = 1 6:
then B ← ri=1l CuFi+1
5:
,ui
r Fi
6:
B ←7: i=1 Cu(vi+1
. i. . ,vr+1 ) ← (u1, . . . ,ur+1 )
1,,u
1
Оригинальный
(v1, 8:
. .метод
. ,vr+1Мацуи
) return
← (uначинает
7:
1, . . . ,ur+1с)первого раунда, но работать в обратном направлении
лучше, когда некоторые из функций F1, …, Fr не обратимы.
return
8:
end if
9:
9:
end if 10:
for all ul−1 such that CuFll,ul−1 �= 0 do � Heuristics to determine order
Fi
Fl
for all u11:
Cl−1
� Heuristics
to determine order
10:
> B then
l−1 such that
ul ,ul−1r �= 0 do
C
if
B
u
,u
i
i=l−1
i+1
r
Fi
1:1:� �Initialize
Initializeabsolute
absolutecorrelation
correlationofofthe
thebest
besttrail
trailfound
foundsosofar:
far:
2:2:BB←
←0 0
last
3:3:� �Recursive
3.1.
Метод
ветвей и границ
Recursiveprocedure
proceduretotofind
findthe
thebest
besttrail,
trail,starting
startingat
atthe
the
lastround
round
45
,u,u
4:4:procedure
proceduresearch(u
search(u
. ,u
r+1
r ,r., .. .. ,u
l )l )
r+1
if
l
=
1
then
if
l
=
1
then
5:5
5:
if l = 1 then
r r FiFi
6:6:
BB
6:
B←
← i=1
←
ui+1
,u,u
ui+1
i i
i=1CC
)←
(u
, (u
…,
7:7:
(v(v
.. .. ,v
) )←
..r+1
.. ,u
))
7:
(v
.v,v
←1(u
.),u
1,11,.,…,
r+1
1,1.,u
r+1
r+1
r+1
r+1
return
8:8:
return
return
8:
end
end
endififif
FlFl C Fi
for
всех
usuch
таких,
≠dodo
0 �do
⊳ Эвристика
определения
порядка
for
ul−1
that
totodetermine
order
l–1
u�=�=
,u0 0
forallall
ul−1
such
thatCчто
C
�Heuristics
Heuristics
determine
order
ulu,ul ,u
l−1
l−1
i+1 i
F
rr
F
i
i
u u ,u,u >>>B
11:
11:
then
l−1
BBthen
then
11: ififBB
l−1 i=l−1
i+1
i=l−1CC
i+1 i i
12:
search
(u
,u
,
.
.
.
,u
,u
SEARCH
(ur+1
,,u
u ,,…
)) )
12:
12:
search (u
. . ,. u
,u
,u
r+1
ll,l u
l−1
l−1
r+1 r rr
l−1
end
13: end
13:
13:
endififif
end
for
14: end
14:
endfor
for
14:
end
procedure
15:end
15:
procedure
end
procedure
15:
9:9:
9:
10:
10:
10:
16:
16:
16:
17: for всех ur+1 ≠ 0 do
17:
forallSEARCH
allur+1
ur+1�=�=0(u0dodo
17:for
)
18:
r+1
18:
search
(u(u
))
search
18:
r+1
r+1
19: end for
19:
19:
endfor
for
20:end
20:
return
(v1, …, vr+1)
21:
20:
⊳ Эвристика определения порядка
� �Heuristics
Heuristicstotodetermine
determineorder
order
))
21:
21:return
return(v(v
. ,v
1,1., .. .. ,v
r+1
r+1
Пример 3.1. Применим алгоритм 3.1 к трем раундам демонстрационного шифра из раздела 1.1. Выберем B1 = 1. Абсолютная корреляция аппроксимации на
1
одном3.1
раунде
⁄2, 3.1
потому
чтоrounds
хотя
бы
S-блок должен быть
Example
ususпревосходит
apply
Algorithm
ofofодин
the
Example
3.1 Let
Letне
apply
Algorithm
3.1totothree
three
rounds
theexample
example
1
1
2 и B = ⁄4 – допустимые варианты выбора.
активен.
Поэтому
B
=
⁄
2 Choose
cipher
cipherfrom
fromSection
Section1.1.
1.1.
Choose3BB == 1.1.The
Theabsolute
absolutecorrelation
correlationofofanan
11
approximation
over
isisatatmost
atatleast
one
Обозначим
uone
,one
u2round
иround
u3 маски
на 1/2,
входе
в первые
раунда
шифра соответapproximation
over
most
1/2,since
since
leastтри
oneS-box
S-boxmust
must
1
ственно.
Выберем
маску
u
,
так
чтобы
количество
S-блоков
в
последнем
раунbebeactive.
active.Hence,
Hence,BB
1/2and
andB4B
1/4are
areadmissible
admissiblechoices.
choices.
2 2==1/2
3 3==1/4
де
было
минимально,
неоднозначность
разрешаем
случайным
образом.
НаLet
Letu1u,1u
, 2u2and
andu3u3denote
denotethe
themasks
masksatatthe
theinput
inputofofthe
thefirst
firstthree
threerounds
roundsofof
пример,
так
можно
было
бы
прийти
к
выбору
u
=
000010000.
При
подобном
the
the
thecipher,
cipher,respectively.
respectively.Choose
Choosethe
theoutput
outputmask
masku4u4totominimize
minimize
thenumber
number
4
значениями-кандидатами
uties
будут
{000010000,
000011000,
ofofвыборе
active
ininthe
atatrandom.
For
this
3 ties
activeS-boxes
S-boxes
thelast
lastround,
round,breaking
breaking
random.
Forexample,
example,
this 000101000,
000111000}.
Снова
разрешая
неоднозначность
случайным
образом,
could
couldlead
leadtotothe
thechoice
choiceu4u4==000010000.
000010000.Continuing
Continuingwith
withthis
thischoice
choicesuggests
suggests предположим, что выбрано 000011000. Тогда возможными значениями u2 будут
{010000010, 011000010, 101000010, 111000010, 010000011, …}.
Property
PropertyofofCambridge
CambridgeUniversity
UniversityPress
Pressdo
donot
notshare
shareororcopy
copy
Снова разрешая неоднозначность случайным образом, выбираем значение 011000010. В этот момент все допустимые значения u1 приводят к следу
с абсолютной корреляцией 1⁄16. Найдя такой след, алгоритм возвращается к выбору u2. Однако так как B2 /8 = 1⁄16, никакой другой выбор u2 не может дать лучший след. В результате алгоритм сразу возвращается к выбору u3. Поскольку
B3 /2 = 1⁄8, все остальные возможные значения u3 по-прежнему являются допустимыми кандидатами. Однако для любого выбора, кроме 000010000, алгоритм немедленно выполняет возврат.
После того как в качестве значения u3 выбрано 000010000, единственный выбор u2, который не был признан тупиковым и исключен, – 000000010. Тогда любой допустимый выбор u1 дает след с корреляцией 1⁄8, который является оптимальным. Алгоритм немедленно выполняет возврат к выбору u4. Рано прерывая
поиск на основе количества S-блоков, активных в последнем раунде, алгоритм
может завершиться после проверки еще 3 · 8 − 2 = 22 значений u4.
⊳
backtrack
thebechoice
early
based oncan
theterminate
number of
S4 . By
boxes that towill
activeofinuthe
lastaborting
round, the
algorithm
after
boxes
that
will
be
active
in
the
last
round,
the
algorithm
can
terminate
after
checking 3 · 8 − 2 = 22 more values of u4 .
�
checking 3 · 8 − 2 = 22 more values of u4 .
�
Matsui’s branch and bound method is also applicable to other types of
46 ciphers,
Оптимизация
линейных
следов
Matsui’s
branch
bound
method
is also applicable
to 3.2.1
otherand
types
of
including
theand
examples
that
are introduced
in Sections
3.3.1.
ciphers,
including
the
examples
that
are
introduced
in
Sections
3.2.1
and
3.3.1.
However, this is tedious and error-prone work – especially when efficiency
Метод
ветвей
и is
границ
Мацуи
применим
также
к другим
типам
шифров,
However,
this
tedious
and error-prone
work
especially
when
efficiency
becomes important.
An alternative
approach
is to–reformulate
the
optimization
включая
примеры,
которые
будут
приведены
в
разделах
3.2.1
и
3.3.1.
Однаbecomes as
important.
An alternative
approach is to (Section
reformulate
a mixed-integer
linear
programming
3.2)the
or optimization
satisfiability
ко это problem
утомительная
и чреватая
ошибками
работа, особенно
когда
на первый
problem
as a problem,
mixed-integer
linear
(Section
3.2) or software.
satisfiability
(Section 3.3)
so that
it canprogramming
be solved using
off-the-shelf
план выходит
эффективность.
Альтернативный
подход
– переформулировать
(Section 3.3) problem, so that it can be solved using off-the-shelf software.
задачу оптимизации как задачу смешанно-целочисленного линейного программирования (раздел 3.2) или задачу выполнимости (раздел 3.3), чтобы их
можно было решить, воспользовавшись готовыми программами.
3.2 Mixed-integer linear programming
3.2 Mixed-integer linear programming
linear programming
problem is an optimization
problem
in real variables
линейное
программирование
3.2. СA мешанно
-целочисленное
A
an optimization problem in real variables
x1,linear
. . . ,xnprogramming
, with a linearproblem
objectiveisfunction:
Задачаxлинейного
программирования
– это задача оптимизации в веществен1, . . . ,xn , with a linear objective function:
ных переменных x1, …, xn с линейной целевой
функцией
n
n ai xi ,
min
x1,...,xn
min i=1 ai xi ,,
x1,...,xn
i=1
where a1, . . . ,an are given real numbers. The variables x1, . . . ,xn are conгде a1, where
…, an a–1by
переменные
…,conxn накла,заданные
. .an
. ,a
given
realofnumbers.
The На
variables
, . . . ,xxn 1,are
n are вещественные
strained
arbitrary
number
linearчисла.
inequalities
of thex1form
дывается
произвольное
число
ограничений
в виде линейных
strained
by an arbitrary
number
of linear inequalities
of the form неравенств вида
n
n bi xi ≥ bn+1,,
i=1 bi xi ≥ bn+1,
i=1
где b1, …, bnProperty
и bn+1 – вещественные
числа. Задачи
программирования
of Cambridge University
Pressлинейного
do not share
or copy
допускают Property
практически
эффективное
решение,
например
с помощью
of Cambridge
University
Press
do not share
or copy симплексметода. Если требуется, чтобы некоторые из переменных x1, …, xn были целыми,
то говорят о задаче смешанно-целочисленного линейного программирования.
Для приложений в области линейного криптоанализа целые переменные обычно принимают значения 0 или 1. В общем случае задачи линейного программирования с целыми переменными гораздо труднее. Тем не менее существуют
специализированные программы, способные справиться с такими задачами
на практике. В этом разделе мы примем существование таких «решателей» как
данность, а сами займемся тем, как сформулировать задачу оптимизации следов в виде задачи смешанно-целочисленного линейного программирования.
3.2.1. Пример: шифр типа Rijndael
В этом разделе описывается второй демонстрационный шифр, который мы
проанализируем методом смешанно-целочисленного линейного программирования в разделах 3.2.2 и 3.2.3. Это шифр с чередованием ключа, при проектировании которого применена стратегия широкого следа, чтобы противостоять линейному криптоанализу.
Общая структура раундовой функции показана на рис. 3.2. Это функция на 𝔽96
,
2
но описывать раундовую функцию удобнее, когда биты состояния развернуты на
сетке 4×8 в 3-битовые группы («ячейки»). Первая операция – кладочная функция,
или уровень S-блоков, она называется SubCells. Второй и третий шаги – линейные
функции: на втором шаге, названном ShiftRows, строки состояния циклически
сдвигаются, а на третьем – MixColumns – линейная функция применяется к каждому столбцу. Таким образом, бесключевая раундовая функция имеет вид
3.2. Смешанно-целочисленное линейное программирование 47
R = MixColumns ∘ ShiftRows ∘ SubCells.
S S S S S S S S
S S S S S S S S
S S S S S S S S
S S S S S S S S
⊕ ⊕ ⊕ ⊕ ⊕ ⊕ ⊕ ⊕
“9781009607865book” — 2025/12/2 — 14:12 — page 40 — #52
⊕ ⊕ ⊕ ⊕ ⊕ ⊕ ⊕ ⊕
40
⊕ ⊕ ⊕ ⊕ ⊕ ⊕ ⊕ ⊕
⊕ ⊕ ⊕ ⊕ ⊕ ⊕ ⊕ ⊕
Optimization of linear trails
Рис. 3.2. Раундовая функция состоит из функций SubCells, ShiftRows, MixColumns
и сложения с раундовым ключом. Источник: Beierle et al. (2018). © IACR
Additional
detailsдополнительные
about the functions сведения
on the right-hand
side areвgiven
below.
Ниже
приведены
о функциях
правой
части.
SubCells
заключается
применении
S кcells
3-битовым
SubCells
consists ofвtheпараллельном
parallel application
of an S-box SS-блока
to the 3-bit
of
3 S: 𝔽33→ 𝔽3 такой же, как в демонстрационном
ячейкам
состояния.
S-блок
the state. The S-box S : F2 → F22 is the
2 same as the S-box of the example
шифре
из раздела
1.1. 1.1.
cipher
from Section
ShiftRows
переставляет
состояния.
строки
пронумерованы
от
ShiftRows
shuffles the ячейки
cells of the
state. If theЕсли
rows are
numbered
from zero
нуля до
трех
и
0
соответствует
верхней
строке,
то
ShiftRows
циклически
сдвиto three with zero corresponding to the top row, then ShiftRows rotates the
гает i-ю
строку
состояния
· i бит
влево.
ith row
of the
state over 3на
· i3bits
to the
left.
MixColumns
применяет
линейное
отображение
к каждому
MixColumns applies a linear map to every column
of the столбцу
state. Letсостояния. Обозначим (x1, …, x4),3 где xi ∈ 𝔽23 , столбец состояния. MixColumns отобра(x , . . . ,x ) with xi in F2 denote a column of the state. MixColumns maps
жает (x11, …, x44) в новый
столбец следующим образом (здесь I – единичная
(x1, . . . ,x4 ) to a new column given by (with I the 3 × 3 identity matrix)
матрица
размера 3×3):
⎡
⎤⎡ ⎤
0 I I I
x1
⎢I 0 I I ⎥ ⎢x2 ⎥
⎢
⎥⎢ ⎥
⎣I I 0 I ⎦ ⎣x3 ⎦. .
I I I 0
x4
Exercise 3.13.1
asks
youбудет
to show
that this mapдоказать,
is invertible.
В упражнении
вам
предложено
что это отображение обратимо.
ith roundфункция
function is
defined as Rki (x)
ki , +
and
cipher является
is
i-я The
раундовая
определяется
как =
Rk R(x)
(x) = +
R(x)
ki,the
а шифр
i
the composition
ofRRk,1 ,которой
. . . ,Rkr preceded
by an initial
round keyсложение
addition with
композицией
Rk , …,
предшествует
начальное
с раундоkr
1
key
k
.
The
number
of
rounds
r
will
be
left
open
for
now.
The
round
keys
are
0
вым ключом k0. Пока что вопрос о количестве раундов r оставим открытым.
96
ki = k +
ci for iимеют
= 0, . . .вид
,r, with
key
cipher
c1,ключ
. . . ,crшифра,
Раундовые
ключи
ki = kk in
+ Fci2, i the
= 0,
…,ofr,the
где
k ∈ and
𝔽962 –
constants.
The
values
of
the
constants
on
the
state
cells
(from
left
to
right
and
а c1, …, cr – константы. Значения констант для ячеек состояния (слева
направо
top
to
bottom,
from
the
first
to
the
last
round)
are
given
by
the
Thue–Morse
и сверху вниз, с первого до последнего раунда) определяются последовательностью
Туэ–Морса
000, 111, 111, 000, 111, 000,. 000,
sequence
000,111,111,000,111,000,000,111,
. . 111 ….
Линейный
уровень
и шаг
MixColumns, step
в частности,
так, чтобы
The linear
layer, and
the MixColumns
in particular,выбирается
is chosen to ensure
каждый
гарантированно
содержал
много
активных
thatлинейный
every linearслед
trail involves
a high number
of active
S-boxes.
This is S-блоков.
an
В этом
состоитdifference
важное with
отличие
от демонстрационного
шифра
из раздела
1.1,
important
the example
cipher of Section 1.1,
for which
there
are linear trails with only one active S-box per round. By Theorem 2.6, the
effective linear approximations over a linear function x �→ Mx with M in
are all of the form (M u,u) with u in Fn2 . Hence, it makes sense to
Fn×n
2
constants. The values of the constants on the state cells (from left to right and
top to bottom, from the first to the last round) are given by the Thue–Morse
sequence 000,111,111,000,111,000,000,111, . . .
48 Оптимизация
линейных
The linear layer,
and theследов
MixColumns step in particular, is chosen to ensure
that every linear trail involves a high number of active S-boxes. This is an
для которого
линейные
следы,
содержащие
всего
один there
активный
importantсуществуют
difference with
the example
cipher
of Section 1.1,
for which
S-блок в раунде. По теореме 2.6, все эффективные линейные аппроксимации
are linear trails with only one active S-box per round. By Theorem 2.6, the
линейной функции x ↦ Mx, где M ∈ 𝔽2n×n, имеют вид (MTu, u), где u ∈ 𝔽2n. Поэтому
effective linear approximations over a linear function x �→ Mx with M in
имеет смысл
выбирать матрицу M так, чтобы общее
число ненулевых ячеек
n×n
are большим.
all of the form
(M u,u) withэти
u inненулевые
Fn2 . Hence,ячейки
it makesсоответствуют
sense to
в u и MFT2u было
Действительно,
choose
the
matrix
M
so
that
the
total
number
of
nonzero
cells
in
u
and
M вытекает
u is
активным S-блокам в раундах до и после линейного уровня. Отсюда
large.
Indeed,
these
nonzero
cells
correspond
to
active
S-boxes
in
the
rounds
следующее определение.
before and after the linear layer. This motivates the following definition.
Определение 3.1 (число линейных разветвлений). Пусть M – матрица размера
Definition 3.1 (Linear branch number) Let M be a bm × bn matrix over F .
bm×bn над 𝔽2. Числом линейных разветвлений M (или функции x ↦ Mx)2 назыlinear branch number of M (or the function x �→ Mx) is equal to
ваетсяThe
величина
B(M) = min wtm (x) + wtn (M x),,
x�=0
где wtlwhere
(x1‖x2‖wt…l (x
‖x1 �x
) = |{1 ≤ i ≤ l | xi ≠ 0}|
≤ i–≤вес
l | Хэмминга.
xi �= 0}| is the Hamming weight.
l 2 � · · · �xl ) = |{1
В упражнении 3.1 вам будет предложено показать, что число разветвлений
функции MixColumns равно четырем. Это означает, что линейный след двух раProperty
of Cambridge
University
Press doактивных
not shareS-блока.
or copy В упражундов всегда
включает
по меньшей
мере четыре
нении 3.3 вам будет предложено доказать, что любой четырехраундовый след
включает по меньшей мере 16 активных S-блоков.
3.2.2. Построение модели
Чтобы сформулировать задачу оптимизации как смешанно-целочисленную
линейную программу, мы введем двоичные целые переменные, соответствующие битам входной и выходной масок каждого уровня S-блоков. Моделирование шага ShiftRows не вызывает сложностей, поскольку сводится к перестановке (переименованию) переменных. Моделирование MixColumns и SubCells
обсуждается ниже.
Шаг MixColumns основан на операциях ИСКЛЮЧАЮЩЕЕ ИЛИ. Условие, согласно которому z является результатом применения ИСКЛЮЧАЮЩЕГО ИЛИ к x
и y, можно выразить с помощью линейных неравенств несколькими способами. Например, в предположении, что x, y и z – двоичные переменные,
x + y + z ≤ 2,
x + y + z ≥ 2d,
d ≥ x,
d ≥ y,
d ≥ z,
где все сложения производятся в целых числах, а d – новая целая фиктивная
переменная. Если d – двоичная переменная, то годится также следующее линейное равенство:
x + y + z = 2d.
Для реализации M нужно ИСКЛЮЧАЮЩЕЕ ИЛИ трех переменных. Чтобы выразить w в виде ИСКЛЮЧАЮЩЕГО ИЛИ x, y и z, это равенство можно обобщить:
w + x + y + z = 4d1 − 2d2 − 2d3,
3.2. Смешанно-целочисленное
линейное
программирование
“9781009607865book”
— 2025/12/2 —
14:12 —
page 42 — #54 49
где d1, d2 и d3 – фиктивные двоичные переменные. В частности, если (v1, v2, v3, v4) –
выходная маска для x ↦ Mx и (u1, u2, u3, u4) – входная маска, то
42
of4d
linear
u1,i + Optimization
v2,i + v3,i + v4,i =
− 2dtrails
− 2d3,
1
2
u2,i + v1,i + v3,i + v4,i = 4e1 − 2e2 − 2e3,
u3,i + v1,i + v2,i + v4,i = 4f1 − 2f2 − 2f3,
To model SubCells,
variable
for2geach
u4,i introduce
+ v1,i + v2,i +a vnew
= 4g
− 2g2 −
, S-box to indicate
3,i
1
3
whether or not it is active. In addition, ineffective linear approximations over
где u1,i – i-й бит u1, и аналогично для u2, u3, u4 и v1, …, v4.
the S-box must be ruled out. Assume that (u1,u2,u3 ) is the input mask and
Для (v
моделирования
дляvariable
каждого
новую
переменmask. If введем
a is a binary
thatS-блока
is one when
the S-box
1,v2,v3 ) the outputSubCells
ную, показывающую,
является
ли
он
активным.
Кроме
того,
следует
исклюis active and zero otherwise, then
чить неэффективные линейные аппроксимации S-блока. Предположим, что
(u1, u2, u3) – входная маска, а (v1, v2, v3) – выходная маска. Если a – двоичная пере≥ v1 + и
v20+в vпротивном
3,
менная, равная 1, когда S-блок 3a
активен,
случае, то
3a ≥ v1 + v2 + v3,
where the addition is again over the integers. Ruling out linear approximations
где подover
сложением
понимается
сложение
целых чисел.
Исключить
the S-boxснова
with correlation
zero
is more difficult.
However,
there is линейa
ные аппроксимации S-блока с нулевой корреляцией труднее.
Однако существуn
general approach to this problem. Recall that a set S ⊂ R is called convex
if,
ет общий подход к этой задаче. Напомним, что множество S ⊂ ℝn называется
for all x and y in S, all points on the connecting line {λx +(1−λ)y | λ ∈ [0,1]}
выпуклым, если для любых x, y ∈ S все точки, лежащие на соединяющем
их отare also contained within S. The convex hull of a set T ⊆ Rn is the smallest
резке {λx
+ (1−λ)y | λ ∈ [0,1]}, также принадлежат S. Выпуклой оболочкой множеset that includes
T.
ства T convex
⊆ ℝn называется
наименьшее
выпуклое множество, содержащее T.
The convex hull of a finite set is a convex polytope. For example, the convex
Выпуклой оболочкой конечного множества
является выпуклый политоп.
hull ofвыпуклая
the set {(0,0),(1,0),(0,1)}
⊂ R2 {(0,0),
is shown
in (0,1)}
Figure⊂3.3.
Например,
оболочка множества
(1,0),
ℝ2 Convex
показана на
polytopes
have
the
useful
property
that
they
can
be
described
by
a
finite
рис. 3.3. Выпуклые политопы обладают полезным свойством – их number
можно опиof linear inequalities.
This is because
every linear
cutsтого,
out aчто
halfсать конечным
числом линейных
неравенств.
Этоinequality
следует из
каждое
plane.
линейное
неравенство описывает полуплоскость.
Hence,
a set of inequalities
that rules
out ineffective
linear approximations
Поэтому
множество
неравенств,
исключающее
неэффективные
линейные
over S can beS,found
by finding
linear inequalities
that неравенства,
cut out the convex
аппроксимации
можно
найти,theотыскав
линейные
которые
описывают
выпуклую
оболочку
этого
множества
(с
точностью
до
каноническоhull of the set (up to the conventional map F2 �→ {0,1} ⊂ R)
го отображения 𝔽2 ↪ {0,1} ⊂ ℝ)
T = (u1,u2,u3,v1,v2,v3 ) ∈ F62 CvS1 v2 v3,u1 u2 u3 �= 0 ⊂ R6.
6
Важно, что выпуклая оболочка T не содержит никаких точек {0,1}
, кроме
6 other
Importantly,
the
convex
hull
of
T
does
not
contain
any
points
in
{0,1}
принадлежащих T. Не вдаваясь в детали, скажем, что выпуклую оболочку мноthoseвычислить
in T . Without
going intoалгоритма
details, the Quickhull.
convex hullМножество
of a set canлинейжестваthan
можно
с помощью
be
computed
using
the
Quickhull
algorithm.
The
set
of
linear
inequalities
ных неравенств, полученных из представления выпуклой оболочки,
не обязаfrom theПоэтому
convex hull
representation
is notдополнительные
necessarily minimal.
тельноobtained
минимально.
часто
применяются
методы,
чтобы Hence,
уменьшить
число
линейных
неравенств.
Нахождение
additional
methods
are often
used to reduce
the numberминимального
of linear
подмножества
неравенств
– задача
о покрытии
множества,
и ееproblem
саму можно
inequalities.
Finding a minimal
subset
of inequalities
is a set cover
решить
методами
смешанно-целочисленного
линейного
программирования.
and
can itself be
solved using mixed-integer linear
programming.
Рис. 3.3. Выпуклая оболочка множества {(0,0), (1,0), (0,1)}
Figure 3.3 The convex hull of the set {(0,0),(1,0),(0,1)}.
3.2 Mixed-integer linear programming
43
50
Оптимизация линейных следов
If a1, . . . ,al are the binary variables indicating whether or not the S-boxes
are
then the objective
function показывающие,
is equal to
Если a1, …,active,
al – двоичные
переменные,
активен S-блок или нет,
то целевая функция имеет вид
l
ai..
i=1
Она равна весу линейного следа, выраженному с помощью всех переменных.
Thisпредполагается,
is equal to the weight
the linear trail
expressed byвсех
all ofлинейных
the variables.
При этом
чтоofненулевые
корреляции
аппрокThis
assumes
that
the
nonzero
correlations
of
all
linear
approximations
over
1
симаций S-блока равны ± ⁄2. В общем случае может оказаться необходимым
the S-boxвеса
are целыми
equal to ±1/2.
In general, или
it may
be necessary
to encodeпеременthe
закодировать
переменными
определить
несколько
weights
as
integer
variables
or
to
define
multiple
variables
corresponding
ных, соответствующих линейным аппроксимациям с разными весами.to
linear approximations with different weights.
3.2.3. Решение модели
К популярным решателям задачи смешанно-целочисленного программирова3.2.3 относятся
Solving the
modelи Gurobi. Задачи подаются на вход решателя либо
ния (MILP)
CPLEX
программно с помощью API, либо в виде файла. Большинство решателей подPopular MILP solvers include CPLEX and Gurobi. Problems are either
держивают формат LP. LP-файл является текстовым файлом, содержащим цеsubmitted to the solver programmatically using a solver-specific API, or given
левую функцию, неравенства и типы всех переменных. Например:
as a file. Most solvers support the LP format. LP files are text files that
\ Целевая
функция
(minimizefunction,
или maximize)
contain
the objective
the inequalities and the type of all variables.
minimize
For example:
x + y + z
\ Список неравенств
subject to
2 - x - y\- Objective
z >= 0
(minimize or maximize)
x + y + zminimize
- 2d >= 0
d - x >= x0 + y + z
d - y >= \0 List of inequalities
d - z >= 0
subject to
\ Типы переменных
2 - x - y - z >= 0
generals
x + y + z - 2d >= 0
d
binary d - x >= 0
d - y >= 0
x y z
d - z >= 0
end
\ Variable types
generals
ыполнимость и выполнимость в теориях
d
Выполнимость
binary(satisfiability), или «SAT», – это задача принятия решений, в которой спрашивается,
можно ли назначить переменным значения «ложь» или
x y z
«истина»,
так
чтобы
заданная
булева формула стала истинной. На практике
end
часто полезен вариант данной задачи, подразумевающий поиск, но правильное назначение можно эффективно найти, повторно решая задачу принятия
решений. Большинство решателей предполагают, что булева формула является
конъюнктивной нормальной формой. А именно любую булеву формулу с n переProperty of Cambridge University Press do not share or copy
менными x1, …, xn над 𝔽2 можно записать в виде
3.3. В
practice, it is often the search variant of this problem that is useful – but a
valid assignment can be found efficiently by repeatedly solving the decision
problem. Most solvers assume that the Boolean formula is in conjunctive
normal form. Specifically, every Boolean formula in n variables x1, . . . ,xn in
3.3. Выполнимость и выполнимость в теориях 51
F2 can be written as
m
i=1
(xi1 + bi1 ) ∨ (xi2 + bi2 ) ∨ · · · ∨ (xili + bili ),,
where ∧ denotes
∨ denotes
“or,”
bi1bi
, . . .∈,b𝔽ili –are
constants in F2 .
где ∧ обозначает
И, ∨ “and,”
обозначает
ИЛИ,
а band
, …,
константы.
li
i1
2
Satisfiability modulo theories (SMT) extend the
satisfiability problem to
Выполнимость в теориях (satisfiability modulo theories – SMT) обобщает
general formulas
can общие
include quantifiers,
variables,
bitvecзадачуmore
выполнимости
на that
более
формулы,integer
которые
могут
включать
tors,
.
.
.
Internally,
SMT
solvers
often
convert
at
least
part
of
the
problem
to a уровкванторы, целые переменные, битовые векторы и т. д. На внутреннем
SAT instance. часто преобразуют по крайней мере часть задачи в экне SMT-решатели
земпляр Both
SAT.SAT and SMT are difficult to solve in general. As in the case of mixedintegerслучае
linear programming,
weтрудноразрешимы.
take the existence of solvers
can dealсмешанноwith
В общем
и SAT, и SMT
Как иthat
в случае
practical instances
for granted.
целочисленного
линейного
программирования, мы примем как данность существование решателей, способных практически разрешать такие задачи.
Example:
Add-rotate-xor
cipher
3.3.1.3.3.1
Пример:
шифр
add-rotate-xor
Some шифры
ciphers do
notвведения
rely on small
S-boxes to полагаются
introduce nonlinearity,
but
Некоторые
для
нелинейности
не на маленькие
S-блоки,
на операции
длинными
которые
аппаратно
поддерon аoperations
with сlong
operands операндами,
that are natively
supported
by modern
живаются
современными
процессорами
(например,
сложение
по
модулю
processors (such as modular addition or bitwise-and). The example given или
поразрядное
И). В этом
приведен пример
типа
add-rotate-xor
in this section
is partразделе
of the add-rotate-xor
(ARX) шифра
family of
designs.
The
(ARX, optimization
«сложение –
циклический
сдвиг
–
исключающее
или»).
Оптимизацию
of trails in such ciphers can often be conveniently modeled as
следовanв SMT
такихproblem
шифрах
часто
удобно
моделировать как SMT-задачу с битовыwith
bitvector
variables.
ми векторами в качестве переменных.
The round function of the example is shown in Figure 3.4b. The symbol
Раундовая функция для этого примера
показана на рис. 3.4b. Символ ⊞
The round
“ ” represents integer addition modulo 2n , for n in {24,32,48,64}.
представляет целочисленное сложение по модулю 2n, где n ∈ {24, 32, 48, 64}. Раkeys
are
generated
by
iterating
a
similar
function,
as
shown
in
Figure
ундовые ключи генерируются аналогичной функцией, показанной на3.4a.
рис. 3.4a.
This cipher
is calledSpeck
Speckиand
designed by employees
of theнациональной
National
Этот шифр
называется
былwas
спроектирован
в Агентстве
Security Agency
безопасности
США. of the United States.
Similar
to theтипа
Rijndael-like
from Section
the number
of rounds
Как и для
шифра
Rijndaelcipher
из раздела
3.2.1,3.2.1,
количество
раундов
пока заbe left open
forотличие
now. Unlike
for the Rijndael-like
cipher,
is no
даватьwill
не будем.
Но в
от шифра
типа Rijndael
дляthere
Speck
не simple
существует
argument
to upper bound
the absolute
correlation
of trails for Speck.
простого
рассуждения,
которое
позволило
бы ограничить
абсолютную корреляцию следов сверху.
3.3.2 Building a model
≫ 8
≫ 8
The coordinates of the correlation matrices of the linear functions in the cipher
(rotations and exclusive-or between two branches) have closed-form formulas
Property of Cambridge University Press do not share or copy
i
ki
≪ 3
≪ 3
ki
(a) Один раунд развертки ключа
(b) Один раунд шифра
Рис. 3.4. Шифр Speck типа ARX
52
ki
Оптимизация линейных следов
(a) One round of the key schedule.
3.3.2. Построение модели
Figure 3.4
(b) One round of the cipher.
The ARX cipher Speck.
Для элементов корреляционных матриц линейных функций шифра (циклических сдвигов
ИЛИ
двух ветвей)
имеются замкнутые
that can иbeИСКЛЮЧАЮЩЕГО
converted into bitvector
constraints
in a straightforward
way. The формулы, которые
можно
без
труда
преобразовать
в
ограничения
на
addition modulo a power of two poses the main difficulty. However,битовые
it turns векторы. Основную
трудность
представляет
сложение
по
модулю
степени
двойки.
out that there is also a simple formula for the coordinates of the correlation
Однако оказывается, что для элементов корреляционной матрицы этой операmatrix of this operation.
ции также существует простая формула.
The formula is derived by transforming the graph of the modular addition
Эта формула выводится путем преобразования графика функции сложения
function
to the graph
of a function
that is
easier работать.
to deal with.
The graphфункции
of
по модулю в график
функции,
с которой
проще
Графиком
n
m
n
F
:
F
→
F
is
the
set
of
pairs
G
=
{(x,F(x))
|
x
∈
F
}.
In
n a function
m
n
2
2
F : 𝔽2 → 𝔽 2 является множество
пар GF = {(x, F(x))F| x ∈ 𝔽2}. В частности, 2G⊞ являетparticular,
G is the
graph of по
the модулю
modular addition
function
ся графиком
функции
сложения
2n x ‖ y ↦
x ⊞ y. x y �→ x � y
n
with modulus 2 .
Лемма 3.2 (Шульте–Гееса). Пусть M ∈ 𝔽n×n
– нижнетреугольная матрица
be the lower-triangular matrix
Lemma 3.2 (Schulte–Geers) Let M ∈2 Fn×n
2
⎡
⎤
0 0 0 ··· 0 0
⎢1 0 0 · · · 0 0⎥
⎢
⎥
⎢
⎥
⎢1 1 0 · · · 0 0⎥
M=⎢
. .⎥
⎢ .. .. .. . .
⎥..
. .. .. ⎥
⎢. . .
⎢
⎥
⎣1 1 1 · · · 0 0⎦
1 1 1 ··· 1 0
→ Fn2 be определенная
the function defined
Q(x
= M(x
y), x ∧ y –
let→Q𝔽:n F–2n
Пусть Furthermore,
также Q : 𝔽2n
как by
Q(x
‖ y) =y)M(x
∧ y),∧где
2функция,
2
2
where
x
∧
y
is
the
bitwise-and
of
x
and
y.
The
map
(x
y,z)
→
�
((x
+
z)
“9781009607865book”
—
2025/12/2
—
14:12
—
page
46
—
#58
поразрядное И величин x и y. Отображение (x ‖ y, z) ↦ ((x + z) ‖ (y + z), x + y + z)
(y +
z),x + y G
+⊞z)
isQa. bijection from G to GQ .
является
биекцией
вG
Доказательство.
Нетрудно
y, +
z) z),x
↦ ((x++y z)
Proof It is not
difficult видеть,
to see thatчто
(x отображение
y,z) �→ ((x + (x
z) ‖ (y
+ ‖z)(y + z),
x + y + is
z) a–bijection
биекция,
если
оно
корректно
определено.
Поэтому
достаточно
if it is well-defined.
Hence,ofitlinear
suffices
to verify that if z = x � y, про46
Optimization
trails
верить, что если z = x ⊞ y, то
then
x x++yy +
Q(x++z z‖ yy++
+ zz ==Q(x
z).z).
However, c = x + y + z is equal to the vector of carry bits obtained during the
modular
of x and
y. Theseбитов
carry bits
c satisfyполученных
c1 = 0 and при сложении
Однако
c = xaddition
+ y + z равно
вектору
переноса,
Property of Cambridge University Press do not share or copy
x и y по модулю. Эти биты переноса c удовлетворяют соотношениям c1 = 0 и
ci+1 = ci + (xi + zi )(yi + zi ).
c = c + (x + zi)(yi + zi ).
The above relation followsi+1fromi thei grade
school algorithm
for addition.
ЭтиHence,
соотношения
следуют
из toшкольного
сложения.
Отсюда
the carry vector
c is equal
M (x + z) ∧алгоритма
(y + z) = Q(x
+ z y + z).
вектор переноса c равен M((x + z)∧(y + z) = Q(x + z ‖ y + z).
□
�
В теореме 3.3 знак ≼. обозначает поэлементное упорядочение битовых векIn Theorem 3.3, the notation � refers to the coordinate-wise ordering of
торов длины n, определенное как 0 ≼ 0, 0 ≼ 1 и 1 ≼ 1. Заметим, что x ≼ y – то же
bitvectors of length n defined by 0 � 0, 0 � 1 and 1 � 1. Note that x � y is
самое, что «xi влечет
yi» для_ i = 1, …, n. Следовательно, x ≼ y можно также переthe same as “x_ implies
y ” for i = 1, . . . ,n. Hence, x � y can also be written
писать в виде x ∧ yi= 0, где y i – поразрядное дополнение y.
as x ∧ ȳ = 0 with ȳ the bitwise complement of y.
⊞
Теорема
3.3. Пусть
u, vu,иv w
– маски
в 𝔽2n.inТогда
≠ 0 тогда
и�=только
w,u‖v that C
holds
0 if andтогда,
Theorem
3.3 Let
and
w be masks
Fn2 . It C
w,u v
T
когда (u + w) ∨ (v + w) ≼ M (u + v + w).
Кроме того, в этом случае
only if (u + w) ∨ (v + w) � M (u + v + w). Furthermore, in this case
(u+w)
Cw,
u v = (−1)
(v+w)
/2wt(M
(u+v+w))
n
Proof The correlation matrix of � : F2n
2 → F2 satisfies
1
C
=
(−1)u x+v y+w z .
.
as x ∧ ȳ = 0 with ȳ the bitwise complement of y.
n
Theorem 3.3 Let u, v and w be masks in Fn22 . It holds that Cw,u
� 0 if and
w,u
vv =
only if (u + w) ∨ (v + w) � M (u + v + w). Furthermore, in this case
3.3. Выполнимость
и выполнимость
в теориях 53
(u+w) (v+w)
(v+w) wt(M
wt(M (u+v+w))
(u+v+w))
(u+w)
Cw,
/2
.
vv = (−1)
w, u
u
Доказательство. Корреляционная матрица функции ⊞: 𝔽2n
→ 𝔽2n удовлетворяет
2
2n
n
2n
n
Proof
The
correlation
matrix
of
�
:
F
→
F
satisfies
соотношению
22
22
1
x+v y+w
y+w zz
Cw,u
= n
(−1)uu x+v
.
v
w,u v
2n
y,z)∈G
(x
y,z)∈G
(x
Using Lemma
3.23.2
andи aподстановку,
substitution gives
Применяя
лемму
получаем
1
u (x+z)+v (y+z)+w (x+y+z)
Cw,u
(−1)u (x+z)+v (y+z)+w (x+y+z)
w,u
vv = 2n
n
1
= n
2n
(x
y,z)∈GQ
y,z)∈G
Q
(x
x+(v+w) y+(u+v+w) z
(u+w)
(−1)(u+w)
x+(v+w) y+(u+v+w) z
y,z)∈G
(x
y,z)∈GQ
Q
(x
Q
Q
= Cu+v+w,(u+w)
u+v+w,(u+w)
(v+w) ..
(v+w)
Since Q Qis сthe
same as bitwise-and
up to на
multiplication
by сM,
the result
Поскольку
точностью
до умножения
M совпадает
поразрядным
И,
follows from the formula for the correlation matrix of bitwise-and in
результат следует из формулы для корреляционной матрицы поразрядного И,
Exercise в2.8.
приведенной
упражнении 2.8. �
□
As an example,
us constructмодель
a model for
one round
of Speck.
If theSpeck.
input Если
В качестве
примераletпостроим
одного
раунда
шифра
mask
is
equal
to
u
u
and
the
output
mask
is
equal
to
v
v
,
then
the
input
входная маска равна 11u1 ‖22u2, а выходная – v1 ‖ v2., то входная
маска сложения
11
22
по модулю
равна
(u1 ≫ 8)
‖ (u2 +is(v(u
≫
3)).
Выходная
маска
равна
+ v2. Под1
2
2
mask of
the modular
addition
≫
8)
(u
+
(v
≫
3)).
The voutput
2
2
2 1
1
становка
3.3 дает ограничения
на битовый
вектор,
при которых
maskвisтеорему
v11 +v22 . Substituting
this in into Theorem
3.3 gives bitvector
constraints
однораундовая
Комбинирование
to ensure thatлинейная
a one-roundаппроксимация
linear approximationэффективна.
is effective. Combining
these
этих условий
ограничения,
при
которых
имеет
ненулевую
conditionsдает
yields
the constraints for
a trail
to haveслед
nonzero
correlation.
Finally,корреляцию. Наконец, следует добавить еще одно ограничение, потребовав, чтоone should add one more constraint to set the sum of the weights of the
бы сумма весов линейной аппроксимации (которую также дает теорема 3.3)
была равна константе W. Если существует след с абсолютной корреляцией 2−W, то решатель его найдет. В противном случае он сообщит, что задача
невыполнима.
Property of Cambridge University Press do not share or copy
Большинство операций, имеющих место при вышеупомянутых ограничениях, предоставлены SMT-решателями, которые поддерживают битовые векторы в качестве переменных. Основные исключения – умножение на M и вес
Хэмминга. Однако их легко выразить в терминах операций над битовыми векторами и целочисленного сложения.
3.3.3. Решение модели
После того как модель построена, ее можно решить, положив вес следа W равным нижней границе (в худшем случае 0). Если решатель сообщает, что задача невыполнима, то производится попытка решить ее снова с весом следа
W + 1. Этот процесс повторяется, пока не будет найдено решение с минимальным весом.
К числу популярных SMT-решателей с поддержкой битовых векторов
относятся Boolector и Z3. Задачи формулируются либо с помощью зависящего от решателя API, либо в широко поддерживаемом файловом формате
LibSMT.
54
Оптимизация линейных следов
3.4. Историческая справка
Методы автоматизации поиска линейных следов применялись с первых
дней линейного криптоанализа, начиная с метода ветвей и границ Мацуи.
Примерно в 2010 году популярной альтернативой стали готовые решатели
MILP и SAT, а к настоящему времени накопилась обширная литература по
этому вопросу.
Стратегия широкого следа была предложена Даменом в его докторской
диссертации, а впоследствии развита в совместной работе с Рэйменом. Блочный шифр Rijndael, лежащий в основе примера из раздела 3.2.1, был спро“9781009607865book”
— 2025/12/2
— 14:12
page 48 —версия
#60
ектирован
Даменом и Рэйменом
в 1997 году,
а его —
128-битовая
была
стандартизована Национальным институтом стандартов и технологий США
(NIST) в 2001 году.
Хотя терминология «шифр типа ARX» появилась позже, первые шифры, спроектированные
на основе этогоOptimization
подхода, были
опубликованы
еще в 1980-х годах.
48
of linear
trails
Блочный шифр Speck, использованный в качестве примера в разделе 3.3.1, появился в 2013 году. Эффективный алгоритм вычисления корреляций линейных
аппроксимаций для сложения по модулю впервые описал Уоллрен в 2003 году.
3.5 References
Упрощенная формула в теореме 3.3 принадлежит Шульте–Геесу.
Beaulieu, Ray et al. (2013). The SIMON and SPECK Families of Lightweight
Block Ciphers. Cryptology ePrint Archive, Report 2013/404. url: https://
итература
eprint.iacr.org/2013/404.
Beaulieu, Ray et al. (2013). The SIMON and SPECK Families of Lightweight Block CiDaemen, Joan and Vincent Rijmen (Dec. 2001). “The Wide Trail Design
phers. Cryptology ePrint Archive, Report 2013/404. url: https://eprint.iacr.org/2013/404.
Strategy.” In: 8th IMA International Conference on Cryptography and
Daemen, Joan and Vincent Rijmen (Dec. 2001). «The Wide Trail Design Strategy».
Coding. Ed. by Bahram Honary. Vol. 2260. LNCS. Springer, Berlin,
In: 8th IMA International Conference on Cryptography and Coding. Ed. by BahHeidelberg, pp. 222–238. doi: 10.1007/3-540-45325-3 20.
ram Honary. Vol. 2260. LNCS. Springer, Berlin, Heidelberg, pp. 222–238.
doi:
Schulte-Geers,
Ernst (2013). “On CCZ-equivalence of addition mod 2n .” In:
10.1007/3-540-45325-3_20.
Designs, Codes and Cryptography 66, pp. 111–127.
Schulte-Geers, Ernst (2013). «On CCZ-equivalence of addition mod 2n». In: Designs,
Wallén, Johan (Feb. 2003). “Linear Approximations of Addition Modulo 2n .”
Codes and Cryptography 66, pp. 111–127.
In: FSE 2003. Ed. by Thomas Johansson. Vol. 2887. LNCS. Springer,
Walleґn, Johan (Feb. 2003). «Linear Approximations of Addition Modulo 2n». In: FSE
Berlin, Heidelberg, pp. 261–273. doi: 10.1007/978-3-540-39887-5 20.
2003. Ed. by Thomas Johansson. Vol. 2887. LNCS. Springer, Berlin, Heidelberg,
pp. 261–273. doi: 10.1007/978-3-540-39887-5_20.
3.5. Л
3.6. Упражнения
Упражнение 3.1
3.6 Exercises
Exercise 3.1
В этомThis
упражнении
исследуются
свойства
MixColumns
exercise explores
the properties
of theшага
MixColumns
stepдемонстрационного
of the Rijndaelшифраlike
типа
Rijndael.
В разделе
3.2.1
было 3.2.1
отмечено,
отображение
example
cipher.
Recall from
Section
that thisчто
mapэто
corresponds
to the соответствует
блочной
block
matrix матрице, состоящей из блоков 3×3 над 𝔽2.
⎡
⎤
0 I I I
⎢I 0 I I ⎥
⎥.
M=⎢
⎣I I 0 I ⎦ ,
I
I
I
with 3 × 3 blocks over F2 .
0
1. Show that M is invertible and find its inverse.
2. What is the linear branch number of M?
3.6. Упражнения 55
1. Покажите, что M обратима, и найдите обратную ей матрицу.
2. Чему равно число линейных разветвлений M?
* Упражнение 3.2
Рассмотрим демонстрационный шифр типа Rijndael из раздела 3.2.1. Покажите, что
“9781009607865book”
— 2025/12/2
14:12 — page 49линейного
— #61
1) абсолютная
корреляция
любого —
двухраундового
следа
не превышает 1/24;
2) абсолютная корреляция любого четырехраундового линейного следа
не превышает 1/216.
3.6 Exercises
49
Упражнение 3.3
В этом упражнении исследуются некоторые свойства числа разветвлений ℬ(M)
bm × bn matrix and that the Hamming weight is defined with respect to b-bit
матрицы M или линейного отображения x ↦ Mx над 𝔽2 (см. определение 3.1).
blocks.
Предположим, что M – матрица размера bm×bn и что вес Хэмминга определен
−1
1. Prove that
if M is invertible,
относительно
b-битовых
блоков.then B(M) = B(M ).
Using the definition
branch number,
that−1the
1. 2.Докажите,
что еслиof
Mthe
обратима,
то ℬ(M)
= ℬ(M
). Hamming weight�
�show
of every element
of the vector
space
C = u � v | vпокажите,
∈ Fbm
=M
2. Используя
определение
числа
разветвлений,
что
весvХэммин2 and u
−1
bm
гаisкаждого
элемента
пространства
C = {u to
‖ vM| v ∈?𝔽2 и u = MTv}
at least B(M).
Whatвекторного
is the vector space
C corresponding
–1
меньше
ℬ(M).
Какое
векторное
пространство
3.неShow
that the
branch
number
of M is at
most n + 1. C соответствует M ?
3. Покажите, что число разветвлений M не превышает n + 1.
In the coding theory literature, the vector space C is called a block code. The
В литературе по теории кодирования векторное пространство C называется
upper bound of n + 1 on the branch number is known as the singleton bound.
блочным кодом. Верхняя граница n + 1 числа разветвлений называется граниA matrix M with branch number n + 1 is called maximum distance separable
цей Синглтона. Матрица M с числом разветвлений n + 1 называется матрицей
or MDS for short.
с максимальным
разделением, или MDS-матрицей (maximum distance separable).
* Упражнение 3.4
�
Exercise 3.4
Thisупражнении
exercise introduces
a particular
construction
of MDS MDS-матриц,
matrices based on
В этом
вводится
конкретное
построение
основанpolynomials
over
finite
fields.
Hence,
some
familiarity
with
the
of finite необное на полиномах над конечными полями. Поэтому для theory
его решения
fields
is required toсsolve
this exercise.
As discussed
in Exercise
3.3, a bn ×
ходимо
знакомство
теорией
конечных
полей. Как
было сказано
в bn
упражнеmatrix
over F2 размера
with b × bbn×bn
blocksнад
is called
MDS
its branch number
equal назынии 3.3,
матрица
полем
𝔽2,ifсостоящая
из b×b is
блоков,
вается
MDS-матрицей,
to B(M)
= n + 1. если ее число разветвлений ℬ(M) равно n + 1.
n 𝔽n – произвольное ли1. 1.Пусть
– aконечное
порядка
𝔽n →
Let F𝔽
finite field поле
of order
2b and L2b: иFn2L:
b →2b F2b an
2b arbitrary linear
2b2bbe
n𝔽 -линейное
нейное
отображение.
Покажите,
что Fсуществует
обратимое
map. Show
that there exists
an invertible
-linear
map
β
: Fbn
2
2 → F2b 2and
n
n
отображение
β : 𝔽2bM→over
𝔽2b иFматрица
M размера
bn×bn над 𝔽2 такие,
−1
a bn × bn matrix
to L. что x ↦
2 so that x �→ β (M β(x)) is equal
β−1(MTβ(x)) равно L. Покажите, что число разветвлений M удовлетворяет
Show that the branch number of M satisfies
соотношению
B(M) = max wt(x) + wt(L(x)),,
x�=0
– число
ненулевых
элементов
x ∈of
𝔽2bnx. in Fn2b .
где
wt(x)
with
wt(x)
the number
of nonzero
coordinates
Let ppx –
beполином
a polynomial
of degree
1 with coefficients xx,1,…,
. . .x,x, nгде
, x , …,
2. 2.Пусть
степени
≤ n −≤1nс −
коэффициентами
x
1
n
1
n
of a vector
in F2любых
that
forα all
x1, . . . ,xвектора
n are the xcoordinates
b . Showα
xn where
– элементы
∈ 𝔽2bn . Покажите,
чтоx для
, …,
∈ 𝔽2bn сле1
n
L : Fn2b →линейным:
Fn2b is linear:
α1, . . . ,α
n in F2b , the following
дующее
отображение
L: 𝔽2bn → map
𝔽2bn является
⎡
⎤
px (α1 )
⎢
⎥
L : x �→ ⎣ ... ⎦ .
p (α )
with wt(x) the number of nonzero coordinates of x in F2b .
56
2. Let px be a polynomial of degree ≤ n − 1 with coefficients x1, . . . ,xn ,
where x1, . . . ,xn are the coordinates of a vector x in Fn2b . Show that for all
n
n
1, . . . ,αn in Fлинейных
αОптимизация
следов map L : F2b → F2b is linear:
2b , the following
⎡
⎤
px (α1 )
⎢
⎥
L : x �→ ⎣ ... ⎦. .
“9781009607865book”
“9781009607865book”
——
2025/12/2
2025/12/2
——
14:12
14:12
——
page
page
50 50
——
#62#62
“9781009607865book”
—
2025/12/2
—
p (α
)14:12 — page 50 — #62
x
n
3. Постройте α1, …, αn ∈ 𝔽2b так, чтобы матрица M, построенная по функции
3.L, Construct
elements
α1, . . . ,αn of
2b so that the matrix M constructed
имела число
разветвлений
n +F1.
from
the
function
L
has
branch
number
+ trails
1. trails
50 50 50
Optimization
Optimization
of linear
of linear
trails
Optimization
of n
linear
Код, соответствующий матрице M (см. упражнение 3.3), называется кодом
The code corresponding to M (see Exercise 3.3) is called a Reed–Solomon
Рида–Соломона.
code.
Упражнение 3.5
Exercise
Exercise
3.53.53.5
Exercise
TheThe
S-box
of the
of the
block
block
cipher
cipher
Rijndael
Rijndael
is based
is based
onна
the
onотображении
the
map
map
xmap
�→
x �→
1/x
1/x
in1/x
ainfinite
ainfinite
The
S-box
of
the
block
cipher
Rijndael
is based
on
the
x �→
aвfinite
S-блок
вS-box
блочном
Rijndael
основан
1/x
конечном
Property шифре
of Cambridge
University
Press
do not share xor↦copy
n
n
n
nF
nF.2Let
nβF→
nF2
nβ. :Let
n n→
field
field
F
.
Let
F
β
:
→
F
be
F
an
be
invertible
an
invertible
linear
linear
map,
map,
A
an
A
n
an
×
n
n
×
matrix
n
matrix
over
over
field
:
F
be
an
invertible
linear
map,
A
an
n
×
n
matrix
over раз2
2
2
2
2
2
поле 𝔽2n. Пусть β : 𝔽2n → 𝔽2 – обратимое
линейное отображение, A – матрица
2
n n n
n
F2 and
Fn×n
b2 and
a bvector
ab𝔽vector
.F
Define
. Define
the
the
S-box
S-box
S: F
Sn2: S→
F:n2 F𝔽→
Fn2nn2. →
by
Fn2 Fby
a, vector
in
the
S-box
2 Fand
мера
над
аinb F–in2вектор,
принадлежащий
Определим
S-блок S: 𝔽2n→ 𝔽2n как
2F
2 . Define
2 by
2
2
−1 (1/β(x))
−1 (1/β(x))
Aβ −1
Aβ(1/β(x))
+ b+
if xbif�=xif0,�=
0,, 0,
если
x �=
Aβ
, b+
S(x)
S(x)
=
==
S(x)
b b b
else.
else. случае.
вelse.
противном
The
The
goal
goal
ofgoal
this
ofупражнения
this
exercise
exercise
is tois–show
to
show
that
allthat
nontrivial
all all
nontrivial
linear
linear
approximations
approximations
of of of
The
of
this
exercise
is
to that
show
nontrivial
linear
approximations
Цель
этого
показать,
что
все
нетривиальные
линейные
аппрокthe
the
AES
AES
have
have
low
low
absolute
absolute
correlation.
correlation.
To
prove
To
prove
this
this
result,
result,
you
you
may
may
use
use
the
thethe
the
AES
have
low
absolute
correlation.
To
prove
this
result,
you
may
use
симации шифра AES имеют низкую абсолютную корреляцию. Для доказательства
following
following
bound
bound
for
for
Kloosterman
Kloosterman
sums:
sums:
following
bound
for
Kloosterman
sums:следующей оценкой сумм Клоостермана:
этого
результата
можно
воспользоваться
n/2+1
Tr(x+c/x)
Tr(x+c/x)
Tr(x+c/x)
(−1)
, ,,
≤ 2≤ 2≤n/2+1
(−1)
(−1)
2,n/2+1
× × ×
x∈F x∈F
x∈F
n
n
2
2 2n
nF.2This
n . This
where
where
Tr
F2:Tr
→
F
is2 F
the
is2 следа,
the
trace
function
and
and
c and
isc aiscconstant
ais constant
in Fin2nin
F
. 2This
:–
istrace
the
trace
function
a constant
8F2→
28Fфункция
2→
где
Tr
:where
𝔽28: Tr
→
𝔽8 F
а c function
∈𝔽
– константа.
Для
решения
этого
упраж2
2n
exercise
exercise
requires
requires
some
some
familiarity
familiarity
with
with
the
the
theory
theory
of
finite
of
finite
fields.
fields.
exercise
requires
some
familiarity
with
the
theory
of
finite
fields.
нения необходимо знакомство с теорией конечных полей.
1.1. Show
1. Покажите,
thatthat
it that
isitsufficient
isit sufficient
to bound
to bound
the
the
correlations
correlations
of linear
of
linear
approximations
approximations
1.Show
Show
isдостаточно
sufficient
to bound
the
correlations
of
linear
approximationsлинейчто
найти
верхнюю
границу
корреляций
−1β(1/β(x))
−1 (1/β(x))
−1 (1/β(x))
ofных
the
of of
the
function
function
defined
defined
by
x
by
→
�
x
→
�
β
for
for
x
=
�
x
0
=
�
and
0
and
→
�
0
0.
0. 0.
the
function
defined
by
x
→
�
β
for
x
=
�
0
and
аппроксимаций функции, определенной как x ↦ �→
β0−1�→
(1/β(x))
для x ≠ 0
и
0
↦
0.
2. Prove
2. 2.Prove
thatthat
the
the
absolute
absolute
correlation
correlation
of all
of of
nontrivial
all all
nontrivial
linear
linear
approximations
approximations
Prove
that
the
absolute
correlation
nontrivial
linear
approximations
1−n/2
2. ofДокажите,
абсолютная
корреляция всех нетривиальных линейных
Sofisof
SatisSmost
at
21−n/2
. .
is most
at 2что
most
2.1−n/2
аппроксимаций S не превышает 21−n/2.
3.3. Look
3. Найдите
up
the
up up
the
Rijndael
Rijndael
S-box
S-box
andand
compute
compute
its
correlation
its its
correlation
matrix.
matrix.
Compare
Compare
3.Look
Look
the
Rijndael
S-box
and
compute
correlation
matrix.
Compare
описание
S-блока
шифра
Rijndael
и вычислите
его
корреляциwith
with
your
your
result
result
for
for
n
=
n
8.
=
8.
withматрицу.
your resultСравните
for n = 8. со своим результатом для n = 8.
онную
Упражнение 3.6
Exercise
Exercise
3.63.63.6
Exercise
Используйте
метод
ветвей
иorграниц,
смешанно-целочисленное
линейное
UseUse
branch
branch
and
and
bound,
bound,
MILP
MILP
SMT
or or
SMT
to
automate
to to
automate
the the
optimization
optimization
of trails
of
trails
Use
branch
and
bound,
MILP
SMT
automate
the
optimization
of
trails программирование
(MILP)
или
SMT,
чтобы
автоматизировать
оптимизацию
in the
in in
the
example
example
cipher
cipher
from
from
Section
Section
1.1.1.1.
Use
Use
any
any
one
one
ofone
the
of of
the
following
following
tools
tools
to
to to слеthe
example
cipher
from
Section
1.1.
Use
any
the
following
tools
дов
в
демонстрационном
шифре
из
раздела
1.1.
Для
решения
этого
упражнеsolve
solve
this
this
exercise:
exercise:
solve
this
exercise:
ния воспользуйтесь одним из следующих инструментов:
•
Any
• любым
Any
programming
language
language
to implement
to implement
the
the
branch
branch
andand
bound
bound
method.
method.
• programming
Any
programming
language
to implement
the
branch
and
bound
method.и границ;
языком
программирования
для
реализации
метода
ветвей
2 to2create
2 create
1
•
Python
• Python
Python
withwith
Google
Google
OR-Tools
OR-Tools
to
and
and
solve
solve
MILP
MILP
models.
models.
• Python
with
Google
OR-Tools
to
create
and
solve
MILP
models.
с пакетом Google OR-Tools для создания и решения MILP-моделей;
3 to3create
2 and
to3 create
and
solve
solve
SMT
SMT
models.
•
Python
• Python
Python
withwith
PySMT
to create
and
solve
SMT
models. SMT-моделей.
• Python
with
PySMT
сPySMT
пакетом
PySMT
для
создания
иmodels.
решения
1
2
Using
Using
youryour
model
model
of the
of of
the
example
example
cipher,
cipher,
solve
solve
the
the
following
following
tasks:
tasks:
Using
your
model
the
example
cipher,
solve
the
following
tasks:
https://developers.google.com/optimization.
1.https://github.com/pysmt/pysmt.
Verify
1. 1.Verify
the the
results
results
from
from
Example
Example
2.3.2.3.2.3.
Verify
the
results
from
Example
−5 .−5
2. Find
2. 2.Find
aFind
linear
a linear
trailtrail
over
over
five
five
rounds
rounds
withwith
correlation
correlation
±2−5
±2.±2
.
a linear
trail
over
five
rounds
with
correlation
3.6. Упражнения 57
Используя свою модель демонстрационного шифра, решите следующие задачи.
1. Проверить результаты из примера 2.3.
2. Найти линейный след по пяти раундам с корреляцией ±2−5.
3. Выбрать один из линейных следов из предыдущей задачи и найти все
линейные следы для той же аппроксимации.
Упражнение 3.7
Воспользуйтесь MILP, чтобы смоделировать распространение линейных следов в демонстрационном шифре типа Rijndael из раздела 3.2.1.
1. Из упражнения 3.2 следует, что максимальная абсолютная корреляция
линейного следа по четырем раундам не превышает 2−16. Найдите след,
для которого эта оценка реализуется.
2. Для найденной выше линейной аппроксимации найдите линейный след
(или следы) с предыдущей по величине абсолютной корреляцией. Обсудите, какие следствия вытекают из этих дополнительных следов.
Упражнение 3.8
Воспользуйтесь SMT, чтобы смоделировать распространение линейных следов в демонстрационном шифре Simon с размером блока 32 бита, описанном
в упражнении 2.9.
1. Проверьте результат, найденный вами в упражнении 2.9.
2. Существуют ли еще какие-то линейные следы для той же линейной аппроксимации, которые следует принимать во внимание?
* Упражнение 3.9
Воспользуйтесь SMT, чтобы смоделировать распространение линейных следов
в шифре Speck с размером блока 64 бита, описанном в разделе 3.3.1. Найдите
оптимальный линейный след по семи раундам. Реализуйте первый алгоритм
Мацуи, чтобы восстановить один бит информации о секретном ключе, и проверьте, работает ли он в соответствии с ожиданиями.
Глава 4
Статистика линейного
криптоанализа
Определение эффективности линейного криптоанализа – это приложение статистической теории. В этой главе мы рассмотрим некоторые базовые понятия
статистики и обсудим, как они используются для оценивания стоимости линейных атак и второго алгоритма Мацуи в частности.
4.1. Статистический вывод
Параметрическое оценивание и проверка гипотез – две тесно связанные задачи статистического вывода. Обе они важны для анализа линейных атак, поэтому в настоящем разделе мы дадим обзор базовых принципов. Основным
результатом является теорема 4.1 о проверке гипотезы о совпадении двух
нормальных распределений с одинаковой дисперсией. Она неоднократно используется в этой книге. В приложении A приведены необходимые сведения
о нормальном распределении.
4.1.1. Статистические оценки
Пусть x – случайная величина с распределением вероятностей Pθ, где θ – неизвестный параметр. Например, предположим, что x имеет нормальное рас“9781009607865book”
— 2025/12/2σ2—
— знаем
page 53значения
— #65 μ.. Для
пределение
со средним μ и дисперсией
, но14:12
мы не
2
краткости обозначим это условие x ∼ 𝒩(μ, σ ).
Неизвестный параметр θ можно оценить, или «вывести», на основе выборки
x1, ... , xq из распределения Pθ. Оценкой (статистического) параметра θ распреде4.1f, которая
Statisticalотображает
inference
53 велиления Pθ называется функция
выборку (x1, …, xq) на
чину оценки параметра θ.
ПримерExample
4.1. Типичной
оценкой
среднего
= 𝔼(x)μслучайной
x являет4.1 A typical
estimator
for theμ mean
= E(x) of a величины
random variable
ся выборочное
среднее
x is the sample average
q
1
μ(x1, . . . ,xq ) =
xi ..
q
i=1
the mean распределения
of the distribution x
of–x неизвестный
is an unknown parameter,
then
ЕслиIfсреднее
параметр,
тоthis
этуestimator
оценку можcan
be
used
to
infer
its
value.
�
но использовать для вывода его значения.
⊳
To discuss the statistical properties of estimators, we consider the sample
itself to be a random variable. The distribution of a random sample (x1, . . . ,xq )
depends on the distribution Pθ as well as on the sampling strategy. The simplest
qμ = E(x) of a random variable
Example
4.1 Aaverage
typical estimator for the mean
1
q
x is the sample
1
μ
(x
,
.
.
.
,x
)
=
xi .
1
q
x is the sample average
μ(x1, . . . ,xq ) = q
q xi .
q1 i=1
q
i=1
μ(x1, . . . ,xq ) = 1
xi .
q 4.1.
If the mean of the distribution
of
x. .is,xanq )unknown
parameter,
then this estimator
μ
(x
,
.
=
xi Статистический
.
1
i=1
If the mean of the distribution of x is an unknown
parameter,
then this вывод
estimator 59
q
can be used to infer its value.
�
i=1
can
usedof
tothe
infer
its value. of x is an unknown parameter, then this estimator
�
If
thebemean
distribution
Для If
обсуждения
статистических
мыwe
будем
рассматривать
the
distribution
of xсвойств
is an unknown
parameter,
then
thisthe
estimator
To
discuss
the
statistical
of оценок
estimators,
consider
sample
can
bemean
usedof
tothe
infer
its value.properties
� саму
To
discuss
the
statistical
properties
of estimators,
we consider
the sample
выборку
как
случайную
величину.
Распределение
случайной
выборки
(x1�, …, xq)
can
be
used
to
infer
its
value.
itself to be a random variable. The distribution of a random sample (x1, . . . ,xq )
зависит
от
Pθ, а также
от стратегии
выборки.
itself
todiscuss
be a random
variable.
The distribution
of aформирования
random
sample (xthe
. . ,xq ) Прос
Toраспределения
the statistical
properties
of estimators,
we consider
1, .sample
depends
on thethe
distribution
Pproperties
on the sampling
The
simplest
θ as well asof
Totodiscuss
statistical
westrategy.
consider
sample
тейшаяitself
стратегия
– выборка
сP
возвращением:
этом
случае
x1, …,
as well
as onestimators,
theвof
sampling
strategy.
The
depends
onathe
distribution
be
random
variable.
distribution
a random
sample
(xthe
.независимы
. . ,xq )
θ The
1x,qsimplest
strategy
is sampling
with
replacement:
this case,
x1θ, называется
. . . ,x
q are independent
itself
toраспределение
be
random
variable.
The distribution
ofsampling
a random
sample
(x1несмещенной,
,simplest
. . . ,xq )
и все имеют
. Оценка
f in
параметра
strategy
is
with Preplacement:
in
x1, . .strategy.
. ,x
independent
depends
onasampling
the
distribution
onthis
thecase,
θPθ as well as
q are The
and all have
distribution
PθP
. An
fthe
forsampling
θ is unbiased
if The simplest
onsampling
the
distribution
well asinonthis
strategy.
если depends
θ asestimator
and all have
distribution
f for
θ isxunbiased
strategy
is
withPreplacement:
case,
are independent
θ . An estimator
1, . . . ,xq if
strategy
is
sampling
with
replacement:
in
this
case,
x
,
.
.
.
,x
are
1
q
E
f
(x
,
.
.
.
,x
)
=
θ
.
.
and all have distribution Pθ . An estimator
f qfor θ is unbiased if independent
EAnq estimator
f (x11, . . . ,x
) =θ θis. unbiased if
qfor
and all have distribution Pxxθ11.,...,x
f
,...,x
q
E
f
(x
,
.
.
.
,x
θ.
q ) =where
Perhaps
counterintuitively,
there
are1 also cases
biased estimators
are
x1,...,x
Быть
может,
вопреки интуиции
оценки
иногда
бывают полезны,
E q fсмещенные
(x1,also
. . . ,x
θ.
Perhaps
counterintuitively,
there
are
cases
where
biased estimators
are
q) =
x1,...,x
q1, . . . ,xq ) is close to θ with high probability.
useful
–
in
particular
when
f
(x
в частности
f(x1, …,when
xq) с fбольшой
вероятностью
близко
кprobability.
θ.
useful –когда
in
particular
(x1, .are
. . ,xalso
closewhere
to θ with
highestimators
Perhaps
counterintuitively,
there
biased
are
q ) iscases
Perhaps
counterintuitively,
are defined
also
cases
where
biased
are
Example
4.2
The sample
average
in вExample
4.1
isestimators
an
unbiased
useful
– in
particular
when fthere
(xопределенное
to
θ with
high
probability.
1, . . . ,x
q ) is close
Примерuseful
4.2. Выборочное
примере
4.1,
является
несмеExample
4.2
The среднее,
sample
average
defined
in
Example
4.1
is
an
unbiased
–
in
particular
when
f
(x
,
.
.
.
,x
)
is
close
to
θ
with
high
probability.
1
q
estimator
forсреднего
the meanслучайной
of a random
variable
x.x.Indeed,
let деле,
(x1, . пусть
. . ,xq ) (x
be, …,
a x )–
щенной
оценкой
величины
В
самом
estimator 4.2
for the
mean
of a average
random defined
variable in
x. Example
Indeed, let4.1(x1is, .an
. . ,x
Example
The
sample
unbiased
1 a
q
q ) be
random
sample
so that
the
marginal
distribution
of
xi распределение
matches
the
distribution
Example
4.2
The
sample
defined
Example
is, .an
unbiased
случайная
выборка,
так
что
частное
(маргинальное)
x)i совпадает
random
sample
somean
that
the
marginal
distribution
xi matches
distribution
estimator
for the
of
a average
random
variable in
x. of
Indeed,
let4.1(xthe
.
.
,x
be
a
1
q
of x for i =
.для
. . mean
,q.i =Since
с распределением
1,of…,
Поскольку
estimator
for1,
a q.
random
variable x. of
Indeed,
let (x1the
, . .distribution
. ,xq ) be a
of
x for isample
=
1,xthe
. .so
. ,q.
random
thatSince
the marginal
distribution
xi matches
q
random
thatSince
the marginal distribution
of1x
i qqmatches the distribution
1
q
of x for isample
= 1, . .so. ,q.
E(xi ) = E(x),
1
1
μ
(x
,
.
.
.
,x
)
=
E
x
=
E
q
i
of x forx i,...,x
= 1,μ. (x
. . 1,q.
Since
E qq
q xi = q
q E(xi ) = E(x),,
1 E q
1, . . . ,xq ) = x1,...,x
x1,...,xq
x1,...,xq q
1 i=1
q1 i=1
q
q
i=1
i=1
E
μ(x1, . . . ,xq ) = E 1
xi = 1
E(xi ) = E(x),
x1,...,x
x1,...,x
q
q q
the sample
average
is
an
unbiased
estimator
for
theqmeanE(x
of ix.) = E(x),
�
E
μ
(x
,
.
.
.
,x
)
=
E
x
=
1
q
i
i=1
i=1
the sample
average
is an unbiased
estimator
for
theq mean
of x.
�
xсреднее
x1,...,x
q
q q
1,...,x
выборочное
является
несмещенной
оценкой
среднего
x.
⊳
i=1
i=1
addition
to theisaverage
of anestimator
estimator,forwetheneed
to of
consider
how much
theIn
sample
average
an unbiased
mean
x.
�
In addition
to оценки,
theisaverage
ofдолжны
anestimator
estimator,
we
to of
consider how
much
Помимо
среднего
мы
учитывать,
сильно
the
average
an
unbiased
for
theneed
mean
� оценthe sample
estimator
deviates
from
its average.
One
measure
forнасколько
thisx.is the variance
theIn
estimator
from
itsofaverage.
Oneизmeasure
fortothis
is the variance
addition
to the average
anОдной
estimator,
we
need
consider
how
much
ка отклоняется
отdeviates
своего
среднего.
мер
такого
отклонения
является
we need to consider
2 how much
additiondeviates
to the averageitsofaverage.
an estimator,
fmeasure
дисперсия
theIn
estimator
forq )this
2 , variance
V f (xfrom
EOne
(x1, . . . ,x
− μis the
1, . . . ,xq ) =
the estimatorx1,...,x
deviates
measure
forq )this
is the
,xqaverage.
) = x1,...,x
EOne
(x1, . . . ,x
−μ
, variance
V q f (xfrom
q f
1, . . .its
2
x1,...,xq
x1,...,xq
Vaverage
f (x1of
, . the
. . ,xestimator.
EIf f fis(xunbiased,
− μμ2=
q) =
1, . . . ,xq )then
,, θ .
where μ is the
x1,...,x
x ,...,x
q f (x1of
, . .the
. ,xestimator.
− μμ =
, θ.
Vaverage
where μ is the
q ) = 1 E Ifq ffis(xunbiased,
1, . . . ,xq )then
x1,...,xq
x1,...,xq
2 denote the variance of x. If the samples x , . . . ,x are
Example
4.3
Let
σ
where
μ
is
the
average
of
the
estimator.
If
f
is
unbiased,
then
μ
=
1 θ
q
2 denote
где μ –where
среднее
оценки.
оценка
f несмещенная,
μ = θ.
Example
4.3
Let σЕсли
the variance
ofisx.unbiased,
If theто
samples
x=
1, . .. . ,xq are
μ
is
the
average
of
the
estimator.
If
f
then
μ
independent random 2variables with the same marginal distributionθas
x, then
independent
with
the same
marginal
distribution
x,qthen
Example
4.3 random
Let σ 22variables
denote the
variance
of x.
If the samples
x , .as
. . ,x
are
ПримерExample
4.3.
Обозначим
σ denote
дисперсию
Если
x1, …, xx11q,являются
незаthe
variance
of Let
the sample
average
is x.
given
byобразцы
4.3
σ
the
variance
of
x.
If
the
samples
.
.
.
,x
are
q
the
variance
of
the
sample
average
is
given
by
independent
random величинами
variables with сthe
same же
marginal
distribution
as x, then как
висимыми
случайными
таким
частным
распределением,
q
q
independent
random
variables
withisthe
marginal
distributionσas
2 x, then
1 same
1
q
q by
the variance of
the sample
average
given
у x, то the
дисперсия
выборочного
среднего
1 равна
V of
μthe
(x1,sample
. . . ,xq average
)=
Vis given
xi = 12 V(xi ) = σ 2 .
variance
by
x1,...,x
V q
μ(x1, . . . ,xq ) = x1,...,x
V qq
q V(xi ) = q2 .
q xi = q
x1,...,xq
x1,...,xq q
1 i=1
σq
q12 i=1
q
q
i=1
i=1
V
μ(x1, . . . ,xq ) = V 1
xi = 12
V(xi ) = σ 2 .
x1,...,x
x1,...,x
q
q .. a sum
q
q
q
The third
equality
follows
from
the
fact
that
the
variance
of
V
μ
(x
,
.
.
.
,x
)
=
V
x
=
V(x
)
=
1 follows
q
i
i=1
i=1 variance
The third
from
fact i that 2the
of
x1,...,xequality
x1,...,xqthe
q aof sum
q
of independent
random variables
isq i=1
the sum qofi=1
the variances
the
of independent
random
variables
is the
variances
the
The
third equality
follows
from the
fact sum
that ofthethevariance
of aof sum
summands.
�
The
third equality
follows
from что
the
fact sum
that oftheсуммы
of aof sum
summands.
� слуТретье
равенство
следует
из
того,
дисперсия
независимых
of
independent
random
variables
is the
thevariance
variances
the
of
independent
random
variables
is
the
sum
of
the
variances
of
the
чайных
величин
равна
сумме
дисперсий
слагаемых.
summands.
Property of Cambridge University Press do not share or copy ��
summands.
Property of Cambridge University Press do not share or copy
4.1.2. Проверка
Property ofгипотез
Cambridge University Press do not share or copy
Property of Cambridge University Press do not share or copy
Цель проверки статистической гипотезы – доказать ложность гипотезы о распределении вероятностей при наличии неопределенностей. По соглашению,
гипотеза, ложность которой следует установить, называется нулевой гипотезой. Ее часто сравнивают со второй гипотезой, которая называется альтернативной. Это классическая интерпретация проверки статистических гипотез,
введенная в обиход Фишером. В криптоанализе более естественно следовать
интерпретации Неймана–Пирсона, при которой проверка статистических
60
Статистика линейного криптоанализа
гипотез рассматривается как задача принятия решения (или «различения»).
В таком случае альтернативная гипотеза считается конкурирующей.
Проверка гипотезы принимает на входе значение статистики критерия, а на
выходе сообщает, следует ли отвергнуть нулевую гипотезу. Статистика критерия – это функция наблюдаемых данных (выборки). Например, для проверки
гипотезы о параметре θ распределения Pθ статистикой критерия могла бы быть
оценка θ.
В этой главе предполагается, что статистика критерия f является вещест
венной функцией и что проверка гипотезы заключается в сравнении
t = f(x1, …, xq) с пороговым значением τ. Если t ≥ τ, то проверка не опровергает нулевую гипотезу («принимает» ее). Если же t < τ, то нулевая гипотеза
отвергается. Обозначим tnull значение статистики критерия для случайной
выборки, полученное в предположении нулевой гипотезы. Аналогично
обозначим talt значение статистики критерия для случайной выборки, полученное в предположении альтернативной гипотезы. Для любой проверки гипотезы важны две вероятности:
PS = Pr[tnull ≥ τ],
PF = Pr[talt ≥ τ].
Вероятность PS называется вероятностью истинно положительного результата, или (в криптоанализе) вероятностью успеха, а PF – вероятностью ложноположительного результата. В общем случае всегда существует взаимосвязь
между PS и 1 − PF, потому что при уменьшении τ увеличивается как PS, так и PF
(но обычно на разные величины). Это означает, что ни PS, ни 1 − PF не могут
служить хорошими мерами качества, если рассматривать их по отдельности.
Криптографы иногда используют следующую меру качества, которая называется преимуществом.
|PS − PF|.
Заметим, что это определение симметрично относительно нулевой и альтернативной гипотез. Понятие преимущества выбрано произвольно. Другие
меры обсуждаются в главе 7.
Далее в этом разделе мы изучим проверку статистических гипотез на примере среднего нормального распределения. В этом случае нулевая гипотеза
утверждает, что распределение статистики критерия является нормальным со
средним μ ≠ 0, а альтернативная – что это нормальное распределение с нулевым средним. Обе гипотезы утверждают, что стандартное отклонение равно
σ/√q. Как обсуждалось в примере 4.3, это стандартное отклонение выборочного
среднего q образцов от распределения со стандартным отклонением σ. Ситуация в целом показана на рис. 4.1.
Следующий результат важен для анализа линейных атак. Он используется на протяжении всей книги. В теореме 4.1 Φ обозначает функцию распределения нормального распределения с нулевым средним и единичной
дисперсией.
hypothesis
alternative
hypothesis
√
� q(τ − μ)/σ
√
� q(τ − μ)/σ
N (0,σ 2/q)
0
0
hypothesis
null
hypothesis
√
� − qτ/σ
√
4.1.
вывод
�
− Статистический
qτ/σ
61
N (µ,σ 2/q)
τ
μ
τ
μ
Figure 4.1 Distributions under the null and alternative hypothesis.
Figure 4.1 Distributions
under the null and alternative
нулевая hypothesis.
альтернативная
гипотеза
the distribution of the test statistic is normal with mean μ �= 0, whereas the
q(τ
− mean
qτ/σzero.
the
distribution
of the states
test statistic
is normal
normalwith
with
mean
μ �=Both
0, whereas
the
alternative
hypothesis
that− itµ)/σ
is
hypotheses
√
alternative
hypothesis
that is
it is
mean zero.
Both hypotheses
state that the
standard states
deviation
σ/normal
q. Aswith
discussed
in Example
4.3, this is
√
state
that the standard
is σ/ average
q. As discussed
in Example
4.3, this is
the standard
deviationdeviation
of the sample
of q samples
from a distribution
the
standard
deviation
of
the
sample
average
of
q
samples
from
a
distribution
with standard deviation σ . The overall situation
is illustrated
in Figure 4.1.
τ
µ
0
withThe
standard
deviation
The overall
is illustrated
FigureIt4.1.
following
result σis. important
forsituation
the analysis
of linear in
attacks.
is used
TheРис.
following
resultIn
is Theorem
important
for the
analysis
of linear
attacks.
It is used
4.1.
при нулевой
и альтернативной
гипотезах
throughout
thisРаспределение
book.
4.1,
� denotes
the
cumulative
distribution
throughout
book. Indistribution
Theorem 4.1,
denotes
distribution
function of this
the normal
with�mean
zerothe
andcumulative
variance one.
Теорема
4.1. of
Для
проверки
гипотезы,
в которой
выборка
сравнивается
с пороfunction
the
normal
distribution
with
mean
zero
and
variance
one.
Theorem 4.1 For a hypothesis test that compares a sample to a threshold in
гом, чтобы различить два нормальных распределения с одинаковой2 дисперсией
Theorem
4.1 For two
a hypothesis
test that compares
sample
to a threshold
in
order to distinguish
normal
distributions
thea same
variance
σ /q and
σ2/q и средним
μ ≠ 0 (нулевая
гипотеза)
и μ = with
0 (альтернативная
гипотеза),
ве2
/q andPF ≤ PS
order
two
normal distributions
with the same
variance
σ success
meansto
μdistinguish
�= 0P(null
hypothesis)
andложноположительного
zero (alternative
hypothesis),
the
роятность
успеха
результата
S и вероятность
means
μ �=соотношению
hypothesis) and
zero (alternative
the success
and false-positive
probability
PF ≤ PShypothesis),
satisfy the relation
probability
P0S(null
удовлетворяют
probability PS and false-positive probability PF ≤ PS satisfy the relation
−1
2
� (PS ) − �−1 (PF )
q = �−1 (P ) − �−1 (P ) 2 . .
S μ/σ
F
q=
.
μ/σ
Proof Assume that μ > 0. A similar reasoning holds for μ < 0. As illustrated
Доказательство.
Предположим,
>reasoning
0.
Похожее
рассуждение
Proof
Assume
thattest
μ>
0. A что
similar
holds
forthe
μ<
Asпроходит
illustrated
in Figure
4.1,
the
accepts
the μ
null
hypothesis
when
test0.statistic
(equal и для
μ < 0. Как
показано
на
рис.
4.1,
проверка
принимает
нулевую
гипотезу,
in
4.1, the
testitself)
accepts
the null
hypothesis
test the
statistic
to Figure
the sample
value
exceeds
τ . As
above, letwhen
tnull the
denote
value(equal
of the когда
статистика
критерия
(равная
самому
выборочному
значению)
превосходит
τ.
denote
the valueand
of the
to
thestatistic
samplefor
value
itself) exceeds
. As above,
let the
tnullnull
test
a random
sample τobtained
under
hypothesis,
talt
Как и выше,
обозначим
t
значение
статистики
критерия
для
случайной
выnull
test
statistic
a random
sample
under the
null hypothesis, and talt
its value
for for
a random
sample
fromobtained
the alternative
hypothesis.
борки в предположении истинности нулевой гипотезы, а talt – ее значение для
its value
sample from
the statistic
alternative
Underfor
thea random
null hypothesis,
the test
hashypothesis.
a normal distribution with
случайной
выборки в предположении
альтернативной
гипотезы.
“9781009607865book”
—
2025/12/2
— 14:12
14:12
—
page
56 —
— that
#68with
Under
thevariance
null hypothesis,
the
test statistic
has aisnormal
distribution
“9781009607865book”
2025/12/2
—
—
56
#68
mean
μ and
σ 2 /q.—
The
success
probability
thepage
probability
tnull
2
В предположении
истинности
нулевой
гипотезы
критерия
mean
μ and
σthe/q.
The
success probability
the probability
that tnullимеет
is larger
thanvariance
τ when
null
hypothesis
is true: isстатистика
нормальное
со средним
и дисперсией
σ2/q. Вероятность успеis largerраспределение
than τ when the null
hypothesisμ is
true:
√
√ гипотеза истинна:
ха равна вероятности того, что tnull больше τ, когда нулевая
PS = Pr tnull ≥ τ = 1 − � (τ − μ)/(σ/√ q) = � √ q (μ − τ )/σ .
56 P = Pr t
Statistics
of −
linear
cryptanalysis
56
of
linear
cryptanalysis
≥ τ =Statistics
1 − � (τ
μ)/(σ/
q) = � q (μ − τ )/σ ..
S
гипотеза
null
−1
Отсюда √qτ/σ
Вероятность
ложноположительного
√ =√qμ/σ
√− Φ (PS).University
Property
of Cambridge
Press
do not share or copy резуль√
√
−1 (P ). The
−1
Hence,
qτ/σ
=
qμ/σ
−
�
false-positive
probability
is the
S
тата –Hence,
это вероятность
того,
что
t
больше
τ,
когда
истинна
qτ/σ of=Cambridge
qμ/σ − �
(PS ). The
false-positive
probability
Property
University
Press
do not
share
orальтернативная
copyis the
alt
probability
that
t
is
larger
than
τ
when
the
alternative
hypothesis
is
true:
гипотеза:
alt is larger than τ when the alternative hypothesis is true:
probability that talt
√
√
√
PFF =
= Pr
Pr ttalt
≥ ττ =
= 11 −
−�
� τ/(σ/
τ/(σ/√q)
q) =
=�
� −
− qq τ/σ
τ/σ ...
alt ≥
P
√
√
√
√
−1
Equivalently, √qτ/σ
qτ/σ= =
= −�
−�
).этих
Fromдвух
the two
two
expressionsдля
for√qτ/σ
qτ/σполучаем
−1 −1 (P
F).
Equivalently,
qτ/σ
From
the
expressions
for
qτ/σ
,,
Эквивалентно
−Φ
(PF).(P
Из
выражений
F
√
−1
−1
�−1
(PSS)) =
= √qq μ/σ
μ/σ +
+�
�−1
(PFF))...
�
(P
(P
−1 (P ) ≥
Rearranging the
the terms
terms and
and squaring
squaring yields
yields the
the result,
result, provided
provided that
that �
�−1
Rearranging
(PSSрезультат
)≥
Изменение
порядка
членов
и возведение
в квадрат
дает искомый
−1
−1 (P
(P
).
Since
�
is
strictly
increasing,
the
latter
condition
is
equivalent
to
�
−1�
−1 increasing,
F
).
Since
is
strictly
the
latter
condition
is
equivalent
to
�
при условии,F что Φ (PS) ≥ Φ (PF). Поскольку Φ строго возрастает, последнее
≥
P
.
P
S
F
≥ PF .
PSэквивалентно
условие
PS ≥ PF.
□
62
Статистика линейного криптоанализа
4.2. Восстановление ключа с помощью
проверки статистических гипотез
Напомним (см. раздел 1.4.2), что алгоритм 2 Мацуи вычисляет эмпирическую
корреляцию линейной аппроксимации внутренней части шифра для всех
возможных значений релевантных битов ключа в его внешней части. Этот
подход подразумевает, что эмпирическая корреляция больше (по абсолютной
величине) для правильного ключа, чем для неправильных.
С точки зрения проверки статистических гипотез, для каждой эмпирической
корреляции, вычисленной алгоритмом 2 Мацуи, мы должны решить, является ли
соответствующий ключ правильным. Если существует K возможных ключей, то,
чтобы оставить наиболее многообещающих кандидатов, потребуется K проверок
гипотезы. Предположим, что для всех этих проверок вероятность успеха равна PS,
а вероятность ложноположительного результата равна PF. По определению,
вероятность восстановления правильного ключа равна PS. Кроме того, среднее
число ключей-кандидатов равно PS + PF(K − 1) ≈ PFK.
В следующих двух разделах анализируется число известных открытых текстов, необходимое алгоритму 2 Мацуи, чтобы с вероятностью PS восстановить
правильный частичный ключ как один из приблизительных PFK ключей-кандидатов. С точностью до обсуждаемых ниже аппроксимаций это то же самое,
что информационная сложность различения с вероятностью успеха PS и вероятностью ложноположительного результата PF на основе линейной аппроксимации внутренней части шифра. В разделе 4.2.1 рассматривается случай, когда
линейная аппроксимация имеет известную (не зависящую от ключа) корреляцию. Случай неизвестной корреляции обсуждается в разделе 4.2.2.
4.2.1. Известная корреляция
Для криптоанализа типична ситуация, когда аналитику точно неизвестны распределения, которые проверка гипотез должна различить. Чтобы можно было
проанализировать стоимость линейных различителей, мы предложим модель,
т. е. предположим конкретные распределения и выполним некоторые дополнительные аппроксимации. В этой главе мы начнем с довольно грубой модели, которая называется «простой». Уточнение простой модели обсуждается в главе 7.
В простой модели нулевая гипотеза утверждает, что корреляция линейной
аппроксимации c ≠ 0. Альтернативная гипотеза утверждает, что корреляция
в точности равна нулю. Корни последней гипотезы лежат в предположении,
что неправильные ключи должны давать эмпирическую корреляцию, более
близкую к нулю; это предположение известно под названием «гипотеза рандомизации с неправильным ключом». Интуитивно понятно, что неправильная
догадка «рандомизирует» статистику критерия, что должно приводить к корреляции, близкой к нулю.
В главе 7 будет показано, что даже линейные аппроксимации равномерно
распределенной случайной перестановки или функции редко имеют корреляцию, в точности равную нулю. Следовательно, простая модель необязательно
является точным отображением реальности, а полученные с ее помощью результаты следует трактовать как аппроксимации.
in a correlation (close to) zero.
In Chapter 7, it will be shown that even linear approximations over a
uniform random permutation or function rarely have correlation exactly zero.
4.2.
Восстановление
ключа model
с помощью
гипотез 63
Consequently,
the simple
is not проверки
necessarilyстатистических
an accurate representation
of reality, and the results obtained in this model should be understood as
В простой модели делаются следующие дополнительные технические предapproximations.
положения.
The simple model makes the following additional technical assumptions:
Малая корреляция: квадрат корреляции пренебрежимо мал по сравнению
с единицей.
Small correlation: The squared correlation is negligible compared to one.
Большие
данные:
количество
достаточно
велико,
так the
что,normal
например,
Large
data: The
amount ofданных
data q isq large
enough so
that, e.g.,
приближение
биномиального
распределения
нормальным является точным.
approximation
to the binomial
distribution is accurate.
Модель
выборки:
выборка
открытых
текстов
производится
Sampling
model:
Plaintexts
are sampled
uniformly
at random случайным
with replace-и равномерным
образом
с
возвращением.
Отсюда,
в
частности,
ment. This implies, in particular, that samples are independent. следует, что образцы независимы.
These assumptions are usually realistic, and they can be avoided without too
Обычно эти предположения реалистичны, но при необходимости от них
much difficulties if necessary (see for instance Exercise 4.1).
можно отказаться без особых трудностей (см., например, упражнение 4.1).
In the simple model, the data-complexity of a linear distinguisher is essenВ простой модели информационная сложность линейного различителя опиtiallyпо
given
by Theorem
4.1. For a4.1.
uniform
input x and
corresponding
сывается,
существу,
теоремой
Для random
равномерного
случайного
входа x
output
y
=
F(x),
define
the
random
variable
и соответствующего выхода y = F(x) определим случайную величину
z = (−1)u
..
По определению,
𝔼(z)is–the
корреляция
(u,v)
By definition, E(z)
correlation линейной
of the linearаппроксимации
approximation (u,v)
ofфункции F. F.
Если
истинна
нулевая
гипотеза,
то
корреляция
равна
c.
Если
же
истинна
Under the null hypothesis, the correlation equals c. Under the alternative
2
альтернативная
гипотеза,
то она
равна нулю.
Кроме
𝔼(z
для любой
“9781009607865book”
—
2025/12/2
— 214:12
page
58 )hypothesis.
—= 1#70
hypothesis,
it equals zero.
Furthermore,
E(z
) = —
1 того,
for
either
2
2025/12/2
— 14:12
—
page
58
—
#70
гипотезы.“9781009607865book”
Следовательно, для—
нулевой
гипотезы
𝕍(z)
=
1
−
c
≈
1,
а
для
альтерHence, under the null hypothesis, V(z) = 1 − c2 ≈ 1 and under the alternative
нативной 𝕍(z) = 1.
V(z) = 1.
Набор q известных открытых текстов и соответствующих им шифртекстов,
Collecting
q known z
plaintexts
or rather
x +v ytheir corresponding
иначе говоря
– значений
= (−1)u and
, …, zq = (−1)uu xx +v+vyciphertexts,
, yсоответствует
выбор1 x1 +v y1 of linear cryptanalysis
u
58
Statistics
q
q , corresponds to
the
values
z
=
(−1)
,
.
.
.
,z
=
(−1)
1 нами статистические
q проверки
ке z.. Выполняемые
основаны на выборочном
58
Statistics of linear
cryptanalysis
sampling
z. The statistical
tests we perform are based on the sample average
среднем
или эмпирической
корреляции
or empirical correlation
q
1
q
c = 1 zi .
c = q i=1 zi .
q
Property of Cambridge University
i=1 Press do not share or copy
As
discussed
in
Section
4.1.1,
the
sample averageсреднее
is an estimator
of the
Как As
обсуждалось
в
разделе
4.1.1,
выборочное
является
discussed in Section 4.1.1, the sample average is an estimator
of оценкой
the
mean.
In
other
words,
the
empirical
correlation
is
a
statistical
estimator
of the
среднего.
Иными
словами,
эмпирическая
корреляция
–
это
статистическая
mean. In other words, the empirical correlation is a statistical estimator of the
оценкаcorrelation.
корреляции.
correlation.
Sinceвыборка
the inputs
sampled
with replacement,
the randomслучайные
samples обПоскольку
из are
входов
производится
с возвращением,
Since the inputs are sampled with replacement, the random samples
разцы zz1,1,. …,
независимы
q велико,
тоcenиз цент
. . ,zzqq are
independentпри
underобеих
either гипотезах.
hypothesis. IfЕсли
q is large,
then the
z1, .предельной
. . ,z are independent
under
either hypothesis.
If q is large, then
cen- что
ральной
теоремы
(теорема
A.1A)в implies
приложении
A) the
следует,
tral
limit qtheorem (Theorem
A.1
in Appendix
that
c approximately
tral limit theorem
(Theorem
A.1 in Appendix
A) implies that В
c силу
approximately
c приближенно
совпадает
с нормальным
распределением.
follows a normal
distribution.
By Examples
4.2 and 4.3, the mean
of
cпримеров
is equal 4.2
follows a^cnormal
distribution.
Byсреднему
Examples 4.2
and
4.3, the mean
of
c is equal т. е.
и 4.3, среднее
равно
истинному
по
генеральной
совокупности,
to the population mean, i.e. 0 or c, and the variance of
c is equal to the variance
^ равна
to аtheдисперсия
population mean,
i.e. 0дисперсии
or c, and theпо
variance
of
c is equal
to the variance поде0 или of
c,
генеральной
совокупности,
the population cdivided
by the sample size
q, i.e. 1/q. Hence,
Theorem 4.1
ofна
theразмер
population
divided q,
byт.the
sample
size q, i.e.
1/q.
Hence,4.1
Theorem
4.1 такой
леннойimplies
выборки
е.
1/q.
Поэтому
из
теоремы
следует
the following result.
результат.
implies the following result.
Corollary 4.2 The data complexity of a linear distinguisher in the simple
CorollaryИнформационная
4.2 The data complexity
of aлинейного
linear distinguisher
in the
simple моСледствие
сложность
различителя
в простой
model,4.2.
using a linear approximation
with known
correlation
c, is
model,
using
a
linear
approximation
with
known
correlation
c,
is
дели, где используется линейная аппроксимация с известной
корреляцией c, равна
2
(PS ) − �−1
(PF ) 2
�−1
−1
−1
q = � (PS ) − � (PF ) ,
,,
c
q=
c
where PS is the success probability and PF ≤ PS the false-positive probability.
where PS is the success probability and PF ≤ PS the false-positive probability.
Proof The result follows by setting μ = c and σ = 1 in Theorem 4.1.
Proof The result follows by setting μ = c and σ = 1 in Theorem 4.1.
T
x+v y
1
T
1
T
q
T
q
64
Статистика линейного криптоанализа
где PS – вероятность успеха, а PF ≤ PS – вероятность ложноположительного
результата.
Доказательство. Достаточно положить μ = c и σ = 1 в теореме 4.1.
4.2.2. Неизвестная корреляция
□
Для большинства атак, описанных в литературе, корреляция линейной аппроксимации зависит от (неизвестного) ключа. Кроме того, часто линейные
аппроксимации бывает трудно вычислить точно, даже когда ключ известен,
потому что в корреляцию могут вносить вклад много линейных следов.
Когда корреляция неизвестна, основная трудность применения критерия
из раздела 4.2.1 заключается в том, что неизвестен знак корреляции. Одна из
возможных стратегий – отдельно рассмотреть случаи положительной и отрицательной корреляций, выполнив две проверки гипотез для каждого возможного ключа. Это увеличивает вероятность ложноположительного результата,
поскольку количество ключей-кандидатов приблизительно удваивается. Дру“9781009607865book”
— 2025/12/2 критерия,
— 14:12 —
59 — #71
гая стратегия
– работать со статистикой
неpage
зависящей
от знака c.
Например, можно разработать критерий, основанный на |c^| или, что эквивалентно, на ^c2. Нулевая гипотеза принимается, если абсолютная величина или
квадрат корреляции превосходит порог τ. Этот критерий работает при условии, что абсолютная
корреляция
при
нулевой
гипотезе
значительно 59
больше,
4.2 Key-recovery
using
statistical
hypothesis
testing
чем при альтернативной.
Следующая теорема дает вероятность успеха, когда |c| известна, но знак c неизвестен.The
Для
шифров
с чередованием
ключа
это соответствует
случаю
following
theorem
gives the success
probability
when |c| is known,
but линейных
аппроксимаций,
в
которых
доминирует
корреляция
одного
линейноthe sign of c is not known. For key-alternating ciphers, this corresponds to the
го следа.
когда |c|
также
зависит by
отthe
ключа,
обсуждается
caseОбщий
of linearслучай,
approximations
that
are dominated
correlation
of a singleпозже.
В теореме
4.3
делаются
такие
же
предположения,
как
в
простой
модели, с тем
linear trail. The general case, when |c| is also key-dependent, is discussed
отличием,
что
проверка
основана
на
абсолютном
значении
или
afterwards. Theorem 4.3 makes the same assumptions as the simpleквадрате
model, эмпирической корреляции.
except that the test is based on the absolute value or square of the empirical
correlation.
Теорема
4.3. Вероятность успеха линейного различителя в простой модели,
Theorem
The success
probability
a linear distinguisher
in the simple
основанной
на 4.3
абсолютной
величине
илиofквадрате
эмпирической
корреляции
и использующей
аппроксимацию
абсолютной
корреляmodel basedлинейную
on the absolute
value or squareс ofизвестной
the empirical
correlation, and
цией |c|,
равна
using
a linear approximation with known absolute correlation |c|, is
√
√
PS = � �−1 (PF /2) + |c| q + � �−1 (PF /2) − |c| q ,,
q is the data-complexity
and аPFPFthe
probability.
где q –where
информационная
сложность,
– false-positive
вероятность
ложноположительного
результата.
Proof The empirical correlation
cnull under the null hypothesis has a normal
^c при
Доказательство.
Эмпирическая
корреляция
distribution with
mean c and variance
1/q. Similarly,
theнулевой
empiricalгипотезе
correlationимеет
null
нормальное
распределение
со
средним
c
и
дисперсией
1/q.
Аналогично
эмпи
calt under the alternative hypothesis has mean zero and variance 1/q.
√
^
рическаяSince
корреляция
c
при
альтернативной
гипотезе
имеет
нулевое
среднее
alt
c2 ≥ τ is equivalent
to |
c| ≥ τ for τ ≥ 0, it does not matter whether
и дисперсию 1/q.
we use the absolute value of the correlation or its square. Hence, for τ ≥ 0, the
^c2 ≥ τ probability
эквивалентно
|c^| ≥ √τ
Поскольку
to для τ ≥ 0, не имеет значения, будем ли
false-positive
PF is equal
мы использовать абсолютную величину
корреляции
√ или
ее квадрат. Следова|
calt | ≥ τ = 2� − qτрезультата
.
PF = Pr
тельно, для τ ≥ 0 вероятность
ложноположительного
PF равна
√
Solving for τ yields qτ = −�−1 (PF /2). The success probability PS equals
cnull | ≥ τ
PS = Pr |
Proof The empirical correlation
cnull under the null hypothesis has a normal
Proof
The with
empirical
cnull1/q.
under
the
hypothesis
has
a normal
distribution
meancorrelation
c and
variance
Similarly,
the
empirical
correlation
cdistribution
alternative
hypothesis
mean
zeronull
and
1/q.
alt under the
with
mean c and
variancehas
1/q.
Similarly,
thevariance
empirical
correlation
√
with
mean
c
and
variance
1/q.
Similarly,
the
empirical
correlation
2
cdistribution
under
the
alternative
hypothesis
has
mean
zero
and
variance
1/q.
alt
c the
≥ alternative
τ is equivalent
to |
c| ≥has
for τ zero
≥ 0,and
it does
not matter
√τmean
caltSince
under
hypothesis
variance
1/q. whether
caltSince
under
the
hypothesis
variance
1/q.
√τ mean
c22absolute
≥ τalternative
is equivalent
to |
c| ≥ has
for
τitszero
≥square.
0, and
it does
not matter
whether
we
use
the
value
of
the
correlation
or
Hence,
for
τ≥
0, the
Since
c 2≥ τ is equivalent to |
c| ≥ √τ for τ ≥ 0, it does not matter
whether
Since
c
≥
τ
is
equivalent
to
|
c
|
≥
τ
for
τ
≥
0,
it
does
not
matter
whether
we
use
the
absolute
value
of
the
correlation
or
its
square.
Hence,
for
τ
≥
0, the 65
4.2.
Восстановление
ключа
с
помощью
проверки
статистических
гипотез
false-positive
probability
is equal
to
we
use the absolute
value P
ofF the
correlation
or its square. Hence, for τ ≥ 0, the
we use the absolute
valuePof
theequal
correlation
or its
square.
Hence,
for
τ
≥
0, the
false-positive
probability
to
F is
√
false-positive probability PF is equal to
PF = P
PrF is
|
calt
| ≥ τto = 2� − √qτ .
false-positive probability
equal
PF = Pr |
calt | ≥ τ = 2� − √qτ .
√F = Pr |
calt
| (P
≥ τ = 2� success
− √qτ probability
.
−1
PSВероятность
equals
Solvingэтого
for τ уравнения
yields P√
=
−�
Решение
относительно
τ2�
дает
Pqτ
=
Pr
|
calt
| ≥Fτ/2).=The
−√qτqτ= .−Φ−1(PF/2).
F
−1
Solving
for τ yields √qτ = −�−1 (PF /2). The success probability PS equals
успехаSolving
PS равна
√ = −� −1(PF /2). The success probability PS equals
for τ yields
PS = qτ
Pr
cnull
| ≥ τ(P
Solving for τ yields
qτ |
=
−�
F /2). The success probability PS equals
PS = Pr |
cnull | ≥ τ
c|
cnull ≤ −τ
PS = Pr
cnull
| ≥τ τ + Pr
null ≥
PS==Pr
Pr
|
c
|
≥
τ
√
√null≥ τ + Pr
≤ −τ
null
null
ccnull
ccnull
=�
q(τ
+
�
Pr −
≥ τ− c)
+ Pr
≤q(τ
−τ + c) .
− √
√
=
Pr
c
≥
τ
+
Pr
c
−τ+ c) .
null
= � −√
q(τ − c) + � null
−√≤q(τ
√
√
=
�
−
q(τ
−
c)
+
�
−
q(τ
+ c)be . rewritten as
Since the above expression
is anq(τ
even
function
of c,q(τ
it can
=� −
− c)
+� −
+ c) .
Поскольку
выражение
является
четной
функцией
отrewritten
переSince theэто
above
expression
is
an
even
function
of
c,
it
can
be
as
c, его можно
√ is an even
√ function of√c, it can be
√ rewritten
Since the above
as
= � − √qτ
q
+
�
−
qτ
−
|c|
q
.
PSexpression
писатьSince
в виде
the above
expression
is +
an|c|
even
function
of
c,
it
can
be
rewritten
as
√
√
√
PS = � −√ qτ + |c|√ q + � −√qτ − |c|√ q .
√
√
√
√
√q .
=
�
−
qτ
+
|c|
q
+
�
−
qτ
−
|c|
P
−1 (P /2) yields the result.
Plugging in τ √PSqS =
= −�
� −
qτF + |c| q + � − qτ − |c| q . .
−1
Plugging in τ √q = −�
(PF /2) yields the result.
−1
−1
Подстановка
τ√q
(PF−1
/2)
искомому
результату.
□
Plugging
τ √q= −Φ
= −�
(Pприводит
/2) yields
result.
If the in
false-positive
PF isкthe
small
enough,
then the expression
Plugging
in τ q = −�probability
(PFF /2) yields
the
result.
Ifthethesuccess
false-positive
probability
PF is4.3
small
enough,
then
the expression
probability
in
Theorem
is
well
approximated
by
P
≈
S
Еслиforвероятность
ложноположительного
результата
P
достаточно
мала,
то
If the false-positive
PF is small
enough,
then
the
expression
F
√ probability
—
2025/12/2
—
14:12
— page
60
#72
If
false-positive
probability
Pтеореме
is4.3
small
enough,
then
theis—
expression
−1the
for“9781009607865book”
the
success
probability
in Theorem
is
well
approximated
by
PS by
≈
F case,
�(�
(P
/2)
+
|c|
q).
Hence,
in
this
the
data-complexity
given
выражение
для
вероятности
успеха
в
4.3
хорошо
аппроксимируется
F
√
for the
success probability
in Theorem 4.3 is well approximated by PS ≈
−1 (P
for−1 the
success
in Theorem
4.3 the
is well
approximated
by PSby≈
�(�
/2)|c|√q).
+ probability
|c|√
q). Hence,
in this case,
data-complexity
is given
F+
PS ≈ Φ(Φ
Следовательно,
этом
−1F/2)
√
�(�(P
(P
/2)
+
|c|
q).
Hence,
in thisвcase,
theслучае
data-complexity
is given by слож
2 информационная
−1 (PF /2) + |c| q). Hence,
−1
−1
�(�
in
this
case,
the
data-complexity
is
given by
ность имеет видF
� −1(PS ) − � −1(PF /2) 2 ,
q≈
�−1 (PS ) −c�−1 (PF /2) 2
− � −1(PF /2) 2,
q ≈ � −1(P
60
ofSS)linear
� (P
) −c �cryptanalysis
(PF /2) ,
q ≈Statistics
q
≈
,
c
assuming that PS ≥ PF /2.
c
assuming that PS ≥ PF /2.
assuming that PS ≥ PF /2.
assuming
Pcan
P≥FP
/2.
S ≥
в предположении,
Pstill
/2.used even if the absolute value of the correlation
Theoremthat
4.3что
be
S
F
Property
of
Cambridge
University
Pressthat
dothe
nottest
share
or copywhen
depends
on
the
key.
In
Chapter
7, даже
it is shown
isвеличина
optimal
ТеоремуProperty
4.3 можно
использовать,
если
of Cambridge
University
Pressабсолютная
do not share
or copy корреляonly the
sign
isofkey-dependent,
but not inPress
the general
Tooranalyze
the
Property
Cambridge
do notcase.
share
copyоптимальции зависит
от
ключа.
В главе 7 University
показано,
что
критерий
является
Property of Cambridge University Press do not share or copy
ным, когда
ключа зависит
знак,
но key,
не вthe
общем
случае.
successотprobability
when |c|только
depends
on the
expression
for Чтобы
PS in проанализировать
вероятность
когдаto|c|the
зависит
от ключа,
выражеTheorem 4.3
should be успеха
averagedв случае,
with respect
key. The
following
ние для
PS в теореме
следует усреднить по ключу. Это проиллюстрировано
example
illustrates4.3
this.
в следующем примере.
Example 4.4 (Revisiting Example 2.3) This example determines the success
Примерprobability
4.4 (возврат
к примеру based
2.3). В
примере
вероятность
успеха разof a distinguisher
onэтом
the linear
approximation
(000000001,
личителя
определяется
на
основе
линейной
аппроксимации
(000000001,
000010000) for three rounds of the example cipher from Section 1.1.
In
000010000)
для
трех
раундов
демонстрационного
шифра
из
раздела
Example 2.3, the following expression for the correlation was derived: 1.1. В примере 2.3 было выведено следующее выражение для корреляции:
c = (−1)κ1 /8 1 + (−1)κ2 /2 1 + (−1)κ3 /2 ,
c = (−1)κ /8 (1 + (−1)κ /2)(1 + (−1)κ /2),
or квадрата
for the squared
correlation,
или для
корреляции:
1
c2 =
2
3
2
1 + (−1)κ2 /2 1 + (−1)κ3 /2
64..
10
10
10
10 for
Отсюда
c2 =
для
25 25%
% ключей,
c2 = 9/2
% 50%
ключей
c2 = 81/2
Hence,
c21/2
= 1/2
of the keys,
c2 = для
9/21050for
of theи keys
and для
2
10
25 % ключей.
На рис.
график
зависимости
вероятности
успеха PS от
for 4.2
25%показан
of the keys.
Figure
4.2 shows the
success probability
c = 81/2
q при постоянной
вероятности
ложноположительного
результата.
Вероятность
PS as a function of q, for constant false-positive probability. The success
успехаprobability
равна усреднению
формулы
из теоремы
4.3 относительно
ключа.
⊳
is the average
of the formula
from Theorem
4.3 with respect
to
the key.
�
1
c = ±1/32
66
Статистика линейного криптоанализа
1
c = ± 1/32
c = ± 3/32
c = ± 9/32
overall
0.8
PS
0.6
0.4
0.2
0
“9781009607865book”
— 2025/12/2 — 14:12 — page 61 — #73
20
21
22
23
24
25
26
q
27
28
29
210 211 212
Рис. 4.2. Вероятность успеха PS как функция от q для линейного различителя из примера 4.4
при PF = 0.002. Кривая полной
взвешенной суммой кривых
4.4 вероятности
Key-recoveryуспеха
usingявляется
key ranking
61 для
всех трех подмножеств ключей, т. е. overall(q) = 1⁄4 case1(q) + 1⁄2 case2(q) + 1⁄4 case3(q)
4.3 Sampling strategies
4.3. Стратегии выборки
In the previous
sections,
it was assumed that
are sampled
uniformly слуВ предыдущем
разделе
предполагалось,
чтоplaintexts
производится
равномерная
чайнаяatвыборка
открытых
текстов
с
возвращением.
В
этом
случае
образцы
random with replacement. In this case the samples are independent and
|{1 ≤ не q
q
≤ i ≤ q | uTx = vTy
зависимы
и
|{1
}|
=
∑
(z
+
1)/2
имеет
биномиальное
распредеi ≤ q | u xi = v yi }|i = i i=1 (zi=1
i +i 1)/2 follows a binomial distribution,
ление,which
которое
мы
аппроксимировали
нормальным,
опираясь
на
центральную
we approximated by a normal distribution based on the central limit
предельную
теорему.
theorem.
Если выборка
открытых
текстов
безtheвозвращения,
то слуIf plaintexts
are sampled
withoutпроизводится
replacement, then
random variables
чайные величины zi не являются независимыми: при каждой выборке значеzi are not independent: with each draw of the value +1, the probability that
ния +1 вероятность,
что следующим будет выбрано значение +1, уменьшается,
the next draw results in +1 is decreased, and vice versa. It can be shown that
T
T
и наоборот. Можно показать, что
в этом
случае величина |{1 ≤ i ≤ q | u xi = v yi}|
this case, |{1 ≤ i ≤ q | uраспределение,
xi = v yi }| has которое
a hypergeometric
имеет inгипергеометрическое
также distribution,
можно аппрокwhich one
can also approximate
by a normal
distribution. распределением,
Compared to the апсимировать
нормальным.
По сравнению
с нормальным
normal approximation
of the binomial
distribution,
the mean
is the same оказываbut
проксимирующим
биномиальное,
среднее
то же самое,
а дисперсия
the variance
smaller:
is multiplied by the factor
ется меньше:
онаbecomes
умножается
наitкоэффициент
2n − q
q
≈ 1 − n ,,
n
2 −1
2
which
becomes small
whenqqстремится
approaches к2n2.n.
который
уменьшается,
когда
Sampling
with replacement
leads to кsimpler
butформулам,
sampling without
Выборка
с возвращением
приводит
болееformulas,
простым
а выборка
replacement
leads
to
formulas
that
predict
a
lower
data-complexity.
In practice,
без возвращения – к формулам, которые предсказывают более
низкую инwhen the amount
of samples
q is large,когда
it could
be difficultобразцов
to ensure q
that
формационную
сложность.
На практике,
количество
велико,
are unique,
since theс attacker
might
need to keep track
of which
могли plaintexts
бы возникнуть
трудности
гарантией
уникальности
открытых
текстов,
were already пришлось
encounteredбы
before.
This practical
doesуже
notвстрепотомуvalues
что атакующему
запоминать,
какиеproblem
значения
чалисьoccur
раньше.
практическая
проблема
возникает,
если
режим
работы
if theЭта
mode
of operation of
the block не
cipher
ensures that
there
are no
блочного
шифраFor
гарантирует
так бывает
repetitions.
example, thisотсутствие
is the case inповторений.
counter mode Например,
and in other modes
в режиме
счетчика
производных
от него,
derived
from it, и
such
as Galois Counter
Modeскажем
(GCM). в режиме с аутентификацией Галуа (GCM).
4.4 Key-recovery using key ranking
There is an alternative approach to key-recovery that is often used in practice.
4.4. Восстановление ключа с использованием ранжирования ключей 67
4.4. Восстановление ключа с использованием
ранжирования ключей
Существует альтернативный подход к восстановлению ключа, который часто
используется на практике. Вместо того чтобы выполнять проверку гипотез
для эмпирической корреляции каждого ключа, нужно вывести список клю“9781009607865book”
— 2025/12/2
— 14:12 —вpage
62 —убывания
#74
чей-кандидатов,
отсортированный
по достоверности
порядке
(по
убыванию абсолютной эмпирической корреляции). Этот подход называется
“9781009607865book” — 2025/12/2 — 14:12 — page 62 — #74
ранжирование ключей.
Ранжирование ключей не является чем-то принципиально отличным, поStatistics
of linear
cryptanalysis
скольку62на практике сохраняется
только
часть
таблицы ключей с наивысшими
рангами. Как и раньше, полная атака обычно включает последний шаг, на коStatistics of
linear cryptanalysis
тором 62
угадываются и проверяются
оставшиеся
неизвестными биты.
with преимущество
low nonlinearity, ранжирования
such as ARX ciphers,
the заключается
wrong key randomization
Важное
ключей
в том, что оно
hypothesis
that is usedмодели.
in the simple
model deviates
from
reality. построенных из
терпимее
к неточностям
Действительно,
для
шифров,
with
nonlinearity,
such
as ARXтаких
ciphers,
wrong
keyisrandomization
элементов
сlow
низкой
нелинейностью,
как
ARX-шифры,
гипотеза
рандоAccurately
analyzing
the data-complexity
ofthe
key
ranking
more
difficult
hypothesis
that
is
used
in
the
simple
model
deviates
from
reality.
мизации
неправильным
ключом,
используемая
в простой are
модели,
отклоняthanс for
hypothesis testing.
However,
if additional assumptions
made, then
Accurately
analyzing
the data-complexity
of key
ranking is
difficult
ется отthe
реальности.
analysis becomes
similar.
More specifically,
key-ranking
canmore
be analyzed
than
for
hypothesis
testing.
However,
if
additional
assumptions
are
made,
Точно
проанализировать
информационную
сложность
ранжирования
using order statistics. Let |
c1 |,|
c2 |, . . . ,|
cK | be the absolute values ofthen
the ключей труднее,
чем
в
случае
проверки
гипотез.
Однако
если
сделать
дополнительthe
analysis
becomes
similar.
More
specifically,
key-ranking
can
be
analyzed
empirical correlations for the K keys. The order statistics are the random
ные предположения,
то анализ
ранжирование
ключей
using
order
Let |
cупрощается.
c2 |,sorting
. . . ,|
cKКонкретно,
absolute
values
1 |,|
variables
s1,sstatistics.
by
|
c| 1be
|,|
cthe
cK | such
thatofs1the
≤
2, . . . ,sK obtained
2 |, . . . ,|
можноempirical
проанализировать
с
применением
порядковых
статистик.
Пусть
|c^1|,
correlations
for
the
K
keys.
The
order
statistics
are
the
random
s2^ ≤ · · · ≤ sK with probability one. In particular, si is called the ith order
|c^2|, …, variables
|cK| – абсолютные
величины
эмпирических
корреляций
K
ключей.
Поc1 |,|
c2 |, . . . ,|
cK | such that s1 ≤
statistic. s1,s2, . . . ,sK obtained by sorting |
рядковыми
называются
случайные
величины
sthe
, s , …,
sK, полу1
s2 Suppose
≤ ·статистиками
· · ≤that
sK empirical
with probability
one.
In
particular,
s
is
called
order
i
different
incorrect
are 2ith
indepenченные путем сортировки |c^1|,correlations
|c^2|, …, |c^K|,for
так
что s1 ≤
s2 ≤ … ≤keys
sK с вероятностью
1.
statistic.
dentsand
have identical
distributions.
Ifстатистикой.
the number of keys K is large enough,
Величина
называется
i-й
порядковой
i
Suppose
thatstatistics
empiricallook
correlations
forthe
different
incorrect
keys
are indepenthen
the order
a lot like
quantile
function
(inverse
of the
Предположим,
что эмпирические
корреляции
различных
неправильных
dent
and
have
identical
distributions.
If
the
number
of
keys
K
is
large
enough,
distribution
function)распределены.
of the absolute value
ci | of the
empirical
ключейcumulative
независимы
и одинаково
Если |
число
ключей
K достаthen
the order
statistics
look
a In
lotthe
likesimple
the
quantile
function
(inverse
of the
correlations
for
incorrect
keys.
model,
this
quantile
function
isфункточно велико,
то
порядковая
статистика
очень
похожа
на
квантильную
distribution
√
cumulative
function)
of the absolute
valuestatistic
|
cвеличины
the empirical
i | ofsatisfies
цию (обратную
функции
абсолютной
|c^i | эмпириp �→ �−1 к(p
− 1)/2 / распределения)
q. In particular,
the
ith order
incorrect
the simple
model, this
quantileэта
function
is
ческихcorrelations
корреляций
В простой
модели
квантильная
forнеправильных
√ keys. Inключей.
1)/2 //√q.q.ВInчастности,
particular, the
order statistic
satisfies удовлетp �→
�−1
функция
p↦
Φ−1(p
(p −
− 1)/2
i-яith
порядковая
статистика
1
i−K
воряет приближенному равенству
si ≈ √ �−1
.
q
2K
1
i−K
..
si ≈ √ �−1
q
2K
In the above, the “≈” sign signifies that si is close to the right-hand side with
high
probability. знак ≈ означает, что s близка к правой части с высокой
В этом равенстве
i close to the right-hand side with
In the
above,
theof“≈”
sign
that siasis
The
fraction
keys
thatsignifies
are retained
candidate keys is usually written
вероятностью.
high
probability.
−a
as ключей,
2 , whereоставляемых
a is called the key-recovery
(not toпринято
be confused
with
Долю
в качествеadvantage
кандидатов,
записывать
keysofthat
are retained
as candidate
keysisissuccessful
usually
theof
sense
hypothesis
testing!).
Key ranking
if theпутать
в виде advantage
2−aThe
, гдеfraction
ainназывается
преимуществом
восстановления
ключаwritten
(не
as
2−a , where
isthe
called
theпроверки
key-recovery
advantage
(notthe
to be
confused
с преимуществом
контексте
гипотез!).
absolute
valueвaof
empirical
correlation
is largerРанжирование
than
�K(1
− ключей
2−awith
)�th приadvantage
in
the
sense
of
hypothesis
testing!).
Key
ranking
is
successful
if the
водит кorder
успеху,
еслиi.e.,
абсолютная величина эмпирической корреляции
больше
statistic,
absolute
value of theстатистики,
empirical correlation
is larger than the �K(1 − 2−a )�th
K(1 − 2−a
)-й порядковой
т. е.
order statistic, i.e.,
1
s�K(1−2−a )� ≈ √ �−1 2−a−1 . .
q
1
s�K(1−2−a )� ≈ √ �−1 2−a−1 .
q
However, this is exactly the same as the threshold value for hypothesis testing
with PF = 2−a . Hence, under the same assumptions as in Section 4.2.2,
However, this is exactly the same as the threshold value for hypothesis testing
68
1
s�K(1−2−a )� ≈ √ �−1 2−a−1 .
q
Статистика линейного криптоанализа
However, this is exactly the same as the threshold value for hypothesis testing
Однако
в точности
с пороговым
значением
для
проверки гиwithэто
PF =
2−a . Hence,совпадает
under the same
assumptions
as in Section
4.2.2,
−a
потез с PF = 2 . Поэтому при тех же предположениях, что в разделе 4.2.2,
−1
2
� (PS ) − �−1 (2−a−1 )
q≈
..
c
Напомним (см. раздел 4.2), что величина PFK также была хорошей аппрокRecall from Section 4.2 that PF K was also a good approximation for the
симацией среднего числа остающихся
ключей в подходе, основанном на проaverage number of remaining keys in the hypothesis testing approach.
верке гипотез.
Property of Cambridge
University Press do not share or copy
справка
4.5. Историческая
В своей статье о применении линейного криптоанализа к блочному шифру DES Мацуи дал оценку информационной сложности и вероятности
успеха своей атаки. Селчук проанализировал процедуру ранжирования
ключей более детально, опираясь на предположения простой модели из
раздела 4.2. Информационная сложность выборки без возвращения была
проанализирована авторами в работе Ashur, Beyne, Rijmen 2020 и независимо
Блондо и Нюберг, назвавшей ее «другой известной моделью открытого текста».
Существует множество работ по статистике линейного криптоанализа, в которых рассматриваются уточнения простой модели и оптимальные методы
проверки гипотез. Эти вопросы обсуждаются в главе 7.
4.6. Литература
Ashur, Tomer, Tim Beyne, and Vincent Rijmen (Apr. 2020). «Revisiting the WrongKey-Randomization Hypothesis». In: Journal of Cryptology 33.2, pp. 567–594. doi:
10.1007/s00145-020-09343-2.
Blondeau, Ceґline and Kaisa Nyberg (2017). «Joint Data and Key Distribution of Simple, Multiple, and Multidimensional Linear Cryptanalysis Test Statistic and Its
Impact to Data Complexity». In: Designs, Codes and Cryptography 82, pp. 319–349.
Matsui, Mitsuru (May 1994a). «Linear Cryptanalysis Method for DES Cipher». In:
EUROCRYPT’93. Ed. by Tor Helleseth. Vol. 765. LNCS. Springer, Berlin, Heidelberg,
pp. 386–397. doi: 10.1007/3-540-48285-7_33.
Selcёuk, Ali Aydin (Jan. 2008). «On Probability of Success in Linear and Differential Cryptanalysis». In: Journal of Cryptology 21.1, pp. 131–147. doi: 10.1007/s00145-007-9013-7.
4.7. Упражнения
Упражнение 4.1
Модифицируйте следствие 4.2, чтобы оно оставалось верным без предположения о «малой корреляции» из простой модели.
Упражнение 4.2
Модифицируйте теорему 4.1, следствие 4.2 и теорему 4.3 для случая, когда выборка открытых текстов производится без возвращения.
Глава 5
Методы восстановления
ключа
В главе 1 было объяснено, как линейные аппроксимации можно использовать
для организации атак с восстановлением ключа по алгоритму Мацуи 1 или 2.
В этой главе мы более пристально рассмотрим алгоритм 2 и его улучшения.
Самое важное улучшение и основная тема этой главы – «метод быстрого
преобразования Фурье».
5.1. Восстановление ключа по алгоритму 2
Напомним (см. главу 1), что атака с восстановлением ключа по алгоритму
Мацуи 2 разбивает шифр на внутреннюю и внешнюю части, как показано на
рис. 1.4. Если у линейной аппроксимации внутренней части разреженные мас
ки, то зачастую ее можно вычислить, зная небольшую часть открытого текста,
шифртекста и раундовых ключей. Это приводит к процессу частичного шифрования и дешифрирования, показанному на рис. 5.1, где Fl и Bk имеют меньшую область определения и область значений, чем внутренняя часть E.
Прежде чем переходить к улучшениям наивного подхода, заключающегося
в частичном шифровании и дешифрировании каждой пары (открытый текст,
шифртекст) для каждого возможного ключа, имеет смысл систематизировать
атаки с восстановлением ключа, введя терминологию для основных шагов этого процесса.
Моделирование. Первым шагом является нахождение подходящей линейной
аппроксимации и определение ее корреляции (с точностью до ошибки моделирования), включая вид ее зависимости от ключа. Этот шаг был рассмот
рен в главах 2 и 3.
Дистилляция. Как показано на рис. 5.1, для вычисления линейной аппроксимации внутренней части шифра необязательно знать открытый текст
и шифртекст целиком. Дистилляция – это процесс извлечения релевантной
информации из пар (открытый текст, шифртекст). Хотя при наивном подходе этот шаг тривиален, именно он составляет суть улучшений, обсуждаемых
в разделах 5.2 и 5.3.
guess l
guess k
70 Методы восстановления ключа
Fl
xi
догадка l
Bk
yi
догадка k
E
inner part
Fl
B
E
y ipart ofka cipher.
i
Figure 5.1 xPartial
encryption and decryption of the outer
внутренняя
часть
Analysis: In this step, the data
are analyzed
to produce a list of the most likely
(partial)
keys.
Typically,
this
involves
computing
a test statistic
for every
Рис. 5.1. Частичное шифрование и дешифрирование внешней
части шифра
possible key. The list of test statistics is then sorted, or compared with a
Анализ. На
этом шагеthreshold
данныеvalue.
анализируются,
список
самых
predetermined
The statistical чтобы
aspects создать
of this process
were
вероятных
(частичных)
Обычно для этого нужно вычислить стаdiscussed
in Chapterключей.
4.
тистику
критерия
возможногоattack,
ключа.
статистик
Search:
In the для
final каждого
step of a key-recovery
the Затем
full keyсписок
is determined
критерия
сортируется
или
сравнивается
с
предопределенным
пороговым
by exhaustive search over the list of remaining candidates.
значением. Статистические аспекты этого процесса обсуждались в главе 4.
Поиск. На последнем шаге атаки с восстановлением ключа определяется полный ключ путем исчерпывающего поиска в списке оставшихся кандидатов.
5.2 Matsui’s approach
presentation
5.2. ПMatsui’s
Мацуиof Algorithm 2 included an optimization that relies on
одход
a more careful distillation phase. Assume that q plaintext-ciphertext pairs are
Изложение
алгоритма
самим
Мацуи
available,
and let2us
denote
the ithвключало
truncated оптимизацию,
sample by (xi ,yiкоторая
) in Fs2 ×опираетFt2 .
ся на более тщательный шаг дистилляции. Предположим, что имеется
q пар
(отHere, “truncated” refers to the fact that xi and yi only include the bits
that
крытый текст, шифртекст), и обозначим i-й усеченный
образец (xi,yi) ∈ 𝔽2s × 𝔽2t. Здесь
are necessary to evaluate the linear approximation on the inner part of the
слово «усеченный» означает, что xi и yi включают только те биты, которые необхоcipher.
димы для
вычисления линейной аппроксимации внутренней части шифра.
Following the
as in Figure 5.1,
there are families
of functions
В обозначениях
наsame
рис.notation
5.1 существуют
семейства
функций
Fl : 𝔽2s → 𝔽2
s
t
t Fl : F
→
F
and
B
:
F
→
F
such
that
the
estimated
correlation
of theвнут
2
k
2
и Bk : 𝔽2 → 𝔽22такие, что оценка
2 корреляции линейной аппроксимации
linear
approximation
over
the
inner
part
of
the
cipher
is
equal
to
ренней части шифра равна
ck,l =
q
q
1
1
(−1)Fl (xi )+Bk (yi ) =
al (xi ) bk (yi ),,
q
q
i=1
(5.1) (5.1)
i=1
“9781009607865book”
— 2025/12/2 — 14:12 — page 66 — #78
Fl (xBi )(x )and b (x ) = (−1)Bl (xi ) . The naive approach
(−1)
l i . Приk наивном
i
где al(xi)where
= (−1)aFll(x(xi) iи) b=
(x
)
=
(−1)
подходе (5.1) вычисляется для
k i
(5.1) for each
of the kKиpossible
valuesиз
ofLkвозможных
and for eachзначений
of the
каждогоevaluates
из K возможных
значений
для каждого
l,
тогда полная
временная
операций
дешифрирования
L possible
values ofсложность
l, leading to
a total of шифрования
time-complexityи of
qKL partial
равна qKL.
Вышеупомянутая
оптимизация
улучшает
этот подход,
q больencryption
and decryption
operations.
The
optimization
alluded когда
to above
66
Key-recovery
techniques
ше 2min{s,t}
.
improves
over this when q is larger than 2min{s,t} .
5.2.1. Однонаправленный
случай
5.2.1 Unidirectional
Сначала рассмотрим случай, когда внешняя часть состоит из одного или более
First consider the case that the outer part only consists of one or more rounds
раундов только в конце шифра. То есть существует лишь L = 1 возможных знаat Property
the endключа
ofofthe
is, there is
only
L not
=факт,
1share
possible
valueиндексы
for the l
Cambridge
University
Press
do
or copy
чений частичного
l.cipher.
ЧтобыThat
подчеркнуть
данный
опустим
partial
key
l.
To
emphasize
this,
we
drop
the
l
subscripts
in
(5.1):
в формуле (5.1):
ck =
q
1
a(xi ) bk (yi ),,
q
i=1
where a(xi ) = (−1)u xi for some mask u. The right-hand side above can be
rewritten by grouping the terms where yi takes the same value together. This
gives the equation
partial
key l.key
Tol.emphasize
this, this,
we drop
the l the
subscripts
in (5.1):
partial
To emphasize
we drop
l subscripts
in (5.1):
q
q
1 1
a(x
bk (y) ib),(y ),
ck =
i )a(x
ckq =
i k i
i=1q
5.2. Подход Мацуи 71
where
a(xTi ) = ) = (−1)for
maskmask
u. The
side side
aboveabove
can be
u xi somesome
u. right-hand
Theчасть
right-hand
can be
i некоторой for
i для
где a(xrewritten
) = where
(−1)ubyxa(x
маски
u.
Правую
этойtogether.
формулы
i
grouping
the
terms
where
y
takes
the
same
value
Thisможно
i
rewritten
by
grouping
the
terms
where
y
takes
the
same
value
together.
This
i
переписать, сгруппировав вместе члены, в которых yi принимает одинаковое
givesgives
the equation
the
equation
значение. Это дает формулу
q
1
q
1 δ y (yi ).y
b
(y)
ck =
ck = k bqk (y) a(xi )a(x
i ) δ (yi )..
i=1q
y∈Ft
t
i=1
(−1)u xi
2
i=1
y∈F2
The sum
aboveabove
can be
as a matrix-vector
product.
Indeed,
define
a a
The sum
caninterpreted
be interpreted
asкак
a matrix-vector
product.
Indeed,
define
Здесь сумму
можно интерпретировать
произведение
матрицы
на
вектор.
t
K ×K
2×
matrix
B with
coordinates
indexed
by partial
keys keys
k andk values
y andy and
t matrix
2определим
B with
coordinates
indexed
by tpartial
and values
Действительно,
матрицу
B размера
K×2
, элементы
которой
индексиa vector
w
by
a vector w by
рованы частичными
ключами k и значениями y, и вектор w следующим образом:
Bk,y B= bk=
(y),
b (y),
k,y
k
q
q
1
δ y (y) iδ).y. (y ).
wy =w = 1a(xi )a(x
yq
i
i
i=1q
i=1
^c
^c
^ Bw.
these
definitions,
the
vector
cс with
coordinates
cравен
to
cЭто
=
k is
ПриWith
таких
определениях
вектор
элементами
приводит
With
these
definitions,
the vector
c with
coordinates
cequal
to
cBw.
= Bw.
k
k cis=equal
This This
leadsшагам
to
the
following
distillation
and
analysis
phases:
к следующим
дистилляции
и
анализа.
leads to the following distillation and analysis phases:
Дистилляция.
Вычислить
вектор
w.
этого
требуется
q вычислений
a, доDistillation:
Compute
the
vector
w. Для
This
requires
q evaluations
of a, of
memory
Distillation:
Compute
the vector
w. This
requires
q evaluations
a, memory
t
ступовaccesses
к памяти
и
сложений.
Для
сохранения
вектора
w
требуется
сохраand additions.
Storing
the vector
w requires
storing
2 numbers.
accesses
and additions.
Storing
the vector
w requires
storing
2t numbers.
нить 2t чисел.
Analysis:
Compute
the matrix-vector
product
c =
The The
matrix-vector
Analysis:
Compute
the matrix-vector
product
cBw.
=
matrix-vector
^c =Bw.
Анализ.product
Вычислить
произведение
матрицы
на
вектор
Bw.computational
Это произведение
can
be
computed
without
storing
the
matrix
B.
The
product canне
beхраня
computed
without
storing
the
matrix B. The computational
можноcost
вычислить,
саму
матрицу
B.
В вычислительной
is
dominated
by 2ttby
K 2partial
decryptions
(evaluations
of bkof
). b ). сложности
t K partial
cost
is
dominated
decryptions
(evaluations
k
преобладает стоимость 2 K частичных дешифрирований (вычислений
bk).
t
K
+
q),
compared
to
O(qK)
The overall
asymptotic
time-complexity
is
O(2
t
The
overall asymptotic
time-complexity
is O(2 равна
K + q),O(2
compared
to O(qK)
t
Полная
асимптотическая
временная
сложность
K + q) по
сравнеfor the
naive
method.
for
the
naive
method.
нию с O(qK) для наивного метода.
Example
5.1 5.1
This This
example
uses uses
the three-round
linearlinear
approximation
fromfrom
example
theтрехраундовая
three-round
approximation
ПримерExamples
5.1.Example
В этом
примере
используется
линейная
аппрокси1.3
and
2.3
to
set
up
a
key-recovery
attack
on
four
rounds.
Figure
5.2 5.2
Examples 1.3
and
setорганизации
up a key-recovery
attack
on four rounds. Figure
мация из примеров
1.3
и 2.3
2.3 to
для
атаки
с восстановлением
ключа
shows the three-round
linear approximation
(nonzero
masks
as thick
lines)lines)
and and
the three-round
approximation
(nonzero
masks
as thick
на четыреshows
раунда.
На рис. 5.2linear
показана
эта трехраундовая
линейная
аппрокthe bits
in partial
decryption
(thick(thick
lines).
Based
on the
thethat
bits are
thatinvolved
are
involved
in partial
decryption
lines).
Based
onfigure,
theучаствуfigure,
симация (ненулевые
маски
изображены
жирными
линиями)
и биты,
three
ciphertext
bits
must
be
known
and
three
bits
of
the
last
round
key
be be
three ciphertext
bits must be known
and threeлинии).
bits of the
roundmust
key
must
ющие в частичном
дешифрировании
(жирные
Поlast
рисунку
видно,
что
должны быть известны три бита шифртекста и что три бита последнего раундового ключа необходимо угадать. Отсюда K = 8 и t = 3. Поскольку корреляция
аппроксимации близка к 1⁄8, полагаем q = 64.
Property
of Cambridge
University
Press
do not
or copy
Property
of Cambridge
University
Press
do share
not share
or copy
S
S
S
S
S
S
S
S
S
S
S
S
Рис. 5.2. Атака с восстановлением ключа на четыре раунда демонстрационного шифра
Figure 5.2 Key-recovery attack on four rounds of the example cipher.
K = 8 andключа
t = 3. Since the correlation of the approximation
guessed.
МетодыHence,
восстановления
is close to 1/8, set q = 64.
Using 64 random
encrypted
underзашифрованных
the all-zero key, the
analysisсостоПри использовании
64 samples
случайных
образцов,
ключом,
ящим из
одних
нулей,
анализа
включает product
следующее
произведение
матриphase
involves
theшаг
following
matrix-vector
(indices
in F32 , ordered
цы на вектор
(индексы, принадлежащие 𝔽23, упорядочены лексикографически):
lexicographically):
⎡
⎤ ⎡
⎡ ⎤
⎤
−24
−1 −1
1 −1
1
1 −1
1
5
⎢−18⎥ ⎢−1 −1 −1
⎢ 6⎥
⎥
1
1
1
1
−1
⎢
⎥ ⎢
⎢ ⎥
⎥
⎢−12⎥ ⎢ 1 −1 −1 −1 −1
⎢ 1⎥
1
1
1⎥
⎢
⎥ ⎢
⎢ ⎥
⎥
⎢
⎥
⎢
⎢ ⎥
⎥
1 ⎢−14⎥ ⎢−1
1 −1 −1
1 −1
1
1⎥ 1 ⎢ 1⎥
⎢
⎥=⎢
⎢ ⎥.
⎥×
1 −1
1 −1 −1
1 −1⎥ 64 ⎢−6⎥ .
64 ⎢ 24⎥ ⎢ 1
⎢
⎥ ⎢
⎢ ⎥
⎥
⎢ 18⎥ ⎢ 1
⎢−4⎥
1
1 −1 −1 −1 −1
1⎥
⎢
⎥ ⎢
⎢ ⎥
⎥
⎣ 12⎦ ⎣−1
⎣−4⎦
1
1
1
1 −1 −1 −1⎦
14
1 −1
1
1 −1
1 −1 −1
−7
��
� � �� �
� �� � �
72
�
c
w
B
Based on Example
2.3, the2.3,
correlation
for theдля
all-zero
key состоящего
is −9/32. Hence,
Основываясь
на примере
корреляция
ключа,
из одних
9
24
3
the
empirical
correlation
−24/64
=
−9/32
−
3/32
for
the
a пранулей, равна − ⁄32. Поэтому эмпирическая корреляция − ⁄64 correct
= −9⁄32 −key
⁄32isдля
plausible
result.
If
the
sign
of
the
correlation
is
not
known,
the
most
likely
вильного ключа – правдоподобный результат. Если знак корреляции неизвес
keys are 000кандидаты
and 100. – 000 и 100.
тен, тоcandidate
самые вероятные
Note
that
the
wrong
key randomization
hypothesis mentioned
in Chapter
4
Заметим,
что
гипотеза
рандомизации
с неправильным
ключом,
упомянутая
в главеdoes
4,“9781009607865book”
для
примера
несправедлива:
корреляции
для
большинства
неnot этого
hold for
this example:
the
correlations
for
most
of
the
incorrect
— 2025/12/2 — 14:12 — page 68 — #80
правильных
ключей
не близки
нулю,
а примерно
равны
произведению
“9781009607865book”
—about
2025/12/2
14:12
page 68 for
— the
#80±1⁄2 на
keys are
not close
to zero,кbut
±1/2 —
times
the —
correlation
корреляцию
Это объясняется
тем, чтоkey
частичное
дешифcorrect для
key. правильного
This is becauseключа.
partial decryption
with an incorrect
essentially
рирование
с
неправильным
ключом
по
сути
дела
добавляет
в
шифр
один
лишний
adds one more (key-dependent) S-box to the cipher, and most effective linear
(зависящий
от ключа)
S-блок,
а самые
эффективные
линейные
approximations
over
this S-box
have
correlation
±1/2.
The large аппроксимации
correlation
68
Key-recovery
techniques
1
2. Большая корреляция для неправильного
этого S-блока
имеют
корреляцию
±
⁄
68
Key-recovery
techniques
for incorrect
key 100 is more surprising;
explaining
it is Exercise 5.1.
�
ключа 100 более удивительна, она объясняется в упражнении 5.1.
⊳
5.2.2 Bidirectional
5.2.2. Двунаправленный
случай
5.2.2 Bidirectional
The optimization
introduced
in Section
generalizes
the caseкогда
where внешняя
the
Оптимизация,
введенная
в разделе
5.2.1,5.2.1
обобщается
наtoслучай,
The
optimization
introduced
in
Section
5.2.1
generalizes
toatthe
case
where
the
outer
part
consists
of
one
or
more
rounds
at
the
beginning
and
the
end
of
the
часть состоит
из одного
или нескольких
раундов
вnot
начале
иorв copy
конце шифра.
Property
of Cambridge
University
Press
do
share
outer
part
consists
of
one
or
more
rounds
at
the
beginning
and
at
the
end
of
the
Inформула
this case, rewrite
(5.1) as follows: следующим образом:
В этомcipher.
случае
(5.1) переписывается
cipher. Inqthis case, rewrite (5.1) as follows:
q
1 q
1 xq
ck,l =
a
(x
)
b
(y
)
=
a
(x)
b
(y)
(xi )δ y (yi )..
l
k
1 l i k i
1 δ
q
q
ck,l =i=1
al (xi ) bk (yi )(x,y)∈F
= s ×Ft
al (x) bk (y)i=1
δ x (xi )δ y (yi ).
2
2
q
q
s
t
i=1
(x,y)∈F2 ×F2
i=1
s
t
Define a 2sматрицу
× L matrix
a K × 2t2matrix
B and a 2Bt ×размера
2s matrixK×2
W by
Определим
A A,
размера
×L,
матрицу
и матрицу
s
t
t
s
Define
t
s a 2 × L matrix A, a K × 2 matrix B and a 2 × 2 matrix W by
W размера 2 ×2 :
Ax,l = al (x),
A = a (x),
Bk,y =x,lbk (x),l
Bk,y = qbk (x),
1 xq
Wy,x =
(xi )δ y (yi ).
1 δ
Wy,xq=i=1
δ x (xi )δ y (yi )..
q
i=1
Using these definitions, the K × L matrix
c with coordinates
ck,l is equal to
isравна
equal проto
Using
these
definitions,
the K the
×
Ldistillation
matrix K×L
c with
coordinates
ck,l
^c размера
^c should
Приthe
таких
определениях
матрица
с элементами
matrix
product
B W A.
Hence,
and
analysis
phases
k,l
theматриц
matrix
product
B W A. Hence,
distillation andиanalysis
phases
should
изведению
BWA. Поэтому
шагиthe
дистилляции
анализа
необходимо
be updated
as follows:
be updated
as follows: образом.
модифицировать
следующим
Distillation: Compute the matrix W . This requires q evaluations of a and b,
Distillation:
Compute
the matrix
W . This
requires
evaluations
of 2as+t
and b,
memory
accesses
and additions.
Storing
the matrix
W qrequires
storing
memory
accesses
and
additions.
Storing
the
matrix
W
requires
storing
2s+t
numbers.
5.3. Метод быстрого преобразования Фурье 73
Дистилляция. Вычислить матрицу W. Для этого требуется q вычислений a и b,
доступов к памяти и сложений. Для сохранения матрицы W требуется сохранить 2s+t чисел.
Анализ. Вычислить произведение матриц ^c = BWA. Его можно вычислять как
(BW)A или как B(WA). Таким образом, стоимость вычислений равна
min {2s+tLTa + 2tKLTb, 2s+tKTb + 2sKLTa},
где Ta и Tb – стоимости частичного шифрования и дешифрирования соответственно. Для этого требуется сохранить не более KL + max{2tL, 2sK} чисел.
Как правило, K ≥ 2t и L ≥ 2s, поэтому асимптотическая вычислительная сложность составляет O(KL2min{s,t} + q). Это улучшает наивный подход, когда q ≥ 2min{s,t}.
“9781009607865book” — 2025/12/2 — 14:12 — page 69 — #81
В некоторых случаях развертка ключа вводит соотношения между ключами k и l. Их можно использовать для усечения матрицы ^c. Принимая это во
внимание при вычислении ^c, можно добиться дополнительного ускорения.
5.3 Fast Fourier transformation method
5.3. Метод быстрого преобразования Фурье
69
Самая дорогая часть оптимизированного подхода к восстановлению ключа из
unidirectional
caseпроизведения
and the matrix матрицы
product BW
in the bidirectional
case.
раздела 5.2
– вычисление
наAвектор
Bw в однонаправIt
turns
out
that
the
matrices
A
and
B
often
have
a
special
structure
that
makes
ленном случае и произведения матриц BWA в двунаправленном. Оказывается,
it possible
to speed
up these
operations. структуру, благодаря которой эти
что матрицы
A и B часто
имеют
специальную
операции можно ускорить.
5.3.1 Circulant structure
5.3.1. Циркулянтная
структура
If roundключи
keys areприбавляются
added to the state
at the beginning
and endи of
a cipher,шифра,
then
Если раундовые
к состоянию
в начале
в конце
�
theFfunctions
Fl andвид
Bk are
the=form
F (y)
(x+l
) (y
and+ Bkk1)1 для
=
1k2
то функции
и Bk имеют
Fl ‖ofl (x)
F′l (xFl+1 l1l2)(x)
и B=
= B′
некоk2 (y)
l
k1‖ k2l2
1 2
�
� 2
�
B
(y
+
k
)
for
some
functions
F
and
B
indexed
by
keys
l
and
k
.
Hence,
1
2
2
k2
l2
k2
торых функций
F′l и B′k , индексированных
ключами
l2 и k2. Значит, существуют
2 �
�
also2 exist
также a′ иthere
b′ такие,
чтоal2 and bk2 such that
l2
k2
al1 l2 (x) = al�2 (x + l1 ),
bk1 k2 (y) = bk� 2 (y + k1 )..
implies
the matrices
A and B have структура.
a peculiar structure.
More
Отсюда This
следует,
чтоthat
у матриц
A и B своеобразная
Точнее, для
люl
2
l
l
precisely, A
for2 квадратную
all l2 , let A подматрицу
be the square Asubmatrix
of A with
бого l2 обозначим
с элементами
Ax,l2 coordinates
= a′l (x + l1).
1
2
2
Alx,l
= al�2 (xаналогично
+ l1 ). For allопределить
k2 , one can define
B k2 similarly подматрицу
as the square B
Для любого
k21 можно
Bk2 – квадратную
k2
k2
l2
k2
�
с элементами
B k of
= b′
+B
k1k).,yМатрицы
B matrices
называются
циркулянтными
submatrix
Bk2(y
with
= bk2 (y +Ak1 ).иThe
Al2 and
B k2 are called
1
1,x
матрицами.
circulant matrices.
m × 2m matrix M with mcoordinates
Definition
5.1 (Circulant matrix)
A 2Матрица
Определение
5.1 (циркулянтная
матрица).
M размера 2 ×2m, индекm
m y in Fm is
indexed
by elements
F2 such
M0,x+y
forx,all
x,y , = для
сированная
элементами
𝔽m2, of
такая
что that
Mx,y M
=M
всех
y ∈x 𝔽and
, называется
2
0 x+y
2
called circulant.
циркулянтной.
There exists a more general definition of circulant matrices that replaces
Существует
m более общее определение циркулянтных матриц, в котором
an arbitrary finite
group. You
might already
be familiar
F
2 by
𝔽m2 заменено
произвольной
конечной
группой.
Возможно,
вы with
уже circulant
знакомы
matrices indexed
by theиндексированными
cyclic group Z/NZ. циклической
In this section,группой
we limit ℤ/Nℤ.
the
с циркулянтными
матрицами,
discussion
to
Definition
5.1.
Но в этом разделе мы ограничим обсуждение определением 5.1.
Example 5.2 (Circulant matrix) The matrix B in Example 5.1 is circulant.
For example, the first two rows of the matrix are
−1 −1
1 −1 1 1 −1
1
74
There exists a more general definition of circulant matrices that replaces
Fm
2 by an arbitrary finite group. You might already be familiar with circulant
matrices indexed by the cyclic group Z/NZ. In this section, we limit the
Методы восстановления ключа
discussion to Definition 5.1.
ПримерExample
5.2 (циркулянтная
матрица).
Матрица
в примере
5.1 является
5.2 (Circulant matrix)
The matrix
B inBExample
5.1 is circulant.
циркулянтной.
Например,
первыми
двумя
ее
строками
будут
For example, the first two rows of the matrix are
1
..
−1
−1 −1
1 −1 1 1 −1
−1 −1 −1
1 1 1
1
Compared toсthe
first row,
the entries
at consecutive
even and
odd positions
По сравнению
первой
строкой,
элементы
в соседних
четных
и нечетных
(counting
from
zero)
are
swapped.
This
corresponds
to
adding
001 to the припозициях (нумерация начинается с 0) переставлены. Это соответствует
column
as elements
of F32 . как элементов 𝔽3 . �
бавлению
001indices
к индексам
столбцов
⊳
2
m circulant matrix can m m
It turns out
thatпроизведение
a matrix-vector product
with a 2m × 2матрицы
Оказывается,
что
циркулянтной
размера 2 ×2
m
m
be computed
O(m2 ) arithmetic
This assumes
that one row
of этом
на вектор
можно in
вычислить
за O(m2operations.
) арифметических
операций.
При
the matrix isчто
stored
memory.
As a result,
the analysis
can be В
sped
up:
предполагается,
в in
памяти
хранится
одна
строкаphase
матрицы.
результате
анализ можно ускорить.
Unidirectional: To compute Bw, it suffices to compute the matrix-vector
products B k2 w for
all values
of вычисления
k2 . Each matrix-vector
product requires
Однонаправленный
случай.
Для
Bw достаточно
вычислить
произведение Bk2w для всех значений k2. Каждое произведение матрицы
на вектор требует 2t частичных дешифрирований и O(t2t) арифметических
Property
of Cambridge
University Press
do not преобладает
share or copyстоимость
операций.
Следовательно,
во временной
сложности
2tK2 = K1K2 частичных дешифрирований и O(t2tK2) арифметических операций. Сравните со сложностью 2tK1K2 метода из раздела 5.2.
Двунаправленный случай. Произведение Bk2WAl2 можно вычислять как
(Bk2W)Al2 или как Bk2(WAl2). Без ограничения общности рассмотрим первый
случай. Произведение Bk2W вычисляется путем умножения циркулянтной
матрицы Bk2 на 2s столбцов W. Для вычисления произведения (Bk2W)Al2 2t
строк Bk2W умножаются на циркулянтную матрицу Al2. Следовательно,
в общей сложности преобладает стоимость K1K2L1L2 частичных шифрований
или дешифрирований и O(min{s,t}K1K2L1L2) арифметических операций.
Из раздела 5.3.2 станет ясно, что многие арифметические операции можно амортизировать, когда K2 и (или) L2 велики, хотя общая сложность при этом
не изменится.
Если K = K1K2 и L = L1L2, то общая временная сложность равна O(KL) частичных
шифрований и дешифрирований и O(min{s,t}KL) арифметических операций.
Сравните со сложностью O(2min{s,t}KL) метода из раздела 5.2.
При использовании этого метода трудно усечь матрицу ^c, чтобы учесть потенциальные связи между K1 и L1, которые могли появиться в результате развертки ключа. Однако линейные связи учесть все же можно, должным образом
модифицировав алгоритм умножения матриц.
5.3.2. Умножение на циркулянтные матрицы
Умножение, в котором участвует циркулянтная матрица, можно выполнить
эффективно, воспользовавшись алгоритмом быстрого преобразования Фурье.
Это связано с тем, что, как показывает теорема 5.3 ниже, преобразование Фурье диагонализирует циркулянтную матрицу. Преобразование Фурье (для аддитивной группы 𝔽m2) определяется следующим образом.
Multiplication with a circulant matrix can be done efficiently using the fast
Fourier transformation algorithm. This is because, as shown by Theorem 5.3
below, the Fourier transformation diagonalizes circulant matrices. The Fourier
m
transformation (for the additive
group
F
is defined
as follows.
Метод
быстрого
преобразования
“9781009607865book”
—5.3.
2025/12/2
—2 )14:12
— page
71 —Фурье
#83 75
“9781009607865book”
—
2025/12/2
—
14:12
—
page
71
—
“9781009607865book”
—
2025/12/2
—
14:12
—
page
71
—
#83
“9781009607865book”
— 2025/12/2 The
— 14:12
page 71 #83
— F#83
Definition
5.2 (Fourier transformation)
Fourier—
transformation
m is a
Определение 5.2 (преобразование Фурье). Преобразованием Фурье
ℱm наlinear operator that maps real vectors v with coordinates indexed by Fm
to
real
2
зывается линейный оператор, который отображает mвещественные векторы
v,
vectors
v = Fm (v) with coordinates
indexed
by
F
as
follows:
2
^v = ℱ (v), индексииндексированные элементами 𝔽m2, в вещественные векторы
m
5.3 mFast Fourier transformation method
71
рованные элементами
, следующим
образом: method
5.3𝔽Fast
Fourier
transformation
method
71 71
2Fast
5.3
transformation
71
5.3 Fourier
Fast
Fourier
transformation
method
u x
(−1) vx .
vu =
n
Equivalently, as a matrix relative to thex∈F
standard
basis,
2
Equivalently,
matrix
relative
theto
standard
basis,basis,
Equivalently,
asasaamatrix
relative
totothe
standard
basis,
Equivalently,
as a matrix
relative
the standard
�
�
Эквивалентно, в виде матрицы относительно
стандартного базиса
m
�
� � 1�� �
mm � 1
�
m
Fm =�
.
1
1
�
11 −1
11 . 1
FFmm==Fmi=1
.
= 11 −1
.
Property of Cambridge
University
−1
1 Press
−1 . do not share or copy
i=1
i=1
i=1
The inverse of Fm is given by Fmm/2m
(Exercise 5.2). The following result
mm(Exercise
Theinverse
ofFFmmofisisFравна
givengiven
by
Fmby
/2
(Exercise
5.2).
The
following
result
Обратная
кinverse
ℱminverse
матрица
ℱmF/2
(упражнение
5.2).
Следующий
результат
m (Exercise
m/2
The
given
by
5.2).
The
following
result
The
Fm /2
5.2).
The following
result
diagonalizes
matrices.
shows
that
Fm of
m iscirculant
показывает,
что
ℱ
диагонализирует
циркулянтные
матрицы.
shows
that
F
diagonalizes
circulant
matrices.
m
circulant
matrices.
showsshows
that Fthat
m mdiagonalizes
F
diagonalizes
circulant
matrices.
m
m
m
Theorem 5.3 (Diagonalization
of circulant matrices) Let M be 2 m × 2 m
Theorem
5.3(Diagonalization
(Diagonalization
of circulant
matrices)
LetMM
beM
2mbe××22m2m × 2m
Theorem
5.3
of
matrices)
Let
be
Теорема
5.3
(диагонализация
циркулянтных
Пусть
M
–2циркулянтная
Theorem
5.3
(Diagonalization
of Fcirculant
Let
circulant matrix with first row r. If circulant
�
r=
thenmatrices)
m (r),матриц).
m with
m first row r. If �
circulant
matrix
r
=
F
(r),
then
^
m
circulant
matrix
with
row
If �
r r.=IfF�
(r),
then
матрица
размера
2matrix
×2 first
сwith
первой
Если
r =then
ℱm(r), то
circulant
firstr.строкой
row
rmr.
=
Fm
(r),
⎡
⎤
r0···00
⎡⎡�
⎤⎤ ⎤
⎡
�
r
0···00
r0···00�
⎢�
⎥
r0···00
�
r0···01
⎢
⎥ −1
�
r0···01�
⎥
M = Fm⎢
Fm
⎢
⎥.
�
r
⎢
0···01
r
..
−1
0···01
⎢⎣
⎥⎥
⎢
⎦
. −1 .
⎥FF−1
.
.
m⎥
MM==M
FFmm=
⎢⎢
⎥
Fm ⎢
⎥.. Fm
.
.
m
⎣
⎦
.
.. . .. ⎦
⎣
⎣
⎦
�
r1···11
r1···11�
�
r�
1···11
r1···11
Proof The (u,v)th coordinate of the right-hand side equals
ProofProof
The(u,v)th
(u,v)th
coordinate
theof
right-hand
sideequals
equals
Proof
The
coordinate
ofofthe
right-hand
side
The
(u,v)th
the
right-hand
side equals
Доказательство.
Элемент
(u,coordinate
v) матрицы
в правой
части
равен
�
1 �
1
v w+u w
w (u+v)
�
�
r�
�
r�
.
�
w (−1)
w (−1) w
w = 11
(u+v)
121m �
v w+u
w+u
m
1 �
1
v
w
w
(u+v)
�
rw(−1)
(−1)
= w2 m= m�
�
rw(−1)
(−1)
. ..
v w+u
w .(u+v)
r
=
r
m�
m
w
w
�
r
(−1)
�
r
(−1)
w∈F
w∈F
w
w
m2m
m2m
22m w∈F
22m w∈F
2
2
m
m
m
m
w∈F 2
w∈F 2
2
w∈F2
2
w∈F2
�
w x
�x∈F�
m (−1) rx yields
Substituting �
rw =�
w x x r yields
2
w
m
Substituting
�
r
=
(−1)
x r yields
m2(−1)
Substituting
�
rww= �
rxwxдает
yields
x∈F
Подстановка
m (−1)
Substituting
rw x∈F
=
x
2 x∈F2
�
�
�
1 � �
w (u+v+x)
0
� r�
r
(−1)
=
�
�
x
x δ 0(u + v + x) = ru+v .
�
�
121m �
w
(u+v+x)
1
w
(u+v+x)
0
r
(−1)
=
r
δ
v++
x)
ru+v
w
(u+v+x)
= x∈F=mrxxδ (u
m
mrx x(−1)
m
u+v
rx (−1)
r(u
δ+0v(u
+x)
v=
+=rx)
=. .ru+v .
x+
2m
m2m x∈F2m
22m w∈F
2
m
m
m
w∈F
x∈F
x∈F
m
m
w∈F 2x∈F m2
x∈F 2
2
w∈F22 x∈F2
2
x∈F2
Поскольку
в правой
являются
функциями
от u + v,
Since theэлементы
coordinatesматрицы
of the matrix
on theчасти
right-hand
side are
a function of
SinceSince
thecoordinates
coordinates
ofthe
the
matrix
onthe
the
right-hand
sideare
are
aare
function
of M,of
это циркулянтная
матрица.
Кроме
того,
поскольку
r
равна
первой
строке
Since
the
of
matrix
on
right-hand
side
a
function
of
the
coordinates
of
the
matrix
on
the
right-hand
side
a
function
u + v, it is a circulant matrix. Furthermore, since r is equal to the first row of эта
u++равна
v,
itisis
aitcirculant
circulant
matrix.
Furthermore,
sincesince
equal
theto
first
row
of
матрица
uM,
v,
matrix.
Furthermore,
since
rrisisequal
totothe
first
uit+
v,aM.
isisaequal
circulant
matrix.
Furthermore,
r is equal
therow
firstof
row of □
this
matrix
to M.
M,this
this
matrix
is
equal
to
M.
M,
matrix
is
equal
to
M.
matrix
equalэффективный
to M.
ТеоремаM,
5.3this
сразу
жеisдает
алгоритм вычисления произведеTheorem 5.3 immediately gives an efficient algorithm
to compute a matrix–1
m
ния матрицы
на
вектор
Mv.
Сначала
вычисляем
ℱ
(v).
Для
этого
требуется
m2
Theorem
5.3
immediately
gives
an
efficient
algorithm
to
compute
a
matrixmalgorithm
−1
m arithmetic
Theorem
5.3 immediately
gives gives
an efficient
algorithm
to compute
a matrixTheorem
5.3 immediately
an
efficient
to
compute
a
matrixvector
product
Mv.
First
compute
F
(v).
This
requires
m2
m
−1 (v).
m arithmetic
арифметических
операций,
показано
в −1
упражнении
2.5.
vector
product
Mv. First
Firstкак
compute
F−1
This requires
requires
m2mЗатем
m вычисляем
vector
product
Mv.
compute
This
m2
arithmetic
vector
product
Mv.
First
compute
Fcompute
(v).
This
requires
arithmetic
mm (v).
operations,
as
shown
in Exercise
2.5.FNext,
the product
ofm2
a diagonal
m
произведение
диагональной
матрицы
и
v.
Для
этого
необходимо
2m умножеoperations,
asshown
shown
Exercise
2.5.Next,
Next,
compute
theproduct
product
diagonal
m 2.5.
operations,
asv.
ininExercise
compute
the
ofofthe
aadiagonal
operations,
as
shown
in
Exercise
2.5.
Next,
compute
the
product
of
a
diagonal
multiplications.
Finally,
compute
Fourier
matrix
and
This
requires
2
ний. Наконец,
преобразование
Фурье
результата.
multiplications.
Finally,
compute
theFourier
Fourier
matrix
andвычисляем
v.
This
requires
2mmmultiplications.
m multiplications.
Finally,
compute
the
matrix
and
v.
This
requires
2
Finally,
compute
the
Fourier
matrix
and
v.
This
requires
2
transformation of the result.
transformation
theof
result.
transformation
ofofthe
Пример
5.3.transformation
Возвращаясь
кresult.
примеру
the result. 5.1, сначала вычислим преобразование Фурье
Example 5.1, first compute the Fourier transformaпервойExample
строки5.3
M: Revisiting
Example
5.3
Revisiting
Example
5.1,first
first
compute
theFourier
Fourier
transformaExample
5.3
Revisiting
Example
5.1,
the
transformaExample
5.3
Revisiting
Example
5.1,compute
first compute
the Fourier
transformation of the first row of M:
tion
of
the
first
row
of
M:
tion oftion
theof
first
row
of
M:
the first row of M:
76
72 72
Key-recovery
techniques
Key-recovery
techniques
72
Key-recovery
techniques
Методы восстановления ключа
⎤ ⎡ ⎡ −1
⎡−1⎡
⎡−1⎤−1⎤⎡−1
−1 −1
−1
−1
⎢−1
⎥−1⎥
⎢−1
⎢−1
⎢
−1
−1
⎢
⎥
⎢
⎢−1
⎥ ⎥
⎢ 1⎢
⎢
1
−1
1
⎢
⎥
⎢
⎢ 1⎢ −1
⎥ 1⎥
⎢ 1⎢
⎢
⎥
⎢
⎢−1⎢−11
⎥−1⎥
⎢−1⎢
⎢
⎥
⎢
⎢
⎥
⎢
⎢
⎥
⎢
=
�
r=�
F
−1
−1
⎢
⎥
⎢=1⎢ 111
⎥=
⎢F31⎢
�
r = rF33=⎢
⎢
⎥
⎢
⎢ 1⎢ 1
⎥ 1⎥
⎢ 1⎢
⎥
⎢
⎥
⎢
⎢ 1⎢ 11
⎥ 1⎥
⎢ 1⎢
⎢ 1
⎥ ⎦
⎢ 1⎣
⎣
⎦
⎣
1
⎣−1 ⎦−1 ⎣−1⎣−11
−1
1
−1
1 −1
1 1
1
1 −1
1
−111
−1
−1
−1
−1
−1
−1
−1
1
−1
−1
1
−1
111
111
−111
−1
1
−1
−111
−1
−1
−1
−1
−1
−1
−111
−1
1
−1
111
111
−111
11
−11
−1
−1
−111
−1
1
−1
−1
−1
−1
111
−1
1
−1
111
111
−111
−1
1
−1
−1
−1
−1
−1
−1
−1
−1
1
−1
−111
−1
1
−1
111
111
−111
−111
−1
−1
−1
−1
−1
−1
−1
1
−1
⎡ ⎤
⎤ ⎤
⎤⎡ ⎤⎡
⎤−1 ⎡ 00⎡⎤ 0⎤
−111⎤ ⎡1−1
−1
−1
⎥ 0⎥
⎢ 00⎢
⎥−1⎥
⎢−1
1 ⎥−1
⎥⎢
−1
⎥
⎢
⎥
⎥
⎥ ⎥
⎢ 0⎢
⎥ ⎥
⎢−1
⎥⎢
1⎢
1
111⎥
⎥
⎢
⎥
⎥ 0⎥
⎢
⎥
⎢1⎥
⎥⎢
⎢
⎥
⎢
⎥
1⎢
⎥
⎢
⎥
⎥ 0⎥
⎢ 00⎢
⎥−1⎥
⎢1−1
⎥⎢
⎥
111⎥
⎥
⎢
⎥
⎥
⎥. ⎥ .
⎢=0⎢
⎥=⎥
⎢−1
⎥⎢
⎢
⎥
⎥
⎢
⎥
⎢
⎥
⎥−4
⎢
⎥
⎢
⎥
−4
⎢
⎥
1
⎢
⎥
−1
1⎥
1 ⎥
⎥
⎢
⎥
⎢
⎥.. ⎥
⎢−4⎢
⎥=
⎢ ⎥1⎢
⎥−1
−1
⎥
⎢
⎥
⎥ 4⎥
⎢ 4⎢
⎥ 1⎥
⎢1⎥1⎢
⎥⎢
−111⎥
⎥ ⎥
⎢ 4⎣
⎥ ⎦
⎢ ⎦1⎣
⎥⎣
⎦
⎣
⎦
⎦
−4
−1
−1
⎣ ⎦−1 ⎣ ⎦−4⎦
⎦−1
−1
−4
−1
−1
−4
1
−1
−1
−1 −1 1 1 −4 −4
Next,Next,
compute
the Fourier
transformation
of wofand
the result
withwith
a a
compute
the Fourier
transformation
w multiply
and
multiply
the result
ЗатемNext,
вычислим
преобразование
Фурье of
ww
и and
умножим
результат
на диагоcompute
the Fourier
transformation
multiply
the result
with
a
diagonal
matrix
D
that
has
�
r
on
its
diagonal:
diagonal
matrix
D
that
has
�
r
on
its
diagonal:
^
нальную
матрицу
D
с
вектором
r
на
диагонали:
diagonal matrix D that has �
r on its diagonal:
⎡ ⎡
⎤ ⎡ ⎤ ⎡⎤ ⎤⎡ ⎡⎤ ⎤
⎡0 0
⎤ ⎡−8 ⎤−8 ⎡ 0 ⎤ 0
0
−8⎥ ⎢ 0⎥
⎢ ⎢0 0
⎥ ⎢⎥
0⎥
⎢ ⎢0
⎥⎢
⎢⎥00⎢
⎥ 0⎥
⎢ ⎢
⎥ 0⎥
⎢
⎥
⎢
⎢⎥
0⎥
⎢ ⎢ 0
⎥⎢
⎢⎥
⎥ ⎥
⎢ ⎢
⎥ ⎥
⎢
⎥
⎥
⎢
⎢
⎥
⎢
10
0
⎢ ⎢ 0 0
⎥⎢
⎢⎥10⎢⎥
⎥10⎥⎢
⎢ ⎢
⎥ 0⎥
⎢
⎥
⎥
0⎥
⎢ ⎢
⎥⎢
⎢⎥ ⎢⎥
⎥ ⎥⎢
⎢ ⎢
⎥ ⎥
⎢
⎥
0
−6
0
⎢ ⎢
⎥⎢
⎢⎥ ⎢⎥
⎥−6⎥⎢
⎢ ⎢⎥
⎥ 0⎥
⎢
⎥
0
0
−6⎢⎥
0⎥
D(FD(F
w) =w)⎢
⎢= ⎢
⎥⎢
⎢⎥
⎥ =⎥⎢
⎢= ⎢
⎥. ⎥
⎥
..
D(F33 w)3=
=
. ⎥
⎢ ⎢
⎥⎢
⎢⎥
⎥34⎥⎢
⎢136
⎥
⎢
⎥
−4 −4
⎥
34⎢⎥
⎢
⎥
136
⎢ ⎢
⎥⎢
⎢⎥34⎢⎥
⎥ ⎥⎢
⎢136
−4
⎥
⎢
⎥
⎥
⎢⎥
⎢ ⎢
⎥⎢
⎢−2
⎥−2⎥⎢
⎢ −8
⎥−8⎥
⎢
⎥
4 4
⎢⎥
⎢⎥
⎢ ⎢
⎥⎢
⎢⎥
⎥ ⎥⎢
⎢ −8
⎥ ⎥
⎢
⎥
⎥
4
−2
⎥
⎢
⎢
⎢ ⎣
⎥
⎢
⎥
⎢
⎥ ⎥
⎣
⎦
⎣
⎦
⎣
⎦
⎦
−4
⎣
⎦
8
⎣
⎦
32
⎣
−4 −4 ⎦ ⎣ 8⎦ 8 ⎣ 32⎦32
−4 −4 4 4
16 16
−4
4
16
Computing
the inverse
Fourier
transformation
givesдает
the result
Computing
the inverse
Fourier
transformation
the result результат:
Вычисление
обратного
преобразования
Фурье
Computing
the inverse
Fourier
transformation
givesgives
the искомый
result
⎡ ⎡ ⎤ ⎤⎡ ⎡ ⎤ ⎤
⎡ 0 ⎤ 0 ⎡−24−24
⎤
−24⎥
⎢ ⎢00⎥ 0⎥⎢−18
⎢
⎢ ⎢0⎥
⎥ ⎥⎢
⎢−18
⎥ ⎥
⎢
⎥
⎢−18
⎢ ⎢0⎥
⎥ ⎥⎢
⎢−12
⎥ ⎥
⎢
⎥
⎢
⎢ ⎢0⎥
⎥ 0⎥⎢
⎢−12
⎥ ⎥
−12
⎢
⎥
⎢
⎢
⎥
⎢
⎥ ⎥
⎢
⎥
⎢
⎥
⎢
⎥
⎢
1 1⎢
⎢ ⎢0⎥
⎥ 0⎥⎢
⎢−14
⎥ ⎥
⎥
−14
−1 −1
⎢
1
0
−14
(DF
w)
=
F
=
�
c =�
F3=
⎢F3 ⎢ ⎥
⎥ ⎥⎢
⎢= ⎢ ⎥
⎥.. ⎥
−1F3 (DF
3
3⎢
w)
=
c
3
=⎥⎢
. ⎥.
�
c = F3 (DF3 w) = 8 F38⎢
⎢ 136
⎥
⎢ 24
⎥24
⎥
⎥
⎢
⎢
136
⎢ 136
⎥ ⎥⎢
⎢ 24
⎥ ⎥
⎥
⎥
8 ⎢
⎢
⎢
⎢ −8
⎥−8⎥⎢
⎢ 18
⎥18⎥
⎢
⎢⎥
⎢⎥
⎢ −8
⎥ ⎥⎢
⎢ 18
⎥ ⎥
⎢
⎥
⎥
⎢
⎢
⎢−32
⎥ ⎦⎣
⎢ 12
⎥ ⎥
⎣
⎦
⎦
⎣
⎣
−32
⎣−32⎦ ⎣ 12⎦12⎦
−16−16
14 14
−16
14
The часть
right-hand
side side
is equal
to the
given
in Example
right-hand
equal
toresult
the result
given
in Example
5.1.
Правая
совпадает
сisрезультатом,
приведенным
в5.1.
примере
5.1. ��
The The
right-hand
side is equal
to the
result
given
in Example
5.1.
5.4. Историческая справка
�⊳
Выделение трех шагов в атаках с восстановлением ключа было введено Ма5.4
Historical
remarks
Historical
remarks шифра DES; в ней
цуи в статье по экспериментальному
криптоанализу
5.4 5.4
Historical
remarks
употреблялись
термины
«подсчет attacks
данных»
ключей»
The The
subdivision
of key-recovery
into(дистилляция),
threethree
phases
was «подсчет
introduced
by by
subdivision
of key-recovery
attacks
phases
was
introduced
Theи subdivision
of key-recovery
attacks
intointo
three же
phases
was
introduced
by
(анализ)
«исчерпывающий
поиск»
(поиск).
Там
был
впервые
предложен
Matsui
in his
on the
cryptanalysis
of the
usingusing
the the
Matsui
in paper
his paper
on experimental
the experimental
cryptanalysis
of DES,
the DES,
in his
paper
on the
experimental
of the
DES,
usingФурье
the
подход,Matsui
описанный
в разделе
5.2. Метод cryptanalysis
быстрого преобразования
из
termsterms
“data“data
counting”
(distillation),
“key“key
counting”
(analysis)
and and
“exhauscounting”
(distillation),
counting”
“exhaus“dataописан
counting”
(distillation),
“key Стандаерта
counting”
(analysis)
and “exhausразделаterms
5.3 был
в работе
Коддарда,
и(analysis)
Квизвотера.
tive tive
search”
(search).
ThisThis
paperpaper
also also
introduced
the approach
explained
in in
search”
(search).
introduced
approach
explained
tive search”
(search).
This paper
also introduced
the the
approach
explained
in
Section
5.2.
The
fast
Fourier
transformation
method
from
Section
5.3
was
Section
5.2.
The
fast
Fourier
transformation
method
from
Section
5.3
was
Section
5.2.
The
fast
Fourier
transformation
method
from
Section
5.3
was
итература
introduced
by Collard,
Standaert
and Quisquater.
introduced
by
Collard,
Standaert
and
Quisquater.
introduced by Collard, Standaert and Quisquater.
Collard, Baudoin, F-X Standaert, and Jean-Jacques Quisquater (2007). «Improving
the Time Complexity of Matsui’s Linear Cryptanalysis». In: Information Security
Property
of Cambridge
Press
do not
orKorea,
copy
Property
of Cambridge
University
Press
do share
not
share
or copy
and Cryptology-ICISC
2007:
10th University
International
Conference,
Seoul,
November
Property
of Cambridge
University
Press
do not
share
or copy
29–30, 2007. Proceedings 10. Springer, pp. 77–88.
5.5. Л
Information Security and Cryptology-ICISC 2007: 10th International
Conference, Seoul, Korea, November 29–30, 2007. Proceedings 10.
Springer, pp. 77–88.
Matsui, Mitsuru (Aug. 1994b). “The First Experimental
5.6.Cryptanalysis
Упражнения ofthe77
Data Encryption Standard.” In: CRYPTO’94. Ed. by Yvo Desmedt. Vol.
LNCS.
Springer,
Heidelberg, pp.
1–11. doi: 10.1007/3-540Matsui, Mitsuru839.
(Aug.
1994b).
«The Berlin,
First Experimental
Cryptanalysis
of the Data En48658-5
1.
cryption Standard». In: CRYPTO’94. Ed. by Yvo Desmedt. Vol. 839. LNCS. Springer,
Berlin, Heidelberg, pp. 1–11. doi: 10.1007/3-540-48658-5_1.
5.6. Упражнения
Упражнение 5.1
5.6 Exercises
Exercise 5.1
В примере 5.1 было отмечено, что неправильному ключу 100 соответствует
In Example 5.1,корреляция.
it was observed that the incorrect key 100 corresponds to a
большая эмпирическая
large empirical correlation.
1. Объясните это наблюдение и покажите, что корреляция равна в точно91. Explain this observation and show that the correlation is exactly 9/32.
сти ⁄32.
2. Предположим,
чтоthe
правильное
трехis бит
ключа
рав2. Suppose that
correct valueзначение
of the threeвсех
key bits
not 000.
Willне
there
но 000.still
Будут
ли
по-прежнему
существовать
неправильные
ключи
be incorrect keys with large correlation? Which ones?
с большой корреляцией? Какие?
Упражнение 5.2
Exercise 5.2
Show that the inverse of Fm is equal to Fm /2m .m
Покажите, что матрица, обратная
к ℱm, равна ℱm /2 .
Упражнение 5.3
Exercise 5.3
u vuof
vectors
and v of length 2m , with
coordinates𝔽m,
Свертка u The
⊛ vconvolution
двух векторов
иmvtwo
длины
2mu, индексированных
элементами
2
indexed
by
elements
of
F
,
is
defined
as
2
определяется как
(u v)y =
ux vx+y .
x∈Fm
2
1. Пусть
матрица
с первой
строкой
u. Покажите,
что
1. M
Let–Mциркулянтная
be a circulant matrix
with first
row u. Show
that Mv
= u v.
Mv = u ⊛ v.
2. Show that Fm (u v) = Fm (u) � Fm (v), where � is the coordinate-wise
2. Покажите, что ℱm(u
⊛ v) = ℱm(u) ⊙ ℱm(v), где ⊙ – поэлементное произведение. product.
Property of Cambridge University Press do not share or copy
6
Multiple linear cryptanalysis
Глава 6
Множественный линейный
криптоанализ
If more than one good linear approximation is available, it is natural to try to
exploit all of them simultaneously. This is called multiple linear cryptanalysis.
The first part of this chapter discusses multiple linear cryptanalysis in general.
Если имеется более одной линейной аппроксимации, то естественно попроThe second part focuses on the special case with a set of masks that forms a
бовать задействовать их все одновременно. Это называется множественным
vector space, which is called multidimensional linear cryptanalysis.
линейным
криптоанализом. В первой части данной главы множественный линейный криптоанализ обсуждается в общих чертах. Вторая часть посвящена
частному случаю, когда множество масок образует векторное пространство, –
он называется многомерным
линейным
криптоанализом.
6.1 Multiple
linear
cryptanalysis
idea of multiple linear cryptanalysis is to use more than one linear
линейный криптоанализ
6.1. The
Множественный
approximation of a function F : Fn → Fm .
2
2
Идея множественного линейного криптоанализа заключается в том, чтобы
использовать более одной линейной аппроксимации F : 𝔽2n → 𝔽m2 .
6.1.1 Multiple linear approximations
6.1.1. Множественные линейные аппроксимации
n
m
A multiple linear approximation of a function F : F2 → F2 nis a set
� ⊆
Множественной
линейной аппроксимацией функции F : 𝔽2 → 𝔽m2 называется
of
pairs
of
input
and
output
masks.
Every
pair
(u,v)
in
�
is
a
linear
Fn2 × Fm
множество Λ2 ⊆ 𝔽2n × 𝔽m2 пар входных и выходных
масок. Каждая пара (u, v) ∈ Λ
approximation of F with correlation C F . The capacity ofF� is
является линейной аппроксимацией F v,u
с корреляцией Cv,u. Емкость Λ равна
F 2
Cap(�) =
Cv,u
..
(u,v)∈�
(u,v)�=(0,0)
The reason
for defining
quantity isсостоит
that it determines
the best
data- наиПричина
введения
этойthis
величины
в том, что
онаpossible
определяет
лучшую
возможную
информационную
сложность
complexity
of a multiple
linear attack based
on �. Thisмножественной
is discussed below,линейной
and
атаки, proven
основанной
на Λ.
in Chapter
7. Мы обсудим это ниже и докажем в главе 7.
Для построения
различителя
с использованием
множественной
линейной
To build a distinguisher
using
a multiple linear approximation
�, estimate
F
F withиз
аппроксимации
Λ оценим каждую
корреляций
Cv,u
, гдеthen
(u, v)
∈ Λ. down
Тогда возeach of the correlations
Cv,u
(u,v)
in �. The problem
comes
никаетtoзадача
проверки
гипотез
с многомерными
распределениями,
но ниже
hypothesis
testing with
multivariate
distributions, but
it is shown below that
показано, что часто ее можно свести к одномерному случаю.
this can often be reduced to the univariate case.
При условии что количество аппроксимаций не слишком велико по сравнению с числом образцов, используемых для оценки корреляций, многомерная
74 2 из приложения A) утверждает, что
центральная
предельная
теоремаUniversity
(теорема
Property
of Cambridge
Press do not share or copy
совместное распределение оценок корреляций аппроксимируется многомерным нормальным распределением. По сравнению с одномерным случаем тут
есть потенциальная трудность: оценки различных линейных аппроксимаций
6.1 Multiple linear cryptanalysis
75
As long as the number of approximations is not too large compared to the
number
of samples
used toofestimate
the correlations,
multivariate
As long
as the number
approximations
is not toothe
large
comparedcentral
to the
limit
theorem
(Theorem
A.2
in
Appendix
A)
suggests
that
the
joint
distribution
number
of
samples
used
to
estimate
the
correlations,
the
multivariate
central
As long as the number of approximations is not too large compared to the
6.1.
Множественный
линейный
криптоанализ
of thetheorem
estimated
correlations
will
be approximately
multivariate
normal.
Com- 79
limit
(Theorem
in
Appendix
A) suggests
that
joint
distribution
number
of samples
usedA.2
to estimate
the correlations,
the the
multivariate
central
pared
to
the univariate
setting,
there
a potential
difficulty
here:
thedistribution
estimators
of
thetheorem
estimated
correlations
will
be isapproximately
multivariate
normal.
Comlimit
(Theorem
A.2
in
Appendix
A) suggests
that
the
joint
необязательно
независимы,
потому
что
основаны
на
одних
и тех
же
парах (отfor
different
linear
approximations
are
not
necessarily
independent
because
pared
to
the
univariate
setting,
there
is
a
potential
difficulty
here:
the
estimators
of the
estimated
correlations
be approximately
multivariateслучай
normal.все
Comкрытый
текст,
шифртекст).
Но will
многомерный
нормальный
же подtheydifferent
are
based
on theapproximations
same
plaintext-ciphertext
pairs.
Theindependent
multivariate
normal
for
linear
not necessarily
because
to the
univariate
setting,
there isare
a potential
difficulty
here: the estimators
даетсяpared
анализу,
потому
что
ковариационные
матрицы
улавливают
все зависиcasedifferent
is still
manageable,
since
the covariance
matrix
all dependencies.
they
based
on the
same
plaintext-ciphertext
pairs.captures
Theindependent
multivariate
normal
linear
approximations
are not necessarily
because
мости.for
На are
самом
деле
следующий
результат
показывает,
что нецентральные
In
fact,
the
following
result
shows
that
the
noncentral
covariances
are
typically
case
is
still
manageable,
since
the
covariance
matrix
captures
all
dependencies.
they areобычно
based onпренебрежимо
the same plaintext-ciphertext
pairs. The multivariate normal
ковариации
малы.
negligible.
In
fact,
the manageable,
following result
shows
that the noncentral
covariances
are typically
case
is still
since
the covariance
matrix captures
all dependencies.
negligible.
Теорема
6.1.
Пусть
(u
,
v
)
и
(u
,
v
)
–
линейные
аппроксимации
функции
F с эмпириTheorem
Let
and
) benoncentral
linear approximations
of atypically
function
In
fact, the6.1
following
covariances are
1,v1 2)shows
2,v2the
1 (u
1result
2 (uthat
^
^
^
^
ческими
корреляциями
c
и
c
соответственно.
Если
c
и
c
оцениваются
F, with empirical
c12,vand
clinear
c1 of
and
c2 по
areодним
negligible.
1(u1,v
2 1 ) and (u
1
2 If
Theorem
6.1 Letcorrelations
approximations
a function
2 , respectively.
2 ) be
и тем F,
же
q
парам
(открытый
текст,
шифртекст)
с
независимыми
и
равномерно
estimated
using Let
thecorrelations
same
qand
plaintext-ciphertext
pairs withIf independent
with empirical
c12,vand
clinear
c1 of
and
c2 and
are
2 , respectively.
Theorem
6.1
(u
(u
approximations
a function
1,v1 )открытыми
2 ) beтекстами,
распределенными
случайными
то to
и ковариация равна
uniform
random
plaintexts,
then
their
covariance
is
equal
estimated
using thecorrelations
same q plaintext-ciphertext
pairs withIf independent
F,
with empirical
c1 and
c2 , respectively.
c1 and
c2 and
are
then
Ftheir covarianceF is equal
uniform random
plaintexts,
to
estimated
usingCov
the
q plaintext-ciphertext
independent
and
csame
c2 =
Cv1 +v2,u1 +u2 − Cv1pairs
CvF2with
/q
..
1,
,u
,u
1
2
then
Ftheir covarianceF is equal
uniform random
plaintexts,
F to
Cov
c1,
c2 = Cv1 +v2,u
− Cv1,u1 Cv2,u2 /q .
2 equal
Proof The covariance
to
2 is
^ ^cF1 and c1 +u
between
F
F
Доказательство. Ковариация
c
и
c
равна
,
c
=
C
−
C
.
Cov
c
1
2
1
2
v1,u
Proof The covariance between
cv11+v
and
to1 Cv 2,u2 /q
2,u1c+u
2 equal
2 is
Cov
c1,
c2 = E
c1
c2 − E
c1 E
c2 = E
c1
c2 − CvF1,u1 CvF2,u2 .
and
is equal to
Proof Cov
The
covariance
c ,
c = Ebetween
c1
c2 −cE1
c1 Ec2
c2 = E
c1
c2 − CvF1,u1 CvF2,u2 ..
,y
)
denote
the
plaintext-ciphertext
Let (x1,y1 ), 1. . .2,(x
q q
pairsF usedFto compute
Cov
c
,
c
=
E
c
c
−
E
c
E
c
=
E
c
c
− Cv1,u
C 2,ucompute
.
1
2
1
2
1
2
1
2
cLet
and
c
.
The
first
term
above
can
be
expanded
as
1 vto
2
used
1 (x1,y
2 1 ), . . . ,(xq ,yq ) denote the plaintext-ciphertext pairs
Обозначим
(x1, y1), …, (xq, yq) пары (открытый текст, шифртекст), использо
c1для
and
c2 1. ),
The first
can
expanded
as pairs
q term
Let
(x
,y
denote
the be
plaintext-ciphertext
usedможно
to compute
q ,y
ванные
c^qq1)иabove
c^2. Первый
член
выражения
выше
раскрыть
1вычисления
. . 1. ,(x
v1 yi +u1 xi +v2 yj +u2 xj
E
c
=
E
(−1)
c
q
q
1
2. The first
c1 and
c
term
above
can
be
expanded
as
в виде
2
2
q1
j =1 E (−1)v1 yi +u1 xi +v2 yj +u2 xj
E
c1
c2 = 2 i=1
q
q
q1
q
E (−1)v1 y i +u 1 xi +v2 yj +u 2 xj q(q − 1)
i=1
j =1
E
c1
c2 = 12
(v1 +v2 ) yi +(u1 +u2 ) xi
= q2
CF CF
q E (−1)
+ q(qq−
2 1) v1,u1 v2,u2
q1 i=1 j =1
(v
+v
)
y
+(u
+u
)
x
i
i
1
2
1
2
= 2 i=1
CvF1,u1 CvF2,u2
q E (−1)
2
+ q(qq−
q11
1)
q −) 1y +(u1 +u2 )F xi
F E (−1)(v1 +v
= 2Ci=1
CvF1,u1 CvF2,u2
+ 2 iCvF1,u
C
.+
2
1 v2,u2
q1 vF1 +v2,u1 +u2 q −
q
q
1
= Ci=1
CvF1,u1 CvF2,u2 .
v1 +v2,u1 +u2 +
q
q
F
F
1
q
−
1
Subtracting=Cv1C
Cv ,u from the above
F the result.
,uF
CvF1yields
v11 +v22,u21 +u2 +
,u1 Cv2,u2 ..
Subtracting CqvF1,u1 CvF2,u2 from theqabove yields the result.
Theorem 6.1 has two important consequences. The first is that the covariF F CF
Subtracting
from determined
the above
yields
result.
ance
matrix
is
byискомый
thethe
correlations
linear
vC
,uhas
vtwo
из
частей
дает
результат.
□
Вычитание
CvF C
Theorem
6.1
consequences.
The
first
isofthat
theapproxcovari1not
1 completely
2,uобеих
2 important
1,u1 v2,u2
imations
in
�,
unless
�
is
closed
under
addition.
The
second
consequence
is
ance
matrix
completely
determined
by the
correlations
ofthat
linear
Theorem
6.1not
has
two
important
consequences.
The–first
the approxcovari
У теоремы
6.1 is
есть
два
важных
следствия.
Первое
то,isчто
ковариационная
thatнеthe
covariance
between
the
estimators
of different
correlations
is often
imations
in �,
unless
� is closed
under
addition.
Theлинейных
second
is
ance
matrix
is not
completely
determined
by the
correlations
ofconsequence
linear
approxматрица
полностью
определяется
корреляциями
аппроксимаций
negligible
in
practice.
The
reason
is
that
unless
F
has
exceptionally
strong
“9781009607865book”
—
2025/12/2
—
14:12
—
page
76
—
#88
that
the
covariance
between
the
estimators
of
different
correlations
is
often
из Λ, если
Λ
не
замкнуто
относительно
сложения.
Второе
–
что
ковариация
imations in �, unless � is closed under addition. The second consequence is оце
lineartheковариаций
approximations,
the
covariances
areunless
much
than the variances
negligible
in practice.
reason
isчасто
that
Fsmaller
has exceptionally
нок разных
наThe
практике
оказывается
пренебрежимо
that
covariance
between
the estimators
of different
correlations
isstrong
oftenмалой.
of the
individual
estimators.
Indeed,
from
Theorem
the variances
are
Причина
в том,
если
только
для isF не
существует
исключительно
сильных
linear
approximations,
the covariances
are
much
than
the variances
negligible
inчто
practice.
The
reason
that
unless
Fsmaller
has6.1,
exceptionally
strong
approximately
1/q,
whereas
the
covariances
are
approximately
c/q,
with
c
линейных
аппроксимаций,
то
ковариации
гораздо
меньше
дисперсий
отдельof the approximations,
individual estimators.
Indeed, from
Theorem
6.1, than
the variances
are
linear
the covariances
are much
smaller
the variances
76
Multiple
linear
cryptanalysis
ных оценок.
Действительно,
из
теоремы
6.1
следует,
что
дисперсии
приблиthethe
correlation
of estimators.
a linear
approximation
of Theorem
F.are
The
covariance
matrix
of are
thec
approximately
1/q,
whereas
the
covariances
approximately
c/q, with
of
individual
Indeed,
from
6.1, the variances
женноthe
равны
1/q, тогда
как
ковариации
приближенно
равны c/q,
гдеofc the
– корреcorrelation
of
a
linear
approximation
of
F.
The
covariance
matrix
approximately 1/q, whereas the covariances are approximately c/q, with c
ляция линейной аппроксимации F. Ковариационная матрица оценок хорошо
the correlation
of
linear approximation
F.cThe
covariance
matrix
of the
Property
ofa aCambridge
University
Press
not share
copy
estimators is аппроксимируется
well approximated
byдиагональной
diagonal
matrix
as longof
asпри
isdo
much
матрицей
условии,
чтоorc много
меньше
√
1/ |�| (типичный
или
1/|Λ|
(худшийPress
случай).
smaller than 1/
(typical
case)случай)
or
(worst
case).
Property
of1/|�|
Cambridge
University
do not share or copy
University
share or copy000010000)
Example 6.1 Пример
Let � 6.1.
= Property
{(u
,v
(u
) где
= Press
(000000001,
Пусть
Λof=2Cambridge
{(u
, vwith
), (u
, ,v
v )},
(u1, do
v1) not
= (000000001,
1,v1 ),(u
2 )},
1
1
2 1 21
000010000) и
(u (u
, v ,v= (000000110,
000001000) – множественная
линейная аппроксимация
) = (000000110,000001000),
be a multiple linear
and
approximation
демонстрационного
из раздела
1.1.Example
В силу 2.3,
примера 2.3, (u1, v1) имеет
of the example cipherшифра
from Section
1.1. By
корреляцию
) has correlation
(u1,v1
(−1)κ1 /8 1 + (−1)κ2 /2 1 + (−1)κ3 /2 ,
2
22 2
with κ1 = k0 + k10 + k22 + k31 + 1, κ2 = k16 + k21 and κ3 = k13 + k23 .
80
Example
Example 6.1
6.1 Let
Let �
� =
= {(u
{(u11,v
,v11),(u
),(u22,v
,v22)},
)}, with
with (u
(u11,v
,v11)) =
= (000000001,
(000000001,
000010000)
000010000) and
and (u
(u22,v
,v22)) =
= (000000110,000001000),
(000000110,000001000), be
be aa multiple
multiple linear
linear
approximation
of
the
example
cipher
from
Section
1.1.
By
Example
approximation of the example cipher from Section 1.1. By Example 2.3,
2.3,
(u
линейный криптоанализ
,v
(u11Множественный
,v11)) has
has correlation
correlation
κκ1 κ
κ2
κ
κ3 κ33 /2 ,
(−1)
/2
(−1)
1 /8
1/8 1
(−1)
(−1)κκ22/2)(1
/2),
(−1)
/8
1(1+
++(−1)
(−1)
/2 11++
+(−1)
(−1)
/2 ,
with
+
+
+ k 21 and
+ k 23..
with κκ11 =
= kk00 +
+ kk10
+ kk22 +
+ kk31
+ 1,
1, κκ22 =
= kk16
and κκ33 =
= kk13
16 + k21
13 + k23
где κ1 =Similarly,
k0 + k10 + the
k22 +correlation
k3110
+ 1, κ222
= k(u
+31k ) is
и κequal
= k13to+(verify
k23. Аналогично
корреляция
(u2,
16 ,v 21
3
of
this!)
Similarly,
the correlation of (u22,v22 ) is equal to (verify this!)
v2) равна
(проверьте!)
λ1
λ2
(−1)
(−1)λλ1 /8
/8 11 +
+ (−1)
(−1)λ λ2 /2
/2 ,,
(−1) 1/8 (1 + (−1) 2/2),
with
+ k 21 +
and λ = k 10 +
+ 1. As shown
with λλ11 =
= kk11 +
+ kk22 +
+ kk16
+ kk30
+ kk22
16 + k21
30 and λ22 = k10
22 + 1. As shown
где λ1 =byk1Theorem
+ k2 + k166.1,
+ k21
+ covariance
k30 и λ2 = k10
+ k22
+of1.
Как
следует
из
теоремы 6.1,
коваthe
matrix
c
depends
on
the
correlation
by Theorem
6.1, the
covariance
of
c depends
on the аппроксимации
correlation of
of the
the (u +
риационная
матрица
c^ зависит
отmatrix
корреляции
линейной
1
linear approximation
(u11 +
).
the
shows
that
approximation
+ uu22,v
,v11 +
+ vv22что
). Analyzing
Analyzing
the trails
trails
shows
that the
the
u2, v1 +linear
v2). Анализ
следов(uпоказывает,
корреляция
этой
аппроксимации
correlation of this approximation is
равна correlation of this approximation is
μ1
μ2
(−1)
11 +
(−1)
(−1)
/8
+
(−1)μ2μ),2 ,,
(−1)μμ11/8
/8 (1
+ (−1)
+
+
где μ1 =where
k0 + kμ
+ 1k22
и μ+2 =kk30
κ2 +
+ λkk231
. +
where
μ+11 k=
=2 +kk00k10
++kkk1122+
++kkk2230+
++kkk10
+
+ 11 and
and μ
μ22 =
= κκ22 +
+ λλ22..
10
30
31
1
31 + k22 +
Choose
a
key
such
that
κ
=
λ
=
μ
=
κ
=
λ
=
1
and
κ
=
μ
=
1
1
1
2
2
3
Choose
a key
such что
that κκ1 == λλ1==μ μ=1 =
= 0.
0. In
Inслучае
2 =
Выберем
такой
ключ,
κ2 =κ2λ=
=λ1
и κ13and
= μκ2 3= =
0.μВ22 этом
1
1
1
2
this
case,
the
vector
of
empirical
correlations
c
has
mean
this
case,
the
vector
of
empirical
correlations
c
has
mean
^
среднее вектора эмпирических корреляций c равно
3/32
3/32
E
cc =
E
=−
− 1/16 ...
1/16
equal to
The
cc −
−
is) равна
equal to
The covariance
covariance matrix
matrix E
E (
(
−^E(
E(
c))(
−^E(
E(
c))^))Tis
Ковариационная
матрица
𝔼((c
− c))(
𝔼(c^cc))(c
− c))
𝔼(c
11
11 −1/4
−1/4 − 11 9/1024
9/1024 3/512
3/512 ..
.
11 − qq 3/512
qq −1/4
−1/4
3/512 1/256
1/256
The
term
in
is
Вторым
членом
в выражении
выше можно
пренебречь.
The second
second
term
in the
the above
above expression
expression
is negligible.
negligible.
Some
sample
of
are
shown
6.1.
this
Некоторые
оценки
корреляций
на рис.
6.1.
В этом
Some выборочные
sample estimates
estimates
of the
the correlations
correlations
are показаны
shown in
in Figure
Figure
6.1. In
In
this
+
u
,v
+
v
)
was
chosen
to
the
covariance
is
nonnegligible
because
(u
случаеcase,
ковариацией
пренебречь
нельзя,
потому
что
вектор
(u
+
u
,
v
+
v ) был
1
2
1
2
chosen
case, the covariance is nonnegligible because (u1 + u2,v1 + v2 ) was
1
2
1 to2
выбран
так,
что
его
абсолютная
корреляция
очень
велика.
Линии
постоянства
have
exceptionally
large
absolute
correlation.
The
probability
density
contours
have exceptionally large absolute correlation. The probability density contours
плотности
вероятности
(например,
эллипс на
рис. 6.1) обычно более �близки
(such
(such as
as the
the ellipse
ellipse in
in Figure
Figure 6.1)
6.1) are
are usually
usually more
more circular.
circular.
�
к окружности. ⊳
6.1.2
6.1.2 Distinguishers
Distinguishers
1/ 4
c2
Let
cc11,, .. .. .
cc|�|
be the estimated correlations of the linear approximations in
Let
.
|�| be the estimated correlations of the linear approximations in
aa multiple
linear
approximation � of a function F. Assume that � does not
multiple linear
1/ 8approximation � of a function F. Assume that � does not
contain
the
trivial
contain the trivial linear
linear approximation
approximation (0,0).
(0,0). For
For the
the statistical
statistical analysis,
analysis, the
the
0
Property
Property of
of Cambridge
Cambridge University
University Press
Press do
do not
not share
share or
or copy
copy
− 1/ 8
− 1/ 4
− 1/ 4
− 1/ 8
0
1/ 8
1/ 4
c1
Рис. 6.1. Оценки корреляций с q = 64 образцами (100 образцами)
1/8
1/4
0
1/8
1/4
0
c
1
6.1. Множественный
линейный
криптоанализ
c1
−1/4
−1/4
−1/8
−1/8
81
Figure 6.1 Estimated correlations with q = 64 samples (100 samples).
Figure 6.1 Estimated correlations with q = 64 samples (100 samples).
6.1.2. Различители
Пусть c^1, …, c^|Λ| – оценки корреляций линейных аппроксимаций для множест
model
from
along
additional
веннойsimple
линейной
Λ функции
F. some
Предположим,
что Λ не содерsimple
model аппроксимации
from Chapter
Chapter 44 is
is used,
used,
along with
with
some
additional assumptions
assumptions
жит тривиальной
линейной
аппроксимации (0, 0). Для статистического аналиthat
are
clarified
below.
that are clarified below.
за используется простая модель из главы 4 вкупе с некоторыми дополнительными предположениями,
которыеthat
мы объясним
ниже.FF with (u,v) in �
Known
Known correlations.
correlations. Assume
Assume that all
all correlations
correlations C
Cv,u
in �
v,u with (u,v)
F
are
known,
and
that
the
noncentral
covariances
are
negligible.
In
principle,
Известные
корреляции.
Предположим,
что
все
корреляции
C
,
где
(u, v) ∈ Λ
v,u
are known, and that the noncentral covariances are negligible. In principle,
известны
и
что
все
нецентральные
ковариации
пренебрежимо
малы.
В
building
a
distinguisher
using
�
is
a
multivariate
statistics
problem.
However,
building a distinguisher using � is a multivariate statistics problem. However,принципе, построение
различителя
с использованием
Λ – задача
многомерной стаwe
we can
can reduce
reduce this
this problem
problem to
to aa univariate
univariate one
one by
by using
using aa linear
linear combination
combination
тистики.
Однако
мы
можем
свести
ееtest
к одномерной,
взяв линейную комбинаof
the
estimators
c
,
.
.
.
,
c
as
the
statistic:
1
|�|
,
.
.
.
,
c
as
the
test
statistic:
of the estimators
c
|�|
цию оценок c^1, …, c^|Λ| в1 качестве
статистики критерия:
|�|
|�|
tt� =
w
cci ..
=
wii
�
i.
i=1
i=1
To
the
of
constant (equal
1/q
aa small
error),
To keep
keep
the variance
variance
of tt�
(equal2to
to (равной
1/q up
up to
to1/q
small
error), the
theдо неЧтобы
дисперсия
tΛ оставалась
постоянной
с точностью
� constant
|�|
|�|
weights
w
,
.
.
.
,w
should
satisfy
w
=
1.
If
the
samples
are
uniform
2
1
|�|
i = 1.удовлетворять
i=1
большой
погрешности),
,
…,
w
должны
соотношению
weights
w1, . . . ,w|�| веса
shouldwsatisfy
w
If
the
samples
are
uniform
1
|Λ|i=1
i
then
the
of
is equal
to
provided
�.
∑|Λ|
w2i random,
= 1. Если
образцы
случайны
равномерно
то �∈
среднее
tΛ
random,
then
the average
average
of tt�
to zero
zero –– распределены,
provided that
that (0,0)
(0,0)
�∈
�.
� isиequal
i=1
However,
if
the
samples
come
from
the
cipher,
then
the
average
of
t
is
� из
равно нулю
–
при
условии
что
(0,
0)
∉
Λ.
Однако
если
образцы
выбраны
шифHowever,
if
the
samples
come
from
the
cipher,
then
the
average
of
t
is
“9781009607865book”
2025/12/2
14:12
“9781009607865book”
——
2025/12/2
——
14:12
——
pagepage
78 78
——
#90#90�
equal
to
ра, то среднее
“9781009607865book”
— 2025/12/2 — 14:12 — page 78 — #90
equal
to tΛ равно
|�|
|�|
F
E
t
=
w
..
�
E t� =
wii C
CvvFii,u
,uii .
i=1 cryptanalysis
Multiple
linear
i=1
78 78
Multiple
linear
cryptanalysis
78
Multiple linear cryptanalysis
Theorem
4.1
shows
that
the
data-complexity
Теорема
4.1
показывает,
что
информационная
сложность based
различителя,
Theorem 4.1 shows that the data-complexity of
of aa distinguisher
distinguisher
based on
on the
the основанная
на статистике
критерия
t
,
обратно
пропорциональна
квадрату
𝔼(tΛ).
is
inversely
proportional
to
the
square
of
E(t
).
Hence,
it
makes
test
statistic
t
Λ
proportional
to the
squareconstant.
of E(t�
Hence,
it makes
test statistic
t�
� is inversely
� ).By
sense
to maximize
E(t
keeping
variance
Exercise
6.1,
� ) while
sense
toимеет
maximize
E(t�
) while
keeping
the the
variance
constant.
By
Exercise
6.1,
Поэтому
смысл
максимизировать
𝔼(t
),
оставляя
дисперсию
постоянΛ
sense
maximize
) while keeping the variance
constant. By Exercise 6.1,
�
is to
achieved
by E(t
the
choice
this
is achieved
by the
choice
ной.
Вthis
силу
упражнения
6.1
эта цель достигается, если выбрать
this is achieved by the choice
Property
Press do
Property of
of Cambridge
Cambridge University
University
do not
not share
share or
or copy
copy
CvFi ,uPress
CvFi ,u
i
i
F
.
= Cv ,u . .
wi
wi =
i iF 2 2 .
|�|
wi = |�|
Cvi ,ui 2
CvFi ,u
i=1
|�|
i=1
iF
i=1 Cvi ,ui
√
√
In this
case,
mean
is
equal
Hence,
4.1
shows
that
this
case,
the the
mean
is equal
to toCap(�).
Hence,
Theorem
shows
that
√Cap(�).
ВInтаком
случае
среднее
равно
. Поэтому,
вTheorem
силу4.1
теоремы
4.1,
инфорIn
this
case,
the
mean
is
equal
to
Cap(�).
Hence,
Theorem
4.1
shows
that
the
data-complexity
is
proportional
to
1/
Cap(�).
More
precisely,
in
the
simple
мационная
сложность
пропорциональна
1/Cap(Λ).
Точнее,inвthe
простой
the data-complexity
is proportional
to 1/ Cap(�).
More precisely,
simple модели
the data-complexity
is proportional
to 1/
Cap(�).
Moredata-complexity
precisely,информационная
in the qsimple
model
negligible
noncentral
covariances,
с пренебрежимо
малыми
нецентральными
ковариациями
model
andand
withwith
negligible
noncentral
covariances,
the the
data-complexity
q is is
model
and
with
negligible
noncentral
covariances,
the
data-complexity
q is
сложность q равна
−1 −1
2 2
−1 (P
−1
�
(P
)
−
�
)
� (PS ) −S � (PF ) F 2
q =q = �−1 (PS ) − �−1 (PF,) ,
Cap(�)
,,
Cap(�)
q=
Cap(�)
where
PSthe
is the
success
probability
PS the
false-positive
probability.
where
PS is
success
probability
andand
PF P
≤FP≤S the
false-positive
probability.
where
PS isinthe
success
probability
and
PF ≤ Poptimal.
the false-positive
probability. реS
где ItPSisIt
–
вероятность
успеха,
а
P
≤
P
–
вероятность
ложноположительного
is
shown
Chapter
7
that
this
is
essentially
shown in Chapter 7 that this isF essentially
optimal.
S
It isВshown
7 that
thisэто
is essentially
зультата.
главеin7 Chapter
показано,
что
значение,optimal.
по существу, оптимально.
Example
Consider
multiple
linear
approximation
from
Example
Example
6.2 6.2Consider
the the
multiple
linear
approximation
from
Example
6.1.6.1.
Example
6.2 key
Consider
the multiple
linearлинейную
approximation
from Example
6.1.
Пример
6.2.
Рассмотрим
множественную
аппроксимацию
из приFor
the
same
as
before,
the
capacity
is
equal
to
13/1024
and
the
For the same key as before, the capacity is equal to 13/1024 and the testtest
13 and the test
For
the
same
key
as
before,
the
capacity
is
equal
to
13/1024
мера
6.1.
Для
того
же
ключа,
что
и
раньше,
емкость
равна
1024
⁄
,
и
статистика
statistic
t�given
is given
statistic
t� is
by by
statistic
t� is given by
критерия
tΛ равна
3 3
2 2
c1 √
c2 .
t�−=√− √
− √
c31 −
c22 .
t� =
c1 −13√13
c2 .
t� = −
13√13
13
13
A histogram
of the
distribution
of the
statistic
is shown
in Figure
A histogram
of the
distribution
of the
testtest
statistic
is shown
in Figure
6.2.6.2.� �
A histogram of the distribution of the test statistic is shown in Figure 6.2. �
It is shown in Chapter 7 that this is essentially optimal.
82
Example 6.2 Consider the multiple linear approximation from Example 6.1.
For the same key as before, the capacity is equal to 13/1024 and the test
statistic
Множественный
криптоанализ
t� is given линейный
by
3
2
t� = − √
c1 − √
c2 .
13
13
A histogramраспределения
of the distributionстатистики
of the test statistic
is shown
in Figure
�
Гистограмма
критерия
показана
на6.2.
рис. 6.2.
⊳
Неизвестные корреляции. Корреляции линейных аппроксимаций обычUnknown correlations. The correlations of linear approximations typically
но зависят от ключа, поэтому использовать описанную выше стратегию без
dependбитов
on theключа
key, making
it impossible
to use the aboveспособ
strategyрешения
without этой
угадывания
невозможно.
Систематический
guessing
key bits. Aвsystematic
way to deal with this
issueметод
is presented
in мепроблемы
представлен
главе 7. Неоптимальный
общий
и лучший
тод для случая, когда знаки корреляций неизвестны, обсуждаются ниже.
Масса
вероятности
Probability
mass
0.10
0.10
0.08
0.08
0.06
0.06
“9781009607865book” — 2025/12/2 — 14:12 — page 79 — #91
0.04
0.04
0.02
0.02
0
0
√
6.1 Multiple linear cryptanalysis
0
0
13
√13
79
32
32
6 samples with fixed key)
Test statistic
Статистика критерия
(26(2образцов
с фиксированным ключом)
Chapter 7. A suboptimal general method and a better method for the case when
6.2. Гистограмма
статистики
критерия are
tΛ для
1000 экспериментов
onlyРис.
the signs
of the correlations
are unknown
discussed
below.
Figure 6.2 Histogram of the test statistic t� for 1000 experiments.
One simple statistical test is based on a linear combination of the squares of
Простой
практический
критерий основан на линейной комбинации квадраthe estimated
correlations:
тов оценок корреляций:
Property of Cambridge University
Press do not share or copy
|�|
2
t� =
wi
ci .,
i=1
Статистика
критерия
распределенной,
даже если
The test statistic
t� tisΛ не
notявляется
normally нормально
distributed, even
if all the estimators
^ , …, c^ являются
все оценки
c
таковыми.
Тем
не
менее
если
значение
c1, . . . ,
c1|�| are.|Λ| Nevertheless, if |�| is large, then the normal distribution |Λ| велико, то нормальное распределение будет хорошим приближением. Поэтому
will be a good approximation. Hence, to estimate the data-complexity under
для оценки информационной сложности при этом предположении достаточthis assumption, it is enough to determine the mean and variance of t . The
но определить среднее и дисперсию tΛ. Следующая статистическая�лемма дает
following
statistical lemma provides this result.
нужный
нам результат.
Lemma 6.2 Let x1, . . . ,xl be pairwise uncorrelated random variables with
l случайные
Леммаmeans
6.2. Пусть
, …, x – попарно некоррелированные
величины
со
1 l and l variance σ 2 . The average of
μ ,...x
,μ
wi x22i is2 equal
to
i=1
2
l
2
l
l μ , …,1 μ2 и дисперсией
средними
σ
.
Среднее
∑
w
x
равно
∑
w
(σ
+
μ
).
Кроме
того,
1w (σ l + μ2 ). Furthermore, if x , . .i=1
i=1 distributed,
i
i
. ,xil are normally
then
i
1
i=1
l
i
если x1, …,
xl нормально
распределены,
то
дисперсия
равна 2σ2l ∑i=1
wi2(σ2 + 2μ2i ).
l
2
2
2
2
the variance is 2σ
w
(σ
+
2μ
).
i=1 i
i
Proof The average
followsкасающийся
from the observation
that следует
the average
x2i isфакта,
Доказательство.
Результат,
среднего,
из ofтого
2
2 2
2
2
, together
with𝔼(x
E(x
0 for
j . Ifx1x, 1…,
, . .x. n,x
equal tox iμравно
. нормально
+ μ i и что
x x) =) 0=для
i ≠ ij. �=
Если
что среднее
n are
i + σ σ
i ij j
распределены
и попарно
тоthen
ониthey
независимы,
поэтому
их
normally distributed
andнекоррелированы,
pairwise uncorrelated,
are independent,
so
квадраты
также
попарно
некоррелированы.
Результат,
касающийся
дисперсии,
their squares are pairwise uncorrelated too. The variance then follows from
следует из того, что
2
V x2i = E (xi − μi )4 + 6μ2i σ 2 + μ4i − μ2i + σ 2
= E (xi − μi )4 + 4μ2i σ 2 − σ 4
= 2σ 4 + 4μ2i σ 2 .
Proof
average
follows
the
observation
the
average
22 is
Proof
TheThe
average
follows
fromfrom
the observation
observation
that that
the average
average
of xxof
isxi is
Proof
The
average
follows
from
the
that
the
of
2 + σ 2 , together with E(x x ) = 0 for i �= j . If x , . . .ii,x are
equal
to
μ
2
2
j 00 for
equal to
to μ
μ2ii +
+ iσσ2 ,, together
together with
with E(x
E(xiixxjj))i =
=
for ii �=
�= jj.. If
If xx11,,....1..,x
,xnn are
aren
equal
normally
distributed
and
pairwise
uncorrelated,
then
they
are
independent,
normally distributed
distributed and
and pairwise
pairwise uncorrelated,
uncorrelated, then
then they
they are
are independent,
independent, so
so so
normally
their
squares
are
pairwise
uncorrelated
too.
The
variance
then
follows
from
their squares
squares are
are pairwise
pairwise uncorrelated
uncorrelated
too. The
The variance
variance
then
follows from
from 83
6.1. Множественный
линейный
криптоанализ
their
too.
then
follows
2 2
4
2 2
E (xi −44μ
)4 +226μ
2 x2 =
σμ
μσ2iσ2+
4 μ i −
2 22σ
22 i+
4+
22 +
=i E
E (x
(xii −
−μ
μii)) i+
+ 6μ
6μ
σ
μ
−
μ
V xx2iV
σ
+
−
μ
+
V
i =
i
i
i
i
i
i
2 2
4
E (xi −44μ
)4 +224μ
σ σσ4−
4 σ
=E
E=(x
(x −
−μ
μ )) i+
+ 4μ
4μ σσ22 i−
−
=
ii
ii
4
2 2
=442σ
+22σ4μ
22 i σ .
= 2σ
2σ
+ 4μ
4μ
=
+
ii σ ...
ii
Равенство
вequality
первой
строке
– результат
несложного
вычисления,
см.see
упражon
the
line
is result
the
result
a technical
calculation,
TheThe
equality
on the
the
firstfirst
line
is the
the
result
of aaoftechnical
technical
calculation,
The
equality
on
first
line
is
of
calculation,
see see
нение 6.2.Exercise
На последнем
шаге
используется
тот
факт,
что
четвертый
момент
last
the fact
the fourth
moment
of normal
the normal
Exercise 6.2.
6.2. 6.2.
TheThe
last step
stepstep
usesuses
the fact
fact
that that
the fourth
fourth
moment
of the
the
normal
Exercise
The
last
uses
the
that
the
moment
of
нормального
распределения
𝒩(0,1)
равен
трем.
Это можно
доказать
помоdistribution
N
(0,1)
equals
three.
This
can
be
shown
using
integration
byсparts:
distribution N
N(0,1)
(0,1) equals
equals three.
three. This
This can
can be
be shown
shown using
using integration
integration by
by parts:
parts:
distribution
щью интегрирования по частям:
∞
∞
∞
∞
∞
∞
∞
∞
∞
3
2 /2
422 −x 2 /2
−x
−x 2 /2
2
2
x e/2
dx22= 2 xx33 −x
x−x ee−x
dx33= 3 xx22ee−x
x 222e/2
−x
/2
−x e/2
/2
−x
/2
44 e−x
−x
x
dx
=
dx
=
dx,,, dx ,
x
e
dx
=
dx
=
dx
−∞
0
−∞
−∞
−∞
−∞
00
−∞
“9781009607865book” —
— 2025/12/2
2025/12/2 —
— 14:12
14:12 —
— page
page 80
80 —
— #92
#92
“9781009607865book”
√1/√2π
√
“9781009607865book”
—
2025/12/2
— omitted.
14:12
—□#92
page 80 — #92
“9781009607865book”
2025/12/2
—
—опущен.
page
80 —
was
where
the—
normalizing
factor
где нормировочный
коэффициент
where
the normalizing
normalizing
factor
1/ 14:12
2π was
was
omitted.
where
the
factor
1/
2π
omitted.
Если образцы
равномерно
распределены,
то,
по лемме
6.2
с=μ1μ=2 μ=2 =
…
=0
If
the
samples
are
uniform
random,
then
Lemma
6.2
with
μ
·
·
·
=
1
If the
the samples
samples are
are uniform
uniform
random, then
then Lemma
Lemma 6.2
6.2 with
with2μ
μ11=
=|�|μ
μ22 |Λ|
= ··2···· =
=
If
random,
=
2t равно
и σ2 = 1,
среднее
∑|Λ|
wi /qthe
и дисперсия
равна
2/q
,|�|
если
∑wi=1
w i and
= 1. the
Если
|�|
0 and
σ
1 shows
that
average
ofis
t�
is equal
to
/q
i=1
iand
Multiple
linear
cryptanalysis
i=1
080and
and
= 1Λ1=shows
shows
that
the average
average
of
t
is
equal
to
w
/q
and
the
Multiple
linear
cryptanalysis
080
σσ22 =
that
the
of
t
equal
to
w
/q
the
�
i
�
i=1 i 6.2 с μ = C F
|�| 2 равно
i=1
2 то
образцы выбраны
из шифра,
среднее
(в
силу
леммы
|�|
vi,ui
|�|
variance
is
equal
to
2/q
if
w
=
1.
If
the
samples
come
from
the
cipher,
i
2
2
2linear
2 if
80
80
Multiple
linear
cryptanalysis
variance
is equal
equal to
to 2/q
2/q
ifMultiple
wi=1
= i1. cryptanalysis
If the samples come from the
the cipher,
cipher,
variance
is
i=1w
ii = 1. If the samples come from
i=1
F
2
и σ2 ≈ 1/q)
the average
is equal
to (using
Lemma
6.2 with
μiC=
and
σ 1/q)
≈ 1/q)
FF Cvand
i ,ui σ
thenthen
the average
average
is equal
equal
to (using
(using
Lemma
6.2
with
μ =
σ22 ≈
≈
1/q)
then
the
is
to
Lemma
6.2
,uii and
|�|
|�| with μii = Cvvii,u
|�|
|�|
11
FF 22
wi + |�| wi C ,ui ..
|�| w
|�|E t� =
|�|
i 2
1 E t� =
Fi + 2 wi CvvFii,u
q1q i=1
Property
of
Cambridge
University
do
not
share
or copy
i=1
E
t
=
w
wPress
.share
i=1
i=1
i C
E t� = of
wi�+
w
.
v
,u
i Cvii,u+
Property
of Cambridge
Cambridge
University
Press
do
not
share
or copy
copy
Property
University
Press
do
not
or
i
i
i
q
q
i=1
i=1
2
i=1the variance
i=1
as long
long что
The expression
expression
for
is lengthier,
but
is close
close
to2 2/q
2/q2 условии,
as
The
for
the variance
itit is
to
Выражение
для дисперсии
длиннее,
но оноbut
близко
к 2/q
при
FFis lengthier,
2
2
2
The expressionas
2
F 1/
2
asпо
is
small
compared
to
Cv,u
for(u,
allv)(u,v)
(u,v)
in
�.
This
assumption
is
for the
variance
isвсех
lengthier,
but
itin
is �.
close
to assumption
2/q as long
for
thesmall
variance
is
close
to Λ.
2/q
asпредположение
long
qq expression
is
compared
to
for
all
This
is
v,u
q малоThe
сравнению
)1/
для
∈
Это
разум Cbut
it
Fсis1/(C
lengthier,
2
2 v,u a single
F approximation
reasonable,
since
otherwise
would
already
be
sufficient.
as
is small
compared
to
1/
C
for
all
(u,v)
in
�.
This
assumption
is
as q isно,
small
compared
tosince
1/
Cotherwise
for
all
(u,v)
in
�.
This
assumption
is
reasonable,
a
single
approximation
would
already
be
sufficient.
т. к.
вq противном
случае
одной
аппроксимации
уже
было
бы
достаточно.
v,u
v,u
|�|
|�|
|Λ|
Translating
t/q
by
waii/q
/q
shows
thatalready
the hypotheses
hypotheses
testing
problem к разreasonable,
since
otherwise
single
approximation
would
already
be
sufficient.
�single
Сдвиг
t
на
∑
w
показывает,
что
задача
проверки
гипотез
сводится
reasonable,
since
otherwise
a
approximation
would
be
sufficient.
Translating
t
by
w
shows
that
the
testing
problem
i=1
�
Λ
i=1
i
i=1
|�| |Λ|
|�|
|�|2
F )22,2/q22
|�|
F distributions
2 that2 the hypotheses
2
F
amounts
to
distinguishing
between
N
w
(C
Translating
t
by
w
/q
shows
testing
problem
личению
𝒩(∑
(C vhypotheses
) , 2/q ) иtesting
𝒩(0,
2/q
�
i w
Translating
t�amounts
byраспределений
shows
that
the
to w
distinguishing
between
N problem
wiiПо
(C vтеореме
i=1 ).
i /q
i=1
i ,ui ) ,2/q 4.1
i=1
i
i,udistributions
i
сq
i=1
i=1
|�| 2 vFi ,ui 2
2
2
2
|�|
F
2
2
2
and
N 0,2/q
. By Theorem
4.1 with
with
in place
place
of q,) i=1
вместоand
q имеем
amounts
to distinguishing
between
wi (Cvi ,ui ) ,2/q
amounts
distributions
Ndistributions
wi (CN
,2/q
4.1
qq i=1
in
of
vi ,uq,
. By Theorem
i
to distinguishing
N 0,2/qbetween
2 in place of
0,2/q 2 4.1
. Bywith
Theorem
4.1
with
q
q,
−1
−1
and N 0,2/q 2and
. ByNTheorem
q2 √
in
place
of
q,
√ �
(PSS)) −
−�
�−1 (P
(PFF))
�−1 (P
= √22 −1
(6.1) (6.1)
�−1 (P
qq =
(6.1)
−1 (P
22F ) ,,,
|�|
√ �−1 (P
�
)
−
) − � (P|�|
S=
F ) Sw
wii C
CvFvFi,u
,u
i=1
q
2
,
(6.1)
i
q = 2 |�|
(6.1)
2i=1
|�| , Fi i 2
wi ≤
CvPi ,uithe false-positive probability.
wi CvFi ,ui and
i=1P
is
the
success
probability
P
where
P
i=1
S
F
S
is
the
success
probability
and
≤
P
the
false-positive
probability. реwhere
P
S
F
S
где PS – вероятность
успеха, а PF ≤ PS – вероятность
ложноположительного
This
formula
relies
on
the
assumptions
of
the
simple
model
from SecSecwhere
P
is
the
success
probability
and
P
≤
P
the
false-positive
F of Sthe probability.
where P
probability
andon
PFthe
≤ Passumptions
This Sformula
relies
simple model probability.
from
S is the success
S the false-positive
зультата.
tion
4.2,
as
well
as
the
other
assumptions
mentioned
above:
the
noncentral
This
formula
relies
on
the
assumptions
of
the
simple
model
from
SecThis formula
relies
onопирается
the assumptions
of
the simplementioned
model
from
Sec-the noncentral
4.2, as
well
as the на
other
assumptions
above:
Эта tion
формула
предположения
простой
модели
из раздела 4.2,
covariances
should
be
negligible,
|�|
should
be
large
and
should
be small
small
tion
4.2,
as
well
as
the
other
assumptions
mentioned
above:
the noncentral
tion 4.2,
as
well
as
the
other
assumptions
mentioned
above:
the
noncentral
covariances
should
be
negligible,
|�|
should
be
large
and
qq should
be
а также на вышеупомянутые
предположения: нецентральные
ковариации
FF 22
compared
toshould
1/ C
Cv,u
for all
all (u,v)
(u,v)
inshould
�. These
These
additional
assumptions
are
covariances
be
negligible,
|�|
be
large
and
q
should
be
small
covariances
should
be
negligible,
|�|
should
be
large
and
q
should
be
small
compared
to
1/
for
in
�.
additional
assumptions
are
v,u
должны быть
малы, |Λ| должно быть велико, а q мало−n/2
по срав F 2
2 пренебрежимо
F
−n/2
often
reasonable.
However,
if
the
absolute
correlations
are
close
to
2
for
all
(u,v)
in
�.
These
additional
assumptions
are
compared
to
1/
C
F
2
all (u,v)
additional
assumptions
compared
to 1/
often
However,
absolute
correlations
areare
close to 2
,, заv,u in
нению
сC1/(C
)forдля
всех
(u,�.
v)ifThese
∈the
Λ. Эти
дополнительные
предположения
v,ureasonable.
v,u
−n/2
−n/2
then
the
simple
model
becomes
unreliable.
This
issue
will
be
discussed
in
often
reasonable.
However,
if
the
absolute
correlations
are
close
to
2
−n/2
often reasonable.
However,
if model
the absolute
correlations
areThis
close
to will
2близки
, discussed
the simple
becomes
unreliable.корреляции
issue
be
in, прос
частуюthen
разумны.
Однако
если
абсолютные
к 2 , то
Section
7.3.3.
If nothing
nothing
is known
known
about
the
correlations
atеще
all,
then
the best
then
the
simple
model
becomes
unreliable.
This
issue
will
beобсудим
discussed
then the
simple
model
becomes
unreliable.
This
issue the
willcorrelations
be discussed
in
Section
7.3.3.
If
is
about
at
all,
тая
модель
становится
ненадежной.
Данный
вопрос
мы
вinразде√ then the best
√
one
can оdo
doкорреляциях
is known
to
choose
equal
weights
w11 the
=at
·=
=then
w|�|
=atто
1/all,
|�|.
By
(6.1),
Section
7.3.3.
Ifchoose
nothing
is
known
about
thenBy
theчто
bestможно
|�|the
Sectionле
7.3.3.
If Если
nothing
is
about
the
correlations
best
one
can
is
to
equal
weights
w
=
··correlations
··all,
·известно,
w
=
1/
|�|.
(6.1),
7.3.3.
вообще
ничего
не
лучшее,
√
√
this
leads
toisaa to
data-complexity
of
one
can
do
choose w
equal
weights
· · · =|�|.
w.|�|
=(6.1),
1/ (6.1),
|�|. By
–leads
выбрать
равные
веса
…w=w
w1|Λ|== 1/
В силу
это(6.1),
приводит
one canсделать,
do is to
choose
equal
weights
·of
·1 ·= =
By
this
to
data-complexity
1 =w
|�|
this
leads
to
a
data-complexity
of
к информационной
−1 (P ) − �−1
−1 (P )
this leads
to a data-complexity сложности
of
�−1
�
(PSS) − � (P
FF) .
2|�| −1
q=
= 2|�|
.
q
−1
−1
−1
)
−
�
(P
Cap(�)
S
F)
� (PS ) − � � (P(P
)
F Cap(�)
..
.
q = 2|�| q = 2|�|
Cap(�)
This approach
approach is
is suboptimal
suboptimal
since one
one Cap(�)
almost always
always has
has aa key-dependent
key-dependent
This
since
almost
expression
for
the
correlations
that
should
give
some
idea
about
their value.
value.
This
approach
is
suboptimal
since
one
almost
always
has
a
key-dependent
This approachexpression
is suboptimal
since
one almost
key-dependent
for the
correlations
thatalways
should has
giveasome
idea about their
The
simplest
example
is
when
one
knows
the idea
absolute
values
of the
the
for the
correlations
that
should
give
some
aboutvalues
their value.
expression for expression
theThe
correlations
that
shouldis
give
some
ideaknows
about
their
value.
simplest
example
when
one
the
absolute
of
correlations,
but
not
the
signs.
In
this
case,
one
should
use
weights
proportional
The
simplest
example
is
when
one
knows
the
absolute
values
of
the
The simplest
example
is
when
one
knows
the
absolute
values
of
the
correlations,
but
not
the
signs.
In
this
case,
one
should
use
weights
proportional
FF 22
By
(6.1),
the
data-complexity
is proportional
proportional
to
tonot
Cvthe
correlations,
butIn
not
thethe
signs.
this case,
should
use weights
proportional
correlations, but
this
case,
oneInshould
useone
weights
proportional
.. By
(6.1),
data-complexity
is
to
to
C
,u signs.
Section 7.3.3. If nothing is known about the correlations at all, then the best
√
one can do is to choose equal weights w1 = · · · = w|�| = 1/ |�|. By (6.1),
this leads to a data-complexity of
криптоанализ
�−1 (PS ) − �−1 (PF )
Множественный линейный
q = 2|�|
.
Cap(�)
Данный подход неоптимален, потому что почти всегда имеется зависящее
This approach is suboptimal since one almost always has a key-dependent
от ключа выражение для корреляций, которое помогает составить какое-то
expressionоб
forих
theзначениях.
correlations that should give some idea about their value.
представление
The
simplest
example
is when
one knows
the absolute
valuesкорреляций,
of the
Простейший пример – когда
известны
абсолютные
величины
correlations,
but
not
the
signs.
In
this
case,
one
should
use
weights
proportional
но неизвестны
знаки. В таком случае следует использовать веса, пропорцио
F их
2
2 . By (6.1), the data-complexity is proportional to
to (C
CvvFi ,u
нальные
)
.
В
силу (6.1), информационная сложность пропорциональна
,u
i
i i
√
1
|�|
.
4 ≤ Cap(�) .
|�|
F
i=1 Cvi ,ui
84
The upper
bound
on theчасти
right-hand
side is когда
matchedабсолютные
when the absolute
Верхняя
граница
правой
достигается,
корреляции
correlationsаппроксимаций
of all the linear approximations
� are7 equal.
will be shown
всех линейных
в Λ равны. В in
главе
будет Itпоказано,
что в обin Chapter
that in general,
this testне
is оптимален.
still not optimal.
When
the signs
of
щем случае
этот7 критерий
все равно
Когда
знаки
корреляций
the correlations
of different
approximations
sameключа,
key bits,информаthe
различных
аппроксимаций
зависят
от однихdepend
и тех on
жеthe
битов
ционную
сложность часто
можно
уменьшить.
data-complexity
can often
be reduced.
Даже если
квадраты
корреляций
также
зависят
ключа,
приведенный
Even if the squared correlations
depend
on theот
key
as well,
the above test выше
критерий
все
равно
можно
использовать
(применяя
какую-то
оценку
can still be used (using some estimate of the squared correlations,
such квадраas
тов корреляций, например среднее, чтобы определить w1, …, w|Λ|), но в этом
случае оценивание информационной сложности технически труднее, потому
что формулу
вероятности
успехаUniversity
следует усреднять
поshare
ключу,
как объяснено
Property
of Cambridge
Press do not
or copy
в разделе 4.2.2. В главе 7 будет показано, что в некоторых случаях можно
добиться большего.
6.2. Многомерный линейный криптоанализ
Многомерная линейная аппроксимация – это множественная линейная аппроксимация Λ такая, что Λ является векторным пространством над полем 𝔽2. Поскольку многомерные линейные аппроксимации – частный случай
множественных линейных аппроксимаций, их можно использовать для построения различителей точно так же, как было описано в разделе 6.1.2. Однако
тот факт, что Λ является векторным пространством, приводит к интересному
альтернативному описанию этих различителей.
6.2.1. Многомерные линейные аппроксимации
Первый намек на то, что многомерные линейные аппроксимации являются чем-то особенным, дает теорема 6.1: если Λ – векторное пространство,
то ковариационная матрица оценок корреляций полностью определяется
корреляциями линейных аппроксимаций из Λ. Тому есть веская причина:
многомерная линейная аппроксимация эквивалентна линейной проекции
пар (открытый текст, шифртекст). Чтобы уточнить это заявление, нам понадобятся некоторые понятия и факты из линейной алгебры.
Пусть U – векторное пространство над 𝔽2. Для любого подпространства V ⊆ U
факторпространство U/V = {x + V | x ∈ U} является векторным пространством
размерности dimU − dim V. Проекция πV : x ↦ x + V является линейным отображением U в U/V. Для любых x, y ∈ U эти понятия связаны следующим образом:
x ≡ y mod V ⇐⇒ πV (x) = πV (y) ⇐⇒ x − y ∈ V.
6.2. Многомерный линейный криптоанализ 85
Предположим, что U снабжено симметричной билинейной формой
(x, y) ↦ x · y. или «скалярным произведением». Это бинарная операция, такая
что x · y = y · x, 0 · x = 0 и (x + y) · z = x · z + y · z. Ортогональным дополнением под“9781009607865book”
—векторное
2025/12/2 —
— 14:12
14:12 —
— page
page 82
82 —
— #94
#94
пространства
V ⊆ U называется
“9781009607865book”
“9781009607865book”
“9781009607865book”
——
2025/12/2
— 2025/12/2
2025/12/2
— пространство
14:12
— 14:12
— page
— page
82 —
82 #94
— #94
V⊥ = { x ∈ U | x · y = 0 для всех y ∈ V}.
Хотя dim V⊥ = dim U − dim V, подпространство V⊥ не является дополнением V
82
Multiple
linear cryptanalysis
cryptanalysis
в алгебраическим
смысле: может
случиться,
что V ∩ V⊥ ≠ {0}.
Multiple
linear
82 82
82
Multiple
Multiple
linear
linear
cryptanalysis
cryptanalysis
Пример 6.3 Пусть U = 𝔽2n × 𝔽m2 и V = Λ. Скалярное произведение (u, v) и (x, y) ∈ U
T
n
m
равно Example
(u, v) · (x,6.3
y) = uLet
x +UvT=y.
Отсюда
F
Fm
and V
V =
= �.
�. The
The dot
dot product
product of
of (u,v)
(u,v) and
and
nn×
2mand
Example
UUF=n2=×
F
×m F
Example
Example
6.3 6.3
6.3
LetLet
U
Let=
F2n22F
F2m
and= V�.
=The
�.
dot product
dot product
of (u,v)
of (u,v)
and and
The
2 2× and
22 V
(x,y)
in
U
is
equal
to
(u,v)
·
(x,y)
=
u
x
+
v
y.
Hence,
(x,y)
equal
toto(u,v)
· ·(x,y)
vvHence,
y.y.Hence,
⊥equal
n · (x,y)
m
T u=
(x,y)
(x,y)
in Uininis
equal
to (u,v)
(u,v)
(x,y)
=
=xuTu+xxv++y.
Hence,
=isis{(x,
ΛUU
y) ∈ 𝔽2 × 𝔽 2 | u x + v y = 0 для любых (u, v) ∈ Λ}.
⊥
n
m
m
xm+
�⊥
= (x,y)
(x,y) ∈
∈F
Fnn2n×
×
F
yбудет
= 00 for
forиграть
all (u,v)
(u,v)важную
∈�
� .
v⊥
y
n u
⊥�
mF
m
2um
(𝔽
Ниже �
факторпространство
×
𝔽
)/Λ
u
x
+
v
=
all
∈
=
�⊥⊥=
(x,y)
= (x,y)
∈ Fn2∈×
F22F
×
F
x
u
+
x
v
+
y
v
=
y
0
=
for
0
all
for
(u,v)
all
(u,v)
∈
�
∈.� . . роль. Это
2
2
2
2 2 22
векторное пространство той жеnразмерности,
что Λ.
⊳
m
⊥ plays
Below, the
the quotient
quotient space
spacen(F
(Fnn2n×
×
Fm
)/�
an important
important role.
role. This
This is
is aa
⊥
mF
m)/�
⊥
⊥
m
⊥
2
Below,
plays
an
Below,
Below,
the quotient
the
quotient
spacespace
(F2 ×
(F222F
F222 )/�
playsplays
an important
an important
role.role.
ThisThis
is a is a
2×)/�
Используя
введенные
выше
понятия,
vector space
space
of the
the same
same
dimension
as �.
�. мы можем сформулировать ��теореvector
of
dimension
as
vector
vector
space
space
of
the
of
same
the
same
dimension
dimension
as
�.
as
�.
� � Пуму 6.3. В анализе Фурье этот результат известен как формула суммирования
Using
the
concepts
introduced
above,
we
can
state
Theorem
6.3.
This
result
ассона.
Эта
связь
объяснена
вabove,
главах
10can
и 11.
Using
concepts
introduced
state
Theorem
result
Using
Using
the the
concepts
theбудет
concepts
introduced
introduced
above,
above,
we we
can
we
state
can
state
Theorem
Theorem
6.3.6.3.
This
6.3.This
This
result
result
is
also
known
as
the
Poisson
summation
formula
in
Fourier
analysis.
This
isisalso
known
asasthe
summation
formula
ininFourier
analysis.
is also
also
known
known
as the
Poisson
thePoisson
Poisson
summation
summation
formula
formula
in Fourier
Fourier
analysis.
analysis.
ThisThis
This
connection
will
be
explained
in
Chapters
10
and
11.
Теорема
6.3.
Пусть
z
–
случайная
величина
в
векторном
пространстве
U со
connection
be
ininChapters
10
connection
connection
willwill
will
be explained
beexplained
explained
in Chapters
Chapters
10 and
10and
11.
and11.
11.
скалярным
произведением
(x,
y)
↦
x
·
y,
и
пусть
V
–
подпространство
U.
Theorem 6.3
6.3 Let
Let zz be
be aa random
random variable
variable on
on aa vector
vector space
space U
U with
with dot
dot Для
Theorem
Theorem
Theorem
6.3 6.3
Let zLet
bezaberandom
a random
variable
variable
on aonvector
a vector
space
space
U with
U with
dot dot
любых
t
∈
U
product (x,y)
(x,y) �→
�→ xx ·· y,
y, and let
let V
V be
be aa subspace
subspace of
of U
U.. For
For all
all tt in
in U
U,
product
product
product
(x,y)(x,y)
�→ x�→
· y,x and
· y,and
let
andVletbe
Va be
subspace
a subspace
of Uof
. For
U . all
Fort all
in U
t in
, U, ,
1
⊥ 1 1
v·t
Pr z ≡ t mod⊥ V ⊥
1 (−1)
=
v·t v·t
v·tcv·z ,,,
⊥⊥ =
(−1)
Pr Pr
zPr≡zzt≡mod
≡t tmod
mod
V VV=
= |V | (−1)
(−1)
cv·t
v·z
v·zc,c
v·z ,
v·z
v∈V
|V ||V|V| | v∈V
v∈V v∈V
v∈V
where ccv·z denotes
denotes
the correlation
correlation
of the
theвеличины
random variable
variable
z.
где where
cv·z обозначает
корреляцию
случайной
v · z.
where
of
vvv·· ·z.
where
cv·z denotes
cv·z
the the
correlation
the correlation
of the
ofrandom
therandom
random
variable
variable
v · z.
z.
v·z denotes
v·z
Proof Let
Let p
pПоложим
= Pr[z
Pr[zp=
=(t)t].
t].=Recall
Recall=from
from
Section 2.1
2.1 (см.
that раздел 2.1), что
Доказательство.
Напомним
z (t) =
Proof
Section
Proof
Proof
Let pLet
(t)Pr[z
= Pr[z
= t].z=
Recall
t]. Pr[z
Recall
fromt].
from
Section
Section
2.1 that
2.1that
that
zz(t)
z (t)p
z=
v·z
(−1)v·z
c
=
p
(z).
v·z =
v·z v·z
(−1)
ppzzz(z).
.
cv·zc=
cv·z
(−1)
pzv·z
(z).
v·z =(−1)
z (z).
v·z
z∈U
z∈Uz∈U
z∈U
z∈U
Substituting this
this into
into the
the given
given sum
sum yields
yields
Substituting
Substituting
Substituting
this
this
into
the given
theполучаем
given
sum sum
yields
yields
Подставляя
этоinto
в сумму,
v·z
v·(z+t)
v·(z+t)
(−1)v·(z+t)
(−1)v·z
p
(−1)v·(z+t)
c
=
p
(z)
=
(z)
v·z
z
z
v·z
v·z
v·(z+t)
v·(z+t)
v·(z+t)
v·(z+t)..
v·z
v·(z+t)
v·(z+t)
(−1)
(−1)
ppzz(z)
ppzz(z)
(−1)
(−1)
(−1)
cv·zc=
cv·z
(−1)
(−1) pz (z)
(z)== pz (z)
(−1)
. ..
v·z==
z=
z (z)(−1)
v·z
v∈V
v∈Vv∈V
v∈V
v∈V
v∈V z∈U
v∈Vv∈V
z∈U
v∈Vz∈U
z∈U
v∈V
z∈U
z∈U
z∈Uz∈U
z∈U
z∈U
v∈V
v∈Vv∈V
v∈V
v∈V
The inner
inner sum
sum can
can be
be computed
computed using
using the
the same
same approach
approach that
that was
was used
used in
in the
the
TheThe
The
innerinner
sum sum
can be
cancomputed
be computed
usingusing
the same
the применяя
same
approach
approach
that
that
used
used
in theinчто
theв доВнутреннюю
сумму
можно
вычислить,
тотwas
же was
подход,
proof
of
Theorem
2.4:
proof
of
Theorem
2.4:
proof
proof
of
Theorem
of
Theorem
2.4:
2.4:
казательстве теоремы 2.4:
|V | if z + t ∈ V ⊥
⊥,
⊥
⊥⊥
v·(z+t) |V |,|V
(−1)v·(z+t)
,,,
|
if
z
+
t
∈
V
если
|V
if
|
z
+
if
t
z
∈
+
V
t
∈
,
V
=
v·(z+t)
v·(z+t)
(−1)
(−1)
(−1)v·(z+t)
= == 0
else.
v∈V
else.
0 00 вelse.
else.
противном
случае.
v∈Vv∈V
v∈V
v∈V
⊥
The result
result then
then follows
follows from
from Pr[z
Pr[z ≡
≡ tt mod
mod⊥V
V⊥
= z∈t+V
pz(z).
(z).
⊥
⊥⊥]]t]=
=z⊥⊥⊥(z).
∑pp
Теперь
результат
следует
из
что
Pr[z
≡
mod
V
TheThe
The
result
result
then then
follows
follows
fromfrom
Pr[zтого,
Pr[z
≡ t mod
≡
t mod
V ]V=
=z∈t+V
zz z (z).
⊥]p
⊥
z∈t+V
⊥ pz(z). □
z∈t+V
z∈t+V
z∈t+V
Applying
Theorem6.3
6.3кto
toслучаю
the case
caseмногомерной
of aa multidimensional
multidimensional
linear аппроксимации
approximaПрименение
теоремы
линейной
Applying
Theorem
the
linear
approximaApplying
Applying
Theorem
Theorem
6.3 6.3
to
6.3theto
case
the case
of aofof
multidimensional
a multidimensional
linear
linear
approximaapproximaдает следующий
результат.
tion
gives
the
following
result.
gives
result.
tiontion
tion
gives
gives
the the
following
thefollowing
following
result.
result.
Corollary 6.4
6.4 Let
Let �
� be aa multidimensional
multidimensional linear
linear approximation
approximation of
of a
Corollary
Corollary
Corollary
6.4 6.4
�m be� be
abemultidimensional
a multidimensional
linear
linear
approximation
approximation
of aof aa
nLet Let
n
→
F
.
If
x
is
a
uniform
random
variable
on
F
,
then
function
F
:
F
n
m
n
n
n
m
m
n
n
2 . IfIfxa
FF2m
random
variable
on
FF2n222, ,then
function
FF2: :→
FF2n222→
F→
xisuniform
isaauniform
uniform
random
random
variable
variable
on F
on
then
function
function
F: F
2 . If
2 , then
22x. is
1
⊥ 1 1
u s+v t F
(−1)
Pr (x,F(x)) ≡ (s,t) mod⊥ �⊥
u
1
u s+v
s+v
t Ftt tCF
F
⊥⊥ =
uu s+v
s+v
F
v,u
The result then follows from Pr[z ≡ t mod V ⊥ ] =
86
z∈t+V ⊥
pz (z).
Applying Theorem 6.3 to the case of a multidimensional linear approximationМножественный
линейный
“9781009607865book”
—криптоанализ
2025/12/2 — 14:12 — page 83 — #95
gives the following
result.
Corollary
LetΛ �
be a multidimensional
linear
approximationфункции
of a
Следствие
6.4. 6.4
Пусть
– многомерная
линейная
аппроксимация
F:
n
m
n
n
mfunction F : F → F . If x is a uniform random variable
n on F , then
𝔽2 → 𝔽 2. Если x – равномерная
случайная величина на 𝔽2, то 2
2
2
linear
1 cryptanalysis
6.2 Multidimensional
83
F
Pr (x,F(x)) ≡ (s,t) mod �⊥ =
(−1)u s+v t Cv,u
|�|
(u,v)∈�
n m
mwith U = Fn × Fm and V = �, like in Example 6.3.
n in F
Proof
for
and
t in6.3
Fотношение
the
для всех
s all
∈ 𝔽sUse
и t Theorem
∈2 𝔽
. Это
обратимо.
2
2 above relation is invertible.
2 . Furthermore,
2
2
The random variable z is equal to (x,F(x)). The relation
in Theorem 6.3 is
Доказательство. Воспользуемся теоремой 6.3 с U = 𝔽2n × 𝔽m2 и V = Λ, как в примеinvertible; finding the inverse relation is Exercise 6.3.
ре 6.3. Случайная величина z равна (x, F(x)). Отношение в теореме 6.3 обратимо;
Property of Cambridge University Press do not share or copy
нахождение
обратного
составляет
предмет
упражнения 6.3.
□
Corollary
6.4 showsотношения
that the correlations
of the
linear approximations
in �
determine
the
probability
distribution
of
π
(x,F(x))
.
This
is
a
linear
pro⊥
� линейных аппроксимаций из Λ
Следствие 6.4 показывает, что корреляции
jection распределение
of the input and output
bits. In Chapter
11,F(x)).
it is shown
that the relation
Это линейная
проекция
определяют
вероятностей
πΛ⊥((x,
between
the correlations
and
the probability
distribution
of π�⊥ (x,F(x)
входных
и выходных
битов. В
главе
11 показано,
что отношение
между isкорреgiven
by the Fourier transformation,
and why
this F(x))
is the описывается
case.
ляциями
и распределением
вероятностей
πΛ⊥((x,
преобразо
ванием Фурье, и объясняется, почему это так.
Example 6.4 Let � = (0,0),(u1,v1 ),(u2,v2 ),(u1 + u2,v1 + v2 ) with
(u2+,vu2 ), =
1,vПусть
1 ) = (000000001,000010000)
Пример(u6.4.
Λ = {(0, 0), (u1, v1), (u2, vand
), (u
v1 +(000000110,000100000).
v2), где (u1,v1) = (000000001,
2
1
2
The orthogonal
�⊥
consists of all
pairs (x,y) such дополнение
that x0 + y4 = Λ⊥ со000010000)
и (u2, v2) =complement
(000000110,
000100000).
Ортогональное
0 and
+ x(x,
+
y
=
0,
with
(x
,
.
.
.
,x
)
and
(y
,
.
.
.
,y
)
the
coordinates
стоит из
всехx1пар
y)
таких,
что
x
+
y
=
0
и
x
+
x
+
y
=
0,
где
(x
,
…, x0) и (y8,of
…, y0) –
2
5
0 1
0
08 4
2 8 5
8
9
9
9
2
⊥
∼
элементы
x
и
y
соответственно.
Следовательно,
возможным
базисом
(𝔽
× 𝔽29)/
x and y, respectively. Hence, a possible basis for (F2 × F2 )/� = F2 is
2
Λ⊥ ∼= 𝔽22 является
(000000000,000010000) + �⊥,(000000000,000100000) + �⊥ .
(000000000,000010000) + Λ⊥, (000000000,000100000) + Λ⊥.
Relative to this basis, the coordinates of the projection (x,y) mod �⊥ of (x,y)
⊥
В этом
are базисе
given byкоординаты проекции (x, y) mod Λ точки (x, y) равны
, x1 ++xx2 + +
y5).
(x(x0++ yy4,x
y ).
0
4
1
2
5
В силу следствия 6.4, вероятность того, что (x, F(x)) ≡ (0, 0)⊥mod Λ⊥, равна 1⁄4
6.4, the probability that (x,F(x)) ≡ (0,0) mod � is equal to
1
19
16 − ⁄4) = ⁄128.
(1 − 3⁄32By
− 1⁄Corollary
⊳
1/4
(1
−
3/32
1/16 − 1/4)
19/128. аппроксимацию можно выразить
�
Из следствия 6.4−следует,
что =линейную
по-другому.
Правая
в следующей
теореме
называется
квадратичным
Corollary
6.4часть
implies
that the capacity
of a linear
approximation
can be евклидовым расхождением. Доказательство этого результата составляет предмет
expressed in a different way. The right-hand side in the following theorem is
упражнения 6.4.
called the squared Euclidean imbalance. Proving this result is Exercise 6.4.
Следствие
6.5 (квадратичное
евклидово
расхождение).
Λ – многомерная
Corollary
6.5 (Squared Euclidean
imbalance)
Let � beПусть
a multidimensional
m
m
линейная
аппроксимация
функции
F: F𝔽2:n F
→n 𝔽→
.
Если
x
–
случайная
равномерно
linear
approximation of
a function
F
.
If
x
is
a
uniform
random
2 2
2
n
n
распределенная
величина
на
𝔽
,
то
2
variable on F , then
2
Cap(�) = |�|
z
1
Pr (x,F(x)) ≡ z mod �⊥ −
|�|
2
,,
где суммирование
производится
z ∈ (𝔽⊥n × 𝔽m2)/Λ⊥.
where the sum
is over all z in по
(Fn2всем
× Fm
2 )/� 2.
6.2.2. Различители
6.2.2всякая
Distinguishers
Поскольку
многомерная линейная аппроксимация является множественной линейной аппроксимацией, различители можно получить так же, как описаSince every multidimensional linear approximation is a multiple linear approxно в разделе 6.1.2. Однако в свете следствия 6.4 существует и другой подход.
imation, distinguishers can be obtained as described in Section 6.1.2. However,
in light of Corollary 6.4, there is an alternative approach.
84
84
Multiple linear
linear cryptanalysis
cryptanalysis
Multiple
84
Multiple linear cryptanalysis
6.2. Многомерный
линейный криптоанализ 87
Multiple
linear cryptanalysis
84
Instead
of estimating
estimating
the correlations
correlations
of linear
linear
approximations
in �,
�, one
one can
can из Λ,
of
the
approximations
in
ВместоInstead
того чтобы
оценивать
корреляции
линейных
аппроксимаций
Insteadof
of estimating
the correlations
of linear
approximations in
estimate
the
probability
distribution
of
π
((x,F(x)))
for
uniform
random
x. рав⊥
�
probability
distribution
of
π
((x,F(x)))
for
uniform
random
x.
можноestimate
оценить
вероятностей
π
((x,
F(x)))
для
случайной
⊥
⊥
Insteadthe
ofраспределение
estimating the
correlations
of
linear
approximations
in
�,
one
can
�
Λ
estimate the probability distribution of π�⊥ ((x,F(x))) for uniform
номерно
распределенной
величины
x.
estimate
the probabilityIf
distribution
of π�are
⊥ ((x,F(x))) for uniform random x.
Known
correlations.
all
correlations
known, then
then so is
is the
the probability
probability
Known correlations. If all correlations
are known,
Known
correlations.
If all so
correlations
are known,
then so is the
Известные
корреляции.
Если
все
корреляции
известны,
то
известно
и расdistribution of
of π
π�⊥⊥ ((x,F(x))).
((x,F(x))). In
In this
this case,
case, one
one can
can use
use the
the test
test statistic
statistic
distribution
Known
correlations.
If
all
correlations
are
known,
then
so
is
the
probability
�
of π�⊥случае
((x,F(x))).
In this
case, one can use the test sta
пределение вероятностей πΛ⊥((x,distribution
F(x))). В этом
можно
воспользоваться
|�| case, one can use the test statistic
distribution
of π�⊥ ((x,F(x))). In
this
|�|
статистикой
критерия
|�|
=
wi (
pii −
−p
pii ),
),
�=
tt�
p
|�| wi (
t� =
wi (
pi − pi ),
i=1
t� = i=1 wi (
pi − pi ),,
i=1
m
⊥
where p
p11,, .. .. .. ,p
,p|�|
are the
the probabilities
probabilities
for the
the |�| values
values in
in (F
(Fnn2 ×
×F
Fm
)/�⊥
|�| are
i=1
where
2
22 )/�
where p1, .for
. . ,p|�||�|
are the probabilities
for
the |�| values in (Fn2
and
p11,, .. .. .. ,
,
p|�|
their estimates.
estimates. In
In Exercise
Exercise 6.5,
6.5, you
you will
will show
show
choosing
nthat
m
⊥
and
their
m× choosing
where
. |�|
,p|�|
are |Λ|
theзначений,
probabilities
thetheir
|�| estimates.
values(𝔽
inn ×
(F
1, . .p
and
p1, . принадлежащих
. .for
,
p|�|
In𝔽that
где p1, …,
pp
–pвероятности
)/ΛF⊥2, а)/�
p6.5,
, …,you
p|Λ| –will show th
2 Exercise
|Λ|
2 data-complexity
2
1
optimal
weights
w
,
.
.
.
,w
results
in
a
distinguisher
with
1
|�|
optimal
weights
w
,
.
.
.
,w
results
in
a
distinguisher
with
data-complexity
1 estimates.
|�|optimal
and
p1В, упражнении
. . . ,
p|�| their
In Exercise
6.5,
that
их оценки.
6.5 вам
будет
предложено
показать,
что
выбор
опти- with data
weights
w1you
, . . .will
,w|�|show
results
inchoosing
a distinguisher
inversely proportional
proportional to
to the
the squared
squared Euclidean
Euclidean imbalance.
imbalance. By
By Corollary
Corollary 6.5,
6.5,
inversely
мальных
весов
w1, …,w
w1|Λ|, приводит
к различителю,
информационная
сложность
optimal
weights
. . . ,w
results
inproportional
a distinguisher
with
data-complexity
|�| inversely
to the
squared
Euclidean
imbalance. By Co
the
squared
Euclidean
imbalance
is
equal
to
Cap(�),
so
the
data-complexity
the обратно
squared
Euclidean
imbalance
is квадратичному
equal
to Cap(�),
so
theBydata-complexity
которого
пропорциональна
евклидову
расхождению.
inversely
proportional
to
the squared
Euclidean
imbalance.
Corollary
the squared
Euclidean
imbalance
is equal
to6.5,
Cap(�), so the data
isследствия
the same
same as6.5,
in Section
Section
6.1.2.
В силуthe
квадратичное
расхождение
равно Cap(Λ), поis
the
in
6.1.2.
squared as
Euclidean
imbalance
equalastoinCap(�),
so
the data-complexity
is theisевклидово
same
Section
6.1.2.
этому is
информационная
сложность
такая
же,
как
в
разделе
6.1.2.
the same as in Section 6.1.2.
Unknown correlations.
correlations. If the
the correlations
correlations are
are not
not known,
known, then
then aa popular
popular
Unknown
Неизвестные
корреляции.If Если
корреляции
неизвестны,
то популярным
Unknown
correlations.
If the correlations
are not known, the
2 test.
2
approach
is
to
use
Pearsons’s
χ
This
test
is
based
on
the
test
statistic
2
approach
iscorrelations.
to use
Pearsons’s
χ
test.
This
test
is
based
on
the
test
statistic
2
подходом
является
критерий
χ
.
Он
основан
на
статистике
критерия
Unknown
IfПирсона
the
correlations
are
not
known,
then
a
popular
approach
χ test. This test is based on the test
is to use Pearsons’s
2
|�|
|�|
test.
This
test is 2based
on the |�|
test statistic
approach is to use Pearsons’s χ 2
2
p
−
1/|�|
i
pi − 1/|�| .
pi − 1/|�|
tt�
=
�=
.
1/|�| 2 .
|�|
t� =
.
1/|�|
pi −
1/|�|
i=1
1/|�|
t� = i=1
.
i=1
In Exercise
Exercise 6.6,
6.6, you
you will
will show
show
that 1/|�|
the data-complexity
data-complexity of
of this
this test
test is
is
In
that
the
i=1
√ вам будет
В упражнении
6.6
Inпредложено
Exercise
6.6,показать,
you will что
showинформационная
that the
data-complexity of
√
√
proportional
to
|�|/
Cap(�).
This
is
same
as
for
the
test
with
equal
weights
proportional
to
Thisthat
is same
for the
test with
weights
In
Exercise
6.6, |�|/
you Cap(�).
will show
theto as
data-complexity
ofequal
this
test
. Это
то
же
самое,
сложность
этого критерия
пропорциональна
proportional
|�|/
Cap(�).
This
is same
asisfor что
the test with eq
√
from Section
Section 6.1.2,
6.1.2,
but worse
worse than
than the
the test
test for
for unknown
unknown correlations
correlations with
with
from
but
proportional
to
|�|/
Cap(�).
This
is
same
as
for
the
test
with
equal
weights
для критерия с равными весами
из раздела
6.1.2,but
ноworse
хуже,than
чемthe
критерий
для
from
Section 6.1.2,
test for unknown
corre
known absolute
absolute value.
value.
known
неизвестных
корреляций
абсолютной
величиной.
from
Section
6.1.2, butс известной
worse
than absolute
the test value.
for unknown
correlations with
known
known absolute value.
6.2.3.6.2.3
Атаки
с выбранным
открытым текстом
6.2.3
Chosen
plaintext attacks
attacks
Chosen
plaintext
Chosen
plaintext
attacksслучайная равноДо сих пор предполагалось, что 6.2.3
входом
примитива
является
So far,
far,Chosen
the input
input
to the
the primitive
primitive
was
assumed to
to be
be uniform
uniform random
random on
on
6.2.3
plaintext
attacks
n
So
the
to
was
assumed
мерно распределенная
величина
. Изinput
следствия
6.4 вытекает
также, to
чтоbe uniform
So на
far,𝔽2the
to the primitive
was assumed
nn . Another consequence of Corollary
F
6.4
is
that
multidimensional
linear
F22. far,
Another
consequence
ofFCorollary
6.4consequence
is that
linear
n
многомерные
линейные
аппроксимации
могут
что-то
о выходе,
когда
So
the
input
to the
primitive
was assumed
to multidimensional
be сказать
uniform
random
on
.
Another
of
Corollary
6.4
is
that
multidimens
2 about the output when the input is uniform
approximations
say something
something
nявляется случайная
approximations
say
about
the
output
when
the
input
is
uniform
входомF
равномерно
распределенная
величина
на
аффин.
Another
consequence
of
Corollary
6.4
is
that
multidimensional
linear
approximations
say something about the output when the input
2
n
n subspace of Fn . In some cases, this observation is useful
random
on an
an affine
affine
ном подпространстве
.subspace
В некоторых
случаях
этоwhen
наблюдение
чтобы
random
on
ofabout
F22. In
some
cases,
this the
observation
useful
approximations
say𝔽2something
the
input
is
uniform
random
on
anoutput
affine
subspace
of
Fn2 . полезно,
In is
some
cases,
this observati
to reduce
reduce
the data-complexity.
data-complexity.
n
уменьшить
информационную
сложность.
to
the
random on an affine subspacetoofreduce
F2 . In the
some
cases, this observation is useful
data-complexity.
If
�in=
=
�Λin
⊕
�out
then Corollary
Corollary
6.4 takes
takes the
following
form.
ЕслиtoΛreduce
=�
Λ
⊕
., то
следствие
6.4 принимает
такой
вид.form.
in
out
If
�
⊕
�
,, then
following
out
the
data-complexity.
If � =6.4
�in ⊕ �the
out , then Corollary 6.4 takes the following form
Corollary
6.6
Let
�then
be Corollary
multidimensional
linear
approximation
of aa F :
If �6.6.
= �6.6
6.4линейная
takes Let
thelinear
following
form. функции
Следствие
Пусть
Λ ,–
многомерная
аппроксимация
Corollary
Let
�
be
aaCorollary
multidimensional
of
in ⊕ �
out
6.6
�
beapproximation
a mmultidimensional
linear approxim
n
m
n
n
mfunction F : Fn
n
m
n
→что
F2 ..ΛSuppose
Suppose
that, �
� =Λn �
�⊆in
⊕иm�
�Λout
with
�
⊆x F
F–2случайная
and
in𝔽⊕
out
in ⊆
𝔽2 → 𝔽 2Corollary
. Предположим,
= Λain ⊕
Λ
где
⊆
𝔽 2.�
Если
function
F :6.6
F22 →
F
that
with
and
in
out F : =
in →
2F
out approximation
Let
�
be
multidimensional
linear
of
a
2
2
function
F
.
Suppose
that
�
=
�
⊕
�out with �in
in
m
⊥ , then
�out
⊆распределенная
Fm
. If x is
is aa uniform
uniform
random
variable
on
s 2+
+�
�⊥
равномерно
величина
наvariable
sm+=Λ2⊥in�,on
то
n
out ⊆
in
�
F
random
s
,
then
function
F22: . FIfn2 x→
Fm
.
Suppose
that
�
⊕
�
with
�
⊆
F
and
in
in a uniform
out random
in variable
on s + �⊥
�out ⊆ F2 . If x is
2
2
in , then
⊥ , then
If x is a uniform ⊥
1
�out ⊆ Fm
.
random
variable
on
s
+
�
s+v t
u
F
1
2
in
⊥
u
s+v
t
F
Pr F(x)
F(x) ≡
≡ tt mod
mod �
�out =
=
(−1) ⊥ C
Cv,u,,1
Pr
out
|�Pr
≡ t(−1)
mod �out = v,u
(−1)u s+v t CvF
out||F(x)
|�
1out
(u,v)∈�
⊥
u
s+v
t
F
|�
|
(u,v)∈�(−1)
Pr F(x) ≡ t mod �out =
Cv,u, out (u,v)∈�
m
|�out |
m
.
for
all
t
in
F
m
(u,v)∈�
fort ∈
all𝔽t2.in F22 .
для всех
for all t in Fm
2.
m
.
for
all
t
in
F
Доказательство. Если
Λ = Λin⊕Λout, то также Λ⊥ = Λ⊥in ⊕Λ⊥out. Следовательно, если
2
Property
of Cambridge
Cambridge
University Press
Press do
do not
notна
share
or
copy
n
Property
of
University
share
copy
x′ – случайная
равномерно
распределенная
𝔽University
, xor
– случайная
равPropertyвеличина
of Cambridge
Press do
not share o
2
⊥
номерно распределенная
величина
на
s
+
Λ
,
то
Property of Cambridge University Press
do not share or copy
in
85
85
Proof If � = �in ⊕ �out , then
� n
⊥ also
⊥�⊥
� ⊥� uniform
= �also
�⊥out
=
�⊥
⊕x�
. random
Hence,
⊥, then
and x is uniform
Proof
If �
� If
, then
=
�
�
.⊥Hence,
in ⊕�
in�⊕
out
in if
Proof
If =
��
=Proof
��
=in�⊕⊥
⊕out
�out
. Hence,
if is
x is
uniformifonx Fis2 uniform
in ⊕out
out , nthen also �
in
⊥
⊥
⊥
⊥
�
n= n�
⊥
⊥
⊥
⊥
�
Proof
If
�
⊕
�
,
then
also
�
=
�
⊕
�
.
Hence,
if
x
is
uniform
random
on
F
and
x
is
uniform
random
on
s
+
�
,
then
⊥
random
F
and
random
s +�
then
Proof on
Ifon
�2 F
=
�inxin is
⊕ uniform
�
, 2then
also
�on on
=
⊕
. Hence, in
if x is uniform
out
outthen
⊥
isout
uniform
random
sin�
+
�, �
inin
88 random
Множественный
линейный
криптоанализ
Pr (x�,F(x� )) ≡ (s,t) mod
2 and x
in ,out
⊥
xx�isisuniform
then
�
� on
� on
random
FFn2n2and
,
then
and
uniform
random
ons⊥
s+ +��⊥
,
random
on
� ⊥ random
�
⊥
�
⊥
in
�
⊥
�
⊥
in x⊥
��
� t�mod
(xmod
,F(x
)) �
≡⊥ =
(s,t)
mod
=�
Pr
sF(x
mod
∧�F(x
) ≡ t mod �out
Pr Pr
(x
)) �≡
(s,t)
�
Pr
x ≡
s mod
∧ ≡F(x
)≡
out
(x�,F(x
)) Pr
≡ (s,t)
mod
= Pr
) ≡int mod
�⊥⊥
,F(x
x� � ≡ s modin�⊥
out
in ∧
�
⊥
��
⊥⊥
��
�
⊥
⊥
PrPr (x(x�,F(x
))
≡
(s,t)
mod
�
=
Pr
x
≡
s
mod
�
∧
F(x
)
≡
t
mod
⊥ ∧
,F(x )) ≡ (s,t) mod � =
x ≡
st mod
�
F(x
) ≡ t�mod �out
inin
Pr
F(x)
t
mod
out
⊥ ≡
PrPr
F(x)
≡
mod
�
out
out
Pr
F(x)
≡
t
mod
�
out
=
,
= =Pr F(x)
, ,
≡≡int|tmod
�⊥⊥
Pr F(x)
|�
out |�in |
| �out
|�inmod
where
in the second step the e
==
,
,
|�
| | ⊥ n
|�
in
⊥
n
in
wherestep
instep
thethe
second
step
the
equality
= 1/|�
Finally,
⊥ |/2
n 1/|��
Corollary
6.4 implies
where
in the
second
equality
� in�
|/2
=
| |/2
was used.
Finally,
in | was used.
inin
where
in the
second
equality
in nn = 1/|�in | was used. Finally,
⊥⊥
�
�равенство
⊥in | |was
nwasused.
where
in
the
second
step
the
equality
|/2
=
1/|�
Finally,
Corollary
6.4
implies
Corollary
6.4
implies
where
in
the
second
step
the
equality
|/2
=
1/|�
used.
Finally,
in
где на
втором
шаге
было
использовано
|Λ
|/2
=
1/|Λ
|.
Наконец,
из
inin
Corollary 6.4 implies
Pr F(x) ≡ t mod �
in
in
implies
Corollary
6.4
Corollary
6.4
impliesчтоPr F(x)
⊥
следствия
6.4Pr
вытекает,
⊥
≡
t
mod
�
⊥
F(x)
≡ t≡mod
�out
|�in |
u s+v t F
t F
Pr
t mod
�out =
u 1s+v
F(x)
1 1 out
u s+v
F.
=
Cv,u .
(−1)
Ct C(−1)
⊥
=
(−1)
.
v,u
PrPr F(x)
≡≡int|tmod
��⊥
1
F(x)
mod
v,u
1
|�
|
|�|
|�|
|�
out
in
u
s+v
t
F
out
s+v tC F .
|�in |
== |�|
(−1)
(u,v)∈�
(−1)u (u,v)∈�
Cv,u
(u,v)∈�
v,u .. Multiplying by |�in | yields the
|�
|�|
|�inin| |
|�|(u,v)∈�
(u,v)∈�
Multiplying
bythe
|�result,
thein
result,
since
Multiplying
by by
|�
yields
the
result,
since
|�
||�
| =| |�|.
in | yields
in ||�out | = |�|.
in
outout
Multiplying
|�| in
| yields
since
|�
=|�
|�|.
in ||�
Using
Corollary 6.6, one
Multiplying
by
|�
|
yields
the
result,
since
|�
||�
|
=
|�|.
Multiplying
by
|�
|
yields
the
result,
since
|�
||�
|
=
|�|.
in
in
out
in
in
out
дает
искомый
результат,
потому
| = |Λ|.
□plaintexts from
Умножение
на |Λin|Using
Corollary
6.6,
set up|Λina||Λ
chosen-plaintext
distinguisher
out
by sampling
Using
Corollary
6.6,6.6,
one
cancan
set
upone
a chosen-plaintext
distinguisher
Using
Corollary
one
set
up
acan
chosen-plaintext
distinguisher
n
n
Using
Corollary
6.6,
one
can
set
up
asubspace
distinguisher
byplaintexts
sampling
plaintexts
from
an
affine
oftheF2distribution
and
estimating
n выбранным
of a projecti
plaintexts
from
an
subspace
of ofF2subspace
estimating
Using
Corollary
6.6,
one
can
set
up
a chosen-plaintext
chosen-plaintext
distinguisher
В by
силу
следствия
6.6,
можно
настроить
различитель
открыbysampling
sampling
from
anaffine
affine
Fnсand
and
estimating
n
n2 подпространства
тымthe
текстом,
выбирая
открытые
тексты
из
аффинного
𝔽
by
sampling
plaintexts
from
an
affine
subspace
of
F
and
estimating
the
distribution
of
a
projection
of
the
ciphertexts.
Such
attacks
are
also
called
statistical
distribution
of
a
projection
of
the
ciphertexts.
Such
attacks
are
also
by
sampling
plaintexts
from
an
affine
subspace
of
F
and
estimating
22 attacks are also
2 saturation a
the distribution of a projection of the ciphertexts. Such
и оценивая
распределение
проекции
шифртекстов.
Такие
атаки
также
наthe
distribution
of
a
projection
of
the
ciphertexts.
Such
attacks
are
also
called
statistical
saturation
attacks.
This
terminology
will
be
explained
in
Chapter
9.
called
statistical
saturation
attacks.
This
terminology
will
be
explained
in
the
distribution
of
a
projection
of
the
ciphertexts.
Such
attacks
are
also
called statistical saturation attacks. This terminology will be explained in
зываются
статистическими
атаками
с
насыщением.
Эта
терминология
будет
called
statistical
saturation
attacks.
This
terminology
will
be
explained
in
Chapter
9.
If the
Chapter
9.statistical
called
saturation attacks. This terminology will be explained
in correlations, and he
Chapter
9.
объяснена
главе
9. If the
Chapter
9.
and
hence
the
probability
distributions,
are known, of th
then
the
data-complexity
If If
theвthe
correlations,
andcorrelations,
hence
the
probability
distributions,
are
known,
Chapter
9.correlations,
and иhence
the probability
distributions, известны,
are known,то
Если корреляции (а значит,
распределения
вероятностей)
инIf
the
correlations,
and
hence
the
probability
distributions,
are
known,
then
the
data-complexity
of
the
statistical
test
from
Section
6.2.2
is to
inversely
proportional
the squared Eu
then
the
data-complexity
of
the
statistical
test
from
Section
6.2.2
is
inversely
If
the
correlations,
and
hence
the
probability
distributions,
are
known,
then the data-complexity
of the statistical test
from Section
6.2.2 is inversely
формационная
сложность статистического
критерия
из раздела
6.2.2 обратно
then
the
data-complexity
of
the
statistical
test
from
Section
6.2.2
is
inversely
proportional
to
the
squared
Euclidean
imbalance,
which
is
equal
to
proportional
to
the
squared
Euclidean
imbalance,
which
is
equal
to
then
the
data-complexity
of
the
statistical
test
from
Section
6.2.2
is
inversely
proportional toквадратичному
the squared Euclidean
imbalance,
which is equalкоторое
to
пропорциональна
евклидову
расхождению,
равно
proportional
to
the
squared
Euclidean
imbalance,
which
is
equal
to
proportional to the
squared
Euclidean
is equal to
|�out |
Pr F
2
imbalance,
⊥ which
1
1 1 2⊥2
t
⊥
|�
|
Pr
F(x)
≡
t
mod
�
−
,
|
Pr
F(x)
≡
t
mod
�
−
,
|�out
2
out
2
out
| Pr F(x) ≡ t modout
�⊥out −
|�out
,,
1|
⊥ −|�out
|�1out
| , , |�out |
|�
|�out
Pr F(x)
F(x)≡≡t t tmod
mod��out
out| t| t Pr
where the sum is over all t in F
out −|�
|�out
out| |
tt
mm ⊥⊥
m
⊥ ⊥
/�
.
Although
this
quantity
depends
on sthe
where
the
sum
is
over
all
t
in
F
m
choice
of
the coset
+ �⊥
where
the
sum
is
over
all
t
in
F
/�
.
Although
this
quantity
depends
on the зависит
где суммирование
производится
по
всем
t
∈
𝔽
/Λ
.
Хотя
эта
величина
2 2 out
outout . Although
in , its
where the sum is over all t in2 Fm2 /�
this
out quantity depends on the
⊥
⊥
m
⊥
⊥
⊥ /�
where
the
sum
is
over
all
t
in
F
.
Although
this
quantity
depends
on
the
choice
of
the
coset
s
+
�
,
its
average
is
Cap(�)
for
a
uniform
random
choice
⊥
of
s.
Hence,
when
all
correlati
choice
of
the
coset
s
+
�
,
its
average
is
Cap(�)
for
a
uniform
random
choice
от выбора
смежного
класса
s+Λ
,
ее
среднее
равно
Cap(Λ)
при
равномерном
/�
.
Although
this
quantity
depends
on
the
where
the
sum
is
over
all
t
in
F
outin
choice of the coset s +in�in , its2inaverage
is Cap(�) for a uniform random choice
2 out
1
⊥ when
случайном
выборе
от
того,
что
все
корреляции
инisknown,
Cap(�)
for
aknown,
choice
ofofthe
coset
sHence,
+
ofs.all
s.Следовательно,
allare
correlations
are
therandom
data-complexity
is
typically
not
improved.
ofchoice
s.
when
correlations
are
known,
the
data-complexity
is typically
choice
the
coset
sall
+�
�⊥
itsaverage
average
is
Cap(�)
for
auniform
uniform
random
choice
inin, ,its
of Hence,
s. Hence,
when
correlations
the
data-complexity
isизвестны,
typically
1
1
1
формационная
сложность,
как
правило,
не
улучшается
.
ofof
s.s.improved.
Hence,
all
not
1 improved.
However, when the corre
not
improved.
Hence,when
when
allcorrelations
correlationsare
areknown,
known,the
thedata-complexity
data-complexityisistypically
typically
not
11 However, when the correlations are not known, the data-complexity
not
improved.
Однако
когда
корреляции
неизвестны,
информационная
сложность
of
the статис
statistical test from S
However,
when
the
correlations
are
not
known,
the
data-complexity
not
improved.
However, when the correlations are not
√
√ √known, the √data-complexity
However,
when
the
correlations
are
not
known,
the
data-complexity
of
the
statistical
test
from
Section
6.2.2
is
|�
|/
Cap(�)
than using c
|�|/
Cap(�).
of of
the
statistical
test
from
Section
6.2.2
is
|�
|/
Cap(�)
rather
than
However,
when
the
correlations
are
not
known,
the
data-complexity
тического
критерия
из
раздела
6.2.2
равна
,
а
не
. Hence,
out
|�out |/ Cap(�) rather than rather
√ test from Section 6.2.2 is√√ out
√
√ √ the statistical
the
statistical
test
from
Section
6.2.2
is
|�
|/
Cap(�)
rather
than
|�|/
Cap(�).
Hence,
using
chosen
plaintexts
leads
to
a
data-complexity
that|�|/|�o
Сталоof
быть,
использование
выбранных
открытых
текстов
приводит
к
инфорis
lower
by
a
factor
|�|/
Cap(�).
Hence,
using
chosen
plaintexts
leads
to
a
data-complexity
that
the statistical test from
Section plaintexts
6.2.2 is leads
|�
rather than
out
to|/a Cap(�)
data-complexity
that
√of
√out
√√
√ √ using chosen
√ |�|/ Cap(�). Hence,
Cap(�).
using
chosen
plaintexts
totoaina|.
data-complexity
that
isHence,
lower
by
a out
factor
|�|/|�
=
мационной
сложности,
меньшей
раз.
is lower
by
a factor
|�|/|�
|chosen
=в |�
|�|/
Cap(�).
Hence,
using
plaintexts
leads|�
data-complexity
that
|�|.in |.out |leads
is|�|/
lower
by
a factor
√
out | =√
√ in
√ |�|/|�
isislower
lowerby
byaafactor
factor |�|/|�
|�|/|�out
|�inin|.|.
out| |== |�
6.3
6.3 Closing
Closingremarks
remarks
6.3. Заключительные замечания
6.3
6.3
Closing
remarks
6.36.3Closing
remarks
Прежде чем завершить обсуждение
множественного
Closing
remarks линейного криптоанализа,
Before ending our discussion o
6.3
6.3 Closing
Closingremarks
remarks
уместно будет сделать несколько
замечаний
о вопросах, которые мы опустили.
Before
endingofour
ofcryptanalysis,
multiple
linear
cryptanalysis,
some comments
about issues
that we have igno
Before
ending
our
discussion
multiple
linear
some
comments
Before
ending
our
discussion
of discussion
multiple
linear
cryptanalysis,
some
comments
Before
ending
our
discussion
of
multiple
linear
cryptanalysis,
some
comments
about
issues
that
we
have
ignored
are
in
order.
about
issues
that
we
have
ignored
are
in
order.
Before
ending
our
discussion
of
multiple
linear
cryptanalysis,
some
comments
about
issues that we have ignored
are in order.
6.3.1.
Восстановление
ключа
about
aboutissues
issuesthat
thatwe
wehave
haveignored
ignoredare
areininorder.
order.
1 This summary ignores gains from us
Простой способ применить методы восстановления ключа из главы
5 к мно1 This summary ignores gains from using sampling without replacement.
1 This
summary
ignores
gains
from
using
sampling
without
replacement.
1 This
жественному
линейному
криптоанализу
–
повторить
обычные
алгоритмы
|Λ|
summary ignores gains from using sampling without replacement.
1 1This
summary
ignores
gains
using
раз: по
одному
каждой
аппроксимации.
Недостаток
такого подхода
заThis
summaryдля
ignores
gainsfrom
from
usingsampling
samplingwithout
withoutreplacement.
replacement.
Property of Cambridge
ключается
в том, of
что
временная
сложность
шага
анализа
оказывается
в |Λ|
Property
of
Cambridge
University
Press
do
not
share
or раз
copy
Property
Cambridge
University
Press
do
not
share
or
copy
Property of Cambridge
University Press
do not share
or copy уменьбольше. Следовательно,
хотя
множественный
линейный
криптоанализ
Property
do
not
share
or
copy
PropertyofofCambridge
CambridgeUniversity
UniversityPress
Press
do
not
share
or
copy
никак не улучшит временшает информационную сложность, он, возможно,
ную сложность атаки с восстановлением ключа.
1
Этот
вывод не учитывает выигрыш при использовании выборки без возвращения.
6.5. Литература 89
Однако часто можно достичь большего. Например, легко видеть, что улучшения возможны, когда некоторые аппроксимации используют общую входную (или выходную) маску. Существует систематический подход к этой проб
леме, но его описание требует лучшего понимания множественного линейного криптоанализа. Мы отложим это до главы 11.
Наконец, двунаправленные алгоритмы восстановления ключа из главы 5
невозможно сочетать с использованием выбранных открытых текстов (как,
собственно, и выбранных шифртекстов), как в разделе 6.2.3. Для гарантии
правильной структуры открытых текстов в общем случае необходимы дополнительные образцы. Однако существуют интересные исключения, например
когда аффинное подпространство открытых текстов используется совместно
с частичным шифрованием уровня сложения с ключом.
6.3.2. Нахождение подходящих линейных аппроксимаций
В этой главе (и в разделе 6.1 в частности) много внимания было уделено
статистическим аспектам множественного линейного криптоанализа. Иными
словами, мы обсуждали, как использовать несколько линейных аппроксимаций, а не как их находить.
В принципе, методов из глав 2 и 3 достаточно для нахождения подходящих
линейных аппроксимаций. Однако самые мощные множественные линейные
атаки конструируют множественные линейные аппроксимации раунд за раундом. К этому вопросу мы также вернемся после прочтения главы 11.
6.4. Историческая справка
Множественный линейный криптоанализ был предложен Калиски и Робшоу.
Бирюков, Де Канниере и Квизквотер проанализировали статистику множест
венного линейного криптоанализа в случае, когда корреляции известны, а от
ключа зависит только их знак. Анализ, применимый к случаю неизвестных
корреляций, можно найти в работе Блондо и Нюберг.
Многомерный линейный криптоанализ впервые был предложен в работе
Эрмелин, Чо и Нюберг. Как объясняется в разделе 6.2, многомерный линейный
криптоанализ в первую очередь интересуется связью с распределениями линейных проекций открытых и шифртекстов в постановке с известным (следствие 6.4) и выбранным (следствие 6.6) открытым текстом. Использование
критерия Пирсона χ2 в криптоанализе предшествует многомерным линейным
аппроксимациям и впервые было предложено Воденэ.
6.5. Литература
Biryukov, Alex, Christophe De Canni`ere, and MichaЁel Quisquater (2004). «On Multiple Linear Approximations». In: Advances in Cryptology – CRYPTO 2004, 24th
Annual International Cryptology Conference, Santa Barbara, California, USA, August
15–19, 2004, Proceedings. Ed. by Matthew K. Franklin. Vol. 3152. LNCS. Springer,
Berlin, Heidelberg, pp. 1–22. doi: 10.1007/978-3-540-28628-8\_1. url: https://doi.
org/10.1007/978-3-540-28628-8%5C_1.
90
Множественный линейный криптоанализ
Blondeau, Ceґline and Kaisa Nyberg (2017). «Joint Data and Key Distribution of Simple, Multiple, and Multidimensional Linear Cryptanalysis Test Statistic and Its
Impact to Data Complexity». In: Designs, Codes and Cryptography 82, pp. 319–349.
Hermelin, Miia, Joo Yeon Cho, and Kaisa Nyberg (2008). «Multidimensional Linear
Cryptanalysis of Reduced Round Serpent». In: Information Security and Privacy,
13th Australasian Conference, ACISP 2008, Wollongong, Australia, July 7–9, 2008,
Proceedings. Ed. by Yi Mu, Willy Susilo, and Jennifer Seberry. Vol. 5107. LNCS.
Springer, Berlin, Heidelberg, pp. 203–215. doi: 10.1007/978-3-540-70500-0\_15.
url: https://doi.org/10.1007/978-3-540-70500-0%5C_15.
Kaliski Jr., Burton S. and Matthew J. B. Robshaw (Aug. 1994). «Linear Cryptanalysis
Using Multiple Approximations». In: CRYPTO’94. Ed. by Yvo Desmedt. Vol. 839.
LNCS. Springer, Berlin, Heidelberg, pp. 26–39. doi: 10.1007/3-540-48658-54.
Vaudenay, Serge (1996a). «An Experiment on DES Statistical Cryptanalysis». In:
CCS ’96, Proceedings of the 3rd ACM Conference on Computer and Communications
Security, New Delhi, India, March 14–16, 1996. Ed. by Li Gong and Jacques Stearn. ACM, New York, pp. 139–147. doi: 10.1145/238168.238206. url: https://doi.
org/10.1145/238168.238206.
6.6. Упражнения
Упражнение 6.1
Пусть μ1, …, μl – вещественные числа, не все равные нулю. Найти веса w1, …,
wl, для которых ∑li=1 w2i = 1, такие что сумма ∑li=1 wi μi максимальна. Каково ее
максимальное значение?
Упражнение 6.2
Пусть x – случайная величина со средним μ и дисперсией σ2.
1. Докажите, что если x – симметричная случайная величина, т. е. −x и x
имеют одинаковое распределение, то
𝔼(x4) = 𝔼((x − μ)4 + 6μ2σ2 + μ4.
2. Воспользовавшись этим результатом, завершите доказательство леммы 6.2.
Упражнение 6.3
Найдите обратное отношение в теореме 6.3.
Упражнение 6.4
Докажите следствие 6.5: квадратичное евклидово расхождение многомерной
линейной аппроксимации Λ равно ее емкости.
Упражнение 6.5
Покажите, что если вероятности p1, …, p|Λ| известны, то информационная
сложность критерия из раздела 6.2.2 пропорциональна величине, обратной
квадратичному евклидову расхождению.
* Упражнение 6.6
Упражнение 6.7
Блочный шифр Ek : 𝔽128
→ 𝔽128
был проанализирован с использованием
2
2
6.6 Exercises
89
линейного криптоанализа, что привело к следующим оценкам корреляций
трех доминирующих линейных аппроксимаций:
1
1
+ (−1)k2 ,
2
4
Ek
k1 1
k3 1
C10000···0, 10···00 ≈ (−1)
+ (−1)
,
4
4
Ek
k1 +k3 1
C11100···0,
.
10···00 ≈ (−1)
4
To verify the analysis, experiments were conducted for two different values of
Чтобы убедиться в правильности этого анализа, были поставлены экспериkey.
In each
experiment,
a histogram
of theВvalues
takenэксперименте
by the first threeпо выментыthe
для
двух
различных
значений
ключа.
каждом
bits is computed
from
a sample (with
replacement)
of
борке output
(с возвращением)
256
открытых
текстов
вида «0 of
∗ ∗256
… plaintexts
∗», где позиции,
the
form
“0
∗
∗
·
·
·
∗,”
where
the
∗
positions
are
sampled
independently
and
обозначенные *, выбираются независимо и равномерно из множества {0, 1},
uniformly
at random from
{0,1}. The
results are
shown
in Figureбитов.
6.3. Результаты
вычисляется
гистограмма
значений
первых
трех
выходных
показаны
на рис.why
6.3. in both Figure 6.3a and 6.3b, the number of occurrences of
1. Explain
100 and 111 is nearly equal.
Ek
k1
C01100···0,
10···00 ≈ (−1)
120
120
2. What is the most likely value of the key bits k1 , k2 and k3 in the experiment
of Figure
6.3a?
84
90
90
Число вхождений
Проанализируйте информационную сложность различителей, основанных на
критерии Пирсона χ2, в терминах квадратичного евклидова расхождения. Там,
где уместно, опирайтесь на аппроксимации.
В терминах линейного криптоанализа объясните, почему статистика крите“9781009607865book”
— 2025/12/2
—категорий.
14:12 — page 89 — #101
рия χ2 имеет
|Λ| − 1 степеней свободы
для |Λ|
74
3. Find values of k1 , k2 and k3 so that the first three ciphertext bits are (almost)
60
60
50
never 000.
47
37
35
33 for an experiment
4. Sketch the most likely
histogram
29 33 27 based on the same
23
30
30
16 17
key as in Figure 6.3b, but based on a sample (with replacement)
of 256
7
plaintexts of the form “1
0 ∗0∗ · · · ∗.”
0
Number of occurences
6.6. Упражнения 91
000 001 010 011 100 101 110111
120
Первые три выходных бита
0
120
000 001 010 011 100 101 110 111
Первые три выходных бита
(a)90Гистограмма
для первого ключа
(b) Гистограмма для второго ключа
84
90
74
Рис. 6.3. Число вхождений каждой комбинации первых трех битов шифртекста для выборки
60
60
50
47
37
35
33
33
29 вхождений
1. Объясните, почему
на рис. 6.3a и 6.3b число
100 и 111 почти
27
23
30
30
16 17
одинаково. 7
0 0 значение битов ключа k , k и k в экспери2. Каково0 наиболее вероятное
1
2
3
0
001 6.3a?
010 011 100 101 110 111
000 001 010 011 100 101 110 111
менте на 000
рис.
3. Найдите значения
k1,output
k2 и k3bits
такие, что первыеFirst
триthree
битаoutput
шифртекста
(почти)
First three
bits
никогда не равны 000.
(a) Histogram for the first key.
(b) Histogram for the second key.
Figure 6.3 Number of occurences of each value of the first three ciphertext bits in
the sample.
92
Множественный линейный криптоанализ
4. Нарисуйте эскиз наиболее вероятной гистограммы для эксперимента,
основанного на том же ключе, что на рис. 6.3b, но для выборки (с возвращением) 256 открытых текстов вида «1 ∗ ∗ … ∗».
* Упражнение 6.8
Следующие вопросы ведут к общей атаке на построение Лая–Месси, показанное на рис. 6.4 для n = 128 бит. Ответы на первые четыре вопроса опровергают
заявления о безопасности настраиваемого блочного шифра SPC1. Последний
вопрос допускает различные ответы.
F1
σ
Рис. 6.4. Один раунд построения Лая–Месси. Функция σ : 𝔽64
определена
→ 𝔽64
2
2
32
как σ(x1‖x2) = x2‖(x1 + x2), где x1, x2 ∈ 𝔽 2
Предположим, что случайные раундовые функции F1, F2, … независимы
и равномерно распределены. Случайные функции более подробно исследуются
в главе 7. В этом упражнении можно предполагать, что всякая нетривиальная
линейная аппроксимация m-битовой случайной функции имеет корреляцию
±2–m/2 со случайным равномерно распределенным знаком.
1. Найдите линейный след для трех раундов n-битового построения Лая–
Месси с корреляцией, приближенно равной ±2–n/4.
2. Опишите трехраундовый многомерный линейный различитель, исполь
зующий приблизительно 2n/4 данных. Сопоставьте его с χ2-различителем.
3. Используйте выбранные открытые тексты, чтобы распространить свой
различитель на четыре раунда с использованием того же объема данных.
В этом различителе кое-что необычно, но почему он все равно будет
работать для такого шифра, как SPC?
4. Придумайте атаку с частичным восстановлением сообщения. То есть получите какую-нибудь новую информацию об открытых текстах. Можете
предполагать, что открытые тексты уже частично известны противнику.
5. Обозначим первую раундовую функцию Лая–Месси F1. Предложите метод получения выхода F1 для выбранных входов с использованием при1
https://github.com/veorq/spc.
6.6. Упражнения 93
мерно такого же объема данных, как для атаки с частичным восстановлением сообщения.
6. В шифре SPC функция F1 определена на основе криптографической функции SipHash-1-2. Предложите атаку с восстановлением ключа с выбранной
настройкой и с выбранным открытым текстом для F1. Выведите атаку
с восстановлением ключа для шифра SPC с полным числом раундов.
Указание: для ответа на этот вопрос одного линейного криптоанализа
может не хватить.
“9781009607865book” — 2025/12/2 — 14:12 — page 91 — #103
7
Глава 7
Optimal statistical testing
Оптимальная проверка
статистических гипотез
В предыдущих главах и в главах 4 и 6 в особенности мы рассмотрели методы
In theстатистических
previous chapters,гипотез.
and in Chapters
4 and 6 in particular,
we alreadyкритепроверки
Мы использовали
статистические
encountered
methods for
testing hypotheses.
We used these
statistical testsкорреляto
рии, чтобы
определить,
соответствует
ли заданная
эмпирическая
ция реальному
неправильному
ключу.
В этой главе
мыkey,
более
determine ifили
a given
empirical correlation
corresponds
to the real
or toсистемаan
тически
подойдем
к проверке
статистических
гипотез
и выведем
методы,
incorrect
key. This
chapter takes
a more systematic
look at statistical
testing
которые
–
в
некотором
весьма
определенном
смысле
–
являются
наилучшиand derives methods that are – in some particular sense – best possible.
ми из возможных.
7.1. Вероятностные7.1меры
Probability measures
Большинство результатов этой главы применимы как к дискретным, так и к
Most of theраспределениям
results in this chapter
are applicable Чтобы
to both discrete
and повторов,
continuous удобнепрерывным
вероятностей.
избежать
probability distributions.
To avoidмеры.
repetition,
it is convenient
to use
the
но воспользоваться
языком теории
Для чтения
этой главы
не требуется
language of measure
theory. No
familiarity with
thisусловии
material что
is necessary
to будет
предварительного
знакомства
с материалом,
при
читатель
иметьfollow
в видуthis
следующие
замечания.
chapter, provided
that the following comments are kept in mind.
Пространством
мерой
тройка
(X,X𝔖,a μ),
где X – непустое
множеA measure сspace
is называется
a triple (X,S,μ)
with
nonempty
set, S a set
ство, 𝔖of–subsets
множество
содержащее
X, замкнутое
относительно
of X подмножеств
that contains XX,and
is closed under
complements
and
дополнения
и счетного
а μmeasure
– мера.isМерой
называется
countable
unions andобъединения,
μ a measure. A
a function
μ : S → функция
R
μ: 𝔖 →that
ℝ, которая
принимает
неотрицательные
значения,
удовлетворяет
takes nonnegative values, satisfies μ(∅) = 0 and is countably additive: усло 0 и является
∞ счетно-аддитивной: μ(∪∞ A ) = ∑∞ μ(A ) для непересевию μ(∅)
μ( =∞
, . . i. in S.i=1The elements
of
i
i=1 Ai ) =
i=1 μ(Ai ) for disjoint sets A1,A2i=1
кающихся
A1, A2, sets.
… ∈ 𝔖. Элементы 𝔖 называются измеримыми мноS areмножеств
called measurable
жествами.
A real-valued function f : X → R is called measurable if the preimages of
Вещественная функция f : X → ℝ называется измеримой, если прообраall intervals of the form (−∞,t) are measurable. In this case, one can define
зы всех интервалов вида (−∞, t) измеримы. В этом случае можно определить
the integral of f over a measurable set Y , denoted by
интеграл f по измеримому множеству Y, обозначаемый
f (x) μ(dx)..
Y
The technical
detailsопределения
of the definition
of such
integrals are
deliberatelyоставлены
left
Технические
детали
таких
интегралов
намеренно
за кадром.
данной
главы
достаточно
понимать
два примера,
vague.Для
For целей
the purpose
of this
chapter,
it is enough
to understand
the two приведенных
в конце
Иногда
будем говорить,
чтоthat
двеtwo
измериexamples
givenэтого
at theраздела.
end of this
section.мы
Occasionally,
we will say
мые функции равны почти всюду (п. в.), если они различаются на множестве
меры нуль.
91
Property of Cambridge University Press do not share or copy
92
Optimal statistical testing
measurable functions are equal almost everywhere (a.e.) if they differ on a set
measurable
functions are equal almost everywhere (a.e.) if they differ on a set
of measure zero.
7.2. Простые гипотезы 95
of measure zero.
If a measure P : S → R satisfies P (X) = 1, then it is called a probability
P
→ of
R satisfies
P (X) = P(X)
1, then
it называется
is called adistributions
probability
Мера
PIf: a𝔖measure
→From
ℝ, удовлетворяющая
= 1,
вероятностmeasure.
the: S
point
view ofусловию
measure
theory,
probability
measure.
From
the
point
of
view
of
measure
theory,
probability
distributions
ной. С точки
зренияmeasures.
теории меры,
вероятностей
являются
are probability
If thereраспределения
exists a measurable
function p : X
→ R so вероare
measures.
IfYthere
exists
a measurable
function p:
p :XX→→
so что
ятностными
Еслиsets
существует
измеримая
функция
ℝR
такая,
thatprobability
for мерами.
all measurable
,
that
for
all
measurable
sets
Y
,
для любого измеримого множества Y
P (Y ) =
p(x) μ(dx),
P (Y ) = Y p(x) μ(dx),,
YY
then P is called absolutely continuous with respect to μ. The function p is
then
called
absolutely
continuous
respect to μ.
function
p is
то P называется
абсолютно
непрерывной
относительно
μ. The
Функция
p называетcalledPa isRadon–Nykodym
density
of P . with
ся плотностью
Радона–Никодима
P.
called a Radon–Nykodym
densityфункции
of P .
Example 7.1 If X is a finite set and S is the set of all subsets of X, then μ
7.1X –to
Ifконечное
X
set and
Sи
is 𝔖
the
all| for
subsets
X,
μ
ПримерExample
7.1.be
Если
множество
– set
множество
всех
подмножеств
X,
can
chosen
be isthea finite
counting
measure:
μ(Y
) =of|Y
all
Yofin
S.then
Every
то μ можно
выбрать
так,
что
она будет
считающей
мерой:
μ(Y)
= |Y|
для всех
can
be
chosen
to
be
the
counting
measure:
μ(Y
)
=
|Y
|
for
all
Y
in
S.
Every
probability distribution P : S → R is absolutely continuous with respect to
distribution P : вероятностей
S → R is absolutely
with respect
to
Y ∈ 𝔖.probability
Любое распределение
P : 𝔖 continuous
→ ℝ абсолютно
непрерывно
the counting measure and
относительно
считающей
меры и
the counting
measure and
p(x) μ(dx) = p(x).
P (Y ) =
P (Y ) = Y p(x) μ(dx) = x∈Y p(x)..
YY
x∈Y
x∈Y
The Radon–Nykodym density p(x) = P ({x}) is the familiar probability mass
The
Radon–Nykodym
density p(x)
({x}) –
is это
the familiar
Плотность
Рандона–Никодима
p(x)==PP({x})
хорошоprobability
знакомаяmass
функция
function.
�
function.
массы вероятности. �
⊳
Example 7.2 For X = R, the construction of S is slightly more technical –
7.2= ℝFor
X = R, the𝔖construction
of S is slightlyсложнее
more technical
–
ПримерExample
7.2. Для
построение
– достаточно
suffice
to X
say it contains
all real технически
intervals Y =несколько
(a,b). The standard measure
suffice
to
say
it
contains
all
real
intervals
Y
=
(a,b).
The
standard
measure
сказать,
содержит
все вещественные
интервалы
Стандартная
onчто
R isоно
called
the Lebesgue
measure and satisfies
μ(Y )Y =
=(a,b b).
− a.
If P
on
R
is
called
the
Lebesgue
measure
and
satisfies
μ(Y
)
=
b
−
a.
P= b − a.
мера на
ℝ
называется
мерой
Лебега,
для
нее
имеет
место
равенство
is a probability measure, then its cumulative distribution function is μ(Y)
xIf �→
Если Pis
–
вероятностная
мера,
то
ее
функция
распределения
имеет
вид
x ↦
a
probability
measure,
then
its
cumulative
distribution
function
is
x
→
�
P ((−∞,x]). If the cumulative distribution function is differentiable, then P
P ((−∞,x]).
If the распределения
cumulative distribution
function is differentiable,
P
P((−∞, x]).
Если функция
дифференцируема,
то P имеетthen
плотность:
has a density:
has a density:
b
bb
P (Y ) =
p(x) μ(dx) =
p(x) dx..
P (Y ) = Y p(x) μ(dx) = a p(x) dx .
YY
aa
The integral
on theчасти
right is
standard
Lebesgue интеграл
integral on Лебега
R.
Интеграл
в правой
– aэто
стандартный
на ℝ. ⊳ �
The integral on the right is a standard Lebesgue integral on R.
�
7.2. Простые гипотезы
В данном разделе мы рассмотрим
проверки
так называемых простых гипотез.
7.2 Simple
hypotheses
7.2 Simple hypotheses
В этом случае имеется наблюдение x и две гипотезы ① и ② о распределении
In this section,
we consider
hypothesis
testing with so-called simple hypotheвероятностей,
из которого
оноhypothesis
было выбрано:
In
consider
with so-called
simple
hypothe1 and �
2 about the
ses.this
In section,
this case,weone
has a sample
x andtesting
two hypotheses
�
1 andP�
2. about the
�
ses.
In
case,
one
has
a
sample
x
and
two
hypotheses
Гипотеза
:
наблюдение
x
было
выбрано
из
распределения
①this
1
probability distribution it was sampled from:
probability distribution it was sampled from:
Гипотеза ②: наблюдение x было выбрано из распределения P2.
1 : The observation x was sampled from distribution P1 .
Hypothesis �
1 : The
�
Hypothesis
observation
x wasчто
sampled
from distribution
Тонкое,
но
важное
отличие
от того,
мы делали
в главе P4,11. заключается
2 : The observation x was sampled from distribution P2 .
Hypothesis �
2
Hypothesis
:
The
observation
x
was
sampled
from
distribution
P22 .
�
в том, что гипотезы ① и ② должны полностью определять распределения
P1
Property
of Cambridge
University Press
not share
orPcopy
и P2. Например,
гипотезы,
определяющие
толькоdoсредние
P1 и
,
не
являются
2
простыми.Property of Cambridge University Press do not share or copy
В контексте линейных атак с восстановлением ключа наблюдение x является
либо вектором эмпирических корреляций, либо эмпирическим распределением линейной проекции наблюдаемых пар (открытый текст, шифртекст) (мно-
A subtle but important difference with what we did in Chapter 4 is that the
1 and �
2 must fully specify the distributions P1 and P2 . For
hypotheses �
example, when the hypotheses only specify the averages of P1 and P2 , they
are
not simple hypotheses.
96 Оптимальная
проверка статистических гипотез
In the context of linear key-recovery attacks, the observation x is either
a vector
of empirical
correlations orГипотеза
the empirical
distribution of правильному
a linear
гомерный
линейный
криптоанализ).
① соответствует
ключу,projection
а гипотеза
②–
неправильному.
Следовательно,
эти гипотезыlinear
являются
of the
observed
plaintext-ciphertext
pairs (multidimensional
простыми,
только когда
выполнены
два важных
предположения:
(i) все
1 corresponds
2 корреto the
correct key, whereas
cryptanalysis).
Hypothesis
�
�
ляцииcorresponds
известны и
для неправильных
ключей
образцы
случайны
и равноto (ii)
incorrect
keys. Hence, these
hypotheses
are only
simple when
мерноtwo
распределены.
Второе are
предположение
является
important assumptions
made: (i) all correlations
areчастью
known,«простой
and (ii) the модели» изsamples
главы 4.
В
разделе
7.3
обсуждается,
что
бывает,
когда
одно
изpart
этих
are uniform random for wrong keys.The second assumption is
of предположений не выполняется.
the “simple model” from Chapter 4. Section 7.3 discusses what happens when
one of these assumptions fails.
7.2.1. Теория Неймана–Пирсона
Хотя в названии этой главы говорится об оптимальной проверке, мы еще
7.2.1 Neyman–Pearson
theory
не определили,
что это значит.
Напомним (см. главу 4), что у любой проверки
гипотез имеется вероятность успеха PS и вероятность ложноположительного
Although the title of this chapter refers to optimal testing, we have not yet
результата PF. Компромисс между PS и PF обсуждался Нейманом и Пирсоном,
defined what this means. Recall from Chapter 4 that every hypothesis test
которые называли вероятности 1 − PS и PF частотами ошибок первого и второго
a success
probability
PS and
a false-positive
probability
PF . The tradeрода. Сhas
обоими
типами
ошибок
обычно
ассоциируется
некоторая
стоимость.
off
between
P
and
P
was
discussed
by
Neyman
and
Pearson,
referred
S
F
В общем случае она описывается функцией стоимости f (1 − Pwho
,
P
),
возрастаюS
F
toобеим
the probabilities
1 − PS Например,
and PF as error
rates ofлинейной
the first andатаки
secondс types,
щей по
переменным.
в случае
восстановrespectively.
Both types
of errors are
typically
withили
some
cost. In
лением
ключа функцией
стоимости
может
бытьassociated
временная
информационgeneral, this
is described by a cost function f (1 − PS,PF ) that is increasing in
ная сложность
атаки.
На первый
взгляд,
вышесказанного
может сложиться
both variables.
Forиз
example,
in a linear key-recovery
attack, the впечатление,
cost function что
не существует
одного
который
минимизировал
бы любую функцию
might be the
time- критерия,
or data-complexity
of the
attack.
стоимости
(1 −sight,
PS, PFthe
). Однако
Нейман
и Пирсон
показали,
что test
такой
At ffirst
above might
suggest
that there
is no single
thatкритерий есть.
Точнее,
существует
критерий,
который
минизирует
вероятность
minimizes every cost function f (1 − PS,PF ). However, Neyman and Pearson ложноположительного
результата
для
любого
выбора
вероятности
успеха. Такой
showed that there
is such a test.
More
specifically,
there
is a test that minimizes
критерий называется равномерно наиболее мощным, потому что 1 − PF называthe false-positive probability for every choice of the success probability. Such
ют также мощностью критерия.
a test is called uniformly most powerful, because 1 − PF is also called the
Для любой проверки простых гипотез существует
измеримое множеpower
of the test.
ство 𝒜 («область
принятия гипотезы») такое, что гипотеза ① принимается,
simple hypothesis
test, there exits
a measurable
set A (theчто
“accepкогда x ∈For
𝒜, every
а гипотеза
② – в противном
случае.
Отсюда следует,
PS = P1(𝒜)
1
2 миниtance
region”)
so
that
hypothesis
is
accepted
when
x
∈
A
and
hypothesis
�
и PF = P2(𝒜). Лемма Неймана–Пирсона дает множества 𝒜 такие, что P�
F
is
accepted
otherwise.
Hence,
P
=
P
(A)
and
P
=
P
(A).
The
Neyman–
1
2
S
F
мально для данного PS.
Pearson lemma provides sets A such that PF is minimal for given PS .
Теорема
7.1 (лемма
Неймана–Пирсона).
ПустьLet
P1 и
– вероятностные
меры на
Theorem
7.1 (Neyman–Pearson
lemma)
P1P2and
P2 be probability
“9781009607865book”
—
2025/12/2 — p14:12
—смысле
page 94
— #106
пространстве
с
мерой
(X,
𝔖,
μ)
с
плотностями
и
p
(в
Радона–Никодима).
1
2
measures on a measure space (X,S,μ) with densities p1 and p2 (in the
Для любого вещественного τ > 0 обозначим
Radon–Nykodym sense). For all real τ > 0, let
Aτ = x ∈ X p1 (x) > τp2 (x) .
94
Optimal statistical testing
a measurable set such that P1 (B) ≥ P1 (Aτ ), then P2 (B) ≥ P2 (Aτ ).
ЕслиIfℬB–isизмеримое
множество такое, что P1(ℬ) ≥ P1(𝒜τ), то P2(ℬ) ≥ P2(𝒜τ).
Property
of Cambridge 𝒜
University
Press
do not share
or copy
Доказательство.
Из определения
вытекают
следующие
неравенства:
τ the following inequalities:
Proof The definition of Aτ implies
1
1
P2 (B \ Aτ ) =
p2 (x) μ(dx) ≥
p1 (x) μ(dx) = P1 (B\Aτ ).;
τ
τ
B\Aτ
B\Aτ
P1 (Aτ \ B) =
p1 (x) μ(dx) ≥ τ
p2 (x) μ(dx) = τ P2 (Aτ \B)..
Hence,
Aτ \B
Aτ \B
P2 (B) = P2 (Aτ ∩ B) + P2 (B \ Aτ ) ≥ P2 (Aτ ∩ B) +
1
P1 (B \ Aτ ).
τ
111
P
(B
A
=
p
(x)
μ(dx)
≥
P222(B
(B \\\ A
Aτττ ))) =
=
p222(x)
(x) μ(dx)
μ(dx) ≥
≥τ
P
p
B \A
ττ
Aτττ
BB\\A
P
(A
B)
=
p
(x)
μ(dx)
≥
P111(A
(Aτττ \\\ B)
B) =
=
p111(x)
(x) μ(dx)
μ(dx) ≥
≥ τττ
P
p
Отсюда
Hence,
Hence,
Hence,
A
B
Aτττ\\\B
B
A
111 P (B\A ).
p
(x)
μ(dx)
=
p111(x)
(x) μ(dx)
μ(dx) =
=τP
P111(B\A
(B\Aτττ ).
).
p
B
A
ττ
B\\\A
Aτττ
B
p
(x)
μ(dx)
=
P
(A
\B).
7.2.
Простые
p222(x)
(x)
μ(dx)
= τττ гипотезы
P222(A
(Aτττ \B).
\B). 97
p
μ(dx)
=
P
A
B
Aτττ\\\B
B
A
111 P (B \ A )..
P
(B)
=
P
(A
∩
B)
+
P
(B
A
≥
P
(A
∩
B)
+
P222(B)
(B) =
=P
P222(A
(Aτττ ∩
∩ B)
B) +
+P
P222(B
(B \\\ A
Aτττ ))) ≥
≥P
P222(A
(Aτττ ∩
∩ B)
B) +
+τ P
P111(B
(B \\ A
Aτττ ).
).
P
ττ
The
condition
P
(B)
≥
P
(A
implies
that
P
(B
A
≥
P
(A
\ B).
The
condition
P111≥(B)
(B)
≥ )P
Pследует,
(Aτττ ))) implies
implies
that
P111𝒜
(B) \\\≥ A
A
≥ \P
Pℬ).
(AПодстановка
B).
condition
≥
(B
))) ≥
111(A
111(A
τττ \\ B).
Из The
условия
P1(ℬ)P
P1(𝒜
что Pthat
(ℬ \P
Pττ1τ(𝒜
τ
1
τ
τ
Substituting
this
in
the
right-hand
side
above
yields
Substituting this
this
in the
the right-hand
right-hand
side above
above yields
yields
Substituting
in
side
этого неравенства
в правую
часть дает
1
11 P (A \ B) ≥ P (A ∩ B) + P (A \ B) = P (A ).
P
(B)
≥
P
(A
∩
B)
+
P222(B)
(B) ≥
≥P
P222(A
(Aτττ ∩
∩B)
B)+
+τ P
P111(A
(Aτττ \\B)
B) ≥
≥P
P222(A
(Aτττ ∩
∩B)
B)+
+P
P222(A
(Aτττ \\B)
B) =
=P
P222(A
(Aτττ ).
)..
P
ττ
Hence,
P
(B)
≥
P
(A
) as
as
claimed.
(B) P
≥(ℬ)
P222(A
(A
as claimed.
claimed.
Hence, P
P222(B)
Hence,
≥
P
τττ ))(𝒜
Следовательно,
≥P
), что и требовалось доказать. □
2
2
τ
The
acceptance
region
A
defined
in
Theorem
7.1
corresponds
to
The
acceptance
region A
A𝒜
defined
in Theorem
Theorem
7.1 corresponds
corresponds
to aaa
The
acceptance
region
in
7.1
to
τττ ,defined
Область
принятия
гипотезы
определенная
в теореме
7.1, соответствует
τ
hypothesis
test
that
compares
the
likelihood-ratio
test
statistic
t
with
the
hypothesis
test that
that compares
comparesстатистику
the likelihood-ratio
likelihood-ratio
testотношения
statistic ttlrlrlr with
with
the
hypothesis
test
the
test
statistic
the
критерию,
который
сравнивает
критерия
правдоподоthreshold
τ
.
This
test
statistic
is
defined
by
threshold
This
test statistic
statistic
is
defined
by
ττ.. This
test
defined
by
бия tlr сthreshold
пороговой
величиной
τ.is
Эта
статистика
критерия определяется как
p
(x)
p11(x)
(x)
p
(x)
=
(x) =
= p1 (x) ....
tttlrlrlr(x)
2
p22(x)
(x)
p
In
practice,
itit is
is
common
to
use
the
logarithm
of
this
is
equivalent
because
In practice,
practice, обычно
is common
common
to use
use the
the logarithm
logarithm
of ttttlrlrlr ––––this
this
isэквивалентно,
equivalent because
because
In
it
to
of
equivalent
На практике
используют
логарифм
этоis
потому
lr
the
logarithm
is
an
increasing
function.
The
resulting
test
statistic
is
called
the
the logarithm
logarithm
is an
an increasing
increasing
function.функцией.
The resulting
resulting
test statistic
statistic is
is called
called
the
the
is
function.
The
test
the
что логарифм
является
возрастающей
Результирующая
статистика
logarithmic
likelihood
ratio
:
llr
logarithmic
likelihood
ratio tttllr
logarithmic
likelihood
ratio
llr::
критерия
называется
логарифмическим
отношением правдоподобия tllr:
p
(x)
p11(x)
(x)
p
(x)
=
log
llr
(x) =
= log
log p1 (x) ....
tttllr
llr(x)
2
p22(x)
(x)
p
Although
Theorem
7.1
shows
that
the
(logarithmic)
likelihood-ratio
is
Although Theorem
Theorem 7.1
7.1 shows
shows that
that the
the (logarithmic)
(logarithmic) likelihood-ratio
likelihood-ratio test
test is
is
ХотяAlthough
теорема 7.1 показывает,
что критерий
(логарифмического) test
отношения
uniformly
most
powerful,
it
does
not
give
the
values
of
P
and
P
.
The
SS and
FF.. The
uniformly
most
powerful,
it
does
not
give
the
values
of
P
and
P
The
uniformly
most
powerful,
it
does
not
give
the
values
of
P
P
S
F
правдоподобия является равномерно наиболее мощным, она не дает значений
following two
two
sections
determine
these
values
in
two
special
cases:
when
P
two sections
sections
determine эти
theseзначения
values in
in two
two special
special cases:
cases:в when
when
P111
determine
these
values
PS и PFfollowing
.following
В следующих
двух разделах
определяются
двух P
частных
and
P
are
multivariate
normal
distributions,
and
when
P
and
P
are
nearly
2
1
2
and
P
are
multivariate
normal
distributions,
and
when
P
and
P
are
nearly
and
P
are
multivariate
normal
distributions,
and
when
P
and
P
are
nearly
22
11
22
случаях: когда
P1 и P2 – многомерные нормальные распределения
и когда P1
equal.
equal.равны.
equal.
и P2 почти
7.2.2.7.2.2
ДваTwo
многомерных
нормальных
распределения
7.2.2
multivariate
normal
distributions
7.2.2 Two
Two multivariate
multivariate normal
normal distributions
distributions
В множественном линейном криптоанализе эмпирические корреляции приIn
multiple
linear
cryptanalysis,
the
empirical
correlations
are
approximately
In multiple
multiple
linear cryptanalysis,
cryptanalysis,
the empirical
empirical
correlations
are approximately
approximately
In
linear
the
are
близительно
нормально
распределены,
когдаcorrelations
число образцов
q достаточно
normally
distributed
when
the
number
of
samples
q
is
large
enough.
This
normally
distributed
when the
the number
number
of samples
samples
is large
large
enough. This
This для
normally
when
of
qq is
enough.
велико.
В этомdistributed
разделе исследуется
критерий
отношения
правдоподобия
section
investigates
the
likelihood-ratio
test
for
the
case
of
multivariate
normal
section
investigates
the
likelihood-ratio
test
for
the
case
of
multivariate
normal
section
investigates
the
likelihood-ratio
test
for
the
case
of
multivariate
normal
случая многомерных нормальных P1 и P2.
P
and
P
P111 and
and P
P222... что P и P – многомерные нормальные распределения
P
Предположим,
1
2
Suppose
that
P
and
P
are
multivariate
normal
distributions
with
means
Suppose
that
P111 and
and P
P222 are
are multivariate
multivariate
normal distributions
distributions
with means
means
Suppose
normal
with
со средними
μ1 иthat
μ2 P
соответственно
и одинаковой
ковариационной
матриμ
and
μ
respectively,
and
the
same
l
×
l
covariance
matrix
�.
For
multiple
1
2
μ11 and
and μ
μ22 l×l.
respectively,
and
the same
same ll ×
× ll covariance
covariance
matrixкриптоанализа
�. For
For multiple
multiple μ1 –
respectively,
the
matrix
�.
цей Σ μ
размера
В случаеand
множественного
линейного
вектор известных корреляций, а μ2 = 0 (простая модель). В теореме 6.1 было
показано, что Σ ≈ I/q часто является хорошим приближением в данном
Property
of
Cambridge
University
Press
do
not
share
or
copy
Property
of Cambridge
Cambridge
University
Press
do not
not share
shareна
orэмпирическом
copy
Property
of
University
Press
do
or
copy
случае. Для
многомерных
линейных
атак,
основанных
распределении вероятностей линейной проекции образцов, μ1 содержит
истинные вероятности, а μ2 ≡ 1/l. Заметим, что P1 и P2 вырождены в многомерном случае из-за включения тривиальной аппроксимации (0, 0), или,
эквивалентно, потому что сумма эмпирических вероятностей равна 1.
Опустив тривиальную аппроксимацию или одну из эмпирических вероятностей, мы решим эту проблему.
contains
the true
probabilities
and μof
1/ l. projection
Note that of
P1the
andsamples,
P2 are
μ
on1 the
empirical
probability
distribution
2 a≡linear
degenerate
in
the
multidimensional
case
due
to
the
inclusion
of
the
μ1 contains the true probabilities and μ2 ≡ 1/ l. Note that P1 and Ptrivial
2 are
(0,0) approximation
or equivalently case
because
probabilities
sum
degenerate
in the multidimensional
duethe
to empirical
the inclusion
of the trivial
to
one.
Omitting
the
trivial
approximation
or
one
of
the
empirical
probabilities
(0,0)
approximation
or
equivalently
because
the
empirical
probabilities
sum
98 Оптимальная проверка статистических гипотез
resolves
this issue.
to one. Omitting
the trivial approximation or one of the empirical probabilities
The
probability
P1 and P2 have
satisfying соотношению
Плотности
вероятностей
P1 и densities
P2 удовлетворяет
resolves распределений
this issue. distributions
The probability distributions P11and P2 have
densities satisfying
pi (x) ∝ exp − (x − μi ) � −1 (x − μi ) .
12
pi (x) ∝ exp − (x − μi ) � −1 (x − μi ) .
2
Hence, up to a сconstant
factor,до
theпостоянного
logarithmic likelihood
ratio isлогарифмическое
equal to
Следовательно,
точностью
множителя
−1ratio is equal to
Hence,правдоподобия
up tto a=constant
factor,
отношение
равно
−1the logarithmic likelihood
(x − μ2 ) � (x − μ2 ) − (x − μ1 ) � (x − μ1 )
llr
−1 −1
(x
−1(x − μ 1)
t llr =
) 2�
−2 μ−1)μ ��−1
2) −
= (x
2(μ−1 μ
−2μ
) �(x x−+μμ
� −1 μ
μ1 .
2
1
−1
= 2(μ
μ2 ) � −1the
x +test-statistic
μ2 � −1 μ2 −
μ1.. − μ ) � −1 x.
1−
1 �= (μ
Up to translation
and
rescaling,
is μ
tlda
1
2
−1
This
can
be
rewritten
as
a
linear
combination
of
the
coordinates
of
x:
Up
to
translation
and
rescaling,
the
test-statistic
is
t
=
(μ
−
μ
1
2 ) � x. tlda =
lda
С точностью до сдвига и масштабирования статистика
критерия
l
be rewritten
as a linear combination
of the coordinates
of x: элементов x:
(μ1 − μ2This
)TΣ−1xcan
можно переписать
в виде
линейной
комбинации
.. Это
tlda = l wi xi .
t lda = i=1 w i x i..
i=1
1 and
The mean of this test statistic is (μ1 −
μ2 ) � −1 μ1 under hypothesis �
−1
−1
−1
T
−1
2
(μ
−
μ
)
�
μ
under
hypothesis
.
The
variance
is
(μ
−
μ
)
�
�
2 ofстатистики
2
1−
1(μand
The1 mean
this 2test statistic
is (μ1 −
μ2 ) �(μ1 −μμ
�
) Σ μ1hypothesis
в случае
истинности
Среднее
этой
критерия
равно
1 2under
1
−1
−1
−1
T
−1
μ21) −
– μsee
Appendix
The
choice
∝ (μ
μis
�1 −②
1 −
2 ) (μ
2w. The
(μ
�
variance
μmaximizes
) � (μ1the
− равна
�
гипотезы
①
− μμ22) under
Σ A.
μ2 вhypothesis
случае
истинности
гипотезы
.2Дисперсия
2и) (μ
1
�
T −1 keeping
−1
1∝and
2μ
�
difference
between
the
means
under
hypotheses
while
(μ1 − μ2μ
)T2Σ)−1–(μsee
−
μ
)
–
см.
приложение
A.
Выбор
w
(μ
−
)
Σ
максимизирует
Appendix
A.
The
choice
w
∝
(μ
−
μ
)
�
maximizes
the
1
2
1
2
1
2
variance
constant.
This
precisely
thehypotheses
approach
was �
used
in Section
6.1.2.
разность
между
средними
для
гипотез
① и ②,that
сохраняя
дисперсию
постоянdifference
between
the is
means
under
keeping
the
�
1 and
2 while
ной. Это
в
точности
тот
подход,
который
мы
использовали
в
разделе
6.1.2.
The
method
discussed
above
is
called
linear
discriminant
analysis
in
the
variance constant. This is precisely the approach that was used in Section 6.1.2.
Метод,
обсуждавшийся
доaabove
сих
пор,
в литературе
по статистике
statistics
literature.
It has
simple
interpretation:
the
distributions
The
method
discussed
is geometric
called
linear
discriminant
analysis
inназываетthe
ся линейным
дискриминантным
анализом.
У
него
есть
простая
геометрическая
P1 and Pliterature.
the hyperplane
to the
(μ1 −
2 are separated
statistics
It has by
a simple
geometricorthogonal
interpretation:
thevector
distributions
−1
интерпретация:
распределения
P1 и P7.1
разделены гиперплоскостью, ортого2 for � ∝ I . If the covariance matrices
μ2 )and
� P.2 This
illustrated
in Figure
P
are is
separated
T −1 by the hyperplane orthogonal to the vector (μ1 −
нальной1 вектору
(μ
−
μ
)
Σ
.
Это
показано
на рис. 7.1 для Σ ∝ I. Если ковариаци
1
2
−1 . This
of2 )P1�and
P2 are
not
equal,inthen
the7.1
optimal
testI .isIf quadratic
discriminant
Figure
for � ∝
the covariance
matrices
онныеμматрицы
P1 иisPillustrated
не
равны,
то
оптимальным
критерием
является
квадра2
analysis
instead.
of
P
and
P
are
not
equal,
then
the
optimal
test
is
quadratic
discriminant
1
2
тичный дискриминантный анализ.
analysis instead.
7.2.3 Two distributions that are nearly
equal
µ2
7.2.3
Two
distributions
that
are
nearly
The analysis in Section 7.2.2 shows that theequal
known-correlation tests from
Sections
6.1.2 in
andSection
6.2.2 are
uniformly
in the simple model
with
The
analysis
7.2.2
shows most
that powerful
the known-correlation
tests from
the additional
from Section
6.1.2. However,
this assumes
that
Sections
6.1.2 approximations
and 6.2.2 are uniformly
most powerful
in the simple
model with
the additional
distinguisher
is based onµ afrom
vector
of empirical
correlations
(or
empirical
approximations
Section
6.1.2.
However,
this
assumes
that
1
the distinguisher is based on a vector of empirical correlations (or empirical
Property of Cambridge University
Press do not share or copy
разделяющая
гиперплоскость
Property of Cambridge University
Press do not share or copy
Рис. 7.1. Разделение P1 и P2 прямой линией
7.2.3. Два распределения почти равны
Анализ в разделе 7.2.2 показывает, что критерии с известной корреляцией из
разделов 6.1.2 и 6.2.2 являются равномерно наиболее мощными в простой модели с дополнительными аппроксимациями из раздела 6.1.2. Однако это предполагает, что различитель основан на векторе эмпирических корреляций (или
эмпирических вероятностей в многомерном случае). В многомерном случае
Figure
7.1
PP11 and
and PP22 with
with a line.
Figure
Separating
Figure 7.1
7.1 Separating
Separating P
line.
1 and P
2 with aa line.
probabilities
in
the
multidimensional
case).
In
the
multidimensional
case,
one
7.2. Простые гипотезы
probabilities
case,
probabilities in
in the
the multidimensional
multidimensional case).
case). In
In the
the multidimensional
multidimensional
case, one
one 99
can
go
a
step
further
and
directly
give
the
distinguisher
access
to
the
linear
can
can go
go aa step
step further
further and
and directly
directly give
give the
the distinguisher
distinguisher access
access to
to the
the linear
linear
можноprojections
сделать еще
один
шаг
и дать zzразличителю
прямой доступ к линейным
(z
the
samples
⊥
ii))) of
11,,,.........,z
qq...
projections
ππ�
(z
of
the
samples
,z
�
⊥
projections π
(z
of
the
samples
z
,z
⊥
i
1
q
проекциям
π ⊥(z
)�образцов
z1, …, zq..and identically distributed, then P and P
i
If
the
samples
are
independent
If
are
and
If the
theΛ samples
samples
are independent
independent
and identically
identically distributed,
distributed, then
then PP111 and
and PP222
Еслиwill
образцы
независимы
и одинаково
распределены,
то
P1 and
и P будут
be
q-fold
products
of
distributions
R
and
R
.
In
particular,
if
r
1
2
1
will
be
q-fold
products
of
distributions
R
and
R
.
In
particular,
if
r
and
will be произведениями
q-fold products of distributions
R11 andRRи
particular,
ifq r11 если
and rrr222r2 и r –
22 .RIn. В
q-кратными
распределений
частности,
q
1
2
q
are
for
then
(x
)=
rrriii(x
111,,,q.........,x
are
densities
R
and
R
respectively,
pp)iii=
(x
=
(x
).).1 2
are densities
densities
for R
R111 and
and R
R222 respectively,
respectively,
thenxp
(x∏
,xqq).
= jjj=1
(xjjj).
=1
q))Отсюда
=1логарифмиплотности
R1 и R2 for
соответственно,
то pi(x1, then
...,
r ,x
(x
q
j=1 i j
Hence,
the
likelihood
ratio
the
logarithmic
likelihood
ratio
is
Hence,
the logarithmic
logarithmic
likelihoodравно
ratio is
is
ческоеHence,
отношение
правдоподобия
qqq
p
rrr111(x
pp111(x
(x
,x
(x
(x111,,,.........,x
,xqqq))) =
(xiii)))
tttllr
=
log
log
log
= log
log p (x , . . . ,x ) =
=
log r (x ) ...
llr
llr =
pp222(x
rr222(x
(x111,,......,x
,xqqq)) i=1
(xiii))
i=1
i=1
Since
observations
.........,x
independent,
the
limit
qqq are
Since
the
observations
xx111,,,,…,
are
independent,
the
central
limit
theorem
,xнезависимы,
are
independent,
the central
centralпредельная
limit theorem
theoremтеореSince the
the
observationsxx
Поскольку
наблюдения
x,x
центральная
√
√
1
q
√
/
q
converges
to
a
normal
shows
that
the
distribution
of
t
llr
shows
that
the
qq converges
to
distribution.
shows что
that распределение
the distribution
distribution of
of
tllr
converges
to aa normal
normal distribution.
distribution.
llr//сходится
ма говорит,
tllrt/√q
к нормальному.
Следовательно,
Hence,
the
asymptotic
data-complexity
of
the
likelihood-ratio
test
is
deterHence,
data-complexity
of
test
Hence, the
the asymptotic
asymptotic
data-complexity
of the
the likelihood-ratio
likelihood-ratio
test is
is deterdeterасимптотическая
информационная
сложность
критерия отношения
правдоmined
by
Theorem
4.1.
mined
by
Theorem
4.1.
подобия
определяется
теоремой
4.1.
mined by Theorem 4.1.
11①,
Under
,,, the
of
/q
is
�
1
Если истинна
гипотеза
тоaverage
среднее
/q равно
Under
hypothesis
the
average
of
/q
is equal
equal to
to
�
Under hypothesis
hypothesis
the
average
of ttttllr
�
llr
llr
llr/q is equal to
rrr111(x)
(x)
(x) μ(dx)..
=
(x)
log
III1:2
= rrr111(x)
(x)log
log r (x) μ(dx).
μ(dx).
1:2
1:2 =
rr222(x)
(x)
22 то
�
Similarly,
the
average
under
hypothesis
is
−I
, where
2
Similarly,
average
under
hypothesis
is
�
Similarly, the
the
average
underгипотеза
hypothesis
�
is −I
−I2:1
where
Аналогично,
если
истинна
②,
среднее
равно −I , где
2:1
2:1,, where
“9781009607865book” —
2025/12/2 — 14:12 — page 972:1— #109
(x)
“9781009607865book” — 2025/12/2 rrr—
14:12
—
page 97 — #109
222(x)
(x)
III2:1
=
2:1
(x)
log
μ(dx).
= rrr222(x)
(x)log
log r (x) μ(dx).
μ(dx)..
2:1 =
rr111(x)
(x)
1
1
1 referred
Kullback
and
Leibler
referred
to
and
as
the
mean
information
of
dis1
Kullback
and
III2:1
mean
of
Kullback
and Leibler
Leibler
referred to
to
and
as the
the
mean information
information
of disdis1:2
2:1
Кульбак
и Лейблер
называли
I1:2III1:2
и Iand
средней
информацией
дискриминации
1:2
2:1 as
2:1
7.2
Simple
hypotheses
97
1
2
2
1
crimination
between
hypotheses
and
,
respectively.
Furthermore,
�
�
�
�
1
2
2
1
between
hypotheses
and
Furthermore,
�
1 --�
2hypotheses
2 --�
1 ,, respectively.
междуcrimination
гипотезами
①-②
или
соответственно.
Они также
определили
crimination
between
hypotheses
and �
respectively.
Furthermore,
�
�
�
�
7.2 ②-①
Simple
97
they
defined
J
=
I
+I
as
the
divergence
between
R
and
R
.
Nowadays,
12
1:2
2:1
11Iand
22.. Nowadays,
J12 = I1:2they
+I2:1defined
как расхождение
между
и
R
.
В
наши
дни
называется
расхожJJ12
between
R
R
they
defined
= II1:2
+I2:1
as the
theRdivergence
divergence
between
R
and
R
Nowadays,
1
2
12 =
1:2+I
2:1 as
1
2
1:2
is
known
as
the
Kullback–Leibler
divergence
of
R
from
R
and
J
is
дениемIII1:2
Кульбака–Лейблера
R
относительно
R
,
а
J
–
расхождением
Джеффриса
1:2
1
2
12
is
known
as
the
Kullback–Leibler
divergence
of
R
from
R
and
J
is
known
as
the
Kullback–Leibler
divergence
of
R
from
R
and
J
is
1
2
12
1
2
12
1:2
1
2
12 is
Since
J
is
the
difference
between
the
means
of
the
test
statistic
t
/q
12
llr
called
the
Jeffrys
divergence
between
R
and
R
.
междуcalled
R1Since
и Rthe
.
1
2
Jeffrys
divergence
between
R
and
R
.
J
is
the
difference
between
the
means
of
the
test
statistic
t
/q
called
the
Jeffrys
divergence
between
R
and
R
.
2
11
22
12
llr
1 and
2 , it средними
�
�
under hypotheses
plays an
important
role in
determining
Поскольку
J12 – разность
между
статистики
критерия
tllr/qthe
при ус1 and
2 , it plays an important
under hypotheses
role in
determining
the
�
�
probability
and
false-positive
probability
ofat
the
likelihood-ratio
test.
Solomon
Kullback
and
Richard
Leibler
were
both
cryptanalysts
at
the
NSA.
1истинности
ловии11success
гипотез
①
и
②,
она
играет
важную
роль
для
определения
Solomon
Kullback
and
Richard
Leibler
were
both
cryptanalysts
the
NSA.
Solomon
Kullback
and
Richard
Leibler
were
both
cryptanalysts
at
the
NSA.
success probability and false-positive probability of the likelihood-ratio test.
However,успеха
the precise
relationship also depends on
the varianceв of
t /q. Under
вероятностей
и ложноположительного
результата
критерии
отношеHowever, the precise relationship also depends on
the variance of tllr
llr /q. Under
2
1 , theОднако
hypothesis �
variance точное
is equal toсоотношение
(V1:2 − I1:2
)/q,зависит
where также
ния правдоподобия.
от диспер2
1 , the variance is equal to (V1:2 − I1:2 )/q, where
hypothesis �
2copy
Property
of
Cambridge
University
Press
do
not
share
or
сии tllr/q. Если
истинна
гипотеза
то
равна
(V1:2 −or
I 1:2
)/q, где
Property
of
University
Press
not
copy
Property
of Cambridge
Cambridge
University
Press
do
not share
share
or
copy
дисперсия
2do
①,
r1 (x) 2
μ(dx).
V1:2 = r1 (x) log r1 (x)
V1:2 = r1 (x) log r2 (x)
μ(dx)..
r2 (x)
2 )/q with
2 , the variance is (V2:1 − I2:1
Similarly, under hypothesis �
2
2 )/q
Аналогично,
если hypothesis
истинна гипотеза
②, тоisдисперсия
равна
)/q, где
2 , the variance
(V2:1 − I2:1
with(V2:1 − I2:1
�
Similarly, under
2
r2 (x) 2
V2:1 = r2 (x) log r2 (x)
μ(dx)..
V2:1 = r2 (x) log r1 (x)
μ(dx).
r1 (x)
the distributions R1R1and
are close,то
then
the followingупрощает
lemma simplifies
ЕслиIf
и RR
вычисления
следующая
If распределения
the distributions R1 and
R222близки,
are close, then
the following lemma simplifies
лемма.the calculations.
the calculations.
Lemma 7.2 Let r1 and r2 be a.e. nonzero probability densities relative to a
r2 be всюду
a.e. nonzero
probability
densitiesвероятности
relative to a отLemma
7.2 rLet
и rr12 –and
почти
ненулевые
плотности
Лемма
7.2. Пусть
1
common probability
measure μ and define I1:2 , I2:1 , V1:2 and V2:1 as above. If
, I2:1 , V1:2 Iand
V
as
above.
common
probability
measure μ and
define
носительно
общей
вероятностной
меры
μ, иI1:2
определим
,
I
,
V
и V2:1, Ifкак по2:1
2:1
1:23
|r1 (x) − r2 (x)| ≤ � min{|r1 (x)|,|r2 (x)|} a.e., then I2:1 = I1:2
1:2 + O(� 3 ) and
казано|rвыше.
|r1≤
(x)�−min{|r
r2(x)| ≤
ϵ min{|r
(x)|,
|r
(x)|}
почти
всюду,
то
I
= I1:2 + O(ϵ3) и
r2 (x)|
a.e.,
then
I
=
I
+
O(�
)
and
1 (x) −Если
1 (x)|,|r
2 (x)|}
2:1
1:2
1
2
2:1
2
− r (x)2
r1 (x)работали
1Лейблер
1
Соломон Кульбак и IРичард
в АНБ.
r1 (x) − r22 (x) криптоаналитиками
μ(dx) + O(� 33 ).
1:2 = 1
I1:2 = 2
μ(dx) + O(� ).
r2 (x)
2
r2 (x)
3
Furthermore, V2:1 = V1:2 + O(� 3 ) and V1:2 = 2 I1:2 + O(� 33 ).
Furthermore, V2:1 = V1:2 + O(� ) and V1:2 = 2 I1:2 + O(� ).
the calculations.
calculations.
the
Lemma
7.2 Let r1 and r2 be a.e. nonzero probability densities relative to a
the calculations.
Lemma 7.2
7.2 Let
Let r and
and rr22 be
be
a.e. nonzero
nonzero
probability
densities
relative
to Ifaa
Lemma
a.e.
probability
to
common
μ and
I1:2
, I2:1 , V1:2densities
and V2:1 relative
as above.
Lemma probability
7.2 Let rr111measure
and r2 be
a.e. define
nonzero
probability
densities
relative
to a
3
,
I
,
V
and
V
as
above.
If
common
probability
measure
μ
and
define
I
1:2
2:1
1:2
2:1
common
measure
μ
define
II1:2
,
I
,
V
and
V
as
above.
If
|r
a.e.,
then
I
=
I
+
O(�
)
and
2:1
1:2
2:1
1 (x) − rprobability
2 (x)| ≤ � min{|r
1 (x)|,|r
2 (x)|}
2:1
1:2
common
probability
measure
μ and
and
define
,
I
,
V
and
V
as
above.
1:2 2:1
1:2
2:1
3 ) and If
3
100
Оптимальная
проверка
статистических
гипотез
|r
(x)
−
r
(x)|
≤
�
min{|r
(x)|,|r
(x)|}
a.e.,
then
I
=
I
+
O(�
1
2
1
2
2:1
1:2
|r
= I 1:2 +
22(x)|}
2 then
|r11(x)
(x) −
− rr22(x)|
(x)| ≤
≤ �� min{|r
min{|r
(x)|,|r
(x)|} a.e.,
a.e.,
then II2:1
+ O(�
O(� 3)) and
and
11(x)|,|r
2:1 = I1:2
1 r1 (x) − r2 (x) 2
3
I1:2 = 1 r1 (x) − r2 (x) 22 μ(dx) + O(� ).
rr11(x)
rr22(x)
(x)
(x)r2−
−
(x) μ(dx)
= 211
μ(dx) +
+ O(� 333).
).
1:2 =
III1:2
μ(dx) + O(�
O(� )..
2
r22 (x)
(x)
1:2 = 2
r
2
r
(x)
3
3
2
Furthermore, V2:1 = V1:2 + O(� ) and V1:2 = 2 I1:2 + O(� ).
3 and V 3= 2 I
Furthermore,
V1:2
=
V31:2
+VO(�
O(�
+ O(�
O(� 333).
).
2:1+ =
1:2
1:2 =
1:2 +
Кроме Furthermore,
того, V2:1 = VV
O(ϵ
) и+
= 32)) Iand
+ VO(ϵ
). 22 II1:2
V
1:2
1:2 3)
1:2 V
Furthermore,
V2:1
+ rO(�
and
=
2:1
1:2 −
1:2 + O(� ).
Proof
If ε1:2 (x)
==
(r2V(x)
then
1 (x))/r1 (x),1:2
Proof If
If ε1:2 (x)
(x)
= ϵ(r
(r22(x)
(x)=−
−(rrr1(x)
(x))/r
(x), then
then
Доказательство.
Если
− r 1(x))/r
(x), то
=
Proof
(x)
(x))/r
(x),
1:2
Proof If εε1:2
1:2 (x) = (r
2 (x) − r211 (x))/r111(x), 1then
I1:2 = − r1 (x) log 1 + ε1:2 (x) μ(dx)
=−
− rr11 (x)
(x) log 11 +
+ ε1:2 (x)
(x) μ(dx)
μ(dx)
1:2 =
III1:2
− r1 (x) log
log 1 + εε1:2
1:2 = 1
1:2 (x) μ(dx)
2
= 1 r1 (x) ε1:2 (x) μ(dx) − r1 (x) − r2 (x) μ(dx) + O(� 3 ) .
222 (x) μ(dx) −
= 211 rr11 (x)
(x) ε1:2
(x) −
− r (x) μ(dx)
μ(dx)
+ O(�
O(� 33 ) .
+
(x) μ(dx) − rrr111(x)
=
(x) −rr222(x)
(x) μ(dx)
+ O(� 3))...
= 22 r1 (x) εε1:2
1:2 (x) μ(dx) −
0
2
000
The second equality above relies on the Taylor series of t �→ log(1 + t)
The
second
equalityterm
above
relies because
on the
the Taylor
Taylor
series
of integrate
�→ log(1
log(1
+
t)
second
equality
relies
of
ttt �→
t)
at
t
=
The second
vanishes
r1 andseries
rв2 ряд
both
one.
ВтороеThe
из 0.
равенств
вышеabove
следует
tto↦+
The
second
equality
above
reliesизon
onразложения
the Taylor
series
ofТейлора
�→ log(1
+log(1
t) + t)
at
t
=
0.
The
second
term
vanishes
because
r
and
r
both
integrate
to
one.
1
2
at
t
=
0.
The
second
term
vanishes
because
r
and
r
both
integrate
to
one.
with
ε
(x)
=
(r
(x)
−
r
(x))/r
(x),
1
2
2:1
1
2
2
в точкеSimilarly,
t
=
0.
Второй
член
обращается
в
нуль,
потому
что
интегралы
r
и
r
равны
1.
at t = 0. The second term vanishes because r1 and r2 both integrate1 to one.
2
Similarly,
with εε2:1
(x)
==(r
(r(r 11 (x)
(x)
−rrr22(x))/r
(x))/r(x),
(x),
2:1
2 (x),
Similarly,
with
(x)
=
−
(x))/r
Аналогично,
полагая
ϵ
(x)
(x)
−
получаем
2
Similarly, with ε2:12:1
(x) = 1(r11(x) − r22 (x))/r
2 2 (x),
r2 (x) ε 2 (x) μ(dx) + O(� 3 ).
I2:1 = 1
2:1
222 (x) μ(dx) + O(� 333)..
= 211 rr22 (x)
(x) εε2:1
2:1 =
III2:1
(x) μ(dx)
+ O(�
).
μ(dx)
O(�page
). 98 — #110
2 — r2025/12/2
2:1 = 2
2 (x) ε2:1
“9781009607865book”
14:12+ —
2:1 (x)—
2
The result follows from
The result
result
follows from
from
Желаемый
результат
следует из того, что
The
The result follows
follows from
2
r1 (x) − r2 (x) 2
rr1 (x)
(x) −(x)
r (x) 22
98
r11 (x)r2−
− rr222(x)
(x)
(x)
rrr22 (x)
2 (x)
2
2
r1 (x) − r2 (x)
r1 (x) − r2 (x)
1
= r (x) − r (x)22
= r (x) − r (x)22 +O(� 3 )r1 (x)..
2 1statistical
2
1 r1−
rr11 (x)
rr22 (x)
rr22 (x)
Optimal
r1−
(x)
+ ε111:2
(x) testing
(x)
(x)
−
(x)
(x) −
1
=
= rr11(x)
+O(� 333)r
)r (x).
1
2
2 (x) +O(�
1 + ε (x) =
=
=
=
+O(� )r111(x).
(x).
rr1 (x)
(x)
r
(x)
1:2
1
1
+
ε
(x)
r
(x)
1
1:2
1
1+
(�)
O
r1 (x)
r1 (x)
1:2 (x)
1 + ε
1+O (�)
Property of Cambridge University
Press do not share
or copy
1+
(�)
3 что
1+O
(�)
Oсначала
Что касается
второго
утверждения,
мы
покажем,
− V2:1 = O(ϵ3):
1:2
2:1
For the
second
claim,
we
first
show
that
V
−
V
=
O(�
):
1:2
1:2
2:1
Property
of
Cambridge
University
Press
do
not
share
or Vcopy
copy
Property
University
Property of
of Cambridge
Cambridge
University Press
Press do
do not
not share
share or
or copy
22
33
1:2 − V2:1
2:1 =
2:1(x) log 1 + ε2:1
2:1(x) μ(dx) = O(� )..
V1:2
r22(x) ε2:1
(�33))
O(�
3
It is достаточно
now sufficientпоказать,
to show that
V2:1
= =2I2I
Byсилу
the Taylor
series t ↦
2:1
2:1 +
Теперь
что
V2:1
+ O(�
O(ϵ33).). В
разложения
2:1
2:1
log(1 +expansion
t) в ряд Тейлора
в точке
of t �→ log(1
+ t) tat=t 0,
=имеем
0,
2
r22(x)
r22(x)
3
log
= 2 log
+ 2ε2:1 (x) + O(� 3 )..
r1 (x)
r1 (x)
2:1 satisfies
Hence, V2:1
Следовательно,
V2:1 удовлетворяет соотношению
V2:1
2:1 =
2
r22(x) 2
3
r22(x) log
μ(dx) = 2I2:1
r11(x) − r22(x) μ(dx) +O(� 3 )..
2:1 + 2
r11(x)
00
The член
secondобращается
term vanishesв because
r11 and rчто
integrate tor one.
22 both
Второй
нуль, потому
интегралы
и r2 равны 1.
1
□
7.2 shows that
variance oft tllr
/qодинакова
is the same как
under
hypotheses
llr/q
для
гипотезы ①,
ЛеммаLemma
7.2 показывает,
чтоthe
дисперсия
llr
3
3
1
2
and
,
up
to
an
error
O(�
).
More
precisely,
the
variance
is
approximately
�
�
так и для гипотезы ② с точностью до погрешности O(ϵ3). Точнее, дисперсия
приближенно
равна
разности
между
средними,
наillustrates
q. На рис. 7.2
equal to the
difference
between
the means
divided поделенной
by q. Figure 7.2
показана
ситуация
в целом.
По теореме
4.1,
количество
образцов
q равно
the overall
situation.
By Theorem
4.1, the
number
of samples
q satisfies
−1
2
−1
−1
� (PSS) − �−1 (PFF)
q=
,
2 I1:2
1:2
assuming that PS ≥ PF . Hence, the data-complexity is inversely proportional
Lemma 7.2 shows that the variance of tllr/q is the same under hypotheses
3
�
1 and �
2 , up to an error O(� ). More precisely, the variance is approximately
equal to the difference between the means divided
q. Figureгипотезы
7.2 illustrates
7.3.by
Составные
101
the overall situation. By Theorem 4.1, the number of samples q satisfies
−1
2
� (PS ) − �−1 (PF )
q=
,
2 I1:2
assuming that Pчто
PF.≥Hence,
the data-complexity
is inversely proportional
S ≥P
в предположении,
PF. Следовательно,
информационная
сложность
S
to
the
Kullback–Leibler
divergence
I
.
For
a
multidimensional
linear
approx1:2
обратно пропорциональна
расхождению
Кульбака–Лейблера
I
.
Для
многоn
n
m1:2
n 1 ismdiscrete on (F × F )/�⊥ and
�⊆F
× F2m , the distribution
мернойimation
линейной
аппроксимации
Λ ⊆ 𝔽2R
× 𝔽 2 распределение
R21 дискретно на
2
2
⊥ uniform on the same set. For this case, Lemma 7.2 gives the following
(𝔽2n × 𝔽m2R
)/Λ
, а R2 равномерно на том же множестве. Для этого случая лемма 7.2
2 is
approximation
to 2 I1:2:
дает следующую
аппроксимацию
2 I1:2:
2
1
2 I1:2 = |�|
r1 (z) −
,,
|�|
z
z
⊥
where the sumпроизводится
is over all z in по
(F2nвсем
× F2mz)/�
is⊥.precisely
the squared
где суммирование
∈ (𝔽2n.×This
𝔽m2)/Λ
Это в точности
квадра-
imbalance,
which equals
the capacity
by Corollary
6.5.Cap(Λ).
тичноеEuclidean
евклидово
расхождение,
которое,
в силу Cap(�)
следствия
6.5, равно
7.3. Составные гипотезы
7.3 Composite hypotheses
7.3 Composite
hypotheses
Чаще всего корреляции линейных
аппроксимаций
зависят от ключа. Аналогично для
неправильно
угаданного
ключа
средние
эмпирические
корреляции
Most of the time, the correlations of linear approximations depend on the
key.
являются (как правило) малыми зависящими от ключа значениями, но не нуSimilarly, for an incorrect guess of the key, the average empirical correlations
лем. Это
что, вkey-dependent
противоположность
разделу
7.2,This
гипотезы
①и②
are означает,
(typically) small
values rather
than zero.
means that
не полностью
определяют
распределения
P
и
P
–
они
не
являются
простыми
22 do not completely specify
1 1and �
contrary to Section 7.2, the hypotheses �
гипотезами.
the distributions P1 and P2 – they are not simple hypotheses.
N (− I 1:2, 2I
N (I 1:2do
, 2I 1:2
/q)
1:2 /q)
Property of Cambridge
University
Press
not
share or copy
2
1
− I 1:2
0
I 1:2
Рис. 7.2. Асимптотическое распределение статистики критерия логарифмического отношения
правдоподобия при гипотезах ① и ②
В общем случае если задано наблюдение x, то в задаче о проверке составной
гипотезы требуется решить, из какого из двух семейств распределений была
произведена выборка x. То есть налицо следующие две составные гипотезы:
Гипотеза ①: x было выбрано из распределения, принадлежащего семейству
{P1θ1| θ1 ∈ Θ1}.
Гипотеза ②: x было выбрано из распределения, принадлежащего семейству
{P2θ2| θ2 ∈ Θ2}.
102
Оптимальная проверка статистических гипотез
P1θ1 и P2θ2 можно представлять себе как параметризованные распределения.
Чтобы задача имела смысл, семейства {P1θ1 | θ1 ∈ Θ1} и {P2θ2 | θ2 ∈ Θ2} не обязаны
быть непересекающимися при условии, что для множеств Θ1 и Θ2 известны
априорные распределения вероятностей. Например, если Θ1 состоит из всех
возможных значений битов ключа, от которых зависит корреляция, то априорным является равномерное распределение на Θ1. Априорные распределения
на Θ1 и Θ2 будем называть гипотезой рандомизации с правильным ключом и гипотезой рандомизации с неправильным ключом соответственно. Их выбор обсуждается в разделах 7.3.2 и 7.3.3.
Результаты из раздела 7.2 неприменимы к составным гипотезам. В частности, необязательно существует равномерно наиболее мощный критерий. Тем
не менее можно найти критерии, которые минимизируют среднее 𝔼f (1 − PS(θ1),
PF(θ2)) конкретной функции стоимости f, где среднее берется относительно
“9781009607865book”
2025/12/2
— 14:12 —
page 100 —
#112 7.3.1.
априорных
распределений на—
и Θ2. Эта проблема
обсуждается
в разделе
“9781009607865book”
—Θ1 2025/12/2
— 14:12 —
page 100 —
#112
7.3.1. Коэффициенты Байеса
В отсутствие равномерно наиболее мощного критерия мы можем рассмотреть
100 наиболее мощные вOptimal
statistical
критерии,
среднем.
То естьtesting
для всех средних вероятностей
100
Optimal
statistical
testing
успеха 𝔼(PS(θ1)) такой критерий должен минимизировать среднюю вероятность
ложноположительного результата 𝔼(PS(θ2)). Это эквивалентно критерию разлиto the posterior
distributions апостериорным
P and P , whose densities
p1 and
чения corresponding
простых гипотез,
соответствующих
распределениям
P1
corresponding
to the posterior
distributions P11 and P22 , whose densities
p1 and
p
are
given
by
averaging
with
respect
to
the
parameters:
2
и P2, плотности
которых
p
и
p
определяются
усреднением
по
параметрам:
p2 are given by averaging
with
respect to the parameters:
1
2
pi (x) =
pθ (x) q (θ ) μ(dθ ),,
pi (x) = �i piiθ (x) qii (θ ) μ(dθ ),
�i
θ
θ
θ
–where
плотность
p density
, а qi – плотность
p is the
of Piθ and qiаприорного
is the density распределения.
of the prior distribution.
where piiθ is the i density
of Pi and qi is the density of the prior distribution.
где p
Используя
из Section
раздела7.2,7.2,
критерия
отношения
Using результаты
the results from
theстатистика
likelihood ratio
static yields
a
Using the
results
from Section
7.2, theмощный
likelihood
ratio static
yields
a как
правдоподобия
дает
равномерно
наиболее
критерий
(в
среднем,
uniformly most powerful test (on average, as discussed above):
uniformly
most
powerful
test
(on
average,
as
discussed
above):
было сказано выше):
θ
p θ (x) q1 (θ ) μ(dθ )
p1 (x)
p
(x)
tlr (x) = 1
= p1θ1 (x) q1 (θ ) μ(dθ ) .
tlr (x) = p2 (x) = p θ (x) q2 (θ ) μ(dθ ) ..
p2 (x)
p22 (x) q2 (θ ) μ(dθ )
θ
i
1 and �
2 .
This quantity is also called the Bayes factor between hypotheses �
1 and �
2①
. и ②.
�
quantity
is also called
the Bayes
factor betweenБайеса
hypotheses
Эту This
величину
называют
также
коэффициентом
для гипотез
7.3.2.7.3.2
Гипотеза
рандомизации
с правильным ключом
Right key
randomization hypothesis
7.3.2 Right key randomization hypothesis
Априорное распределение на Θ1 вытекает непосредственно из анализа шифра,
The prior distribution on �1 follows directly from the analysis of the cipher,
Theприводит
prior distribution
on �1 follows
directly
from the analysis
of theкорреляции.
cipher,
который
к зависящей
от ключа
аппроксимации
каждой
whichпусть
resultsΛ –inмножественная
a key-dependent линейная
approximation
of each correlation.
ForпривоНапример,
аппроксимация.
Анализ
which results in a key-dependent approximation of each correlation. For
example,
let
�
be
a
multiple
linear
approximation.
The
analysis
leads
to
a
дит к множеству
ключей linear
𝒦 такому,
что корреляции
для leads
класса
example, let классов
� be a multiple
approximation.
The analysis
to ключей
a
|Λ| class k in K are given by a
set of key classesизвестным
K, so that the correlations
k ∈ 𝒦 определяются
μkfor
∈ ℝkey
set of key classes K, so|�|that theвектором
correlations
for
key. class k in K are given by a
R .
vector μk in что
Еслиknown
предположить,
имеют равномерное априорное распределе.
known
vector μk in R|�|ключи
If we assume
a uniform random
prior distribution
for thekkeys,
then theвычислить
prior
ние, то априорную
вероятность
f
каждого
класса ключей
∈ 𝒦 можно
k
If we assume a uniform random
prior distribution
for the keys,
then the prior
every key
class kоценить.
in K can be
computed
or, if the
key schedule
probability
fk ofключа
или, если
развертка
сложна,
Внутри
каждого
класса
ключей расprobability fk of every key class k in K can be computed or, if the key schedule
пределение
эмпирических
корреляций
со
is complex,
estimated. Within
every keyявляется
class, theмногомерным
distribution of theнормальным
empirical
is complex, estimated. Within every key class, the distribution of the empirical
средним
μ
и
ковариационной
матрицей
I/q
(приближенно,
как
показывает
теоcorrelations
is multivariate normal with mean μk and covariance matrix I /q
k
covariance matrix I /q
correlations
is multivariate
normal вероятности
with mean μk pandпропорциональна
рема 6.1).
Следовательно,
плотность
(approximately,
as shown
by Theorem
6.1). Hence, 1the probability density p
(approximately, as shown by Theorem 6.1). Hence, the probability density p11
is proportional to
is proportional to
q
p1 (x) ∝ fk exp − q (x − μk ) (x − μk ) .
Плотность
вероятности
Probability
density
m prior distribution for the
keys, then
prior key class k in K can be computed or, if the key schedule
probability
fk the
of every
is complex, estimated.
Within every key class, the distribution of the empirical
in K can be computedisor,complex,
if the keyestimated.
schedule Within every key class, the distribution of the empirical
correlations is multivariate normal with mean μk and covariance matrix I /q
ry key class, the distribution
of the is
empirical
correlations
multivariate normal with mean μk and covariance matrix I /q
(approximately, as shown by Theorem 6.1). Hence,
the probability density p1
al with mean μk and covariance
matrixasIshown
/q
(approximately,
by Theorem 6.1). Hence,
probability
density p
1
7.3. the
Составные
гипотезы
103
is proportional to
orem 6.1). Hence, the is
probability
density
p
proportional to
1
q
p1 (x) ∝ fk exp − q (x − μk ) (x − μk )..
p1 (x) ∝
fk exp − 2 (x − μk ) (x − μk ) .
q
k∈K
2
p − (x − μk ) (x − μk ) .
k∈K
2
Such
a distribution is называется
known as a multivariate
normal mixture. нормальных
In the simple расТакое
распределение
смесью многомерных
Such a distribution is known as a multivariate normal mixture. In the simple
пределений.
В empirical
простой correlations
модели эмпирические
корреляции
нулевое
model, the
have mean zero and
covariance имеют
matrix I /q
multivariate
normal mixture.
In empirical
the simplecorrelations have mean zero and covariance matrix I /q
model, the
среднее
и ковариационную
матрицу
I/q приratio
условии
истинности
2 . Hence,
under
hypothesis �
the likelihood
is proportional
to гипотезы ②.
have mean zero and covariance
matrix�
I2 /q
under hypothesis
. Hence,
the likelihood ratio is proportional to
Следовательно,
отношение
правдоподобия
101 — #113
“9781009607865book”
— 2025/12/2 —пропорционально
14:12q — page
ikelihood
ratio
is
proportional
to
p
(x)
1
p1 (x) ∝ fk exp q μ k x − q μ k μk .
fk exp q μk x − 2 μk μk ..
p2 (x) ∝
q
k∈K
p2 (x)
2
exp q μk x − μk μk .
k∈K
2
In general, there is no “elementary” closed-form expression for the dataIn general,
there
is no “elementary”
closed-form замкнутого
expression forвыражения
the dataВ общем
случае
не существует
«элементарного»
Composite
hypotheses
101 инcomplexity of this test.7.3Even
if the capacity
is (almost) key-independent,
ary” closed-form
expression
forсложности
thethis
data√key-independent,
формационной
Даже
если емкость
(почти) не заcomplexity
of
test. этого
Even ifкритерия.
the capacity
is (almost)
the data complexity can be proportional to 1/ Cap(�), √ |�|/ Cap(�) or
the capacity is
(almost)
key-independent,
висит
от ключа,
информационная
сложность
быть|�|/
пропорциональна
the
data
complexity
can be proportional
to 1/может
Cap(�),
Cap(�) or
√
something
in-between.
portional to 1/1/Cap(Λ),
Cap(�),
|�|/
Cap(�)
or
или
чему-то
промежуточному.
something in-between.
Property of Cambridge University Press do not share or copy
Property of Cambridge University Press do not share or copy
niversity Press do not share or copy
9
3 − 1 + 1 + 3
9
− 32
− 32
+ 32
32
32
32
− 9
32
Empirical
3
1 correlation
1
3
−
32
−
32
+
32
+
32
+9
32
Figure 7.3 Posterior probability
density pкорреляция
1 of the empirical correlation.
Эмпирическая
Рис. 7.3. Зависимость плотности вероятности от эмпирической корреляции
Example 7.3
For the linear
Example 2.3 with correlation
�
�� approximation
� fromиз
Пример
примера
2.3 с корреляцией
1 /8 Для
(−1)κ7.3.
1 + линейной
(−1)κ2 /2 1аппроксимации
+ (−1)κ3 /2 , the posterior
distribution
P1 is a
κ2
κ3
(−1)κ1/8mixture
(1 + (−1)
/2)(1
+
(−1)
/2)
апостериорное
распределение
P1The
является
of six normal distributions with means ±1/32, ±3/321and ±9/32.
смесью шести нормальных распределений со средними ± ⁄32, ±3⁄32 и ±9⁄32. Функprobability density function p of P1 and its mixture components are shown in
ции плотности вероятности p11распределения
P1 и его компонент показаны
Figure 7.3 for q = 256 samples. Up to a constant factor,
the likelihood ratio is
на рис. 7.3 для q = 256 образцов. С точностью до постоянного множителя отношение правдоподобия равно
�
�
�
�
� �
9qx
3qx
qx
− 12 q(9/32)2
− 12 q(3/32)2
− 12 q(1/32)2
..
cosh
+2e
cosh
+e
cosh
e
32
32
32
ДляFor
больших
отношении
преобладает
член, соответlarge q, qtheв likelihood
ratioправдоподобия
is dominated by the
term corresponding
to
ствующий
корреляции
±1⁄32is. Это
экспоненциальными
множиcorrelation
±1/32. This
due toобъясняется
the exponential
factors in each term, the
2
2 ). In other
телями
в каждом
наибольший
из words,
которых
равен
exp(−q/32
). Иными
largest
of whichчлене,
is exp(−q/32
because
an attack
with high
словами,
поскольку
от атаки isс required
высокой
вероятностью
успеха требуaverage
success probability
to средней
work for most
keys, its false-positive
ется, чтобы
она
работала
для
большинства
ключей,
вероятность
ложнополоprobability is mainly determined by the keys with low correlation.
�
жительного результата для нее в основном определяется ключами с низкой
корреляцией.
⊳
In special cases, (approximate) closed-form formulas for the datacomplexity
can
be
obtained.
One
such
case
is
when
only
the
signs
of
the
В частных случаях можно получить замкнутые (приближенные) формулы
correlations depend сложности.
on the key. InОдин
particular,
let l =случаев
|�| and suppose
are
для информационной
из таких
– когдаthere
от ключа
заpositive constants c1, . . . ,cl such that
⎡
(−1)k1 c1
k
⎤
average success probability is required to work for most keys, its false-positive
probability is mainly determined by the keys with low correlation.
�
In special cases, (approximate) closed-form formulas for the datacomplexity
Оптимальная
проверка
статистических
гипотез
can be
obtained.
One such case
is when only the signs of the
correlations depend on the key. In particular, let l = |�| and suppose there are
висят только
корреляций.
Например,
положим l = |Λ| и предположим, что
that
positiveзнаки
constants
c1, . . . ,cl such
существуют такие положительные постоянные c1, …, cl , что
⎡
⎤
(−1)k1 c1
“9781009607865book” — 2025/12/2
— page 102 — #114
k2 c14:12
⎢(−1)—
2⎥
⎢
⎥
“9781009607865book” —μ2025/12/2
—
14:12
.
⎥ . — page 102 — #114
k =⎢
..
⎣
⎦
“9781009607865book” — 2025/12/2
— page 102 — #114
.— 14:12
k
(−1) l cl
102
Optimal statistical
testing
l
Кроме
того, предположим, что fk =1/2
для любого
k. Отношение правдоподоl for
102
Furthermore, assume that fOptimal
all k. testing
The likelihood ratio is propork = 1/2 statistical
бия пропорционально
102
Optimal statistical testing
tional to
l
l
l
p1 (x)
eqci xi + e−qci xi
k
l eq(−1) i ci xi =
l
l cosh(qc x )..
qc
x
−qc
x
∝
=
i
i
i
i
i i
(x)
e
+
e
q(−1)ki ci xi
pp21(x)
2
l
l
l
∝
e
=
=
cosh(qc
qc
x
−qc
x
lof
i Press
i + e do
i inot i=1
i xi ).
i=1
i=1
Property
Cambridge
University
share
or
copy
p
(x)
e
k
k∈F
q(−1) i ci xi
p12 (x) ∝ 2l
2
e
=
=
cosh(qc
xi ).
i
i=1
i=1
k∈F2 i=1
p2 (x)
2
2
l
2
i=1
i=1
i=1
is large, then
expected that
small.Поскольку
Since the observations
xi x явk∈Fможно
ЕслиIf ll велико,
то
ожидать,
чтоqc
qci i is
мало.
наблюдения
2it can be
2 is small. Since the observations x i
Ifоценками
lestimates
is large, then
it can
be expected
that
qcмало.
i
ляются
qcqc
x
также
Следовательно,
асимптотичеare
ofкорреляции,
the
correlation,
x
is
likewise
small.
Hence,
asymptotically
i
i
i
i i
If
large,
then
it can
be expected
that qci2 is small.
Since
the observations
i
arelqc
estimates
of
correlation,
qcотношение
small.
i xi is likewise
ски при
qcis
0 0,
логарифмическое
равно C)
(сxточноas
thethe
logarithmic
likelihood
ratio isправдоподобия
equal
toHence,
(up to asymptotically
a constant
ixxi i→→
are
estimates
the
correlation,likelihood
qci xi is likewise
Hence,
asпостоянной
qc
ratio is small.
equal to
(up toasymptotically
a constant C)
стью до
C)logarithmic
i xi → 0,ofthe
l
l
as qci xi → 0, p
the
logarithmic
likelihood
ratio
is
equal
to
(up
to
a2 constant C)
1
1 (x)
2
2
l log cosh(qc x ) ∼
l
log p1 (x) + C =
i i
1 q 2ci 2xi 2.
l log cosh(qci xi ) ∼ 2
l q c x ..
logpp2 (x)
+
C
=
i=1
i=1
i i
1
1 (x)
log p2 (x) + C = i=1 log cosh(qci xi ) ∼ 2 i=1 q 2 ci2 xi2 .
p
(x)
2
That is, the logarithmic
likelihood
ratio is well approximated
by a weighted
2
i=1
i=1
Thatof
is,thethe
logarithmic
likelihood
ratioправдоподобия
is wellwhere
approximated
by themselves
a weighted
sum
squares
of the estimated
correlations,
the weights
То есть
логарифмическое
отношение
хорошо
аппроксимиThat
is,the
thesquares
logarithmic
likelihood
ratio is well where
approximated
by athemselves
weighted
sum
of
of
the
estimated
correlations,
the
weights
proportional to
the squared
correlations.
This is
precisely the test
statistic сами
руетсяare
взвешенной
суммой
квадратов
оценок
корреляций,
в которой
sum
of the squares
the
estimated
correlations,
where
theвweights
themselves
are was
proportional
toofthe
squared
correlations.
This
isЭто
precisely
thetotest
statistic
веса пропорциональны
квадратам
корреляций.
точности
статистика
that
used in Section
6.1.2, with
data-complexity
proportional
are
to
the
squared
correlations.
This
is precisely
the test
thatproportional
was
used inмы
Section
6.1.2, with
data-complexity
proportional
to statistic сложкритерия,
которую
использовали
в разделе
6.1.2,
с информационной
1
that
was used in Section 6.1.2, with
data-complexity
proportional to
ностью,
пропорциональной
.
1
l
4
i=1
1 ci .
li=1 ci4..
l
4
It should be kept in mind that this data-complexity
is only optimal when the
i=1 ci
It
should
be
kept
in
mind
that
this
data-complexity
is only optimal when the
prior distribution of the key is uniform random.
Itprior
should
be kept что
in the
mind
that
this data-complexity
is only optimal
when the
distribution
of
key
is
uniform
random.
Следует
помнить,
эта
информационная
сложность
оптимальна,
Finally, note that exact formulas for the correlations are rarely
available.только
prior
distribution
of the
key formulas
is uniform
random.
когда априорное
распределение
ключа
равномерно.
Finally,
note
that
exact
for
the
correlations
are
rarely
Hence, model errors are generally unavoidable. It is possible to takeavailable.
this into
Finally,
noteerrors
that
formulasunavoidable.
for the correlations
are
rarely
available.
Наконец,
заметим,
чтоexact
точные
редко
бывают
доступHence,
model
are
generally
is possible
take
this into
account
by modifying
the
prior формулы
distribution.корреляций
ForItexample,
onetocan
include
a
Hence,
model
errors
are
generally
unavoidable.
It
is
possible
to
take
this
into
ны. Поэтому
ошибки
модели
в
общем
случае
неизбежны.
Это
можно
принять
account
by
modifying
the
prior
distribution.
For
example,
one
can
include
normal error with mean zero. This is useful to counteract overconfidence ina
во внимание,
модифицировав
априорное
распределение.
Например,
account
by
modifying
thezero.
prior
distribution.
For
example, one
can include in
aможно
normal
error
mean
This
useful
to counteract
overconfidence
the
model
and with
can serve
as a form
of is
regularization.
включить
нормально
распределенную
ошибку
с
нулевым
средним.
Это
normal
error
zero.
Thisofisregularization.
useful to counteract overconfidence inполезthe model
andwith
can mean
serve as
a form
но дляthe
противодействия
чрезмерной
уверенности
model and can serve as a form of regularization. модели и может рассматриваться7.3.3
как форма
Wrongрегуляризации.
key randomization hypothesis
104
7.3.3 Wrong key randomization hypothesis
1 is often composite
�
discussed
Section
7.3.2, hypothesis
because
7.3.3.As
Гипотеза
с неправильным
ключом
7.3.3
Wronginрандомизации
key
randomization
hypothesis
1 correlations
As discussed
inkey-dependent.
Section 7.3.2,Inhypothesis
is often composite
because
�
correlations
are
practice,
forсоставной,
incorrect
keyпотому
Как обсуждалось
в разделе
7.3.2,
гипотеза
①the
часто
является
1
As
discussed
in
Section
7.3.2,
hypothesis
is
often
composite
because
�
correlations
are
key-dependent.
In practice,
the
correlations
for
incorrect
key
2
should
also
be
guesses
are
not
really
zero
either.
Hence,
hypothesis
�
что корреляции
зависят
от ключа.InНа
практике
корреляции
для
неправильно
correlations
are
key-dependent.
practice,
thehypothesis
correlations
for
incorrect
key
2
should
also
be
�
guesses
are
not
really
zero
either.
Hence,
composite.
угаданных
ключей тоже не равны в точности нулю. Поэтому гипотеза ② также
2 should also be
guesses
are not really zero either. Hence, hypothesis �
composite.
In principle,
it is possible to determine approximate key-dependent expresдолжна быть
составной.
composite.
Infor
principle,
it is possible
to determine
approximate
key-dependent
sions
theможно
correlations
corresponding
to incorrect
keyзависящие
guesses.
However,
this выВ принципе,
определить
приближенные
отexpresключа
In
principle,
it
is
possible
to
determine
approximate
key-dependent
expressions
foradditional
the correlations
corresponding
to –incorrect
keythe
guesses.
However,
this клюражения
для
корреляций,
соответствующих
неправильно
угаданным
requires
analysis
of the cipher
including
outer key-recovery
sions
for the
correlations
corresponding
to incorrect
key the
guesses.
However,
this
requires
additional
analysis
of
the
cipher
–
including
outer
key-recovery
rounds that would not be taken into account in the simple model. The statistical
requires
additional
analysis
of into
the account
cipher –inincluding
themodel.
outer The
key-recovery
rounds that
would not
bethe
taken
the
simple
statistical
analysis
is conceptually
same
as in Section
7.3.2.
rounds
that
would not be the
taken
intoasaccount
in the
simple model. The statistical
analysis
is
conceptually
same
in
Section
7.3.2.
In the absence of a detailed analysis, there is also a more generic com-
7.3. Составные гипотезы 105
“9781009607865book” — 2025/12/2 — 14:12 — page 103 — #115
чам. Однако
для этого необходим дополнительный анализ шифра, включая
внешние раунды восстановления ключей, которые не принимались во внимание в простой модели. Статистический анализ концептуально такой же,
как в разделе 7.3.2.
7.3анализа
Composite
hypotheses также более общее103
В отсутствие детального
существует
составное уточнение гипотезы ②. Если частичное шифрование и дешифрирование
достаточно сложны, то можно предположить, что они похожи на случайные
2
which specifies
the неправильный.
prior distribution ofЭто
correlations
under
hypothesis
�
перестановки,
когдаthat
ключ
приводит
к модели
случайной
is
the
same
as
for
a
random
permutation.
перестановки, которая говорит, что априорное распределение корреляций при
The distribution
of the correlation
a как
linearдля
approximation
a random
условии истинности
гипотезы
② такоеof
же,
случайной of
перестановки.
function or permutation
is given
by theаппроксимации
following result. The
convergence
Распределение
корреляции
линейной
случайной
функции
или перестановки
дает
Сходимость
в теореме
7.3 быст
in Theorem 7.3
is следующий
fast if |�| is результат.
not too large,
so it usually
yields good
рая, если
|Λ| не слишком
велико,
поэтому
дает хорошую
approximations.
The proof
of this
result isобычно
obtainedона
in Exercises
7.1 and аппрокси7.2.
мацию. Доказательство этого результата – предмет упражнений 7.1 и 7.2.
Theorem 7.3 Let F be a uniform random function or permutation from
n случайная
m
Теорема
7.3.
Пусть F – равномерно распределенная
функция или переFn2 to
Fm
2 . Let � = {(u1,v1 ), . . . ,(ul ,vl )} ⊂ F2 × F2 be a multiple linear
n
m
n
m
становка
𝔽
→
𝔽
.
Пусть
Λ
=
{(u
,
v
),
…,
(u
,
v
)}
⊂
𝔽
×
𝔽
–
множественная
approximation
of F such that
distribution of линейная
the
2
2
1
1(0,0) �∈l �.
l The 2probability
2
аппроксимация
F
такая,
что
(0,
0)
∉
Λ.
Распределение
вероятностей
случайного
random vector of correlations
вектора корреляций
⎡ F ⎤
Cv1,u1
⎢
√ ⎢CvF2,u2 ⎥
⎥
2n ⎢ . ⎥
⎣ .. ⎦
CvFl ,ul
сходится
к многомерному
нормальному
распределению
при
converges
to the multivariate
normal distribution
N (0,I𝒩(0,
) as nI)→
∞.n → ∞.
Тогда для
множественного
линейного
криптоанализа
гипотеза ② заклю2 then becomes that the
For multiple
linear cryptanalysis,
hypothesis
�
чается в том, что эмпирические корреляции имеют многомерное нормальное
empirical correlations have a multivariate normal distribution N (θ,I /q). The
распределение 𝒩(θ, I/q). Априорным распределением
на Θ2 является θ ∼ 𝒩(0,
prior distribution on �2 is θ ∼ N (0,I /2n ). From the probability
density
I/2n). Зная функцию плотности
вероятности, нетрудно видеть, что апостериорfunction,
it
is
not
difficult
to
see
that
this
gives
n a posterior distribution
ным распределением при этом будет 𝒩(0, I/q + I/2 ). Для одномерного случая
N (0,I /qна+рис.
I /2n7.4.
). This is illustrated in Figure 7.4 for the univariate case.
это показано
The effect of the random permutation model is that it increases the variance
2 . This also means that the
of the posterior distribution under hypothesis �
variances of the two posterior distributions are different. For sampling without
0
Рис. 7.4. Гипотеза с неверным ключом, основанная на модели случайной перестановки
0
Figure 7.4 Wrong key hypothesis based on the random permutation model.
“9781009607865book” — 2025/12/2 — 14:12 — page 104 — #116
106
Оптимальная проверка статистических гипотез
104
Optimal statistical testing
Эффект модели случайной перестановки заключается в том, что она увеличивает дисперсию апостериорного распределения при условии истинности
гипотезы
②. Это также
означает,
чтоhypothesis
дисперсии
обоих апостериорных распре2 with known correlation is
replacement,
the variance
under
�
делений различны.
Для выборки
без возвращения дисперсия при условии исn
n
1/q (1 − q/2 ) + 1/2 = 1/q.
тинности гипотезы ② с известной корреляцией равна 1/q (1 − q/2n) + 1/2n = 1/q.
Although the refined wrong key hypothesis based on the random permuХотя уточненная гипотеза с неверным ключом, основанная на модели слуmodel often has
a minor
impact несущественное
on the cost estimates
of attacks,
чайнойtation
перестановки,
часто
оказывает
влияние
на in
оценки
n , it leads to nimportant conclusions. Together with
particular
when
q
�
2
стоимости атак, особенно когда q ≪ 2 , она ведет к важным выводам. В соSection
7.3.2, it provides
a better
explanation
for трудность
the difficultyиспользования
of using linear личетании
с разделом
7.3.2 она
лучше
объясняет
−n/2 . A naive explanation
approximations
with
absolute
correlation
c
below
2
нейных аппроксимаций с абсолютной корреляцией c, меньше 2−n/2. Наивное
is that, состоит
since the вdata
complexity
is proportional
to 1/c2 , there isсложность
simply not прообъяснение
том,
что поскольку
информационная
2
порциональна
1/cavailable.
, имеющихся
данных
попросту
недостаточно.
enough data
However,
using multiple
linear
approximationsОднако
does использование
множественных
линейных
аппроксимаций
не решает
not resolve
the issue. A better
explanation
is that the correlation
c is проблему.
only
Более правильное
состоит
том, что корреляция
c известна
1 , and the refined
known up to aобъяснение
modeling error
ε underвhypothesis
wrong толь�
ко с точностью
до ошибки
моделирования
ϵ, если
истинна
①,
key hypothesis
implies that
the modeling error
ε should
be lessгипотеза
than 2−n/2
. а из
уточненной
гипотезы
с
неверным
ключом
следует,
что
ошибка
моделироваThis will play a major role in Chapter 8.
ния ϵ должна быть меньше 2−n/2. Это будет играть важную роль в главе 8.
For multiple linear cryptanalysis, the impact of the wrong key hypothesis is
Для множественного линейного криптоанализа влияние гипотезы с неparticularly important. If |�| is large, then the analysis can often be simplified
правильным ключом особенно важно. Если |Λ| велико, то анализ nчасто можно
because the capacity for wrong keys is close to its mean value |�|/2
2 . кBased
упростить,
потому что для неправильных ключей емкость близка
среднему
F
on the
discussion
in Section 6.1.2,
if q is 6.1.2
small следует,
comparedчто
to 1/если
Cv,uq мало
and the
n
значению
|Λ|/2
. Из обсуждения
в разделе
по сравF 2 are unknown, then
нениюcorrelations
с 1/(Cv,u
) и корреляции неизвестны, то
q=
2|�|
�−1 (PS ) − �−1 (PF )
,,
Cap(�) − |�|/2n
assuming the other
assumptions from
Section 6.1.2
6.1.2 remain
valid. справедливы.
в предположении,
что допущения
из раздела
по-прежнему
7.4. Оптимальное восстановление ключа
Optimal
В главе 1 упоминался еще7.4
один
подходkey-recovery
к восстановлению ключа: алгоритм 1
Мацуи. Этот метод можно обобщить на задачу классификации: зная вектор
In Chapter 1, another approach to key-recovery was mentioned: Matsui’s
эмпирических корреляций, найти наиболее вероятное значение битов ключа,
Algorithm 1. This method can be generalized to a classification problem: given
которое определяет эти корреляции. Для данной задачи существует оптимальa vector of
empirical correlations,
find the
most probable value of the key bits
ное решение,
называемое
байесовским
классификатором.
that
determine
the
correlations.
There
is
an
optimal solution
to this
problem,
Однако решением этой задачи классификации
дело не
ограничивается.
as the Bayes
classifier. в том, что однозначно восстановить значеПерваяknown
проблема
заключается
However,
is moreневозможно.
to solving this classification
A first issueравна
ние ключа
можетthere
оказаться
Например,problem.
если корреляция
κ2 be impossible
that+ it(−1)
may
to recover
the key uniquely.
ifприводит
the
(−1)κ1/8is (1
/2)(1 + (−1)κ3/2),
то перемена
мест κ2 For
и κexample,
всегда
3
κ2 /2)(1 + (−1)
κ3 /2),
к равным
правдоподобиям.
наблюдение
ведет
ко второй
проблеме:
correlation
is (−1)κ1 /8 (1Это
+ (−1)
then swapping
the полезнееvalues
получить
возможных
ключей,
чем This
одного
кандидата.
Следоκ2 andсписок
κ3 always
leads to equal
likelihoods.
observation
leads to
вательно,
существует
компромисс
между
количеством
классов
ключей
a second issue: it is more useful to obtain a list of possible keys rather than a и вероятностью
правильной
классификации.
single candidate.
Hence,
there is a trade-off between the number of key classes
Мы and
здесь
не
обсуждаем
оптимальный
способ решения таких задач классиthe probability of correct
classification.
фикации, поскольку это завело бы нас в неисследованные дебри. Однако в заWe do not discuss the optimal way to solve such classification problems
вершение этого раздела стоит упомянуть, что подход к восстановлению ключа
here, as that would take us beyond the state of the art. However, to end this
на основе «алгоритма 2» на самом деле больше похож на классификацию, чем
на проверку гипотез. В разделах 7.2 и 7.3, как и в главе 4, предполагалось, что
Property of Cambridge University Press do not share or copy
7.7. Упражнения 107
процесс восстановления ключа можно рассматривать как форму множественной проверки гипотез. Однако при таком подходе множественные проверки
гипотез в действительности не являются статистически независимыми. Зависимости между оценками корреляций для различных ключей проще учесть
в схеме на основе классификации.
7.5. Историческая справка
Теория проверки простых гипотез Неймана и Пирсона впервые была применена к линейному криптоанализу в работе Бэне, Жюно и Воденэ. Их анализ
применим к многомерному линейному криптоанализу и сравним с обсуждением в разделе 7.2.3.
Общая гипотеза рандомизации с неправильным ключом из раздела 7.3.3
была введена Богдановым и Тишхаузером. Термин «рандомизация с неправильным ключом» был предложен Харпесом, Крамером и Мэсси. Для одной
линейной аппроксимации и выборки без возвращения, в частности, апостериорное распределение статистики критерия при условии истинности этой
гипотезы обсуждалось в работе Ашура, Бейна и Рэймена (2020).
7.6. Литература
Ashur, Tomer, Tim Beyne, and Vincent Rijmen (Apr. 2020). «Revisiting the WrongKey-Randomization Hypothesis». In: Journal of Cryptology 33.2, pp. 567–594. doi:
10.1007/s00145-020-09343-2.
Baignères, Thomas, Pascal Junod, and Serge Vaudenay (Dec. 2004). «How Far Can
We Go Beyond Linear Cryptanalysis?» In: ASIACRYPT 2004. Ed. by Pil Joong Lee.
Vol. 3329. LNCS. Springer, Berlin, Heidelberg, pp. 432–450. doi: 10.1007/978-3540-30539-2_31.
Bogdanov, Andrey and Elmar Tischhauser (Mar. 2014). «On the Wrong Key Randomisation and Key Equivalence Hypotheses in Matsui’s Algorithm 2». In: FSE 2013.
Ed. by Shiho Moriai. Vol. 8424. LNCS. Springer, Berlin, Heidelberg, pp. 19–38. doi:
10.1007/978-3-662-43933-3_2.
Harpes, Carlo, Gerhard G. Kramer, and James L. Massey (May 1995). «A Generalization of Linear Cryptanalysis and the Applicability of Matsui’s Piling-Up Lemma».
In: EUROCRYPT’95. Ed. by Louis C. Guillou and Jean-Jacques Quisquater. Vol. 921.
LNCS. Springer, Berlin, Heidelberg, pp. 24–38. doi: 10.1007/3-540-49264-X_3.
Kullback, Solomon and Richard A. Leibler (1951). «On Information and Sufficiency».
In: The Annals of Mathematical Statistics 22.1, pp. 79–86.
7.7. Упражнения
Упражнение 7.1
Докажите теорему 7.3 для случая равномерно распределенных случайных
функций. Используйте многомерную центральную предельную теорему.
7.7 Exercises
Exercise 7.1
108 Оптимальная проверка статистических гипотез
Prove Theorem 7.3 for the case of uniform random functions. Use the
* Упражнение 7.2multivariate central limit theorem.
Докажите теорему 7.3 для случая равномерно распределенных
случайных пе�
Exercise 7.2
рестановок.
Prove Theorem 7.3 for the case of uniform random permutations.
Упражнение 7.3
Exercise
7.3
Пусть Λ – множественная линейная аппроксимация,
состоящая
из линейных
|Λ|
аппроксимаций с корреляциями
c
∈
ℝ
для
любого
ключа
k.
Предположим,
Let � be a multiple
linear approximation consisting of linear approximations
k
что априорное распределение
ck с равномерно
распределенным
случайным
with correlations
ck in R|�| for every
key k. Suppose that
the prior distribution
ключом k является многомерным
нормальным
распределением
of ck with a uniform random key k is given byс aнулевым
multivariate normal
средним и ковариационной матрицей Σ. Будем использовать предположения
distribution with mean zero and covariance matrix �. Use the assumptions
простой модели.
of the simple model.
1. Покажите, что существует линейная замена переменных эмпирических
1. Show that there exists a linear change of variables of the empirical
корреляций, такая что статистика критерия логарифмического отношеso that
logarithmic
likelihood-ratio testравна
statistic is, up to
ния правдоподобияcorrelations
с точностью
доthe
сдвига
и масштабирования
scaling
and
translation,
equal
to
a
weighted
sum
of
squares.
взвешенной сумме квадратов.
√
2. Show that the data-complexity
is proportional to 1 Tr � �..
2. Покажите, что информационная
сложность пропорциональна
Property of Cambridge University Press do not share or copy
Глава 8
Аппроксимации с нулевой
корреляцией
Традиционно в линейном криптоанализе используются линейные аппроксимации с атипично большой абсолютной корреляцией. Но в этой главе мы
рассмотрим, как можно использовать аппроксимации с нулевой корреляцией.
Этот вариант линейного криптоанализа называется линейным криптоанализом с нулевой корреляцией.
8.1. Идея
Грубо говоря, для атаки с восстановлением ключа в стиле алгоритма 2 Мацуи
достаточно найти такое свойство внутренней части шифра, которое позволяет
отличить правильные догадки от неправильных. В простой модели из главы 4
предполагается, что корреляции линейных аппроксимаций для неправильных ключей равны нулю. С точки зрения этой упрощенной модели, линейная
аппроксимация с нулевой корреляцией бесполезна. Однако, как обсуждалось
в главе 7, корреляции для неправильных ключей не в точности равны нулю
при более точных гипотезах рандомизации с неправильным ключом, например в модели случайной перестановки.
Хотя из модели случайной перестановки следует, что линейные аппроксимации с нулевой корреляцией могли бы быть полезны в принципе, необходимо решить некоторые проблемы. Первая из них – нахождение линейных аппроксимаций с нулевой корреляцией. Трудность в том, что недостаточно, чтобы корреляция была малой, – она должна быть в точности равна нулю. Этой проблемой мы
займемся в разделе 8.2. Еще один вопрос – являются ли аппроксимации с нулевой
корреляцией достаточно «примечательными», чтобы принести пользу в качестве
различающих свойств. Вероятность успеха всегда можно сделать близкой к единице, если использовать все возможные пары (открытый текст, шифртекст) для
вычисления корреляции, но чтобы отфильтровать достаточное число неправильных ключей, должна быть также близка к нулю вероятность ложноположительного результата. В конце концов, согласно теореме 7.3, нуль по-прежнему является
наиболее вероятным значением корреляции для случайной перестановки.
Причина, по которой низкие вероятности ложноположительного результата
достижимы, связана с несколько противоречащим интуиции (по крайней мере
для неспециалистов) свойством распределений вероятностей. По мере увели-
110
Аппроксимации с нулевой корреляцией
чения числа возможных исходов вероятность каждого отдельного исхода – даже
самого вероятного – уменьшается. Но для вероятностей достаточно широких
интервалов исходов это уже не так. Применяя данный факт к случаю линейного
криптоанализа, мы видим, что для перестановки, выбранной равномерно случайным образом, большинство приближений будут иметь корреляцию, «близкую к нулю», но корреляция, в точности равная нулю, встречается редко.
Аппроксимацию с нулевой корреляцией можно использовать в качестве
различающего свойства при условии, что наша оценка корреляции достаточно
точна, чтобы различить нуль и «близко к нулю». Если доступна только одна
аппроксимация с нулевой корреляцией, то это приводит к информационной
сложности, близкой к 2n для n-битовой функции. В разделах 8.3 и 8.4 обсуждаются методы уменьшения информационной сложности.
Наконец, заметим, что в принципе каждое значение корреляции (или даже
диапазон значений) можно было бы использовать в качестве различителя,
если корреляция известна достаточно точно. Нулевое значение является особым, поскольку часто проще показать, что некоторые линейные аппроксимации имеют нулевую корреляцию.
8.2. Нахождение аппроксимаций
с нулевой корреляцией
Как показано в следствии 2.8, корреляцию линейной аппроксимации можно
записать в виде суммы корреляций линейных следов. Хотя достаточно, чтобы
была равна нулю сумма корреляций следов, почти все аппроксимации с нулевой корреляцией, описанные в литературе, обладают тем свойством, что все
линейные следы имеют нулевую корреляцию.
Существование линейных аппроксимаций, таких что все следы имеют нулевую
корреляцию, и тот факт, что некоторые из них легко найти, связаны с использованием функций с большим числом линейных разветвлений (см. определение 3.1) и,
более общо, с использованием раундовых функций с простой структурой.
Если все линейные следы внутри линейной аппроксимации имеют нулевую корреляцию, то это можно проверить с помощью автоматизированных
методов из главы 3. Достаточно искать линейные следы с ненулевой корреляцией, не пытаясь максимизировать их корреляцию: если ни одного решения
не найдено, то линейная аппроксимация имеет нулевую корреляцию. К сожалению, этот подход не дает ответа на вопрос, какие линейные аппроксимации
имеют нулевую корреляцию.
Ниже мы обсудим более информативный метод потери посередине, который
часто можно применить вручную. Прежде чем обсуждать этот метод в общем виде,
мы приведем пример для трех раундов демонстрационного шифра из раздела 1.1.
Пример 8.1 (потеря посередине). Рассмотрим три раунда демонстрационного
шифра из раздела 1.1, представленных на рис. 8.1. Этот пример показывает,
что линейная аппроксимация (u, v) = (000000001, 000000001) имеет нулевую
корреляцию. Чтобы установить это, мы рассмотрим все линейные аппроксимации с входной маской 000000001 в первой половине шифра и все линейные
аппроксимации с выходной маской 000000001 во второй половине.
S
S
S
8.2. Нахождение аппроксимаций с нулевой корреляцией 111
S
S
F
S
S
B
S
S
Figure 8.1 Zero-correlation linear approximation using miss-in-the-middle.
S
S
S
Example 8.1 (Miss-in-the-middle) Consider three rounds of the example
cipher from Section 1.1 as in Figure 8.1. This example shows that the linear
approximation (u,v)
= (000000001,000000001)
has correlation
zero. To do
S
S
S
so, we consider all linear approximations with input mask 000000001 over
the first half of the cipher and all linear approximations with output mask
Рис. 8.1.
Нахождение
линейной
с нулевой корреляцией методом потери
000000001
over the
secondаппроксимации
half.
посередине
Let Ek = B ◦ F, with F and B as indicated in Figure 8.1. In particular,
F consists of the first round and the S-box layer of the second round, and B
Пусть Ek = B ◦ F, где F и B показаны на рис. 8.1. А именно F состоит из первоconsists
of the bit-permutation
of the раунда,
second round
and
S-box layer of битов
the
го раунда
и уровня
S-блоков второго
аB–
изthe
перестановки
во
round.
The correlation
of (u,v)
over Eраунда.
to
k is equal
второмthird
раунде
и уровне
S-блоков
третьего
Корреляция
(u, v) на Ek равна
Ek
B
F
Cv,u
=
Cv,w
Cw,u
..
w∈F92
Hence,
to show
that (u,v)
is av)zero-correlation
linear approximation,
it is апЗдесь,
чтобы
показать,
что (u,
– линейная аппроксимация
с нулевой
F = 0 or C B = 0.
F
sufficient
to
show
that
for
all
trails
(u,w,v),
either
C
проксимацией, достаточно показать, что для всех следов
(u, w,
v) либо Cw,u
= 0,
w,u
v,w
B
S
либо C w,u Since
= 0. row 001 of C contains nonzero entries only in columns ab1 with a
S
B �= 0Ccan
Поскольку
строка
001 матрицы
содержит
ненулевые
элементы только
and b in F
Cv,w
be rewritten
as
2 , the condition
B
в столбцах ab1, где a, b ∈ 𝔽2, условие
в виде
C w,u ≠ 0 можно переписать
w ∈ V = 00100b00a | a,b ∈ F2 .
w ∈ V = {00100b00a} | a,b ∈ 𝔽2}.
Similarly,
column
001
C S has nonzero
entries inненулевые
rows ab1 with
a and b in
Аналогично столбец 001ofматрицы
CS содержит
элементы
в строF2 .где
Hence,
first round, all masks
lead to раунда
a nonzeroвсе
correlation
ках ab1,
a, b after
∈ 𝔽2the
. Следовательно,
послеthat
первого
маски, котоS only
are of the кform
0b00a0010.
From the property
column
010 of CИз
рые приводят
ненулевой
корреляции,
имеютthat
вид
0b00a0010.
того, что
F
S rows a1b with a and b in F , it follows that C
has010
nonzero
entriesCin
�= 0 a1b,
столбец
матрицы
содержит ненулевые элементы
только в w,u
строках
2
F
где a, bimplies
∈ 𝔽2, следует, что Cw,u
≠ 0 влечет за собой
ww ∈∈ U
={cc‖ a1b
a1b||a,
a,b
U=
b ∈∈ 𝔽F22,,c
c ∈∈𝔽F2662}. .
Если существует линейный след (u, w, v) для B ◦ F с ненулевой корреляцией,
то w ∈ U и w ∈ V, как было показано выше. Однако U и V не пересекаются, поof Cambridge
University
Press do not share or copy
этому (u, v)Property
– аппроксимация
с нулевой
корреляцией.
Проверьте, что то же рассуждение работает для любой маски v, в которой
три средних бита равны нулю. Например, каждая из (000000001, 000000010),
(000000001, 000000100) и (000000001, 000000110) – линейная аппроксимация
с нулевой корреляцией.
В упражнении 8.1 вам будет предложено показать, что все линейные аппроксимации с входной маской 000001000 или 000001001 и выходной маской,
в которой все биты, кроме первых трех, равны нулю, также имеют нулевую
корреляцию.
⊳
alsoExercise
have correlation
zero.
8.1000001001
asks you
to and
showoutput
that allmask
linearzero
approximations
000001000
or
except in thewith
firstinput
threemask
bits�
000001000
or the
000001001
mask zerothat
except
the first three
bits
also
correlation
zero. and output technique
�
Inhave
general,
miss-in-the-middle
wasinillustrated
in Examalso
have
correlation
zero.
�
pleIn8.1general,
works as
Let Ek = B◦F
be a cipher,
F and B correspond
thefollows.
miss-in-the-middle
technique
thatwhere
was illustrated
in Exam112
Аппроксимации
с нулевой into
корреляцией
to an
arbitrary
decomposition
twotechnique
parts.
Forthat
example,
might
consist
of
In
the
miss-in-the-middle
was illustrated
in Exambe a cipher,
where
FFand
B correspond
ple
8.1general,
works as
follows.
Let Ek = B◦F
thean
first
rF rounds
of the Let
cipher,
and
B parts.
of
remaining
The missbethe
a cipher,
whererBFFrounds.
and
B correspond
ple
8.1
works
asdecomposition
follows.
Einto
to
arbitrary
two
For
example,
might
consist
ofв приk = B◦F
В общем
случаеapproach
метод потери
посередине,
проиллюстрированный
+ rof
in-the-middle
leads
to
zero-correlation
approximations
for
rF missB
to
an
arbitrary
decomposition
into
two
parts.
For
example,
F
might
consist
the
first
r
rounds
of
the
cipher,
and
B
of
the
remaining
r
rounds.
The
F
B
мере 8.1, работает следующим образом. Пусть Ek = B ◦ F – шифр, где F и B соrounds.
the first произвольному
rF rounds
of theleads
cipher,
B of the
rBНапример,
rounds.forThe
in-the-middle
approach
to and
zero-correlation
rF Fmiss+могла
rB
ответствуют
разложению
на remaining
двеapproximations
части.
бы
Starting from
an input
mask
u, which typically
has a particular
structure
in-the-middle
approach
leads
to
zero-correlation
approximations
for
r
+
rBМетод
rounds.
F
состоять из первых rF раундов шифра, а B – из остальных rB раундов.
such
as having
lowinput
Hamming
weight,
determine
aa set
of output
masks для
Starting
fromaприводит
an
mask
u,
whichwe
typically
particular
structure
потериrounds.
посередине
к аппроксимациям
сhas
нулевой
корреляцией
w
such
that
(u,w)
might
have
nonzero
correlation
over
F.
This
is
typically
Starting
froma an
mask u,
whichwe
typically
has aaset
particular
structure
rF + rB раундов.
such
as having
lowinput
Hamming
weight,
determine
of output
masks
done
by
propagating
masks
forward
round
bydetermine
round,
likeaспециальную
in
8.1.
This
Начав
с as
входной
u,have
которая
обычно
имеет
структуру,
such
having
aмаски
low
Hamming
weight,
we
set
of output
masks
w
such
that
(u,w)
might
nonzero
correlation
over
F.Example
This
is typically
results
in
a
set
of
masks
U
such
that
например
низкий
вес Хэмминга,
мыround
определяем
w such
(u,w)
might
nonzero
correlation
overinF.Example
Thisвыходных
is 8.1.
typically
done
by that
propagating
maskshave
forward
by round,множество
like
This масок
w такое,
что
(u,
w)
могла
бы
иметь
ненулевую
корреляцию
на
F.
Как
done
by
propagating
masks
forward
round
by
round,
like
in
Example
8.1.
Thisправиresults in a set of masks U such that
F
ло, этоresults
делается
путем
распространения
масок
вперед
раунд
за
раундом,
как
⊇ w
∈ Fn2 | C
=
�
0
.
in a set
of masks
UUsuch
that
w,u
масок
в примере 8.1. Это дает множество
n U,
F такое что
U ⊇ w ∈ F2 | Cw,u �= 0 .
F we determine a set of masks V
Similarly, starting from U
an ⊇
output
w ∈mask
Fn2 | Cv,w,u
�= 0 .
such
that
Similarly, starting from an output mask v, we determine a set of masks V
Аналогично,
начав с выходной маски
определяем
множество масок V,
Similarly,
maskv,v,мы
such
that starting from an output
B we determine a set of masks V
такое что
V ⊇ w ∈ Fn2 | Cv,w
�= 0 .
such that
B
V ⊇ w ∈ Fn2 | Cv,w
�= 0 .
B
To construct V , the mask V
v is⊇propagated
B round by round.
w ∈ Fn2 | backwards
Cv,w
�= 0 through
.
ДляTo
построения
V
маска
v
распространяется
назад
через
B
раунд
заorраундом.
Theconstruct
sets U and
V are
typically
describedbackwards
implicitly,through
such asBby
patterns
by
V , the
mask
v is propagated
round
by round.
Множества
U
и
V
обычно
описываются
неявно,
например
с
помощью
паттерlinear
equations,
rather
than
in
terms
of
their
elements.
The
correlation
of
the
To
construct
V
,
the
mask
v
is
propagated
backwards
through
B
round
by
round.
The sets U and V are typically described implicitly, such as by patterns or by
нов или
линейных
уравнений,
а
не
в
терминах
их
элементов.
Тогда
корреляция
linear
approximation
given
by
The
sets
U and Vrather
are(u,v)
typically
described
implicitly,
such
as correlation
by patternsof
or the
by
linear
equations,
thanisinthen
terms
of their
elements.
The
линейной аппроксимации (u, v) имеет вид
equations, rather
thanisinthen
terms
of their
linear approximation
(u,v)
given
by elements. The correlation of the
Ek
B
F
= given by
Cv,w
Cw,u
..
linear approximation (u,v)Cis
v,uthen
w∈U ∩V B
Ek
F
Cv,u = Cv,w Cw,u .
Ek
B
F
Cпусто,
Cw,u
.
∩V C
Следовательно,
если
U
∩
V
v)v,w
– линейная
аппроксимация
v,u = w∈U
Hence, if U ∩V is empty, then
(u,v)тоis(u,
a zero-correlation
linear
approximation.с нулеw∈U ∩V
вой корреляцией.
The ifchoice
ofempty,
the approximation
depends on
theapproximation.
details of the
Hence,
U ∩V is
then
(u,v) is a (u,v)
zero-correlation
linear
Выбор
аппроксимации
(u,
v) зависит
от
деталей функции.
В типичном слуfunction.
Typically,
the
structure
of
F
and
B
suggests
one
or
more
promising
Hence,
ifchoice
U ∩V of
isFempty,
then (u,v) is a(u,v)
zero-correlation
linear
The
theB approximation
on
the approximation.
details
of the
чае сама
структура
и
предполагает
одинdepends
или несколько
перспективных
candidates.
The choice
of the
(u,v)
depends one
on or
themore
details
of the
function.
Typically,
the approximation
structure of F and
B suggests
promising
кандидатов.
function. Typically, the structure of F and B suggests one or more promising
candidates.
Property of Cambridge University Press do not share or copy
candidates.
спользование
аппроксимаций
Property of Cambridge
University Press do not share or copy
Property of Cambridge University Press do not share or copy
8.3. И
с нулевой корреляцией
В этом разделе мы более подробно рассмотрим, как линейные аппроксимации с нулевой корреляцией можно использовать в качестве различителя. Анализ предполагает, что доступно достаточное количество пар (открытый текст,
шифтекст) для вычисления точных корреляций аппроксимаций.
Если корреляции можно вычислить точно, то вероятность успеха равна единице. Первая цель этого раздела – вычислить соответствующую вероятность
ложноположительного результата.
На первый взгляд, линейный криптоанализ с нулевой корреляцией может
показаться непрактичным, потому что для вычисления точных корреляций,
похоже, требуются все возможные пары (открытый текст, шифртекст). Вторая цель этого раздела – показать, что при наличии нескольких аппроксимаций часто бывает достаточно меньшего числа выбранных пар (открытый
текст, шифртекст).
because computing exact correlations appears to require all possible plaintextpositive probability.
ciphertext pairs. The second goal of this section is to show that a smaller
At first sight, zero-correlation linear cryptanalysis might seem impractical
number of chosen plaintext-ciphertext pairs are often sufficient when multiple
because computing exact correlations appears to require all possible plaintextapproximations are available.
Использование
аппроксимаций
с нулевой
корреляцией
113
ciphertext 8.3.
pairs.
The second goal
of this section
is to show
that a smaller
number of chosen plaintext-ciphertext pairs are often sufficient when multiple
8.3.1.8.3.1
Одна
аппроксимация
approximations
are available.
Single
approximation
Аппроксимацию
с
нулевой
корреляцией
восстаA zero-correlation approximation
can be можно
used forиспользовать
key-recovery byдля
using
новления ключа, если воспользоваться проверкой статистических гипотез.
statistical
hypothesis
testing. Most of the techniques from Sections 4.2 and 5.1
8.3.1 Single
approximation
Большинство
методов
из разделов 4.2 и 5.1 применимо без каких-либо изare applicable without adjustments.
менений.
A zero-correlation approximation can be used for key-recovery by using
As explained
in Section
5.1, the
block
cipher is
subdivided
into an inner part
Как statistical
было
объяснено
разделе
5.1,
шифр
разбивается
hypothesisв testing.
Most
ofблочный
the techniques
from
Sections 4.2 на
andвнутрен5.1
and
an
outer
part,
consisting
of
the
functions
F
and
B
.
The
zero-correlation
l F и B k. Аппроксимация
нюю и are
внешнюю
части,
состоящие
из
функций
с нулеl
k
applicable without adjustments.
approximationприменяется
holds over the кinner
part. The estimated
correlation
over the для
вой корреляцией
внутренней
части.
Оценка
корреляции
As explained in Section 5.1, the block cipher is subdivided into an inner part
inner part
is computed
using (5.1):
внутренней
части
вычисляется
по формуле (5.1):
and an outer part, consisting of the functions Fl and Bk . The zero-correlation
q
approximation holds over the 1inner
part. The estimated correlation over the
ck,l =
(−1)Fl (xi )+Bk (yi )..
q
inner part is computed using (5.1):
i=1
q
1 криптоанализа,
Unlike inотordinary
linearлинейного
cryptanalysis,
we use all possible plaintext-ciphertext
В отличие
обычного
ck,l =
(−1)Fl (xi )+Bk (yi ) . для вычисления ^c k,l мы
pairs
to
compute
c
.
Hence,
the
“estimate”
equalsшифртекст).
the actual correlation.
In
q
k,l
используем все возможные
пары (открытый
текст,
Следовательно,
i=1
^
particular,
c
=
0
if
k
and
l
are
the
right
keys.
For
incorrect
keys,
we
use
the
k,l
«оценка» равна фактической
корреляции. В частности, c = 0, если k и l являются
Unlike in ordinary linear cryptanalysis, we use all possiblek,lplaintext-ciphertext
wrong-key-randomization
based on
the random
model
правильными
ключами. Для hypothesis
неправильных
ключей
мы permutation
используем
гипотезу
pairs to compute
c . Hence, the “estimate” equals the actual correlation. In
рандомизации
с неправильным
ключом,
основанную
модели
from Section
7.3.3.k,lIn this model,
it is unlikely
that
ck,l =на
0. The
exact случайной
probparticular,
ck,l
= 0 if k7.3.3.
and l are
the модели
right keys.
For incorrect keys,
we
use
^c general
перестановки
раздела
этой
маловероятно,
= 0.the
Точная
ability is из
given
by Corollary В8.2,
which is a consequence
of theчто
more
k,l
wrong-key-randomization
hypothesis
based
on
the
random
permutation
model
вероятность
определяется
следствием
8.2, которое
вытекает
изtest.
более общей
Theorem
8.1. This probability
is the false-positive
probability
of the
from
Section
7.3.3. In this model,
it is unlikely
that
ck,l =ложноположительного
0. The exact probтеоремы
8.1.
Эта вероятность
является
вероятностью
Theorem
8.1
(Correlation
for
a
random
permutation)
Let
F be
a uniform
abilityпроверки.
is given by Corollary
8.2, which is a consequence of the
more
general
результата
n
random
on F2 . Theis probability
that a linear
approximation
(u,v)
Theorempermutation
8.1. This probability
the false-positive
probability
of
the
test.
n − 1, is equal to
of
F
with
u,v
=
�
0
has
correlation
4w/2
Теорема
8.1 (корреляция
дляfor
случайной
перестановки).
– случайная
Theorem
8.1 (Correlation
a random permutation)
LetПусть
F be aFuniform
2n−1 2
равномерно распределенная перестановка
на 𝔽2n. Вероятность
того, что линейная
n
random permutation on F2 . The probability that a linear approximationn (u,v)
F
аппроксимация (u, v) перестановки
с u,nv ≠ 0 имеет
4w/2 − 1, равна
Cv,u
=F
4w/2
,
w2nкорреляцию
to
of F with u,v �= 0 hasPrcorrelation
4w/2n−−1 1,=is equal
2n−1
2n−1 2
assuming that w ≤ 2n−1 is Fa nonnegative
n integer. w
Pr Cv,u = 4w/2 − 1 = 2n ,
2n−1not share or copy
Property of Cambridge University Press do
assuming thatчто
w ≤w 2≤n−1
nonnegative integer. число.
в предположении,
2n−1is–aнеотрицательное
n
Property
of Cambridge
University Press
not доказательства
share or copy резульДоказательство.
Существует
2n! перестановок
на 𝔽do
. Для
2
тата достаточно подсчитать количество перестановок, таких что (u, v) имеет
корреляцию 4w/2n − 1, где 0 ≤ w ≤ 2n−1. Для этого разобьем 𝔽2n на два подмножест
ва: {x ∈ 𝔽2n | uTx = 0} и {x ∈ 𝔽2n | uTx = 1}. Это приводит к следующему распределению
входных значений (как в доказательстве теоремы 1.1):
vTF(x) = 0
vTF(x) = 1
uT x = 0
uTx = 1
w
2n−1 − w
2n−1 − w
w
Существует 2n−1 значений x, таких что uTx = 0. Что касается образов F(x), значения w должны принадлежать множеству {y ∈ 𝔽2n | vTy = 0}, а значения 2n−1 − w –
его дополнению. Следовательно, число способов выбрать образы равно
n−1 values x such that u x = 0. For the images F(x), w values
There are 2n−1
There are 2n−1
values xnsuch that u x = n−1
0. For the images F(x), w values
must be
{y ∈ F
| v ythat
= 0}
− wthe
in its
complement.
There
arein 2the setvalues
x n2such
u and
x =2n−1
0. For
images
F(x), w Hence,
values
must be in the set {y ∈ Fn2 | v y = 0} and 2n−1
− w in its complement. Hence,
the number
of set
ways
choose
the
images
is
must
be in the
{y to
∈F
|
v
y
=
0}
and
2
−
w
in
its
complement.
Hence,
2
the number of ways to choose
the images is
114
Аппроксимации
с нулевой
корреляцией
the number
of ways to
choose
n−1 the images
is n−1 2
n−1
2n−1 2n−1
2n−1 2
2n−1 = 2n−1
2 .
2n−1 n−1
.
2 − w = 2w
2w
2n−1
..
w
2n−1
−w =
w
w
2
−w
w
n−1 ! ways to assign these images to the inputs x, so the number of
There are 2n−1
! ways to assign these images to the inputs x, so the number of
There are 2n−1
n−1
Существует
! способов
сопоставить
этиuto образы
x, number
поэтому
assignments
to inputs
x with
xthe=inputs
0 isвходам
There
are 22 of
!images
ways toF(x)
assign
these images
x, so the
of число
assignments
of
images
F(x)
to inputs
x with что
u x u=Tx0=is0, равно
сопоставлений
F(x)
входам
x, таким
assignmentsобразов
of images
F(x)
to inputs
x
with
u
x
=
0
is
n−1 2
2n−1
2
n−1 2
2n−1 ! n−1 2 .
..
2n−1
! 2w
w
2 !
.
w
For
the assignments
of images F(x)
to inputs
x входам
such that x,
u xтаким
= 1, the
set of
ЧтоFor
касается
сопоставлений
образов
F(x)
что
the
assignments
of
images
F(x)
to
inputs
x
such
that
u
x = 1, the
set uofTx = 1,
n−1 − w images from {y ∈ Fn | v y = 0} must be the complement
2
of
the
n−1
n u Tx = 1, the set set
For
assignments
of imagesпринадлежащих
F(x) to inputs x such
of
n−1the
то множество
− wfrom
образов,
{y the
∈that
𝔽 complement
| v y = 0},of
должно
2n−1
− w 2images
{y ∈ Fnn22 | v y = 0} must be
the set быть
2
values
that has
already
been
chosen
for
the
case
u
x
=
0.
Similarly,
the
2of w −
wмножества
images
from
{y ∈ F
|
v
y
=
0}
must
be
the
complement
of
the
set
дополнением
значений
w,
которые
уже
были
выбраны
для
2
of w values that has alreadynbeen
theслучая
chosen for the case u x = 0. Similarly,
n the
setАналогично
w values
{y ∈ Fn2been
| значений
v ychosen
= 0} has
already
Hence,
of
wofvalues
thatfrom
has
already
for
the
casebeen
u x determined.
= 0. Similarly,
uTx = 0.
множество
w,
принадлежащих
{y
∈
𝔽
|
vTy = 0},
2
set of w values from
∈ Fn2 | v y = 0} has already been determined.n−1
Hence,
n−1 ! {y
since
there
are 2from
ways
to
assign
the
images
to
the
inputs,
the
total
number
set
of определено.
w values
{y
∈
F
|
v
y
=
0}
has
already
been
determined.
Hence,
уже было
Следовательно,
поскольку
существует
2
!
способов
n−1 ! ways to
2 assign the images to the inputs, the total number
since there are 2n−1
сопоставить
образы
входам,
количество
перестановок
с корреляцией
4w/2n − 1
of permutations
correlation
4w/2
−
1 is exactly
since
there
are 2 with
! ways
to assign
then images
to the inputs,
the total number
of permutations with correlation 4w/2nn − 1 is exactly
в точности
равно
of permutations with correlation 4w/2 − 1 is exactly
n−1 22
n−1 2 2n−1
2n−1
! 2 2n−1 2 .
2n−1 ! 2 2 w
..
w
.
2 !
w
Dividing by the total number of permutations yields the following probability:
Деление
наby
общее
количество
перестановок
дает
вероятность:
Dividing
the total
number
permutations
the
following
“9781009607865book”
—of2025/12/2
2025/12/2
— yields
14:12
—следующую
page 113
113probability:
—
#125
“9781009607865book”
—
—
14:12
—
page
—
#125
Dividing
by the total number
of permutations
yields
the
following
probability:
n−1 2 2n−1 2
2n−1 2
2n−1 ! 2 2n−1 2
2n−1 2
w 2
w 2 .
2n−1
! 2 2n−1
= 2n−1
.
w
n
2n
2 ! 2n ! w
= ww2n−1
.
n
2
2n !
= 22n−1
n .
2
!
8.3 Using
Using zero-correlation
zero-correlation approximations
approximations
113
2n−1
8.3
113
На этом
доказательство
завершается.
□
This completes
the proof.
This completes the proof.
This completes the proof.
Следствие 8.2 (нулевая корреляция для случайной перестановки). Пусть F –
Corollary 8.2
8.2 (Zero-correlation
(Zero-correlation for
for aa random
random permutation)
permutation) n Let
Let F
F be
be aa uniuniCorollary
случайная
равномерно
распределенная
перестановка
на 𝔽2. Вероятность
того,
n
n
form
random
permutation
on
F
.
The
probability
that
a
linear
approximation
Property
of Cambridge
University
Press do
not
share
or copy
formProperty
random
permutation
on
The probability
approximation
что линейная
аппроксимация
(u, Fv)
Fthat
сnot
u,a vlinear
≠ 0 имеет
нулевую кор22 .перестановки
of Cambridge
University
Press do
share
or copy
(u,v)
of F
F with
withofu,v
u,v
�= 00 has
has correlation
correlation
zero,
is equal
equal
to share or copy
Property
Cambridge
Universityzero,
Press
do not
(u,v)
of
�=
is
to
реляцию,
равна
22
n−1
22n−1
2 −n/2
n−2
FF
−3n/2
2n−2
2
= 22 2 22−n/2
Pr C
Cv,u =
= 00 =
= 2nn =
+O
O 22−3n/2
Pr
+
,,,
v,u
2n−1
π
π
2n−1
2
as→n
n∞.
→ ∞.
∞.
→
когда nas
n−2 The
Proof The
The Результат
result follows
follows
fromиз
Theorem
8.18.1,
byесли
taking
w =
= 22n−2
Доказательство.
следует
теоремы
положить
w =..2n−2
. АсимProof
result
from
Theorem
8.1
by
taking
w
The
asymptotic
expansion
follows
from
the
following
estimate:
птотическое
равенство
вытекает
из
следующей
оценки:
asymptotic expansion follows from the following estimate:
2N
2N
2N
22√2N N −1/2
−1/2
−3/2
−3/2
=
+
O(N
)
+ O(N
) , ,,
N = √π
π N
N
которая
является
следствием
аппроксимации
факториала
по формуле
which
is aa consequence
consequence
of Stirling’s
Stirling’s
approximation
for the
the factorial.
factorial.
Стирwhich
is
of
approximation
for
линга.
□
Corollary 8.2
8.2 implies
implies that
that if
if there
there are
are K
K possible
possible keys,
keys, approximately
approximately
Corollary
Из следствия
вытекает,
что
еслиafter
существует
K возможных
то
n/2 of these
n/2
PFF K
K≈
≈ 0.8
0.8 8.2
× K/2
K/2
remain
filtering. Although
Although
there are
areключей,
cases
×
remain
afterостаются
filtering.
there
cases
P
≈ 0.8of×these
K/2n/2
из них
после фильтрации.
Хотя
приблизительно
PFK n/2
n/2
keys, this
this is
is usually
usually not
not aa problem
problem because
because there
there is
is often
often
with more
more than
than 22 keys,
with
more
than
one
zero-correlation
linear
approximation
available.
more than one zero-correlation linear approximation available.
The downside
downside of
of zero-correlation
zero-correlation linear
linear cryptanalysis
cryptanalysis is
is that,
that, since
since all
all
The
possible plaintext-ciphertext
plaintext-ciphertext pairs
pairs are
are used
used to
to evaluate
evaluate the
the correlation,
correlation, the
the datadatapossible
which is a consequence of Stirling’s approximation for the factorial.
Corollary 8.2 implies that if there are K possible keys, approximately
n/2 of these remain
Использование
аппроксимаций
с нулевой
корреляцией
115
PF K ≈ 0.88.3.
× K/2
after filtering.
Although
there are cases
n/2
with more than 2 keys, this is usually not a problem
because there is often
встречаются
случаи,
когда ключей
больше,
чем 2n/2,available.
обычно это не составляет
more than
one zero-correlation
linear
approximation
проблемы, потому что часто доступно более одной линейной аппроксимации
The downside of zero-correlation linear cryptanalysis is that, since all
с нулевой корреляцией.
possible plaintext-ciphertext pairs are used to evaluate the correlation, the dataНедостаток линейного
криптоанализа с нулевой корреляцией заключается
complexity
is 2nдля
. If the
outer part of
the cipher consists
only of one
more
в том, что
поскольку
вычисления
корреляции
используются
всеorвозможные
final
rounds,
i.e.,
F
(x)
=
u
x
with
u
the
input
mask,
then
by
Exercise
1.7
l
пары (открытый текст, шифртекст), информационная сложность
равна 2itn. Если
n
is
sufficient
to
encrypt
all
inputs
in
the
set
{x
∈
F
|
u
x
=
0}.
However,
a
внешняя часть шифра состоит только из одного или
2 более конечных раундов,
n−1 is still impractical in most cases. Section 8.3.2 shows
T
data-complexity
of
2
т. е. Fl(x) = u x, где u – входная маска, то, в силу упражнения 1.7, достаточно
that if multiple
zero-correlation
approximations
are available,
dataзашифровать
все входы,
принадлежащие
множеству
{x ∈ 𝔽2nthen
| uTxthe
= 0}.
Однако
n−1
информационная
complexity canсложность
be reduced.2 в большинстве случаев все еще непрактична.
В разделе 8.3.2 показано, что если доступно несколько аппроксимаций
с нулевой корреляцией, то информационную сложность можно уменьшить.
8.3.2 Multiple approximations
8.3.2.LetНесколько
аппроксимаций
� be a multidimensional linear approximation. If � has capacity zero, then
Пусть ΛCorollary
–
многомерная
аппроксимация.
емкость
Λ равна
“9781009607865book”
— 14:12 Если
— page
114 —
#126 нулю,
6.6 impliesлинейная
that — 2025/12/2
— 2025/12/2 — 14:12 — page 114 — #126
то, в силу“9781009607865book”
следствия 6.6,
1
1
F
..
(−1)u s+v t Cv,u
=
Pr (x,F(x)) ≡ (s,t) mod �⊥ =
|�|
|�|
(u,v)∈�
114
Zero-correlation approximations
114
Zero-correlation
approximations
Иными
словами,
случайная
равномерно
In other
words,если
if x x
is –uniform
random,
then so is распределенная
(x,F(x)) mod �⊥ .величина,
The
⊥
то таковой является и (x, F(x)) mod Λ . Обратное
тоже
верно: если (x, F(x)) mod
⊥
converse
relation also
if (x,F(x))
mod � is
uniformly distributed,zerothen
This provides
anholds:
alternative
description
Λ⊥ распределена
равномерно,
то ненулевые
парыofв Λmultidimensional
являются линейными апthe
nonzero
pairs
in
�
are
linear
approximations
with
correlation
zero.
This
provides
an
alternative
description
of
multidimensional
zerocorrelation linear
cryptanalysis,
but it does not reduce the data-complexity.
проксимациями
с нулевой
корреляцией.
nthe data-complexity.
correlation
linear
but
it does
not
reduce
if �
= �cryptanalysis,
with �
Fn2 and
�out
⊆ Fлинейного
6.6
Это However,
дает альтернативное
описание
криптоанаin ⊕�out
in ⊆многомерного
2n, then Corollary
n
However,
if
�
=
�
⊕�
with
�
⊆
F
and
�
⊆
F
6.6
in
outно не уменьшает
in
out
лиза сimplies
нулевой
корреляцией,
информационную
сложность.
that
2
2 , then Corollary
Property of Cambridge University
Press
do not share or copy
n
n
Однакоimplies
если Λthat
= Λin⊕Λout, где Λin ⊆ 𝔽2 и Λout ⊆ 𝔽2, то, в силу следствия 6.6,
1
1
F
Pr F(x) ≡ t mod �⊥
=
(−1)u s+v t Cv,u
=
out
1
1 ,
⊥
u
s+v
t
F
Pr F(x) ≡ t mod �out = |�out | (u,v)∈� (−1)
Cv,u = |�out | ,
|�out |
|�out |
(u,v)∈�
for x uniform random on s + �⊥
in . This result can be used to reduce the⊥ dataдля случайной
величины
x, sравномерно
распределенной на s + Λ . Этот реfor x uniform
random on
+ �⊥
complexity.
in . This result can be used to reduce thein dataзультатcomplexity.
можно использовать для уменьшения информационной⊥сложности.
In particular, it suffices to encrypt a set of the form
s + �in . The
А именноInдостаточно
зашифровать
множество
+form
Λ⊥in. Тогда
для
⊥ . различеparticular,
it suffices
to encrypt
a set вида
of that
thes the
s + of
�
The
distinguishing
property
then
consists
of
verifying
number
ininputs
ния нужно проверить, что множество
входов
x,
таких
что
F(x)
≡
t
mod
Λ⊥out, одиn inputs
⊥
⊥
distinguishing
property
then
consists
of
verifying
that
the
number
of
suchвсех
that F(x)
≡ t mod
is .the
same for all values
of t in F2 /�out . сложнаковоx для
значений
t ∈�
𝔽nout
/Λ⊥out
Следовательно,
информационная
x such the
thatdata-complexity
F(x) ≡ t mod �2⊥
for all values of t in Fn2 /�⊥
out is2nthe
out .
Hence,
/|�same
in |.
ность составляет
всего 2n/|Λin|. is only
Hence, the data-complexity is only 2n /|�in |.
8.2 Let
�in ⊕, �где
out with
in = Span{000000001,000001000}
ПримерExample
8.2. Пусть
Λ =�Λ=
⊕Λ
Λin =�Span{000000001,
000001000} и Λout =
Example
8.2= Let
� in= �inout⊕ �out with
�in = Span{000000001,000001000}
and
�
Span{000000001,000000010,000000100}.
was shown in8.1 поout
Span{000000001, 000000010, 000000100}. В примере 8.1 и вItупражнении
and
�
=
Span{000000001,000000010,000000100}.
It
was shown
in
out
Example
8.1
and
Exercise
8.1
that
�
is
a
multidimensional
zero-correlation
казано, что Λ является многомерной линейной аппроксимацией
с нулевой
Example
8.1 and
8.1 демонстрационного
that � of
is athe
multidimensional
zero-correlation
linear
approximation
for three
rounds
example cipher.
Hence,
if x is
корреляцией
для
трехExercise
раундов
шифра.
Следовательно,
⊥
⊥ if x is
linear
approximation
for
three
rounds
of
the
example
cipher.
Hence,
если x uniform
– случайная
величина,
распределенная на s + Λ in, то
random
on s + �inравномерно
, then
uniform random on s + �⊥
in , then
1
Pr Ek (x) ≡ t mod �⊥
= 1,,
out
⊥
Pr Ek (x) ≡ t mod �out = 8 ,
8
of the example cipher.
триEраунда
демонстрационного
шифра.
где Ek –with
k three rounds
⊥ the
three space
rounds�of
example cipher.
with
TheEkvector
in⊥ consists of all values x = (x8, . . . ,x0 ) with x0 and x3
all values
= (x
. . .plaintext
,x0 ) withwith
x0 and
x3
Thetovector
space �xinisconsists
equal
zero. Hence,
uniformofrandom
onxthe
set8,of
these
equal
to
zero.
Hence,
x
is
uniform
random
on
the
set
of
plaintext
with
these
two bits equal to a constant.
⊥
two bits equal to a constant.
116
Аппроксимации с нулевой корреляцией
Векторное пространство Λ⊥in состоит из всех значений x = (x8, …, x0), таких
что x0 и x3 равны нулю. Следовательно, x – случайная величина, равномерно
распределенная на множестве открытых текстов, в которых эти два бита
постоянны.
Аналогично векторное пространство Λ⊥out состоит из всех значений y, таких
что первые три бита y равны нулю. Следовательно, первые три бита Ek (x)
однозначно представляют Ek (x) mod Λ⊥out.
⊳
Тот факт, что F(x) mod Λ⊥ – случайная равномерно распределенная величина, называют также свойством насыщения. В главе 9 мы вернемся к этим свойствам в контексте атак с насыщением.
Для вычисления
вероятности
ложноположительного
результата
многомер“9781009607865book”
— 2025/12/2
— 14:12 — page
115 — #127
ного различителя
с нулевой корреляцией
модель
перестановки
ис“9781009607865book”
— 2025/12/2 —
14:12случайной
— page 115
— #127
пользуется в качестве гипотезы рандомизации с неправильным ключом. Результатом является показанный ниже вариант следствия 8.2. Доказательство
основано на функции массы8.4
вероятности
многомерного гипергеометрическоStatistical approach
115
го распределения, которое можно
вывести
с помощью рассуждения, аналогич8.4 Statistical approach
115
ного доказательству теоремы 8.1. В упражнении 8.5 вам будет предложено дать
полноеTheorem
доказательство.
8.3 Let F be a uniform random permutation on Fn2 , and let � =
n.
Theorem
8.3be aLet
F be
a uniformравномерно
random
permutation
onFFn2with
, and|�|
let≤�2=
�in ⊕
�out
multidimensional
linear
approximation
of
Теорема
8.3.
Пусть
F–
случайная
распределенная
перестановка
n
n 2 .
⊥
�out
multidimensional
linear�approximation
of F with |�| ≤
in ⊕
The
probability
≡ t mod
на 𝔽2n, и�
пусть
Λ =beΛinathat
⊕
ΛProutx –F(x)
многомерная
линейная
с |Λ| ≤ 2n.
out | for all t in F2F and
= 1/|�аппроксимация
out
⊥⊥
nFn and
n
⊥
The
probability
that
Pr
F(x)
≡
t
mod
�
=
1/|�
|
for
all
t
in
x
out
Вероятность
того, random
что Prxon
[F(x)
Λ out
]s=in1/|Λ
with x uniform
s +≡�tinmod
for some
F2 out
is| для всех t ∈ 𝔽2 и2 случайной
out
n
withx,x равномерно
uniform random
on s + �⊥
for
some
sΛ
in⊥inFдля
isнекоторого s ∈ 𝔽2n, равна
величины
распределенной
на
s
+
in
2
|�
|
out
⊥ |
n
out |�out | 2
|�⊥
n⊥
.
|
|�
2
out
2n /|�|
|�in | ..
⊥
n
2 /|�|
|�in |
8.4 Statistical approach
подход
8.4. Статистический8.4
Statistical approach
In Section
8.3, it was assumed
that correlations
probability distributions
В разделе
8.3 предполагалось,
что корреляции
илиorраспределения
вероятностей
In
Section
8.3, it was approximations)
assumed that correlations
or probability
distributions
(for
multidimensional
must
be
computed
exactly
to use
zero-можно
(для многомерных аппроксимаций) должны быть вычислены
точно,
чтобы
(for
multidimensional
approximations)
must
be
computed
exactly
to
use
zerocorrelation
approximations
as
distinguishing
properties.
This
requirement
can
было использовать аппроксимации с нулевой корреляцией в качестве различитеcorrelation
approximations
as
distinguishing
properties.
This
requirement
can
be
relaxed,
but
it
comes
at
the
cost
of
a
lower
success
probability.
лей. Это требование можно ослабить, но ценой уменьшения вероятности успеха.
but it comes
at the
cost of
a lower
success probability.
Как be
и вrelaxed,
обыкновенном
линейном
криптоанализе,
или – в мноLike
in ordinary
linear
cryptanalysis,
correlations
orкорреляции
– in the multidimenLike
in
ordinary
linear
cryptanalysis,
correlations
or
–
in
the
multidimenгомерном
случае
–
распределения
вероятностей
можно
оценить
с помощью
sional case – probability distributions can be estimated using a random sample
sional
case
–
probability
distributions
can
be
estimated
using
a
random
sample
случайной
выборки
пар
(открытый
текст,
шифртекст).
Для
правильного
of plaintext-ciphertext pairs. For the correct key, the empirical correlations willключа
эмпирические
будут
вthe
среднем
с дисперсией
1/q.
of
pairs.
For равны
the correct
empirical
correlations
be plaintext-ciphertext
zero onкорреляции
average with
a variance
of нулю
1/q.key,
For
wrong
keys,
the averagewill
of Для
неправильных
ключей
среднее
эмпирических
корреляций
близко
к
нулю,
но
be
on average
with aisvariance
the variance
average of
the zero
empirical
correlations
close toof
but1/q.
not For
quitewrong
zero, keys,
and their
is
не равно
нулю
в
точности,
а
их
дисперсия
приближенно
равна
1/q.
Эти
два
расthe
empirical correlations
close
to but notare
quite
is
approximately
1/q. These is
two
distributions
the zero,
sameand
as intheir
the variance
analysis of
пределения
одинаковы,
как при
анализе
(множественного)
линейного
криптоapproximately
1/q.
These
two
distributions
are
the
same
as
in
the
analysis
of
(multiple)
linear
cryptanalysis
in the simpleкорреляциями,
model with unknown
correlations,
анализа
в простой
модели
с неизвестными
с тем
отличием, что
(multiple)
linear
cryptanalysis
in wrong
the simple
model
with unknown
correlations,
except
that
the
roles
of
right
and
keys
have
been
reversed.
роли правильного и неправильного ключа поменялись местами.
except
that
the roles
of right
wrong
keys have
been approximation
reversed. Λ случайной
Theемкость
average
capacity
of aand
multidimensional
linear
� of a равСредняя
многомерной
линейной
аппроксимации
n
The
average
capacity
of
a
multidimensional
linear
approximation
�
of a
n
uniform
random permutation
F on F2 , isFequal
номерно
распределенной
перестановки
на 𝔽2toравна
to
uniform random permutation F on
Fn2 , is equal
F 2
n
EF Cap(�) = EF Cv,u
= |�|/2n..
F 2
EF Cap(�) = (u,v)∈� EF Cv,u
= |�|/2 .
(u,v)�
=(0,0)
(u,v)∈�
(u,v)�=(0,0)
Without giving a rigorous proof, we note that Cap(�) is close to its mean
Without
giving
rigorous proof,
we in
note
Cap(�)
is close tomodel,
its mean
value with
highaprobability.
Hence,
thethat
random
permutation
the
value
with
probability. Hence,
in the randomis permutation
model,
the
capacity
of ahigh
zero-correlation
linear approximation
approximately
the same
uniform random permutation F on Fn2 , is equal to
F 2
EF Cap(�) =
EF Cv,u
= |�|/2n .
(u,v)∈�
(u,v)�=(0,0)
8.6. Литература 117
Without giving
a rigorous
proof, we note
that Cap(�)
is close
to its mean
Не приводя
строгого
доказательства,
заметим,
что Cap(Λ)
с высокой
вероятvalue
with
high
probability.
Hence,
in
the
random
permutation
model, the
ностью близка к своему среднему значению. Следовательно, в модели
случайcapacity of a zero-correlation
linear approximation
is approximately
same
ной перестановки
емкость линейной
аппроксимации
с нулевой the
корреляцией
for
all
wrong
keys.
By
the
analysis
in
Sections
6.1.2
and
7.3.3,
the
dataприближенно одинакова для всех неправильных ключей. В силу анализа
из
complexity
a distinguisher
based on сложность
a multidimensional
zero-correlation
разделов
6.1.2 и for
7.3.3,
информационная
различителя,
основанного
linear approximation
is аппроксимации с нулевой корреляцией, равна
на многомерной
линейной
2n+ 12
�−1 (PS ) − �−1 (PF ) −1
q = 2|�|
≈ � (PS ) − �−1 (PF ) √
“9781009607865book”
— 2025/12/2 ——14:12
— page
—|�|
#128
Cap(�)
“9781009607865book”
2025/12/2
— 116
14:12
—
page 116 — #128
for P ≥ P . The second equality relies on the approximation Cap(�) ≈
S
Fравенство опирается на аппроксимацию Cap(Λ) ≈ |Λ|/2n. Мождля PS ≥ PF. Второе
n . It is possible to show that this is optimal in the average-case sense
|�|/2
но показать, что это оптимально в смысле среднего случая из раздела 7.3.1, при
of что
Section
7.3.1, provided
that the
random permutation
model is used ключом
as the исусловии
в качестве
гипотезы
рандомизации
с неправильным
116
approximations
116 Zero-correlation
Zero-correlation approximations
wrongмодель
key randomization
hypothesis.
пользуется
случайной
перестановки.
Как было объяснено в разделе 6.2.3, если Λ = Λin ⊕ Λout, то открытые тексты
можно выбирать
из
класса
Λ=⊥in,�
чтобы
уменьшить
AsProperty
explained
Section
6.2.3,
if
⊕�
, then
can be
in6.2.3,
out
ofinсмежного
Cambridge
University
Press
do
orинформационcopy
As explained
in �
Section
if not
�
=share
�plaintexts
�
in ⊕
out , then plaintexts can be
⊥
ную сложность.
Точнее,
при
P
≥
P
информационная
сложность
становится
sampled from a coset
of
�
to
reduce
the
data-complexity.
More
precisely,
⊥
S
F
sampled in
from a coset of �in to reduce the data-complexity.for
More precisely, for
равной
PS ≥ PF , the data-complexity
P ≥ P , thebecomes
data-complexity becomes
q=
S
F
1
−1
� (PS
) − �−1 (P�
) (P ) −1
2n+ 2
−1 (P ) −1
F−1
S� − �
F
≈
2|�out |
(P
)
−
�
(P
)
√
−1
S
F (P ) − �−1 (P ..)
≈ �
q =Cap(�)
2|�out |
|�Sin | | |�out |F
Cap(�)
1
2n+ 2
.
√
|�in | | |�out |
Indeed, the average
capacity
the same,remains
but the the
number
of approximaIndeed,
the remains
average
capacity
same,
the аппроксиnumber of approximaВ самом деле, средняя
емкость
остается
без изменения,
но but
число
tions is reduced to
|�
|.
Intuitively,
the
data-complexity
is
reduced
by an is reduced by an
out
is
reduced
to
|�
|.
Intuitively,
the
data-complexity
маций снижается до tions
|Λ√
|.
Интуитивно
понятно,
что
информационная
сложout
out
√
additional factor of
|�in | on
top of
of
from
Section 8.3.2.
additional
factor
| раз
on top
of the
improvement
from Section 8.3.2.
ность дополнительно
уменьшается
в the|�improvement
сверх
улучшения,
описанного
in
в разделе 8.3.2.
8.5 Historical8.5
remarks
Historical remarks
8.5. Историческая справка
Zero-correlation linear
cryptanalysis
wascryptanalysis
introduced bywas
Bogdanov
and by
Rijmen.
Zero-correlation
introduced
Bogdanov and Rijmen.
Линейный криптоанализ
с нулевойlinear
корреляцией
был введен
в рассмотрение
They used the miss-in-the-middle
method,
which
was
discussed
in
Section
8.2, in Section 8.2,
They used
miss-in-the-middle
method,
which
was discussed
Богдановым и Рэйменом.
Ониthe
использовали
метод
потери
посередине,
котоto
find
zero-correlation
linear
approximations.
find zero-correlation
linear линейные
approximations.
рый мы обсуждали в to
разделе
8.2, чтобы найти
аппроксимации с нуThe statistical approach
in Section
8.4, based
on multiple
zero-correlation
левой корреляцией.
The statistical
approach
in Section
8.4, based
on multiple zero-correlation
linear
approximations,
is
due
to
Bogdanov
and
Wang.
The
chosen-plaintext
Статистический подход,
описанный в is
разделе
8.4, который
основан
неlinear approximations,
due to Bogdanov
and Wang.
Theна
chosen-plaintext
improvement
wasаппроксимациях
first used by Bogdanov,
Leander,
Nyberg Leander,
and Wang.
скольких
линейных
с нулевой
корреляцией,
был
предложен
improvement
was first
used
by Bogdanov,
Nyberg
and Wang.
Богдановым и Ванем. Улучшение за счет выбранного открытого текста впервые использовали Богданов, Леандр, Нюберг и Вань.
8.6 References
8.6 References
8.6. Bogdanov,
Литература
Andrey
et al. (Dec.
2012).et“Integral
Multidimensional
Linear
Bogdanov,
Andrey
al. (Dec. and
2012).
“Integral and Multidimensional
Linear
Correlation
Zero.”
In:
2012.
Ed.
by DisBogdanov, Distinguishers
Andrey et al. with
(Dec.
2012). «Integral
andASIACRYPT
Multidimensional
Linear
Distinguishers
with
Correlation
Zero.” In:
ASIACRYPT
2012. Ed. by
Xiaoyun
Wang
and
Kazue
Sako.
Vol.
7658.
LNCS.
Springer,
Berlin,
tinguishers with Correlation
Zero».
In:and
ASIACRYPT
2012.
by Xiaoyun
Wang Berlin,
Xiaoyun
Wang
Kazue Sako.
Vol.Ed.7658.
LNCS. Springer,
Heidelberg,
pp.7658.
244–261.
doi:
10.1007/978-3-642-34961-4
16.
and Kazue
Sako. Vol.
LNCS.
Springer,
Berlin,
pp. 244–261. doi:
Heidelberg,
pp.
244–261.
doi:Heidelberg,
10.1007/978-3-642-34961-4
16.
Bogdanov, Andrey
and
Vincent
Rijmen
(2014).
“Linear
Hulls
with
Correlation
10.1007/978-3-642-34961-4_16.
Bogdanov, Andrey and Vincent Rijmen (2014). “Linear Hulls with Correlation
and and
Linear
Cryptanalysis
of(2014).
Block
Ciphers.”
In:
DCC
70.3,
pp.In:
369–
Bogdanov, Zero
Andrey
Vincent
Rijmen
«LinearofHulls
with
Correlation
Zero and
Linear
Cryptanalysis
Block
Ciphers.”
DCCZero
70.3, pp. 369–
383.
doi:
10.1007/s10623-012-9697-z.
and Linear Cryptanalysis
Block
Ciphers». In: DCC 70.3, pp. 369–383. doi:
383.ofdoi:
10.1007/s10623-012-9697-z.
Bogdanov, Andrey
and Meiqin
Wangand
(Mar.
2012).
“Zero
Correlation
Linear
10.1007/s10623-012-9697-z.
Bogdanov,
Andrey
Meiqin
Wang
(Mar.
2012). “Zero
Correlation Linear
Cryptanalysis with
Reduced
Data
Complexity.”
In:
FSE
2012.
Ed.
by
Cryptanalysis with Reduced Data Complexity.” In: FSE 2012. Ed. by
Anne Canteaut. Vol.
7549.
LNCS.Vol.
Springer,
Berlin, Springer,
Heidelberg,
pp. 29–
Anne
Canteaut.
7549. LNCS.
Berlin,
Heidelberg, pp. 29–
48. doi: 10.1007/978-3-642-34047-5
3.
48. doi: 10.1007/978-3-642-34047-5 3.
118
Аппроксимации с нулевой корреляцией
Bogdanov, Andrey and Meiqin Wang (Mar. 2012). «Zero Correlation Linear Cryptanalysis with Reduced Data Complexity». In: FSE 2012. Ed. by Anne Canteaut. Vol. 7549.
LNCS. Springer, Berlin, Heidelberg, pp. 29–48. doi: 10.1007/978-3-642-34047-5_3.
8.7. Упражнения
Упражнение 8.1
Покажите, что для всех u ∈ 𝔽23 (000001000, 000000‖u) и (000001001, 000000‖u)
являются линейными аппроксимациями с нулевой корреляцией для трех
раундов демонстрационного шифра.
Упражнение 8.2
Пусть Ek : 𝔽62 → 𝔽62 – конструкция на рис. 8.2 (см. также рис. 2.4). Найдите
нетривиальную линейную аппроксимацию с нулевой корреляцией для всех
значений k.
k2
S
S
S
S
k1
Рис. 8.2. Конструкция с четырьмя S-блоками
Упражнение 8.3
Рассмотрим пятираундовый шифр Фейстеля; первые два раунда показаны
на рис. 8.3. Покажите, что если F1, …, F5 – перестановки, то (0‖u, u‖0) – аппроксимация с нулевой корреляцией для всех ненулевых значений u.
F1
F2
Рис. 8.3. Два раунда сети Фейстеля
8.7. Упражнения 119
Упражнение 8.4
Конструкцию «шифрование–перемешивание–шифрование» (рис. 8.4) можно
использовать для построения блочного шифра, основанного на пяти функциях
с половинным размером блока. Ваша задача – отличить выход конструкции
«шифрование–перемешивание–шифрование» от выхода случайной равномерно распределенной перестановки 2n бит. На рис. 8.4 E1, E2, E3 E4 – блочные
шифры с размером блока n бит и секретным ключом.
1. Предположим, что F : 𝔽2n → 𝔽2n– перестановка. Найдите многомерную
аппроксимацию с нулевой корреляцией конструкции «шифрование–
перемешивание–шифрование», содержащую 22n линейных аппроксимаций.
2. Основываясь на ответе на предыдущий вопрос, найдите время и число
выбранных открытых текстов, необходимые, чтобы отличить «шифрование–перемешивание–шифрование» от случайной равномерно распределенной перестановки 2n бит?
E1
E2
F
E3
E4
Рис. 8.4. Конструкция «шифрование–перемешивание–шифрование»
Упражнение 8.5
Пусть F – случайная равномерно распределенная перестановка на 𝔽2n, и пусть
Λ = Λin ⊕ Λout – многомерная линейная аппроксимация F.
1. Докажите теорему 8.3.
2. Покажите, что если Λ – многомерная линейная аппроксимация с нулевой корреляцией (для произвольной функции), то |Λ| < 2n. Следовательно, это условие всегда выполняется при применении теоремы 8.3
на практике.
* Упражнение 8.6
Следствие 8.2 и теорема 8.3 сформулированы для случайных перестановок, но
линейный криптоанализ с нулевой корреляцией применим также к функциям, не являющимся обратимыми.
“9781009607865book” — 2025/12/2 — 14:12 — page 119 — #131
120
8.7 Exercises
Аппроксимации с нулевой
8.7корреляцией
Exercises
119
119
1. 1.Докажите
аналоги
8.2and
и теоремы
8.3,when
когда
равProve analogues
of следствия
Corollary 8.2
Theorem 8.3
F Fis–a случайная
uniform
n
n
n
m
номерно
распределенная
функция
𝔽
→
𝔽
.
2
2
function from
F2 to F2 8.2
. and Theorem 8.3 when F is a uniform
1. random
Prove analogues
of Corollary
2. Объясните, почему и как
условие u, v ≠ 0 в следствии 8.2 можно ослабить,
random why
function
fromthe
Fn2condition
to Fm
2.когда
Explain
and
how
�= 0 in Corollary функция.
8.2 can be relaxed
2 . u,v
F – случайная равномерно
распределенная
F iswhy
a uniform
function.
2. when
Explain
and howrandom
the condition
u,v �= 0 in Corollary 8.2 can be relaxed
when
F
is
a
uniform
random
function.
Упражнение 8.7
Exercise 8.7
Цель этого упражнения – найти линейные атаки с нулевой корреляцией на де8.7
The goal of thisшифр
exercise
is Rijndael
toExercise
find zero-correlation
linear
attacks
on the числе
монстрационный
типа
из раздела 3.2.1
при
небольшом
Rijndael-like
example
cipher
from
Section
3.2.1
for
a
small
number
of
rounds.
раундов.
The goal of this exercise is to find zero-correlation linear attacks on the
1. Найдите
линейную
нулевой
корреляцией
для четырех
Rijndael-like
exampleаппроксимацию
cipher from Sectionс3.2.1
for a small
number of rounds.
раундов.
1. Find a zero-correlation linear approximation for four rounds.
2. Обобщите свою линейную аппроксимацию с нулевой корреляцией на
1. Extend
Find a zero-correlation
linear linear
approximation
for fourtorounds.
2.
your zero-correlation
approximation
a multidimensional
многомерную аппроксимацию с нулевой корреляцией, которая требует как
approximation
that
requires
as little в
data
possible.
What
2. zero-correlation
Extend
your zero-correlation
linear
approximation
to итоге
a as
multidimensional
можно
меньше
данных.
Какова
получившаяся
информационная
is
the
resulting
data-complexity?
zero-correlation
approximation
that
requires
as
little
data
as
possible.
What
сложность?
is the resulting
data-complexity?
3. Обобщите
свой
различитель
атаку с восстановлением
ключа
3. Extend
your distinguisher
to на
a key-recovery
attack on five rounds
andна пять
раундов
и оцените
временную
сложность.
the timeand data-complexity.
3. estimate
Extend
your
distinguisher
to и
a информационную
key-recovery attack on
five rounds and
estimate the time- and data-complexity.
* Упражнение 8.8
Exercise 8.8
Exercise 8.8
Find a zero-correlation linear approximation
for ten rounds of the Rijndael-like
�
�
Найдите линейную аппроксимацию
с нулевой корреляцией для десяти раундов
демонстрационного шифра типа Rijndael из раздела 3.2.1.
example
cipher from Section
Find a zero-correlation
linear 3.2.1.
approximation for ten rounds of the Rijndael-like
example
cipher
from
Section
3.2.1.
Упражнение 8.9
Exercise 8.9
В этом упражнении исследуетсяExercise
корреляционная
атака на инвариант различия
8.9
ThisПусть
exercise
explores
n
n the key difference invariant correlation attack. Let
ключей.
E
:
𝔽
→
𝔽
–
блочный
шифр
с
чередованием
ключа с раундовыми
k n2
2
n
Fexplores
a key-alternating
block
cipher
with
round
k Let
EThis
k : Fk
…◦
exercise
the key
difference
invariant
correlation
attack.
2 =→
2 kbe
ключами
(k1, …,
).
То
есть
E
=
R
◦
R
◦
R
,
где
R
(x)keys
= R(x)
+=ki.
r
k
k
k2
k1
ki
n
n is, Ek = Rk ◦ · · · ◦r Rk ◦ Rk with
,
.
.
.
,k
).
That
R
(x)
=
R(x)
+
k
.
(k
1
r
k
i
bed a‖ key-alternating
block
with
roundраундовыми
keys k = клюi двумя
2
1cipher
k : F2 → F2d =
1. EОбозначим
… ‖drr ∈ 𝔽2nr– различие
между
1
(k
. . . d,kи=
).dThat
◦
·
·
·
◦
R
◦
R
with
R
(x)
=
R(x)
+and
ki . let
1.чами,
. dErk ∈=FRnr
be
a
difference
between
two
round
keys
1,Let
r пусть
k
k
k
k
1 . . is,
r
i
2
1
2
nr
let
1. Let d = d1 . . . dr ∈ F2 be a difference between
two
keys and
r round
R
� = (u2,u3, . . . ,ur+1 ) | u2, . . . ,ur ∈ Fn2 and
и
i=1 Cui+1,ui �= 0
� = (u2,u3, . . . ,ur+1 ) | u2, . . . ,ur ∈ Fn2 and ri=1 CuRi+1,ui �= 0
be the линейных
set of linear следов
trails with
nonzero correlation
for the для
approximation
– множество
с ненулевой
корреляцией
аппроксимации
(u
,u
).
Give
sufficient
conditions
on
d
and
�
to
ensure
that
1
r+1
be
the
set
of
linear
trails
with
nonzero
correlation
for
the
approximation
(u1, ur+1). Приведите достаточные условия, которым должны
удовлетворять
Ed
(u1,uгарантированно
conditions
on
and
�
to
ensure
that
k+d
Ek
d и Λ, чтобы
равенство
r+1 ). Give sufficientвыполнялось
C
=C
,
ur+1,u1
ur+1,u1
E
k+d
Ek
,u1).,,
ur+1
r+1d
where k + d = (k1 + d1,k2C+
d2,u
, .1 .=
. ,kCru+
r
where
k
+
d
=
(k
+
d
,k
+
d
,
.
.
.
,k
+
d
2.
Give
a
linear
approximation
of
the
example
cipher
from Section 1.1 with a
r
r ).
где k + d = (k1 + d1, k2 + d2,1…, kr1+ d2r). 2
key-difference
invariant
correlation,
but with
a nonzero
Try
Give a linear
approximation
of the example
cipher
fromcorrelation.
Section 1.1
withtoa из раз2. 2.Найдите
линейную
аппроксимацию
демонстрационного
шифра
maximize
the
number
of
rounds.
key-difference
invariant
correlation,
but
with
a
nonzero
correlation.
Try
дела 1, имеющую корреляцию инварианта различия ключей,
ноtoненулеmaximize
the number
of rounds. максимизировать число раундов.
вую
корреляцию.
Попытайтесь
Property of Cambridge University Press do not share or copy
Property of Cambridge University Press do not share or copy
9
Miscellaneous extensions
Глава 9
Различные обобщения
The main extensions of linear cryptanalysis were introduced in previous
chapters; they are multiple, multidimensional and zero-correlation linear
cryptanalysis. However, these are far from the only extensions proposed in
the literature.
This линейного
chapter is a tour
of some of the были
most important
proposals.
Основные
обобщения
криптоанализа
представлены
в предыMost
of
the
extensions
of
linear
cryptanalysis
discussed
below
are partly
дущих главах; это множественный, многомерный и линейный криптоанализ
conjectural:
they show
how certain
combinatorial
might предложенные
be used to
с нулевой
корреляцией.
Однако
это далеко
не всеproperties
расширения,
в литературе.
В данной главе
представлен
attack cryptographic
primitives,
but do notобзор
provideнекоторых
a clear wayнаиболее
to analyze важных
or
предложений.
find these properties. Chapter 11 returns to this issue.
Большинство обсуждаемых ниже обобщений линейного криптоанализа являются отчасти гипотетическими: они показывают, как определенные комбинаторные свойства могут быть использованы для атаки на криптографические примитивы, но не дают
анализа или нахождения этих
9.1точного
Exactрецепта
properties
свойств. В главе 11 мы вернемся к этому вопросу.
The correlations of linear approximations are usually only known up to some
approximation
error, because it is infeasible to take into account all linear trails.
очные свойства
As discussed in Chapter 8, zero-correlation linear cryptanalysis is different
Корреляции
обычно
только сisнекоbecause линейных
it exploits theаппроксимаций
fact that the correlation
of a известны
linear approximation
торой погрешностью аппроксимации, поскольку невозможно учесть все
exactly zero. It turns out that most widely-applicable extensions of linear
линейные следы. Как обсуждалось в главе 8, линейный криптоанализ с ну(other
than multiple
and что
multidimensional)
are based on
“exact”
левой cryptanalysis
корреляцией
отличается
тем,
в нем используется
тот
факт, что
properties
like
this.
корреляция линейной аппроксимации в точности равна нулю. Оказывает-
9.1. Т
ся, что большинство широко применимых обобщений линейного криптоанализа (кроме множественного и многомерного) основаны на подобных
«точных»
9.1.1свойствах.
Saturation attacks
explained in Chapter 8, if � = �in ⊕ �out with �in ⊆ F2 and �out ⊆ F2
9.1.1.As
Атаки
с насыщением
is a multidimensional zero-correlation linear approximation of F : Fn → Fm ,
n
m
2
2
n
m
Как было
thenобъяснено в главе 8, если Λ = Λin ⊕ Λout, где Λin ⊆ 𝔽2 и Λout ⊆ 𝔽 2 –n многомер
ная линейная аппроксимация с нулевой корреляцией функции F : 𝔽2 → 𝔽m2, то
1
,,
Pr F(x) ≡ t mod �⊥
out =
|�out |
120
где x – случайная равномерно распределенная
величина на смежном классе Λ⊥in
Property mof Cambridge University Press do not share or copy
и для любого t ∈ 𝔽 2. Иными словами, если все элементы смежного класса Λ⊥in
зашифрованы, то любое приведение шифртекста по модулю Λ⊥out имеет место
равное число раз. В главе 8 уже упоминалось, что это называется свойством
насыщения.
Свойства насыщения иногда можно найти, анализируя распространение
значений, а не линейные следы. Фактически именно так были найдены первые свойства насыщения еще до открытия линейного криптоанализа с нуле-
122
Различные обобщения
вой корреляцией. Однако такой анализ иногда выявляет также другие свойства
шифртекста. Например, некоторые биты шифртекста могут оставаться неизменными, когда часть открытого текста насыщена. Это иллюстрируется в следующем примере.
Пример 9.1. На рис. 9.1 множество открытых текстов с одной насыщенной ячейкой распространяется через пять раундов демонстрационного шифра типа
Rijndael из раздела 3.2.1. Точнее, входное множество состоит из восьми открытых текстов, так что все ячейки, кроме первой, постоянны, а первая ячейка
принимает все возможные значения из 𝔽23 по одному разу. Нетрудно распространить это множество через первые несколько раундов шифра. Для этого
пометим ячейку буквой A, если она принимает каждое 3-битовое значение
одинаковое число раз (насыщена), буквой C, если она постоянна, и знаком «?»
в противном случае. После пяти раундов гарантируется, что одна из ячеек состояния будет постоянной.
C C C C C C C C
A C C C C C C C
C C C C C C C C
A C C C C C C C
C C C C C C C C
A C C C C C C C
C C C C C C C C
C C C C C
A
C C C C C
C
C C C C C
A
C C C C C
A ?
?
A
A C C C C C C C
A
A
C
A
AC C C ? ? ? C C
AC C C ? A ? A A
AC C C A ? ? A A
CC C C A A ? A A
?
?
?
A C
?
?
?
?
?
?
?
?
A C
?
?
?
?
?
?
C
?
?
?
? ?— ?page
? ?122? —? #134
C
A ? ? ? ? ? —C 2025/12/2
“9781009607865book”
— ?14:12
122
A A ?
C A ?
?
?
?
A C
?
?
?
Miscellaneous extensions
?
?
?
?
?
?
Рис. 9.1. Свойство для пяти раундов демонстрационного шифра типа Rijndael
Corollary6.6,
6.6,описанное
the above property
is equivalent
to a multidimensional
В силуBy
следствия
выше свойство
эквивалентно
многомерной
линейной
⊕
Λ
.
В
частности,
linearаппроксимации
approximation �inΛ⊕
�
.
In
particular,
outout
in
⊥
�in = x 00 · · · 0 | x ∈ F32 = 000 x | x ∈ F93
2 ..
Furthermore,
the set of output
masks �
of all masks
that are
zero равout consists
из всех
масок,
Кроме
того, множество
выходных
масок
Λout состоит
everywhere,
except
on
the
constant
cell.
The
multidimensional
approximation
ных нулю всюду, кроме постоянной ячейки. Многомерная аппроксимация
a zero-correlation approximation.
Instead, Corollary
6.6 этого
� = �не
in ⊕�
out is not
Λ = Λin⊕Λ
является
аппроксимацией
с нулевой корреляцией.
Вместо
out
yields
следствие 6.6 дает:
F
(−1)u s+v t Cv,u
= |�out |
(u,v)∈�
for all s and a particular t that depends on s. Hence, the property in
�in = x 00 · · · 0 | x ∈ F2
= 000 x | x ∈ F2
.
Furthermore, the set of output masks �out consists of all masks that are zero
everywhere, except on the constant cell. The multidimensional approximation
� = �in ⊕�out is not a zero-correlation approximation.
Instead, Corollary
9.1. Точные
свойства 6.6
123
yields
F
(−1)u s+v t Cv,u
= |�out |
(u,v)∈�
for all ss иand
a particulart,t зависящего
that dependsотons. s.Таким
Hence,образом,
the property
in
для любого
конкретного
свойство
на
Figure
9.1
corresponds
to
a
large
set
of
linear
approximations
that
sum
up
рис. 9.1 соответствует большому множеству линейных аппроксимаций, котоan exceptionally
large
value. This
may seemНа
surprising
first, butэто
the same
рые в to
сумме
дают очень
большое
значение.
первыйatвзгляд,
может поconclusion
can be reached
reasoning
about linear
trails.
� о ликазаться
удивительным,
но кby
тому
же выводу
можно
прийти, рассуждая
нейных следах.
⊳
Saturation attacks have been generalized in two different directions. The
firstс насыщением
direction, called
statisticalобобщение
saturation вattacks,
will be discussed
in наАтаки
получили
двух направлениях.
Первое,
зываемое
статистическими
рассмотрено
Section
9.2.1. The secondатаками
direction сisнасыщением,
called integralбудет
cryptanalysis
and is в разделе 9.2.1.
Второе
интегральный
криптоанализ
– является
a research
fieldнаправление
of itself on par –with
linear cryptanalysis.
It is not discussed
in самостоятельной
this book. областью исследований наряду с линейным криптоанализом.
В этой книге он не обсуждается.
Invariant subspaces
9.1.2.9.1.2
Инвариантные
подпространства
Инвариантным
функции
𝔽2naffine
→ 𝔽2nsubspace
называется
аффинAn invariantподпространством
subspace of a function F
: Fn2 → Fn2Fis: an
a +V of
n
n
ное подпространство
a
+
V
пространства
𝔽
такое,
что
F(a
+
V)
⊆
a
+
V. Если
F2 such that F(a+V ) ⊆ a+V . If F is a permutation,
then this means that F(a+
2
F – перестановка,
то
F(a
+
V)
=
a
+
V.
Если
инвариантное
подпространство
V ) = a + V . If an invariant subspace exists, it immediately leads to a chosenсущест
вует, тоdistinguisher
оно сразуwith
же success
приводит
к распознавателю
выбранным отplaintext
probability
close to one andсfalse-positive
крытым
текстом,
дляtoкоторого
вероятность
1, а вероятность
probability
close
zero. Invariant
subspacesуспеха
can beблизка
used forк key-recovery
ложноположительного
результата
–
к
нулю.
Инвариантные
подпространства
attacks by expressing the condition that a partially decrypted ciphertext is an
можноelement
использовать
с восстановлением
ключа,
of a + Vдля
as aатак
system
of equations. However,
this выразив
only worksусловие,
if the что
частично дешифрированный шифртекст является элементом a + V, в виде сиinvariant does not hold for incorrect key guesses.
стемы уравнений. Однако это работает, только если инвариант не имеет места
Historically, invariant subspaces were believed to be a consequence of
для неправильно угаданных ключей.
“obvious” symmetries in the cipher. This is illustrated by following example.
Исторически считалось, что инвариантные подпространства – следствие
«очевидных»
в шифре.
иллюстрируется
следующим
примером.
Exampleсимметрий
9.2 Ignoring
round Это
constants
and keys, there
is an invariant
subspace for any number of rounds of the Rijndael-like example cipher from
Пример 9.2. Если игнорировать раундовые константы и ключи, то инвариантSection 3.2.1:
ное подпространство существует для любого числа раундов демонстрационy1 x1 y3.2.1:
1 x1 y1 x1 y1
ного шифра типа Rijndael изx1раздела
y1 x1 y1 x1 y1 x1 y1 x1
x 1x2 yy12 xx12 yy12 xx21 yy21 xx21 yy2 1
y 1y2 xx12 yy12 xx12 yy21 xx21 yy21 xx2 1
x 2 y2 x 2 y2 x 2 y2 x 2 y2
y2 x2 y2 x2 y2 x2 y2 x2
Property of Cambridge University Press do not share or copy
Здесь x1, x2, y1 и y2 – произвольные значения, взятые из 𝔽23. Для большинства
ключей это подпространство не сохраняется после сложения с раундовым
ключом. Тем не менее существует множество, содержащее 212 из 296 ключей,
для которого это подпространство инвариантно. Однако прибавление раундовых констант, не обладающих такой же симметрией, гарантированно препятствует продолжению этого свойства на несколько раундов.
⊳
124
Here, x1 , x2 , y1 and y2 are arbitrary values in F2 . For most keys, this subspace
is not preserved under the round key addition. Nevertheless, there is a set of 212
out of 296 keys for which this is an invariant subspace. However, the addition of
round constants that do not share the same symmetry is guaranteed to prevent
Различные обобщения
the continuation of this property for multiple rounds.
�
Инвариантные
подпространства,
которые
действительно
зависят
от деInvariant subspaces
that actually depend
on the
details of the S-box
and the
талей S-блока
и
линейного
уровня,
были
найдены
для
нескольких
шифров,
linear layer were found for multiple ciphers starting in 2011. These invariant
начиная
с 2011 are
года.
Эти only
подпространства
обычно
subspaces
usually
valid for a subset
of keys,инвариантны
which are then только
called для
подмножества ключей, которые поэтому называются слабыми ключами. Чем
weak keys. The larger the number of weak keys, the greater the success
больше слабых ключей, тем выше вероятность успеха атаки. Эти «более тонprobability of the attack. These “finer” invariant subspaces are typically found
кие» инвариантные подпространства обычно отыскиваются путем пораундоusing a round-by-round analysis, although not all invariant subspaces can be
вого анализа, хотя и не все они могут быть найдены таким способом.
found in this way.
Пример 9.3. У демонстрационного шифра типа Rijndael из раздела 3.2.1 имеExample 9.3 The Rijndael-like example cipher
from Section 3.2.1 has an
ется инвариантное подпространство
для 232 из 296 ключей. А именно пусть
invariant subspace for 232 out of 296 keys. In particular, let U = {000,111}.
U = {000,111}. Так как S(000) = 111 и S(111) = 000, имеет место равенство
Since S(000) = 111 and S(111) = 000, it also holds that S(V ) = V .
S(V = V. Далее
Furthermore,
⎡
⎤⎡ ⎤ ⎡ ⎤
⎤
⎡
⎤⎡ ⎤ ⎡
000
0 I I I
000
000
0 I I I
111
⎢I 0 I I ⎥ ⎢000⎥ ⎢000⎥
⎢I 0 I I ⎥ ⎢000⎥ ⎢111⎥
⎢
⎥⎢ ⎥ ⎢ ⎥
⎥
⎢
⎥⎢ ⎥ ⎢
⎣I I 0 I ⎦ ⎣000⎦ = ⎣111⎦ ,, ⎣I I 0 I ⎦ ⎣111⎦ = ⎣111⎦,,
111
111
⎤⎡
⎤ ⎡ ⎤
111
I I I
111
I I
⎢111⎥ ⎢111⎥
0 I I⎥
0 I
⎥⎢
⎥ = ⎢ ⎥. .
I 0 I ⎦ ⎣111⎦ ⎣111⎦
I 0
111
I I 0
111
I I
�4
�4
Using
U.
the symmetry
of the matrix M, this implies that M
i=1UU= =
i=1Следова⊕4i=1 U.
В силу
симметрии
�32матрицы M, отсюда следует, что M ⊕4i=1
32 =
subspace for MixColumns
◦ ShiftRows
◦
i=1 U is an invariant
тельно,Hence,
V = ⊕V
U – инвариантное
подпространство
для MixColumns
◦ ShiftRows
◦
i=1
SubCells.
Since
every
cell
of
the
rounds
constants
is
equal
to
000
or
111,
the
SubCells. Так как каждая ячейка раундовых констант равна 000 или 111, векторное
vector space
V isявляется
also an invariant
subspace of
the round constant для
addition.
пространство
V также
инвариантным
подпространством
сложения
However,
V
is
only
invariant
for
the
key
addition
step
if
the
round
key
cellsсложения
are
с раундовой константой. Однако V является инвариантным для шага
32
all equal
to 000
or все
111.ячейки
Hence, there
are 2 weak
keys.
с ключом,
только
если
раундовых
ключей
равны 000 или 111. �Таким
образом, всего существует 232 слабых ключей.
⊳
The invariant subspace in Example 9.3 was not found in a systematic
Инвариантное
подпространство
в примере
найдено
систематиway. Moreover,
even if it would be
feasible to9.3
listне
allбыло
the invariant
subspaces
ческимofспособом.
Более
того,
даже
если
было
возможно
перечислить
все инSubCells, ShiftRows and MixColumns, there could be other invariant
вариантные
подпространства
SubCells,
ShiftRows
и
MixColumns,
могли
бы
остатьsubspaces apart from those that SubCells, ShiftRows and MixColumns have
ся другие
инвариантные подпространства, кроме являющихся общими для
in common.
SubCells, ShiftRows
и MixColumns.
If an invariant
subspace is large enough, and if the number of weak keys
Еслиisинвариантное
подпространство
достаточно
велико иapproach.
если количество
not too small, then
it is feasible to find
it using a black-box
Let
слабых ключей
не
n
n слишком мало, то практически возможно найти его, примеF : F2 → F2 be a permutation. To find the smallestninvariant
subspace
of
F
that
няя подход на основе черного ящика. Пусть F : 𝔽2 → 𝔽2n – перестановка. Чтобы
найти наименьшее инвариантное подпространство F, которое содержит знаProperty
of Cambridge алгоритмом
University Press
notFshare
copy
чение x, можно
воспользоваться
9.1. do
Если
имеетorнетривиальное
инвариантное подпространство, то повторение алгоритма 9.1 со случайно выбранными x рано или поздно вернет это подпространство.
I
⎡
0
⎢I
⎢
⎣I
I
I
I
111
000
⎤⎡
⎤ ⎡ ⎤
111
I
000
⎢111⎥ ⎢000⎥
I⎥
⎥⎢
⎥ = ⎢ ⎥ ,,
I ⎦ ⎣111⎦ ⎣000⎦
000
0
111
0
I
⎡
0
⎢I
⎢
⎣I
I
I
I
0
9.1. Точные свойства 125
Алгоритм 9.1. Нахождение наименьшего инвариантного подпространства перестановки F
Вход:
Перестановка F: 𝔽2n → 𝔽2n
Вектор x ∈ 𝔽2n
Выход: наименьшее инвариантное подпространство F, содержащее x.
1: ⊳ В алгоритме U может быть компактно представлено своим базисом
2: U ← {0}
3: repeat
4:
V←U
U ← Span{x + F(x + z) | z ∈ V}
5:
6: until U = V
7: return x + U
Если F имеет инвариантное подпространство a + V размерности d, то вероятность, что случайно выбранное x окажется в a + V, равна 2d/2n. Следовательно,
после повторения 2n−d раз алгоритм 9.1 найдет (в среднем) подпространство a + V.
В алгоритме 9.1 подпространства U и V могут быть компактно представлены своими базисами. Следовательно, общая временная сложность равна O(n3 2n−d).
9.1.3. Нелинейные инварианты
Нелинейным инвариантом функции F: 𝔽2n → 𝔽2n называется функция f : 𝔽2n → 𝔽2,
такая что существует константа b ∈ 𝔽2, такая что для всех x ∈ 𝔽2n
f (F(x)) = f (x) + b.
Иными словами, C(f ◦ F, f) = (−1)b. Если F – блочный шифр, то b может зависеть от ключа.
Каждое инвариантное подпространство порождает нелинейный инвариант с b = 0. Действительно, если a + V – инвариантное подпространство,
то положим f (x) = 1, если x ∈ a + V, и f (x) = 0 в противном случае. В общем
случае представлять себе нелинейный инвариант f можно также как множество S = {x ∈ 𝔽2n | f (x) = 1}, такое что либо F(S) ⊆ S и F(𝔽2n \ S) ⊆ 𝔽2n \ S, либо
F(S) ⊆ 𝔽2n \ S и F(𝔽2n \ S) ⊆ S. Первый случай соответствует b = 0, второй – b = 1.
Следующая теорема показывает, что для некоторых линейных функций,
представленных блочной матрицей с единичными блоками, найти нелинейные инварианты легко. Степенью булевой функции называется степень ее полиномиального представления, а квадратичной булевой функцией – функция
степени 2. Это определение имеет смысл, потому что, как будет предложено
доказать в упражнении 9.1, любая булева функция на 𝔽2n имеет единственное
полиномиальное представление в 𝔽2[x1, …, xn]/(x21 − x1, …, x2n − xn).
Теорема 9.1. Пусть M – матрица размера bn×bn над 𝔽2 такая, что M = A ⊗ I, где
A – матрица размера n×n над 𝔽2, а I – единичная матрица размера b×b. Если A –
ортогональная матрица, то f : x1 ‖ … ‖ xn ↦ ∑ni=1 q(xi) – нелинейный инвариант x ↦
Mx для любой квадратичной булевой функции q.
orthogonal
matrix,
f×: bn
x1 matrix
· · · xnover
�→ F i=1
q(xthat
a nonlinear
i ) isM
Theorem
9.1
Let
M be
athen
bn
Iinvariant
,
2 such matrix.
with
A an
n
×
nMx
matrix
over
F
b × bfunction
identity
If=AAis⊗an
2 and I the
of
x
→
�
for
every
quadratic
Boolean
q.
�
n
with
A
an
n
×
n
matrix
over
F
and
I
the
b
×
b
identity
matrix.
If
A
is
an
orthogonal matrix, then f : x1 · ·2· xn �→ �i=1
q(xi ) is a nonlinear invariant
n
orthogonal
matrix,
f : x1 ·Boolean
· ·function,
xn �→function
q(x
is a nonlinear
invariant
Proof
q then
is quadratic
a quadratic
then
coefficients
cj,k such that
i=1 there
of
x �→ Mx
forIfevery
q. i ) exist
�
�→ q(z)
Mx for
every
quadratic
Boolean
function
q.
126 of xРазличные
=обобщения
c
z
z
up
to
a
constant
term,
which
can
be
assumed
to be
j,k
j
k
1≤j ≤k≤b
Proof If zero.
q is aNote
quadratic
function,
then
there
existsince
coefficients
such the
thatj th bit of
2 = z c.j,k
that
q
can
contain
linear
terms,
z
Denote
�q is a quadratic function, then there exist coefficients
jc
j
Proof= If
suchtothat
j,k коэффициенq(z)
z.jAt
zk xup=toxa constant
term,
which
can
be assumed
b qc–
Доказательство.
Если
квадратичная
функция,
то существуют
j,k
�
1≤j
≤k≤b
x
in
F
by
x
·
·
·
x
,
the
function
f
evaluates
to tobe
i
i,j
1
n
2
q(z)
=
c
z
z
up
to
a
constant
term,
which
can
be
assumed
be
2
j,k
j
k
1≤j
≤k≤b
zero. Note
contain
terms, since до
zj =
zj . Denote the
j th bitкоторый
of
ты cj,k, такие
чтоthat
q(z)q =can
∑1≤j≤k≤b
cj,k zlinear
z с точностью
постоянного
члена,
j k
2 = z . Denote the j th bit of
⎤
⎡ члеb
zero.
Note
that
q
can
contain
linear
terms,
since
z
j
можноxсчитать
q может
содержать
линейные
xi,j . At xнулю.
= x1 Заметим,
· · · xn , theчто
function
fj evaluates
to
i in F2 byравным
x1,k
n x , theb function
2in Fb by x
x
.
At
x
=
x
·
·
·
f
evaluates
to
�
�
�
i,j
1 бит xni ∈ 𝔽 2. В точке x = x1 ‖� … ‖ xn имеем � ⎢ . ⎥
ны, т. к. iz j = zj2. Обозначим
xi,j j-й
f (x) =
cj,k
xi,j xi,k =
cj,k x1,j · · ·⎡ xn,j⎤ ⎣ .. ⎦ .
⎡x1,k ⎤
n
� 1≤j ≤k≤b
�
� 1≤j ≤k≤b
i=1
�
� ⎢ x.1,k⎥ xn,k
n
f (x) = � cj,k �xi,j xi,k = � cj,k �x1,j · · · xn,j �⎣⎢ ... ⎦⎥ .
f (x) =1≤j ≤k≤b cj,k i=1 xi,j xi,k = 1≤j ≤k≤b cj,k x1,j · · · xn,j ⎣ .. ⎦. .
xn,k
Hence,
using the
A=
I,
1≤j ≤k≤b
i=1 fact that A 1≤j
≤k≤b
xn,k
⎡
⎤
Hence, using the fact that A A = IT ,
x1,k
Теперь,
используя
что
A IA, = �I, получаем �
Hence,
using theтот
factфакт,
that A�
A=
⎢
.. ⎥ = f (x) .
⎡ A⎤
f (Mx) =
cj,k x1,j · · · xn,j
A
x1,k ⎤ ⎣ . ⎦
⎡
� 1≤j ≤k≤b
�
� ⎢ x1,k⎥ x
f (Mx) = � cj,k �x1,j · · · xn,j �A A ⎣⎢ .... ⎦⎥= fn,k
(x)..
f (Mx) =1≤j ≤k≤b cj,k x1,j · · · xn,j A A ⎣ .. ⎦ = f (x) .
It follows1≤j
that≤k≤b
f is an invariant of x �→ Mx. xn,k
xn,k
Theorem
9.1
leads to
nonlinear
for the Rijndael-like
Отсюда
следует,
f является
инвариантом
отображения
x ↦ Mx. □ example
It follows
that
fчто
is an
invariant
of
xa �→
Mx. invariant
It follows
that ffrom
is an
invariant
of x �→ Mx.
cipher
Section
3.2.1.
Теорема
9.1 приводит
инварианту
для демонстрационного
Theorem
9.1 leads кtoнелинейному
a nonlinear invariant
for the Rijndael-like
example
Theorem
9.1 из
leads
toBy
a nonlinear
for the
Rijndael-like
example
шифраcipher
типа
Rijndael
раздела
3.2.1. invariant
Example
9.4
Theorem
9.1, every
quadratic
function
of the form
from
Section
3.2.1.
�4
cipher from
3.2.1.i=1 q(xi ) is an invariant of the MixColumns matrix M of4the
x1 ·Section
· · x4 �→
ПримерExample
9.4. По теореме
любая 9.1,
квадратичная
функция
видаofx1the
‖ …form
‖ x4 ↦ ∑ i=1
9.4 By 9.1,
Theorem
every
quadratic
Rijndael-like
example cipher.
The S-box
S hasfunction
the property
that
xform
�→ u S(x)
�By
4
Example
9.4
Theorem
9.1,
every
quadratic
function
of
the
q(xi) является
инвариантом
функции
MixColumns
M
шифра
типа
Rijndael.
S-блок
x1 · · · xis4 quadratic
�→ �i=1
q(x
)
is
an
invariant
of
the
MixColumns
matrix
M
of
the
3
i
4 for all choices ofT u. Furthermore, for u = 111, all x in F2 satisfy
S обладает
тем
свойством,
что
x
↦
u
S(x)
квадратична
при
любом
выборе
u.
x
·
·
·
x
→
�
q(x
)
is
an
invariant
of
the
MixColumns
matrix
M
of
the
1
4
i
i=1 cipher. The S-box S has the property that x �→ u S(x)
Rijndael-like example
� has �the property
Кроме того,
для u =example
111 любое
x ∈The
𝔽23 удовлетворяет
равенству
3 u S(x)
Rijndael-like
cipher.
S-box
S
that
x
→
�
is quadratic for all choices of u. Furthermore,
for u
u S S(x)
==
u 111,
x. all x in F2 satisfy
is quadratic for all choices of u. Furthermore, for u = 111, all x in F32 satisfy
�
� =—uT x.
u TS(S(x))
“9781009607865book” — u2025/12/2
14:12 — page 126 — #138
�= u x.invariant. In particular, let f and g be
These observations lead Sto�S(x)
a nonlinear
u
S
S(x)
=
u
x.
Эти наблюдения
приводят
к одному инварианту.
А именно пусть f и g –
Boolean
functions еще
on F96
2 defined as follows:
96
observations
to a nonlinearследующим
invariant. In образом:
particular, let f and g be
булевыThese
функции
на 𝔽2 , lead
определенные
These observations
to a nonlinear
invariant.
In particular, let f and g be
Boolean
functions onlead
F96
32 as follows:
32
296 defined
�
�
follows:
126
Miscellaneous
extensions
Boolean functions
on
F
defined
as
2 )=
f (x1 · · · x32
u x=
x3i−2 + x3i−1 + x3i ,,
32
32
�
�
i=1
i=1
32 u x = �
32 x
f (x1 · · · x32 ) = �
3i−2 + x3i−1 + x3i ,
32
32
f (x1 · · · x
)
=
u
x
=
x3i−2
+ x3i−1 Press
+ x3i ,do not share or copy
32
i=1of
i=1
Property
Cambridge
University
g(x1 · · · x32 ) = i=1u S(x) =
x3i−2 x3i−1 + x3i−2 x3i + x3i−1 x3i..
i=1
i=1
i=1
Property of Cambridge
University
Press do not share or copy
Property of Cambridge University Press do not share or copy
The round
functionRR. удовлетворяет
satisfies
Раундовая
функция
соотношению
MixColumns ◦◦ ShiftRows
SubCells== f
f ◦◦ SubCells
= g.
ff ◦◦RR==ff ◦
◦ MixColumns
ShiftRows ◦
◦ SubCells
SubCells =
g.
Аналогично
на following
R выполняется
такоеover
соотношение:
Likewise, the
relation holds
R:
g ◦ R = g ◦ MixColumns ◦ ShiftRows ◦ SubCells = g ◦ SubCells = f.
g ◦ R = g ◦ MixColumns ◦ ShiftRows ◦ SubCells = g ◦ SubCells = f .
Следовательно, существует множество слабых ключей, такое что
= fлюбого
(x)
Hence,
a setлюбого
of weak xkeys
such
(Rki+1=(R
(x))) there
= f (x)is для
∈ 𝔽96
илиthat
f(Reither
(Rfk (x)))
f(x)
+ 1 для
x.
f(Rki+1(R
ki (x)))
ki
2
ki+1
i
96
На самом
деле
для любого
выбора
Однако
любая
or f (Rki+1 (Rki (x)))
= f (x) +
1 for allki+1
x.. In
fact, this
holds 3-биfor all
x inэто
F2 справедливо
товая for
ячейка
ki должна
равна
0003-bit
или
. However,
every
cell111,
of kiчтобы
must beнелинейный
000 or 111 for инваall choices
of ki+1быть
риант the
имел
место.
Далееtoследует
короткое
алгебраическое
преобразование
nonlinear
invariant
hold. This
follows by
a short algebraic manipulation
полиномиального
представления
g (см.
упражнение
Следовательно,
of the polynomial
representation of
g (see
Exercise 9.2).9.2).
Hence,
for 232 weak для
keys, f is a nonlinear invariant for every even number of rounds.
�
As mentioned in Chapter 2, a large number of linear trails with small
9.2. Приближенные свойства 127
232 слабых ключей f является нелинейным инвариантом при любом четном
числе раундов.
⊳
Как было отмечено в главе 2, большое число линейных следов с малыми абсолютными корреляциями теоретически может привести к линейной аппроксимации с большой абсолютной корреляцией. Нелинейным инвариантом f из
примера 9.4 фактически является линейная функция x ↦ uTx. В частности, тот
факт, что либо f(Ek(x)) = f(x) для всех x, либо f(Ek(x)) ≠ f(x) для всех x эквивалентен
E
тому, что C u,u
= ±1 для u = 11…1. В упражнении 3.2 было показано, что корреляция четырехраундовых следов не превышает 2−16. Тем не менее (u, u) – линейная аппроксимация с корреляцией ±1. Правда, это верно лишь для небольшой
доли ключей (1/264), но может служить неплохой иллюстрацией ограничений
линейных следов.
Существование нелинейных инвариантов приводит к естественному вопросу: как проанализировать корреляцию пар булевых функций, т. е. нелинейный
аналог линейных аппроксимаций? В разделе 9.2.2 обсуждаются некоторые
подходы к этой проблеме.
k
9.2. Приближенные свойства
Недостаток «точных» свойств, рассмотренных в разделе 9.1, – то, что они либо
черные, либо белые; свойство либо имеет место, либо нет. Из-за этого для аппроксимаций не хватает свободы маневра.
В этом разделе мы обсудим некоторые попытки обобщить свойства из раздела 9.1, сделав их неточными. Однако все они сталкиваются со значительными трудностями, которые мы сможем рассмотреть только в главе 11. По этой
причине в каждом конкретном случае мы придерживаемся описания высокого уровня.
9.2.1. Статистическое насыщение
Как было объяснено в разделе 9.1.1, атаки с насыщением основаны на шифровании множеств открытых текстов таким образом, что часть открытого текста
принимает все возможные значения (эта часть называется «насыщенной»),
тогда как оставшаяся часть является постоянной. Вообще, множество открытых текстов является смежным классом некоторого векторного пространства.
В простейшем случае это приводит к множеству шифртекстов, таких что часть
выходов обладает свойством насыщения. Однако в примере 9.1 было показано,
что это также может привести к множеству шифртекстов с постоянной частью.
В статистических атаках с насыщением используется тот факт, что при шифровании случайного равномерно распределенного открытого текста из смежного класса распределение вероятностей части шифртекста неравномерно.
Степень неравномерности обычно измеряется квадратичным евклидовым
расхождением, поскольку эта величина определяет информационную сложность. Крайний случай, соответствующий наибольшему квадратичному евклидову расхождению, дает набор шифртекстов с постоянной частью.
Согласно следствию 6.6, свойства статистического насыщения эквивалентны многомерным линейным аппроксимациям. Разница заключается в том,
128
Различные обобщения
как оценивается квадратичное евклидово расхождение. На практике для этой
цели обычно проще использовать линейный криптоанализ. Однако в некоторых случаях возможны более простые рассуждения, основанные на значениях.
9.2.2. Нелинейные аппроксимации
Нелинейная аппроксимация функции F : 𝔽2n → 𝔽m2 – это пара (f, g) функций f :
𝔽2n → 𝔽2 и g : 𝔽m2 → 𝔽2. Корреляция (f, g) определяется по аналогии с корреляцией
линейной аппроксимации.
C(g ◦ F, f) = 2Prx [g(F(x)) = f(x)] − 1,
где вероятность берется для случайной равномерно распределенной величины x. Если f = g и корреляция равна ±1, то f – нелинейный инвариант F.
Использование нелинейных аппроксимаций было предложено вскоре после
открытия линейного криптоанализа, но это не привело к появлению общего
способа анализа нелинейных аппроксимаций. Впоследствии было предложено
много других подходов; здесь мы упомянем только один из них. Если F и G –
перестановки, то линейные аппроксимации G ◦ F ◦ G−1 являются нелинейными аппроксимациями F. Более того, если F = Fr ◦ … ◦ F2 ◦ F1, то «нелинейный
след» для F соответствует следу для
G ◦ F ◦ G−1 = (G ◦ Fr ◦ G−1) ◦ … ◦ (G ◦ F2 ◦ G−1) ◦ (G ◦ F1 ◦ G−1).
Излишне говорить, что это разложение не является единственным. Одним
из подходов к нелинейному криптоанализу является выполнение линейного
криптоанализа для такого альтернативного описания шифра.
Все вышеупомянутые предложения сталкиваются со значительными трудностями, что делает их непригодными на практике. Стоит упомянуть две повторяющиеся проблемы: (1) зависимость корреляций от ключа и (2) существует «слишком много» нелинейных функций, чтобы получить полезную теорию
такого же уровня, как линейный криптоанализ. Прежде чем мы перейдем к обсуждению этих вопросов, нам придется заново выстроить теорию линейного
криптоанализа в главе 11.
9.2.3. Каркас проецирования
Нелинейные аппроксимации можно обобщить на произвольные функции
f : 𝔽2n → X и g : 𝔽m2 → Y, где X и Y – небольшие множества. Иногда их называют
«функциями проецирования».
Общая идея криптоанализа на основе функций проецирования – соотнести
g ◦ F с f. Конкретно, в постановке с известным открытым текстом производится
попытка найти сбалансированные функции1 f и g, такие что (f(x), g(F(x))) имеет
неравномерное распределение для случайной равномерно распределенной величины x. Это можно измерить с помощью квадратичного евклидова расхождения.
Альтернативная точка зрения заключается в том, что функции f и g определяют разбиения 𝔽2n и 𝔽m2. Например, f разбивает 𝔽2n следующим образом:
1
Функция называется сбалансированной, если у любого выходного значения одно и
то же число прообразов.
distribution for uniform random x. This can again be measured using the
squared Euclidean imbalance.
An alternative point of view is that the functions f and g define partitions
9.4. Литература 129
n
of Fn2 and Fm
2 . For example, f partitions F2 as
Fn2 =
f −1 (x),,
x∈X
−1
where
f (x) is the
set of values
F2 such
x. In partitioning
где f−1(x)
– множество
значений
y ∈ 𝔽y2n, in
таких
чтоthat
f(y) f=(y)
x. В=случае
криптоанализа
cryptanalysis,
one studies
the relation
between a пространства
partition of the входов
input space
с разбиением
изучается
связь между
разбиением
и разбиa partition ofвыходов.
the output space.
This is equivalent
to cryptanalysis основанному
based on
ением and
пространства
Это эквивалентно
криптоанализу,
на функциях
проецирования.
projection
functions.
Partitioning
and projection
functions make
it possible
to describe
a wideспектр
Разбиение и функции
проецирования
позволяют
описать
широкий
variety
of properties.
if f and
g are linear
functions,
then they мносвойств.
Например,
если fFor
и gexample,
– линейные
функции,
то они
эквивалентны
гомерным
линейным
аппроксимациям.
существуют
также
некоторые
are equivalent
to multidimensional
linearОднако
approximations.
However,
there
are
заметные
такие какsuch
множественные
линейные
аппроксимации
also исключения,
some notable exceptions,
as multiple linear
approximations
with a
со множеством
масок,
которые
неaобразуют
векторного пространства.
set of masks
that does
not form
vector space.
К сожалению,
разбиение
и
функции
проецирования
лишь опиUnfortunately, partitioning and projection functions doспособны
not do anything
сать свойства.
Они,
например,
никак
не
помогают
анализировать
more than describing properties. They do not, e.g., help us analyze orили
find находить эти свойства.
these properties.
n
9.3. Историческая справка
9.3введены
Historical
remarksкак часть «атаки Square».
Свойства насыщения были
Кнудсеном
Их связь
с многомерными
линейными
корреляSaturation
properties were
introduced аппроксимациями
by Knudsen as a partсofнулевой
the “Square
цией заметили Богданов, Леандер, Нюберг и Вань.
attack.” Their relation to multidimensional zero-correlation linear approximaПростые примеры инвариантных подпространств, такие как пример 9.2,
tions was observed by Bogdanov, Leander, Nyberg and Wang.
были замечены еще до открытия инвариантных подпространств, зависящих
от деталей
уровня
S-блоков
линейного
Леандером,
1 A function
is called
balanced if и
every
output has theуровня,
same number
of preimages. Абельрахимом,
Аль-Хазими
и
Зеннером.
Алгоритм
9.1
принадлежит
Леандеру,
Мино и РеньеProperty of Cambridge University Press do not
share or copy
му. Нелинейные инварианты и теорема 9.1 введены в обиход Тодо, Леандером
и Сасаки. Пример 9.4 основан на работе Бейна (2018).
Большинство приближенных свойств, рассмотренных в разделе 9.2, появились раньше точных свойств из раздела 9.1. Статистические атаки с насыщением впервые были предложены Воденэ, сам термин введен в работе Колларда и Стандаерта. Использовать нелинейные аппроксимации предложили
в 1995 году Харпес, Крамер и Масси под названием «суммы ввода–вывода»,
а в 1996 году – Кнудсен и Робшоу. Подход, основанный на применении линейного криптоанализа к альтернативному описанию шифра, предложен Беером,
Канто и Леандером. Криптоанализ с разбиением предложили Харпес и Масси, а понятие функций проецирования из раздела 9.2.3 – Ваген. По причинам,
которые станут понятны в главе 11, ни одно из этих предложений не привело
к жизнеспособным обобщениям криптоанализа.
9.4. Литература
Beierle, Christof, Anne Canteaut, and Gregor Leander (2018). «Nonlinear Approximations in Cryptanalysis Revisited». In: IACR Transactions on Symmetric Cryptology 2018.4, pp. 80–101. issn: 2519-173X. doi: 10.13154/tosc.v2018.i4.80-101.
Beyne, Tim (Dec. 2018). «Block Cipher Invariants as Eigenvectors of Correlation Matrices». In: ASIACRYPT 2018, Part I. Ed. by Thomas Peyrin and Steven Galbraith.
Vol. 11272. LNCS. Springer, Cham, pp. 3–31. doi: 10.1007/978-3-030-03326-2_1.
130
Различные обобщения
Bogdanov, Andrey et al. (Dec. 2012). «Integral and Multidimensional Linear Distinguishers with Correlation Zero». In: ASIACRYPT 2012. Ed. by Xiaoyun Wang
and Kazue Sako. Vol. 7658. LNCS. Springer, Berlin, Heidelberg, pp. 244–261. doi:
10.1007/978-3-642-34961-4_16.
Collard, Baudoin and François-Xavier Standaert (Apr. 2009). «A Statistical Saturation
Attack against the Block Cipher PRESENT». In: CT-RSA 2009. Ed. by Marc Fischlin. Vol. 5473. LNCS. Springer, Berlin, Heidelberg, pp. 195–210. doi: 10.1007/9783-642-00862-7_13.
Daemen, Joan, Lars R. Knudsen, and Vincent Rijmen (Jan. 1997). «The Block Cipher
Square». In: FSE’97. Ed. by Eli Biham. Vol. 1267. LNCS. Springer, Berlin, Heidelberg, pp. 149–165. doi: 10.1007/BFb0052343.
Harpes, Carlo, Gerhard G. Kramer, and James L. Massey (May 1995). «A Generalization of Linear Cryptanalysis and the Applicability of Matsui’s Piling-Up Lemma».
In: EUROCRYPT’95. Ed. by Louis C. Guillou and Jean-Jacques Quisquater. Vol. 921.
LNCS. Springer, Berlin, Heidelberg, pp. 24–38. doi: 10.1007/3-540-49264-X_3.
Harpes, Carlo and James L. Massey (Jan. 1997). «Partitioning Cryptanalysis». In:
FSE’97. Ed. by Eli Biham. Vol. 1267. LNCS. Springer, Berlin, Heidelberg, pp. 13–27.
doi: 10.1007/BFb0052331.
Knudsen, Lars R. and Matthew J. B. Robshaw (May 1996). «Non-Linear Approximations in Linear Cryptanalysis». In: EUROCRYPT’96. Ed. by Ueli M. Maurer. Vol. 1070.
LNCS. Springer, Berlin, Heidelberg, pp. 224–236. doi: 10.1007/3-540-68339-9_20.
Leander, Gregor et al. (Aug. 2011). «A Cryptanalysis of PRINTcipher: The Invariant Subspace Attack». In: CRYPTO 2011. Ed. by Phillip Rogaway. Vol. 6841. LNCS.
Springer, Berlin, Heidelberg, pp. 206–221. doi: 10.1007/978-3-642-22792-9_12.
Leander, Gregor, Brice Minaud, and Sondre Rшnjom (Apr. 2015). «A Generic Approach
to Invariant Subspace Attacks: Cryptanalysis of Robin, iSCREAM and Zorro». In: EUROCRYPT 2015, Part I. Ed. by Elisabeth Oswald and Marc Fischlin. Vol. 9056. LNCS.
Springer, Berlin, Heidelberg, pp. 254–283. doi: 10.1007/978-3-662-46800-5_11.
Todo, Yosuke, Gregor Leander, and Yu Sasaki (Dec. 2016). «Nonlinear Invariant Attack – Practical Attack on Full SCREAM, iSCREAM, and Midori64». In: ASIACRYPT 2016, Part II. Ed. by Jung Hee Cheon and Tsuyoshi Takagi. Vol. 10032. LNCS.
Springer, Berlin, Heidelberg, pp. 3–33. doi: 10.1007/978-3-662-53890-6_1.
Vaudenay, Serge (Mar. 1996b). «An Experiment on DES Statistical Cryptanalysis».
In: ACM CCS 96. Ed. by Li Gong and Jacques Stern. ACM Press, New York, pp.
139–147. doi: 10.1145/238168.238206.
9.5. Упражнения
Упражнение 9.1
Цель этого упражнения – показать, что любой функции f : 𝔽2n → 𝔽2 соответствует
единственный полином, принадлежащий 𝔽2[x1, …, xn]/(x12 − x1, …, x2n − xn). Этот полином называется алгебраической нормальной формой f.
1. Покажите, что любой полином, принадлежащий 𝔽2[x1, …, xn], определяет
булеву функцию путем вычисления.
9.5. Упражнения 131
2. Покажите, что для любой булевой функции существует интерполирующий полином в 𝔽2[x1, …, xn].
3. Применив рассуждение с подсчетом, сделайте вывод, что «отображение
вычисления», которое переводит полином в булеву функцию, определяемую вычислением полинома, является взаимно однозначным отображением между 𝔽2[x1, …, xn]/(x12 − x1, …, x2n − xn) и множеством всех булевых
функций.
Упражнение 9.2
Для каких ключей нелинейный инвариант из примера 9.4 имеет место при
произвольном четном числе раундов? Докажите.
Упражнение 9.3
Знаменитый бельгийский криптограф часто шифрует свои персональные данные своим любимым блочным шифром. У этого блочного шифра есть три варианта с r1 = 10, r2 = 12 и r3 = 14 раундами. К сожалению, в данном случае криптограф не помнит, какой вариант использовал.
Но, к счастью, криптограф попросил своих студентов записывать для него
число раундов. Однако в творческом порыве студенты решили зашифровать это число придуманным ими шифром Ek с размером блока 4 бита. Как
показано на рис. 9.2, на i-м раунде их построения к состоянию прибавляется
i-й фрагмент ki ключа k = k1‖k2‖ … ‖kr+1, а затем применяется функция S, заданная табл. 9.1. Не слишком доверяя собственным способностям, студенты
решили создать экземпляр своего шифра Ek с r = r1 × r2 × r3 + 1 = 1681 раундом.
S
k1
...
S
S
k2
kr+1
kr
Рис. 9.2. Студенческий метод шифрования
Таблица 9.1. Справочная таблица для функции S
0
1
2
3
4
5
6
7
8
9
a
b
c
d
e
f
3
e
6
8
0
c
b
4
1
d
5
a
7
9
f
2
Студенты записали, что результат шифрования r1 = 10 равен Ek(1,0,1,0) =
(0,1,0,1), т. е. пяти. Они также помнят, что r2 = 12 соответствует шифртекст
Ek(1,1,0,0) = (0,0,0,0). Разумеется, студенты забыли ключ, но помнят, что это
был ASCII-код парольной фразы, состоящей только из строчных и заглавных
букв. Услышав это, знаменитый криптограф воскликнул, что студенты допус
тили ошибку. Можете ли вы помочь студентам выяснить, в чем они неправы?
10
Functions on Abelian groups
Глава 10
Функции на абелевых группах
Chapter 11 reconstructs the theory of linear cryptanalysis from a more general
point of view. To do this, we need to cover some mathematical ground. We first
discuss linear algebra over the field of complex numbers, and then turn to the
analysis
of functions
on a finite Abelian
group. Both of these
topicsобщей
В главеFourier
11 теория
линейного
криптоанализа
пересматривается
с более
a central
in Chapter
11.
точки play
зрения.
Дляrole
этого
нам понадобятся
некоторые знания из математики.
Сначала мы обсудим линейную алгебру над полем комплексных чисел, а затем
обратимся к анализу Фурье на конечной абелевой группе. Обе эти темы играют
центральную роль в главе 11.
10.1 Linear algebra over C
алгебраwith
над
полем
10.1.Linear
Линейная
algebra is concerned
vector
spacesℂand linear transformations
between
them.занимается
However, ifвекторными
the vector spaces
are defined over
the real or преЛинейная
алгебра
пространствами
и линейными
образованиями
между then
ними.
Однакоstructure
если векторное
пространство
определено
complex numbers,
additional
enters the picture.
This is because
над полем
вещественных
чисел, тоmaking
появляется
the field
C comes withили
an комплексных
absolute value function,
it into дополнительa metric
ная структура,
связанная с тем, что в поле ℂ определена функция абсолютной
space.
величины,
или
модуля,asкоторая
его vector
в метрическое
In this chapter,
well as inпревращает
Chapter 11, two
spaces overпространство.
C play an
В этой
главе,
как
и
в
главе
11,
важную
роль
играют
два
векторных пространimportant role. They will be used as a running example.
ства над ℂ. Они используются далее в качестве сквозного примера.
Example 10.1 Let G be a finite Abelian group. The free C-vector space on G
Примерconsists
10.1. Пусть
группа. Свободное
of the G
set–ofконечная
all formal абелева
linear combinations
of elements ℂ-векторное
of G. That is, пространство на G состоит из множества всех формальных линейных комбинаций
every element u of C[G] is of the form
элементов
G. То есть каждый —
элемент
ℂ[G]—
имеет
“9781009607865book”
2025/12/2
14:12вид
— page 134 — #146
ux δ x ,
x∈G
134
Functions on Abelian
groups
где значениями
ux являются произвольные
комплексные
числа, а δx – формальwhere the вектор,
values
uxсоответствующий
are arbitrary complex
numbers and
δx is x.
a formal
ный базисный
элементу
группы
Базис basis
{δx | x ∈ G}
vector стандартным
corresponding toбазисом
the groupℂ[G].
element x. The basis {δx | x ∈ G} is called
называется
x
the Similarly,
standard basis
of C[G].
the vector
space CG consists
of all functions
G → C.GIf→δℂ.
Аналогично
векторное
пространство
ℂG состоит
из всех функций
Если
denotes функцию,
the functionравную
which is1one
at x and
else, then
everyто люδx обозначает
в точке
x и zero
0 во everywhere
всех остальных
точках,
G G can be written as
function ff ∈inℂC
бую функцию
можно записать в виде
133
x
Property of Cambridge University
do not share or copy
f (x) δPress
..
x∈G
G
In Exercise 10.1,
asked
to verify thatпроверить,
{δ x | x ∈ G}что
is a{δbasis
.
| x ∈for
G}C
является
В упражнении
10.1 you
вамare
будет
предложено
x
G
G
G
G
базисом
. Он называется
стандартным
ℂ . Оба
векторных
vector spaces
C[G]
and C areпространboth
It isℂ called
the standard basis
of C . Theбазисом
ства ℂ[G]
и ℂG изоморфны
ℂ|G|. ⊳
�
isomorphic
to C|G| .
10.1.1 Normed vector spaces and their dual
Vector spaces over C can be equipped with a norm, which is an abstraction of
the idea of “length.”
Similarly, the vector space C consists of all functions G → C. If δ x
denotes the function which is one at x and zero everywhere else, then every
denotes the function which is one at x and zero everywhere else, then every
function f in CGG can be written as
function f in C can be written
as
f (x) δ x .
10.1.
алгебра над полем ℂ 133
f (x)Линейная
δx .
x∈G
x∈G
x | x ∈ G} is a basis for CG .
10.1.1.
Нормированные
векторные
In Exercise
10.1, you are asked
to verify that {δпространства
G
In Exercise 10.1, you are asked toGverify that {δ x | x ∈ G} is a basis
G for C .
It
is
called
the
standard
basis
of
C
.
The
vector
spaces
C[G]
and
C
are
both
G
G
и двойственные
им basis of C . The vector spaces C[G] and C are both
It is called the standard
|G|
isomorphic
to C |G|. над ℂ можно снабдить нормой, являющейся абстрак�
Векторное
пространство
isomorphic
to C .
�
цией понятия «длины».
10.1.1 Normed
vector spaces and
their dualпространство). Пусть V – векОпределение
10.1 (нормированное
векторное
10.1.1 Normed
vector spaces and
their dual
торное пространство над ℂ. Нормой на V называется вещественная функция
Vector spaces over C can be equipped with a norm, which is an abstraction of
spaces
over C
can be equipped with a norm, which is an abstraction of
‖ · ‖: VVector
→ ℝ на
V такая,
что
the idea of “length.”
the idea of “length.”
(1)
для любого
x ∈ V ‖x‖
≥ space)
0, причем
место
Definition
10.1 (Normed
vector
Let равенство
V be a vectorимеет
space over
C. тогда
A
Definition
10.1
(Normed
и только
тогда,
когдаvector
x = 0;space) Let V be a vector space over C. A
norm on V is a real-valued function � · � : V → R on V such that
norm
V is a real-valued
· � ‖x‖;
: V → R on V such that
(2)
дляonлюбых
x ∈ V и λ ∈function
ℂ ‖λx‖ =� |λ|
(3)
ыполняется
неравенство
треугольника:
(1) вFor
all x in V , �x�
≥ 0 with equality
if and onlyдля
if xлюбых
= 0. x, y ∈ V ‖x + y‖ ≤
(1) For all x in V , �x� ≥ 0 with equality if and only if x = 0.
‖x‖
+
‖y‖.
(2) For all x in V and λ in C, �λ x� = |λ| �x�.
(2) For all x in V and λ in C, �λ x� = |λ| �x�.
(3) The triangle-inequality
holds: forназывается
all x and y in V , �x + y� ≤ �x� +векторным
�y�.
Векторное
с нормой
(3) The пространство
triangle-inequality
holds: for all x and y inнормированным
V , �x + y� ≤ �x� + �y�.
пространством.
A vector space with a norm is called a normed vector space.
A vector space with a norm is called a normed vector space.
ПримерExample
10.2. Для
любого
p ∈ [1,∞)
векторное
пространство
снабдить
10.2
For every
p ∈ [1,∞),
the vector
space C[G]ℂ[G]
can можно
be equipped
Example 10.2
For every
p‖ ∈
[1,∞), theвектора
vector space
C[G] can be equipped
так называемой
p-нормой
‖
·
.
p-норма
u
с
координатами
u
для x ∈ G
x
with the so-called p-norm � p· �p . The p-norm of a vector u with coordinates
with the формулой
so-called p-norm � · �p . The p-norm of a vector u with coordinates
определяется
ux for x in G is defined by
ux for x in G is defined by
p11
p
p p
�u�p = p |G|
|ux | p ..
�u�p = |G|
|ux |
.
x∈G
x∈G
A similar
norm, also
denoted
by � · �p with
slight abuse
of notation,
is defined также
Похожая
норма,
допуская
некоторую
вольность
нотации,
A similar
norm, которая,
also denoted
by � · �p with
slight abuse
of notation,
is defined
G
G
on
C
:
G ‖ · ‖p, определяется на ℂ формулой
обозначается
on C :
p11
1
p
1
|f (x)| p p .
�f �p = √
p
�f �p = √
|f (x)|
..
p |G|
|G| x∈G
x∈G
For p = 2, this is the familiar Euclidean norm. Verify that this is indeed a
For
= хорошо
2, this is знакомая
the familiar Euclidean норма.
norm. Verify that thisчто
is indeed
a
Для norm.
p = 2pэто
онаcase
действиOnly
the Euclidean normевклидова
is used in Chapter Проверьте,
11 – but the general
norm.
Only the Euclidean
is used in Chapter
11 – but
the general
case
тельноis
является
Дляnorm
иллюстрации
идей
полезен
helpful to нормой.
illustrate some
ideas.
Hence, we некоторых
omit the proof
that the
p-normобщий
is
helpful
to
illustrate
some
ideas.
Hence,
we
omit
the
proof
that
the
p-norm
случай,indeed
но в главе
используется
только
евклидова
норма.
Поэтому
мы
satisfies11the
properties listed
in Definition
10.1 for
all p ≥
1.
� опус
indeed satisfies theтого,
properties
listed
in Definition
10.1 for allудовлетворяет
p ≥ 1.
�
каем доказательство
что
p-норма
действительно
“9781009607865book” — 2025/12/2 — 14:12 — page 135 — #147 свойEvery vector
space has a dual
vector
the dual of a
ствам, указанным
в определении
10.1,
для space.
всех p Furthermore,
≥ 1.
⊳
Every vector space has a dual vector space. Furthermore, the dual of a
normed vector space is again a normed vector space. The following definition
Для normed
любогоvector
векторного
имеется
двойственное
векторное
space is пространства
again a normed vector
space.
The followingему
definition
imposes that
V этом
is finite-dimensional
to avoid topological
subtleties. нормированпространство.
При
векторное пространство,
двойственное
imposes that
V is finite-dimensional
to avoid topological
subtleties.
ному, само является нормированным.
В следующем
10.1 Linear algebra
over C определении предполага135
ется, что V конечномерно, чтобы избежать топологических тонкостей.
Property of Cambridge University Press do not share or copy
Property of Cambridge University Press do not share or copy
Определение 10.2 (двойственное векторное пространство). Пусть V –
Definition
(Dual vector
space) Let
V ℂbeс aнормой
finite-dimensional
vector
конечномерное 10.2
векторное
пространство
над
‖ · ‖. Двойственным
∨
space over C
norm � · �. The
dual space V ℂ-векторное
of V is the C-vector
space of всех
пространства
V называется
пространство
пространством
V∨with
all linear
functions
V ℂ→
C, with norm
линейных
функций
V→
с нормой
�f �∨ = max |f (v)|..
v∈V
�v�≤1
The elements of V ∨ are called linear functionals.
Verify that the dual norm defined in Definition 10.2 is indeed a norm. Since
134
space over C with norm � · �. The dual space V of V is the C-vector space of
space
overfunctions
C with norm
· �.with
The norm
dual space V ∨ of V is the C-vector space of
all linear
V →� C,
all linear functions V → C, with norm
�f �∨ = max |f (v)|.
v ∈ V |f (v)|.
Функции на абелевых группах
�f �∨ = �v�≤1
max
v∈V
�v�≤1
∨
Элементы
V называются
линейными
функционалами.
The elements
of V are called
linear functionals.
Проверьте,
что двойственная
из определения 10.2
The elements
of V ∨ are called норма
linear functionals.
∨
действительно явVerify that the dual norm defined in∨ Definition 10.2 is indeed a norm. Since
∨
ляется нормой.
Так
как
dim
V
и
dim
V
равны,
векторные
пространства
∨ are
that
theVdual
norm
defined
in Definition
is indeed
SinceV и V
dimVerify
V and
dim
equal,
the vector
spaces 10.2
V and
V ∨ area norm.
isomorphic.
∨
изоморфны.
Действительно,
базис
Vvector
можно
отобразить
V . Выбор изо∨
dim
V and
equal,
theto
and
Vв∨базис
are
isomorphic.
Indeed,
onedim
can Vmapare
a basis
of V
a basisspaces
of V ∨ .VThe
choice
of isomorphism
морфизма произволен, потому что разные базисы
обычно приводят к разным
∨
Indeed,
one can
map adifferent
basis of bases
V to ausually
basis ofresult
V . The
choice ofisomorphisms.
isomorphism
is arbitrary
because
inвообще
different
изоморфизмам.
Кроме того,
такие изоморфизмы,
говоря, не являются
is
arbitrary because
different basesare
usually
result in different
isomorphisms.
Furthermore,
isomorphisms
in general
isometries,
i.e.,
they do
изометриями,
т. е.such
не сохраняют
норму.
Однакоnot
существует
«канонический»
Furthermore,
such isomorphisms
are isinageneral
i.e., they do
∨∨ not isometries,
not
preserve
norms.
However,
there
“canonical”
isometric
isomorphism
изометрический изоморфизм между V и V , который можно определить,
not
preserve
norms.
However,
is
a “canonical”
isomorphism
between
and
V ∨∨
that can bethere
specified
without
suchisometric
an arbitrary
choice of
не прибегая
кV
такому
произвольному
выбору
базиса.
∨∨ that can be specified without such an arbitrary choice of
between
V
and
V
basis.
Теорема
basis.10.3. Пусть V – конечномерное векторное пространство над ℂ
Theorem
10.3любого
Let Vv ∈
beVaопределим
finite-dimensional
vector space
over C with norm
с нормой
‖ · ‖. Для
«отображение
вычисления»
evv : V ∨ → ℂ
∨ →
Theorem
10.3v in Let
V be aan
finite-dimensional
vector
space
over
C
with
norm
∨∨ “evaluation map”
�
·
�.
For
all
V
,
define
ev
:
V
C
by
ev
(f
)=
v
v
как evv(f) f(v). Функция V → V : v ↦ evv является изоморфизмом
векторных
∨ → C by ev (f
∨∨ “evaluation
:
V
)
=
�f ·(v).
�. For
all
v in V ,Vdefine
an
map”
ev
v
v
The
function
→
V
:
v
→
�
ev
is
an
isomorphism
of
vector
spaces.
v
пространств. Более того, она ∨∨
является изометрией
нормированных векторных
∨∨
f
(v).
The
function
V
→
V
:
v
→
�
ev
is
an
isomorphism
of
vector
spaces.
∨∨
v
Furthermore,
isometry of normed vector spaces: �evv � = �v�.
пространств:
‖evv‖it is=an
‖v‖.
Furthermore, it is an isometry of normed vector spaces: �evv �∨∨ = �v�.
Proof It is Нетрудно
not difficultвидеть,
to see that
λ vev
=v. Поэтому
evu + evv .v ↦ evv
Доказательство.
чтоev
evλv
==
λ ev
иvevand
=ev
evu+v
+ ev
λv
u+v
u
Proof
It
is
not
difficult
to
see
that
ev
=
λ
ev
and
ev
=
ev
.
λv
v
u+v
u + ev
vсравнеявляется
гомоморфизмом
векторных пространств.
Его
ядро
нулевое,
аand
Hence,
v �→ evv is a homomorphism
of vector spaces.
The
kernel
is zero,
Hence,
v
→
�
ev
is
a
homomorphism
of
vector
spaces.
The
kernel
is
zero,
and
vпоказывает,
ние размерностей
чтоitэто
быть изоморфизм
векторных
comparing dimensions
shows that
mustдолжен
be an isomorphism
of vector spaces.
comparing
dimensions
showsчто
that
it
must
be an
of vector
spaces.
пространств.
является
изометрией,
сначала
To show Чтобы
that
it isпоказать,
an isometry,
we он
first
prove
an isomorphism
upper
bound on
�evv �∨∨
: докажем,
∨∨ :
∨∨
�
To showграница
that it is an
we
first
prove
an
upper
bound
on
�ev
что верхняя
‖evisometry,
‖
равна:
v
v
�evv �∨∨ = max |f (v)| ≤ �v�
∈ V ∨ |f (v)| ≤ �v�
�evv �∨∨ = fmax
,
∨
�f �∨ ≤1
f ∈V
�f �∨ ≤1
where we have used |f (v)| ≤ �f �∨ �v�. This follows from the definition of
мыwhere
воспользовались
тем
‖f‖∨ ‖v‖.
Этоthe
следует
опреде∨ we have used |f
∨ из of
(v)|фактом,
≤ �f �∨что
�v�.|f(v)|
This≤follows
from
definition
где �f � . Furthermore, there necessarily exists a functional f with �f � ≤ 1
∨
ления �f
‖f‖�∨∨.that
того,
обязательно
функционал
f �f
с extend
‖f‖
≤ 1,
.Кроме
Furthermore,
thereIndeed,
necessarily
exists=aα�v�
functional
f withand
�∨ ≤
1 такой
such
|f (v)|
= �v�.
let существует
f (αv)
on Span{v}
to
что |f(v)|
=
‖v‖.
Действительно,
положим
f(αv)
=
α‖v‖
на
Span{v}
и
продолжим
such
that
|f
(v)|
=
�v�.
Indeed,
let
f
(αv)
=
α�v�
on
Span{v}
and
extend
to
all of V . Such an extension is always possible since V is finite-dimensional, so его
на всеall
V. Такое
продолжение
возможно,
что V конечномерно,
. Such
an extension
isвсегда
always
possible sinceпотому
V is finite-dimensional,
so
thatofVVhas
a basis
containing
v.
поэтому
V
имеет
базис,
содержащий
v.
□
that V has a basis containing v.
10.3 Theпространство,
dual—of 2025/12/2
the vector
space
C[G]
consists
linear
ПримерExample
10.3.
Векторное
двойственное
состоит
из
всех ли“9781009607865book”
—
14:12
— ℂ[G],
page
136of—all#148
Example
10.3
The вdual
ofHowever,
the vector
space
C[G]
consists
functions
from
toℂ.C.
every
linear
function
f : of
C[G]
→→ C
нейных
функций
из C[G]
ℂ[G]
Однако
любая
линейная
функция
f : all
ℂ[G]linear
ℂ опреfunctions
to C.
every
function
f : C[G] → C
is determined
byC[G]
its image
onHowever,
the basis
vectorslinear
δδx x, ,with
xx ∈
in G:
G:
деляется
своимfrom
образом
на
базисных
векторах
где
is determined by its image
the basis
δx , with x in G:
on
vectors
136
groups
f Functions
(δx )..
ux δx on=Abelian
ux f
f x∈G ux δx = x∈G ux f (δx ) .
x∈G
x∈G
Следовательно,
линейные
функции
на ℂ[G]toэквивалентны
ℂG.
Hence, linear functions
on C[G]
are equivalent
elements of CG . элементам
Up to this
∨
С точностью
доisomorphism,
этого
канонического
изоморфизма
ℂ
совпадает
с ℂ[G]
Property
of Cambridge
University
or copy
G share
canonical
CG is the
same
asPress
C[G]∨do
. Ifnot
C[G]
is equipped
with . Если
ℂ[G] снабжено
p-нормой,
то
двойственная
норма
на
ℂ
является
p/(p
− 1)-норG
Property
ofthe
Cambridge
do notG share
or copy10.2,
the p-norm,
then
dual norm University
on C is thePress
p/(p−1)-norm.
In Exercise
мой. В упражнении 10.2 вам будет предложено доказать этот факт. Случай p = 2
you are asked to prove this. The case p = 2 is special: the dual of the Euclidean
особый: норма, двойственная евклидовой, сама является евклидовой нормой.
norm is the Euclidean norm. This implies that the map
Отсюда следует, что отображение
1
f �→
f (x) δx
|G|
x∈G
is an isometric isomorphism between (CG,� · �2 ) and (C[C],� · �2 ). Since the
normed vector space (C[G],� · �2 ) is isometrically isomorphic to its dual, it is
called self-dual.
�
f �→
1
(x) δx
1 f
f|G|
�→x∈G
f (x) δx
|G|
x∈G
над
ℂ the
135
is an isometric isomorphism between10.1.
(CGЛинейная
,� · �2 ) andалгебра
(C[C],�
· �полем
2 ). Since
is an
isometric
(CG,� · isomorphic
�2 ) and (C[C],�
· �2 ). itSince
normed
vector
space isomorphism
(C[G],� · �2 )between
is isometrically
to its dual,
is the
является
изометрическим
между (ℂG,isomorphic
‖ · ‖2) и to(ℂ[C],
normed
vector spaceизоморфизмом
(C[G],� · �2 ) is isometrically
its dual,
called
self-dual.
�‖ ·it‖is2).
Так как нормированное
called self-dual. векторное пространство (ℂ[G], ‖ · ‖2) изометрически
�
изоморфно своему двойственному, оно называется самодвойственным.
⊳
10.1.2
Inner product spaces
10.1.2.
Пространства
со скалярным произведением
10.1.2 Inner product spaces
В примере
10.310.3
показано,
что
норма
являетсяThis
самодвойственной.
Example
shows that
theевклидова
Euclidean norm
is self-dual.
also follows
Example
10.3
shows
the
Euclidean
norm
is self-dual.произведением.
This also follows
Это также
из
того,
что
индуцирована
скалярным
fromследует
the
observation
that
it that
isона
induced
by an inner
product.
from
the
observation
that
it
is
induced
by
an
inner
product.
Definition10.4
10.4 (Inner
product space)
Let V be aпроизведением).
vector space over C.Пусть
An V –
Определение
(пространство
со скалярным
Definition
Let V bebya �·,·�,
vectorsuch
space
over C. An
векторное
над
ℂ.product
Скалярным
на
V
называется
inner пространство
product on 10.4
V is a(Inner
function
V × space)
V → C,произведением
denoted
that
функция V ×
V →product
ℂ, обозначаемая
⟨·,·⟩, такая
inner
on V is a function
V × Vчто:
→ C, denoted by �·,·�, such that
For all
and
λ and
in C,
�x,λy
(1) для(1)
любых
x,x,
y, yz ∈
V zиin
λ,Vμ ∈and
ℂ ⟨x,
λy +μμz⟩
= λ⟨x,
y⟩+
+ μz�
μ⟨x,=
z⟩;λ�x,y� + μ�x,z�.
(1)
For
all
x,
y
and
z
in
V
and
λ
and
μ
in
C,
�x,λy
+
It is antisymmetric: �x,y� = �y,x� для
for all
x and x,
y in
. μz� = λ�x,y� + μ�x,z�.
(2) она(2)
антисимметрична:
любых
y ∈VV;
(2)allItxxis∈inantisymmetric:
�x,y�equality
= �y,x�
xимеет
and
in
V . тогда и только
(3) для(3)
любого
VV ⟨x,
x⟩ ≥≥0,0 причем
равенство
место
For
, �x,x�
with
iffor
andallonly
if xy =
0.
тогда, когда
x
=
0.
(3) For all x in V , �x,x� ≥ 0 with equality if and only if x = 0.
A vector space
with anпоказывает,
inner product is
called
an inner
product space.
Следующий
результат
что
любое
пространство
со скалярным
A
vector
space
with
an
inner
product
is
called
an
inner
product space.
The nextявляется
result shows
that every inner product space is normed.
произведением
нормированным.
next If
result
that space
every inner
product
space is
normed.
TheoremThe
10.5
V isshows
a vector
with inner
product
�·,·�,
then x �→
√
10.5
If on
V Vis. a vector
space withсо
inner
product �·,·�,
then x �→
Теорема
Если
V
–
векторное
пространство
скалярным
произведением
�x� 10.5.
=Theorem
�x,x�
is
a
norm
√
�x,x� inner
is
a norm
on
V
.
⟨·,·⟩, то x Moreover,
↦ �x� = every
является
нормой
на
V.
product space is self-dual in the sense of ExamMoreover,
every
inner
space is self-dual
in thespaces
sense
of Example
10.3.
In
the
following
theorem,
anti-isomorphism
of vector
over
Более того, всякое пространствоproduct
соanскалярным
произведением
является
саple
10.3.
In
the
following
theorem,
an
anti-isomorphism
of
vector
spaces
C
is
an
invertible
map
f
such
that
f
(λx
+
μy)
=
λf
(x)
+
μf
(y)
for
all over
модвойственным в смысле примера 10.3. В следующей теореме антиизоморC xisand
an yinvertible
mapλ and
f над
such
f (λxfor+anti-isomorphisms
μy)
= λf (x) +
μfdue
(y)tofor allf,
vectors
and
scalars
μ. The
need
is
физмом
векторных
пространств
ℂthat
называется
обратимое
отображение
–
–
vectors
y and
λ всех
and μ.x The
forproducts.
anti-isomorphisms
is due to
the antisymmetry
positivity
requirements
inner
f(x)
+ μscalars
f(y) для
и yon
иneed
скаляров
λ и μ. Необходимость
такое что
f(λx
+ μy)x =and
λand
the
antisymmetry
and
positivity
requirements
on
inner
products.
в антиизоморфизмах
объясняется
требованиями
антисимметричности
Theorem 10.6 Let V be a finite-dimensional vector space with inner product
и положительной
∨ by x ∗ (y) =произведения.
Theorem
Let xV∗ be
finite-dimensional
vector
space
inner
product
in aVскалярного
�x,y�
for all
y inwith
V . The
map
�·,·�. For
all xопределенности
in10.6
V , define
∨ by x ∗ (y) = �x,y� for all y in V . The map
∗ is an
Forisometric
allVx –inконечномерное
Vanti-isomorphism.
, define
x ∗ in Vвекторное
x “9781009607865book”
�→10.6.
x�·,·�.
Теорема
Пусть
скалярным
— 2025/12/2
— 14:12 пространство
— page 137 —со#149
∗
∗
∨
∗
x �→⟨·,·⟩.
x isДля
an isometric
anti-isomorphism.
произведением
любого
x
∈
V
определим
x
∈
V
как
x
(y)
=
⟨x,
y⟩ для
Proof See Exercise 10.4.
всех
∗
y ∈ V. Отображение
x
↦
x
является
изометрическим
антиизоморфизмом.
Proof See Exercise 10.4.
10.1 Linear
algebra over C
137
Доказательство. См. упражнение
10.4.
□
Property of Cambridge University Press do not share or copy
Пример 10.4. Стандартное
на do
ℂG определяется
следуюProperty ofскалярное
Cambridgeпроизведение
University Press
not share or copy
G
щим образом:
Example 10.4 The standard inner product on CG
is defined as follows:
1
�f ,g� =
f (x) g(x)..
|G| x∈G
x∈G
n
n= Fn , this is the inner product that was used in Exercise 2.1. A similar
For
G
Для G = 𝔽2 это22 скалярное произведение, которое мы использовали в упражproduct is скалярное
defined on C[G]:
ненииinner
2.1. Похожее
произведение определено на ℂ[G]:
�u,v� = |G|
uxx vxx,,
x∈G
x∈G
x in G, respectively.
u and v vectors
with coordinates
, x ∈vG,
соответственно.
где u иwith
v – векторы
с координатами
ux иuxvxxand
xx for
Due to Theorem 10.3 and 10.6, these inner products lead to isometric antiG
and C[G]. Hence, if only the structure of the
isomorphisms between CG
Euclidean norm is considered, then these spaces are equal for all intents and
purposes.
�
136
Функции на абелевых группах
В силу теорем 10.3 и 10.6, эти скалярные произведения индуцируют изометрические антиизоморфизмы между ℂG и ℂ[G]. Следовательно, если рассмат
ривать только структуру евклидовой нормы, то эти пространства во всех отношениях неразличимы.
⊳
Пространства со скалярным произведением допускают геометрическую интерпретацию. Говорят, что два вектора ортогональны, если их скалярное произведение равно нулю. То есть u ⊥ v тогда и только тогда, когда ⟨u, v⟩ = 0. Базис,
состоящий из взаимно ортогональных векторов с единичной нормой, называется ортонормированным.
Вообще, модель скалярного произведения двух нормированных векторов
можно интерпретировать как косинус наименьшего угла между ними – хотя для
векторов, отличных от вещественных, некоторые предпочитают определять угол
как вещественную часть скалярного произведения. В упражнении 10.7 понятие
угла между векторами обобщается на угол между двумя подпространствами.
Теорема 10.7 (теорема Пифагора). Для любой пары ортогональных векторов u
и v в пространстве со скалярным произведением ‖u + v‖2 = ‖u‖2 + ‖v‖2.
Доказательство. Результат следует из того, что ‖u + v‖2 = ⟨u + v, u + v⟩ и ⟨u + v,
u + v⟩ = ⟨u, u⟩ + ⟨u, v⟩ + ⟨v, u⟩ + ⟨v, v⟩ = ‖u‖2 + ‖v‖2 + ⟨u, v⟩ + ⟨u, v⟩.
Так как u и v ортогональны, ⟨u, v⟩ = 0.
□
Ортогональным дополнением подпространства V пространства со скалярным произведением U называется векторное пространство V⊥, состоящее из
всех векторов, ортогональных V:
“9781009607865book”
—| ⟨v,
2025/12/2
— любого
14:12 —v ∈page
V⊥ = {u ∈ U
u⟩ = 0 для
V}. 138 — #150
В упражнении 10.5 вам нужно будет показать, что ортогональные дополнения являются также алгебраическими дополнениями. То есть U = V ⊕V⊥, где
⊕ обозначает
внутреннюю прямую
Следовательно,
можно определить
138
Functionsсумму.
on Abelian
groups
проекцию πV : U → V с ядром V⊥. Для любого u ∈ U πV(u) называется ортогональной проекцией u на V.
Следующий результат, который иногда называют теоремой о наилучшей апThe following result, sometimes called the best approximation theorem, is
проксимации, важен в связи с пространствами со скалярным произведением.
an important result related to inner product spaces.
Теорема
10.8.10.8
ПустьLetVV–beподпространство
конечномерного
пространства
Theorem
a subspace of a finite-dimensional
inner
product
со скалярным
произведением
U.
Ортогональная
проекция
u
∈
U
space U . The orthogonal projection of u in U onto V is closest to u:на V является
точкой, ближайшей к u:
(u)� ==min
min‖u
�u −−v‖.
v� .
�u
‖u−− ππV (u)‖
V
v∈V
v∈V
Кроме Furthermore,
того, если u ifнеu ортогонален
V, то
is not orthogonal
to V , then
|�πV (u),u�|
|�v,u�|
..
= �πV (u)� = max
v∈V
�πV (u)�
�v�
v �=0
Proof The first
claimутверждение
is that the orthogonal
minimizes
the norm.проекДоказательство.
Первое
состоитprojection
в том, что
ортогональная
For
all
v
in
V
,
the
Pythagorean
theorem
implies
that
ция минимизирует норму. Для любого v ∈ V из теоремы Пифагора следует, что
2
2
2
�u −‖u
v�−2 v‖
= 2�u
− π−Vπ(u)(u)
++v v−−ππV (u)�
�u−−ππ(u)‖
+ −�vπ−(u)‖
πV (u)�
.
2
2
V (u)�
= ‖u
(u)‖2 ==‖u
+ ‖v
.
V
V
V
V
Hence, if v �= πV (u), then �u − v� > �u − πV (u)�. The second part of the
result follows from the observation that every nonzero v in V satisfies
Proof The first claim is that the orthogonal projection minimizes the norm.
For all v in V , the Pythagorean theorem implies that
2
2
�u − v�2 = �u − πV (u) + v − πV (u)�
= �u − πVалгебра
(u)�2 +над
�v −
πV (u)�
. 137
10.1. Линейная
полем
ℂ
�u то
− v�
�u >−‖u
πV−(u)�.
TheВторая
second part
of теоремы
the
Hence, if v �= если
πV (u),
Следовательно,
v ≠then
πV(u),
‖u >
− v‖
πV(u)‖.
часть
result
follows
from
the
observation
that
every
nonzero
v
in
V
satisfies
вытекает из того, что любой ненулевой вектор v ∈ V удовлетворяет неравенству
|�u,v�|
|�πV (u),v�|
=
≤ �πV (u)�..
�v�
�v�
This concludes
the proof.завершается.
На этом
доказательство
10.1.3. Сингулярное разложение
□
10.1.3 Singular
valueотображению
decomposition
Сопряженным
линейному
L : U → V между пространствами со
†
скалярным
произведением
U
и
V
называется
линейное
отображение
: V → U,
The adjoint of a linear map L : U → V between
inner product
spaces U L
and
однозначно определяемое
соотношением
V is the linear map L† : V → U uniquely defined by the relation
⟨L††(v), u⟩ = ⟨v,
L(u)⟩
L (v),u = v,L(u)
для любых u ∈ U и v ∈ V. Матричным представлением L† относительно двух
forбудет
all u inсопряженно-транспонированная
U and v in V . The matrix representation
of L† with
to two тех
базисов
матрица
L respect
относительно
же базисов.
из антисимметричности
скалярного
bases isЭто
theследует
conjugate-transpose
of the matrix representation
of произведения.
L relative to
Линейное
L†L является
самосопряженным:
(L†L)† = L†L. Важный
the sameотображение
bases. This follows
from the antisymmetry
of inner products.
†
†
†
†
результатThe
линейной
алгебры
том,=что
самосопряженные
linear map
L L is заключается
self-adjoint: (LвL)
L L.
A basic result in отображения
диагонализуемы
относительно
ортогонального
базиса
(см.
linear
algebra states that self-adjoint
maps
diagonalizable
relative
to anупраж“9781009607865book”
— 2025/12/2
— are
14:12
— page 139
— #151
нение orthogonal
10.8). То есть
существует
ортонормированный
базис
u
,
…,
u
,
состоящий
basis (see Exercise 10.8). That is, there exists an orthonormal
1
d basis
из собственных
L†L.ofПоскольку
L(u)⟩ ≥≥0,0,соответствующие
u1, . . . ,ud ofвекторов
eigenvectors
L† L. Since ⟨L(u),
�L(u),L(u)�
the corresponding собственные
значения
являются real
неотрицательными
числами
eigenvalues
are nonnegative
numbers σ12 ≥ · · · ≥вещественными
σd2 . Let vi = L(ui )/σ
i
σ12 ≥ … ≥ σd2 . Положим vi = L(u
)/σ
для
σ
≠
0
и
дополним
до
ортонормированного
i to
i an orthonormal
i
10.1
Linear
algebra
over
C v1, . . . ,vd of the image
139
for σi �= 0 and complete
basis
базиса v1, …, vd образа L. Это показывает, что любое линейное отображение L :
of L. This shows that every linear map L : U → V has a singular value
U → V имеет сингулярное разложение.
decomposition.
Definition10.9
10.9 (Singular
value decomposition)
Let L : LU: →
V be
Определение
(сингулярное
разложение). Пусть
U →
V a–linear
линейное
2 ≥ · · · ≥ σ 2 be
map
between
inner
product
spaces
U
and
V
,
and
let
σ
отображение между пространствами со скалярным произведением
d U и V,
1
Property
University
Press
doСингулярное
not share
or consists
copy
theσ12eigenvalues
L† L. A singular
value
decomposition
of L
of
и пусть
≥ … ≥ σd2of–ofCambridge
собственные
значения
L†L.
разложение
L
orthonormal
bases {u1, . . . ,ud }базисов
and {v1, .{u
. .1,,v…,
for
U
and
V
,
respectively,
состоит
из ортонормированных
}
и
{v
,
…,
v
}
пространств
U
d} u
d
1
d
и V соответственно
таких, что
such that
L(x) =
d
i=1
σi �ui ,x� vi
for all xx in
U . Векторы
The vectorsu1u, 1…,
, . .u
. ,u
v1, u. d. .называются
,ud are called левым
left and и
right
для любого
∈ U.
и and
v1, …,
правым
d d
сингулярными
векторами
соответственно.
singular vectors,
respectively.
10.1.4. Тензорные произведения векторных пространств
10.1.4 произведением
Tensor products of
vector spacesпространств U и V называется
Тензорным
ℂ-векторных
ℂ-векторное
U ⊗V
в совокупности
с билинейным
A tensorпространство
product of C-vector
spaces
U and V is another
C-vector spaceотображениU ⊗V
ем ⊗: together
U × V →with
U ⊗a bilinear
V, обладающим
«универсальным
свойством»,
– оно единmap ⊗ : U × V → U ⊗ V , which
has the “universal
ственным
образом
произвольные
билинейные
отображения.
property”
that линеаризует
it uniquely linearizes
arbitrary bilinear
maps. Specifically,
for Точнее, для любого отображения T : U × V → W, линейного по каждой переменной
every T : U × V → W linear in each variable (bilinear), there exists a unique
(билинейного), существует единственное линейное отображение L : U ⊗ V → W
linear map L : U ⊗ V → W such that T (u,v) = L(u ⊗ v).
такое, что T(u, v) = L(u ⊗ v).
This does not uniquely define the tensor product of two vector spaces.
However, if two vector spaces U ⊗1 V and U ⊗2 V satisfy the universal property
mentioned above, then there exists a unique isomorphism θ : U ⊗1 V →
U ⊗2 V such that ⊗2 = θ ◦ ⊗1 . This is why we often talk about the tensor
138
Функции на абелевых группах
Это еще не определяет однозначно тензорное произведение двух векторных пространств. Однако если два векторных пространства U⊗1V и U⊗2V обладают вышеупомянутым универсальным свойством, то существует единственный изоморфизм θ : U ⊗1 V → U ⊗2 V, такой что ⊗2 = θ ◦ ⊗1. Именно
поэтому мы можем говорить о тензорном произведении, не опасаясь дву
смысленности.
Это стандартное определение тензорного произведения, но оно абстрактное.
В конкретных случаях удобно работать с конкретным построением тензорного
произведения. Следующий пример иллюстрирует эту мысль для ℂ[G] и ℂG.
Пример 10.5. Свободное векторное пространство ℂ[G2] на парах элементов G является тензорным произведением ℂ[G] с собой же, где отображение ⊗ определено как δx ⊗ δy = δ(x,y). В явном виде ℂ[G] ⊗ ℂ[G] = ℂ[G2].
2
Аналогично векторное пространство ℂG функций двух переменных на G является тензорным произведением ℂG с собой, и в этом случае ⊗ определено как
(f ⊗ g)(x, y) = f(x) g(y).
“9781009607865book” — 2025/12/2 — 14:12 — page 140 — #152
В разделе 10.2 и главе 11 под тензорным произведением всегда будет пониматься одно из этих двух конкретных построений.
⊳
Элементы тензорного произведения двух векторных пространств иногда
тензорами, или
называют
вида
⊗ v – элементарными
140 тензорами, а элементы
Functions
onuAbelian
groups
тензорами первого ранга.
Поскольку линейные функции из одного векторного пространства U в другое векторное
пространство
V сами
образуют
пространство,
тензорSince the
linear functions
between
vector векторное
spaces U and
V form a vector
ное произведение
линейных
Тензорное
space, the tensor
product ofотображений
linear maps is корректно
well-defined.определено.
The tensor product
произведение
линейных
Li : Vi → U
можно каноничеL1 ⊗ · · · ⊗L1L⊗…⊗L
maps Li : Vотображений
canonically
with
n
i
n of linear
i → Ui can be identified
ски идентифицировать
с
помощью
линейного
отображения
the linear map
n
i=1
Vi →
n
Ui
i=1
v1 ⊗ · · · ⊗ vn �→ (L1 v1 ) ⊗ · · · ⊗ (Ln vn )..
The matrix representation of L1 ⊗ · · · ⊗ Ln relative to bases for nni=1 Ui n
Матричное
n представление L1 ⊗ … ⊗ Ln относительно базисов ⊗i=1 Ui и ⊗i=1Vi,
and изi=1
Vi that consist
of rank-one
tensors isпроизведением
the Kronecker product
(see (см.
состоящее
тензоров
первого
ранга, является
Кронекера
Chapter
2)
of
n
matrices.
главу 2) n матриц.
10.2. Анализ Фурье на конечных
10.2 Fourier analysis on finite Abelian groups
абелевых группах
This section focuses on the inner product space CG of functions on a finite
Этот раздел посвящен пространству со скалярным
произведением ℂG функций
Abelian group G. Given a function f in CG and a constant tG in G, one can
на конечной абелевой группе G. Если заданы функция f ∈ ℂ и константа t ∈ G,
define a new function x �→ f (x + t) by translation. Another way to phrase this
то можно определить новую функцию
x ↦ f(x + t) с помощью сдвига. По-другому
is that the group G acts on CG . As shown in this section, this action naturally
можно сказать, что группа G действует на ℂG. Как показано в этом разделе, это
leadsестественно
to the Fourierприводит
transformation.
действие
к преобразованию Фурье.
10.2.1 Group characters
The effect of translations on the coordinates of functions in the standard basis
10.2. Анализ Фурье на конечных абелевых группах 139
10.2.1. Характеры группы
Воздействие переносов на координаты функций в стандартном базисе ℂG неудобно: базисные векторы меняются местами перестановкой δx ↦ δx−t, что соответствует умножению на матрицу перестановки. Было бы удобнее, если бы воздействие
сдвига сводилось к простому масштабированию координат, т. е. умножению на
диагональную матрицу. Этого можно достичь, если работать в другом базисе.
Чтобы диагонализировать действие группы, новые базисные векторы должны
быть собственными векторами множества операторов сдвига. Заранее не ясно,
разделяют ли эти операторы общий базис собственных векторов. Оказывается,
что это так, только если группа G абелева. Функция χ : G → ℂ является общим собственным вектором для всех сдвигов тогда и только тогда, когда χ(x + t) = χ(t)χ(x)
для любых x, t ∈ G. Иными словами, χ должна
быть гомоморфизмом из G в муль
типликативную группу ℂ× = ℂ \ {0}. Это ведет к следующему определению.
25/12/2 — 14:12 — page 141 — #153
Определение 10.10 (двойственная группа).
Пусть G – конечная абелева
группа. Комплексным характером G называется гомоморфизм групп G → ℂ×.
^ всех
Двойственной в смысле Понтрягина к группе G называется группа G
характеров G с операцией поточечного произведения.
sis on finite Abelian
groups
141
Поточечным
произведением
двух характеров χ и ψ называется характер x ↦
χ(x)ψ(x). В каждой группе имеется тривиальный характер x ↦ 1, который действует как нейтральный элемент поточечного умножения. Обратным к χ являo characters χ ется
and ψхарактер
is the character
x �→
x ↦ χ(−x)
= χ(x). Поэтому G действительно является группой, как
rivial characterиxзаявлено
�→ 1, which
acts
as
a
unit 10.10.
в определении
inverse of χ is equal
to x �→ χ (−x) =
χ (x).
Происхождение
терминологии
«двойственная группа» объясняется следуюaimed in Definition
10.10.
щей теоремой, аналогичной теореме 10.3.
” is due to the following theorem, which is
Теорема 10.11. Пусть G – конечная абелева группа. Для любого x ∈ G определим
«отображение вычисления» evx : G → ℂ как evx(χ) = χ(x). Любое отображение вычисfinite Abelian group. For all x in G, define
ления evx определяет характер G. Кроме того, функция x ↦ evx является изомор→ C by evx (χ ) = χ (x). Every evaluation
физмом групп, отображающим G в группу, двойственную двойственной G.
Furthermore, the function x �→ evx is an
G.
the dual of theДоказательство.
dual of G.
См. упражнение 10.9.
□
^ изоморфны с той оговоркой, что канонического выОказывается, что G и
G
бора изоморфизма не существует. В примере 10.6 вычисляется группа, двойisomorphic, with the caveat that there is no
ственная циклической. Уже здесь устанавливается частный случай результата.
. Example 10.6 computes the dual of a cyclic
special case ofПример
the result.
10.6 (группа, двойственная циклической). Обозначим ℤn аддитивную
группу целых чисел по модулю n. Так как nx = 0 для любого x ∈ ℤn, для каждого
group) Let Zn denote the additive group of
характера χ имеет место равенство χ(x)n = 1. Поэтому ℤ^n является группой с экс0 for all x in Zn , every character χ satisfies
понентой, не превышающей n. Кроме того, χ(x) = χ(1)x для любого x ∈ ℤn. Отсюда
oup with exponent at most n.^ Furthermore,
следует, что ℤ n – циклическая группа порядка, не превышающего n.
t follows that
Zn is a cyclic group of order
Обозначим
ζ примитивный корень n-й степени из единицы, такой что
√
2π
−1/n
function
unity, such as ζ = e
. Every
Всякая
функция χu : x ↦ ζux является характером ℤn, потому что
χu(0)
1и
, because χu (0)
= 1=and
+y)
=ζ
ux
ζ
uy
= χu (x) χu (y).
χu(x + y) = ζu(x+y) = ζux ζuy = χu(x) χu(y).
rder at most n, so the functions x �→ ζ ux are
u �→ χ is an isomorphism between Z and
140
Функции на абелевых группах
Выше было показано, что порядок ℤ^n не превышает n, поэтому функции
x ↦ ζux являются единственными характерами ℤ^n. На самом деле u ↦ χu – изоморфизм между ℤn и двойственной ей группой. Этот изоморфизм зависит от
выбора ζ.
⊳
Прямой
суммой G ⊕ H групп
и H называется
с множеством
“9781009607865book”
— G2025/12/2
2025/12/2
— 14:12
14:12группа
— page
page
142 —
— #154
#154элемен“9781009607865book”
—
—
—
142
тов G×H“9781009607865book”
и операцией (a, b) + (c,
d)
=
(a
+
c,
b
+
d).
Следующая
теорема
описывает
— 2025/12/2 — 14:12 — page 142 — #154
структуру G ⊕ H.
Теорема 10.12. Пусть G и H – конечные абелевы группы. Существует изоморфизм
142
Functions on
on Abelian
Abelian groups
groups
Functions
между 142
G ⊕ H и G^ ⊕ H^:
142
Functions on Abelian groups
χ ↦ (χG, χH),
Proof
Denote the
theограничение
map defined
definedχ на
in Gthe
the
theorem
by f
f .. It
It is
is indeed
indeed aa
где χG иProof
χH обозначают
и наtheorem
H соответственно.
Denote
map
in
by
Proof
Denote the
map
theorem
by
ItψGis
indeed
homomorphism
since
f (χ
(χdefined
ψ) =
= in
((χ the
ψ)G
,(χ
ψ)H
= f(χ
(χ. G
,χ
ψH
=a
G,(χ
H )) =
Gψ
H
H )) =
homomorphism
since
f
ψ)
((χ
ψ)
ψ)
,χ
G Hψ
Доказательство.
Обозначим
f отображение,
определенное
вψтеореме.
Это
дейhomomorphism
since
f
(χ
ψ)
=
((χ
ψ)
,(χ
ψ)
)
=
(χ
,χ
ψ
)
=
G its inverse
H
H
(χG
,χгомоморфизм,
)(ψG
,ψH
). It
It is
is потому
bijection
because
inverse
is ) =G (χGψ H
G,χ
H )(ψ
G,ψ
H ).
(χ
aa bijection
because
is
H
ствительно
что
f(χψ) =its
((χψ)
,
(χψ)
,
χ
ψ
)
=
(χ
, χH)
G
G G
H H
G
(χG,χH )(ψG,ψH ). It is a bijection because its inverse
is H
(ψG, ψH). Кроме
того, это биекция, потому
что обратное отображение имеет вид
g :: (χ,ψ)
(χ,ψ) �→
�→ (x,y)
(x,y) �→
�→ χ
χ (x)ψ(y)
(x)ψ(y) ..
g
g : g(χ,ψ)
→
�
(x,y)
→
�
χ
(x)ψ(y)
: (χ, ψ) ↦ (x, y) ↦ χ(x)ψ(y). .
=χ
χ and
and g(χ,ψ)
g(χ,ψ)H
= ψ.
ψ.
Indeed, g(χ,ψ)
g(χ,ψ)G
G =
H =
Indeed,
Действительно,
g(χ,
ψ)χG =and
χ иg(χ,ψ)
g(χ, ψ)H
= ψ.
□
Indeed, g(χ,ψ)
G =
H = ψ.
The fundamental
fundamental theorem
theorem of
of finite
finite Abelian
Abelian groups
groups states
states that
that every
every finite
finite
The
Основная
конечных
абелевых
группgroups
утверждает,
что
любая конечThe теорема
fundamental
theoremtoof
finite
states That
that
every
Abelian
group is
is isomorphic
isomorphic
directAbelian
sum of
of cyclic
cyclic groups.
groups.
is, finite
Abelian
group
to
aa direct
sum
That
is,
ная абелева
группа
изоморфна
прямой
сумме
циклических
групп.
Abelian group is isomorphic to a direct
sum of cyclic groups. That is, То есть
∼
Znn...
G∼
= Z
G
=
G∼
= nn Zn .
n
By теоремы
Theorem 10.12
10.12
and
Example 10.6,
10.6,
itотсюда
follows следует,
that
By
Theorem
Example
follows
that
В силу
10.12and
и примера
10.6,it
что
By Theorem 10.12 and Example
10.6,
it
follows
that
∼
∼
∼
∼
G
Znn ∼
Zn ∼
G...
=
= Z
=G
Z
G
=
=
∼ n Znn =
∼ G.
∼ n
=
G
Zn =
=
n
n
n
n
Hence, every
every finite
finite
Abelian
group is
isабелева
isomorphic
to its
its изоморфна
dual. More
More importantly,
importantly,
Следовательно,
всякая
конечная
группа
двойственной
Hence,
Abelian
group
isomorphic
to
dual.
Hence,
every
finite Abelian
group
isand
isomorphic
to специального
its dual.
More
importantly,
себе. Важнее,
впрочем,
то,
что
путем
выбора
by
choosing
specific
isomorphisms
following
the
chain
above
in
reverse,
by choosing specific isomorphisms and following the chain above inизоморфизма
reverse,
by
choosing
specific
isomorphisms
and
following
the chain
above inнаправлении,
reverse,
и следуя
по
приведенной
выше
цепочке
рассуждений
в
обратном
the
elements
of
the
dual
group
can
be
found
explicitly.
the elements of the dual group can be found explicitly.
the elements
of the dual
group can
be found
explicitly.
элементы
двойственной
группы
можно
найти
явно.
is isomorphic
isomorphic to
to F
F22 ⊕F
⊕F22 ⊕·
⊕· ·· ·⊕F
·⊕F22 .. One
One possible
possible
Example 10.7
10.7 The
The group
group F
Fnn2 is
Example
2n
n
Example
10.7
The
group
F
is
isomorphic
to
F
⊕F
⊕·
·
·⊕F
.
One
possible
Пример
10.7.
Группа
𝔽
изоморфна
𝔽
⊕𝔽
⊕
…
⊕𝔽
.
Один
из
возможных
2
2
2
isomorphism
is
given
by
x
→
�
(x
,x
,
.
.
.
,x
),
where
x
is
the
ith
coordinate
2 (x11,x22, .2. . ,x2n
n ), where xii2 is the ith coordinate
isomorphism is given2 by x �→
isomorphism
is
given
by
x
→
�
(x
,x
,
.
.
.
,x
),
where
x
is
the
ith
coordinate
изоморфизмов
–
отображение
x
↦
(x
,
x
,
…,
x
),
где
x
–
i-я
координата
x
1
2
n
i
of xx in
in the
the standard
standard basis.
basis. By
By Example
Example1 10.6,
10.6,
F22 =
=n {ψ
{ψ00,ψ
,ψ11 },
},
where ψ
ψuu (x)
(x) =
=
2
i where
of
F
ux
ux
в стандартном
базисе.
В
силу
примера
10.6,
𝔽
=
{ψ
,
ψ
},
где
ψ
(x)
=
(−1)
.
of
x
in
the
standard
basis.
By
Example
10.6,
F
=
{ψ
,ψ
},
where
ψ
(x)
=
0Theorem
2
0 1 1
(−1)ux .. Hence,
Hence, the
the inverse
inverse of
of the
the isomorphism
isomorphism2 from
from
Theorem
10.12uushows
shows
(−1)
10.12
ux . Hence,
Следовательно,
обращение
изоморфизма
из
теоремы
10.12
показывает,
что
n
the
inverse
of
the
isomorphism
from
Theorem
10.12
shows
(−1)
that the
the characters
characters
of F
Fn2 are
are given
given by
by
that
of
характерами
𝔽2n являются
that the characters
of F2n2 are given by
n
n
n
χuu (x)
(x) =
= ψ
ψuuii (x)
(x) =
= (−1)
(−1)uu xx ..
χ
u x
χu (x) = i=1
..
i=1 ψui (x) = (−1)
i=1
is an
an isomorphism
isomorphism between
between F
Fnn2 and
and its
its dual.
dual.
�
In particular,
particular, u
u �→
�→ χ
χuu is
�
In
between
F2n2 andгруппой
its dual. 𝔽2n и двойствен�
In particular,
u �→
χu is an isomorphism
изоморфизмом
между
В частности,
u↦
χu является
Recall that
that the
the original
original motivation
motivation for
for introducing
introducing the
the dual
dual group
group was
was that
that
Recall
ной ей.
⊳
Recall
that of
thea original
motivation
for introducing
the dual group
was
that
the
characters
group
are
the
eigenvectors
of
the
translation
action
of
G
on
the characters of a group are the eigenvectors of the translation action of G on
Напомним,
что ofпервоначальной
причиной
для
введения
двойственной
G characters
the
aofgroup
are the
the
translation
action
of G on
The number
number
characters
ofeigenvectors
G is
is equal
equal to
toof
|G|.
Furthermore,
the following
following
CG
.. The
ofхарактеры
characters
of
G
|G|.
Furthermore,
the
G
группыC
было
то,
что
группы
являются
собственными
векторами
.
The
number
of
characters
of
G
is
equal
to
|G|.
Furthermore,
the
following
C
theorem implies
implies the
the linear
linear independence
independence of
of characters.
characters. Hence,
Hence, the
the characters
characters
theorem
G of characters. Hence, the characters
theorem
implies eigenvector
the linear independence
form aa complete
complete
basis for
for C
CG
..
form
eigenvector basis
form a complete eigenvector basis for CG .
Theorem 10.13
10.13 (Orthogonality
(Orthogonality of
of characters)
characters) For
For all
all characters
characters χ
χ and
and ψ
ψ of
of
Theorem
u
ui
i=1 i=1
ui
an isomorphism
between
between
Fn2 and
Fn2 its
anddual.
its dual.
In particular,
In particular,
u �→uχ�→
u isχan
u isisomorphism
u
�
�
10.2.
Анализ
Фурье
на конечных
группах
Recall
Recall
that the
thatoriginal
the original
motivation
motivation
for
introducing
for introducing
the dual
theабелевых
dual
group
group
was
was
that that 141
the characters
the characters
of a group
of a group
are the
areeigenvectors
the eigenvectors
of theoftranslation
the translation
action
action
of Gof
onG on
действия
G сдвига G на ℂG. Число характеров G равно |G|. Кроме того, из следуThe
. number
The number
of characters
of characters
of Gof
is G
equal
is equal
to |G|.
to |G|.
Furthermore,
Furthermore,
the following
the following
CG . C
ющей теоремы вытекает линейная независимость характеров. Стало быть, хаtheorem
theorem
implies
implies
the полный
linear
the linear
independence
independence
of characters.
of characters.
Hence,
the characters
the characters
рактеры
образуют
базис
ℂG,Gсостоящий
изHence,
собственных
векторов.
G
formform
a complete
a complete
eigenvector
eigenvector
basisbasis
for Cfor. C .
Теорема
10.13
(ортогональность
Для
любых
характеров
χ и ψ коTheorem
Theorem
10.1310.13
(Orthogonality
(Orthogonality
of
ofхарактеров).
characters)
For14:12
all
For
characters
all
characters
and
χ—
ψ
and
of#155
ψ of
“9781009607865book”
—characters)
2025/12/2
—
—
page χ
143
“9781009607865book”
—that
2025/12/2
— 14:12
14:12 —
— page
page 143
143 —
— #155
#155
нечной
абелевой
группы
имеет
место
“9781009607865book”
—
2025/12/2
—
a finite
a finite
Abelian
Abelian
group
group
G, itGG,
holds
it holds
that следующее:
1, если
if1χ =
if ,χψ,= ψ,,
�χ, ψ�
�χ,=ψ� =
в
противном
случае.
0
otherwise.
0
otherwise.
10.2 Fourier analysis on finite
Abelian
groups
143
10.2 Fourier
Fourier analysis
analysis on
on finite
finite Abelian
Abelian groups
groups
143
10.2
143
G базис
Иными
характеры
образуют
In other
In словами,
other
words,
words,
the
characters
the characters
formform
an orthonormal
anортонормированный
orthonormal
basisbasis
for Cfor
. CG . ℂG.
G
Proof By the
of the inner
product on
CG
Доказательство.
Поdefinition
определению
скалярного
произведения
на ℂG,
G,
Proof
Byof
theCambridge
definition
ofUniversity
theUniversity
inner product
product
on C
C
Property
Property
of Cambridge
Press
Press
do
not
do
not share
or copy
or copy
Proof
By
the
definition
of
the
inner
on
,, share
1
1
1
1
�χ, ψ� = 1
χ (x) ψ(x) = 1
(ψ/χ )(x),
χ (x)
(x) ψ(x)
ψ(x) =
= |G|
(ψ/χ )(x),
)(x),,
�χ, ψ�
ψ� =
= |G|
χ
(ψ/χ
�χ,
x∈G
x∈G
|G|
|G|
|G| x∈G
|G| x∈G
x∈G
x∈G
where the second equality follows from the fact that χ is the inverse of χ. If
–
whereравенство
the second
second equality
equality follows
follows
from
the что
fact χthat
that
χ is
is the
the inverse
inverse of
of χ
χ .. If
Ifχ. Если
where
from
the
fact
χ
где второе
факта,
ψ = χ,the
then ψ/χ следует
≡ 1 and из
theтого
inner
product
equalsявляется
one.
If ψ обращением
�= χ, then
there
ψ
=
χ,
then
ψ/χ
≡
1
and
the
inner
product
equals
one.
If
ψ
=
�
χ
,
then
there
ψ
=
χa,≡
then
≡ such
1 andthat
the(ψ/χ
inner)(t)
product
equals
If ψ ψ�=≠χχ,, then
there
ψ = χ, то
ψ/χ
1 иψ/χ
произведение
1. Если
то существует
exists
value
tскалярное
in G
�= 1.равно
Hence,one.
exists
value
in что
G such
such
that (ψ/χ
(ψ/χ )(t)
)(t) �=
�= 1.
1. Hence,
Hence,
exists
aa G,
value
tt in
G
that
значение
t∈
такое
(ψ/χ)(t)
≠ 1. Отсюда
1
1
1
(ψ/χ )(x) = 11 (ψ/χ )(x + t) = (ψ/χ )(t) 11
(ψ/χ )(x).
11 (ψ/χ
)(t)
)(x) =
= |G|
(ψ/χ )(x
)(x +
+ t)
t) =
= (ψ/χ
(ψ/χ
)(t) |G|
(ψ/χ )(x).
)(x)..
|G|
(ψ/χ
)(x)
(ψ/χ
(ψ/χ
x∈G
x∈G
x∈G
|G|
|G|
|G|
|G|
�=1
|G|
|G|
x∈G
x∈G
x∈G
x∈G
�=11
�=
x∈G
x∈G
The above equality implies that the inner product is equal to zero.
The above
above equality
equality implies
implies that
that the
the inner
inner product
product is
is equal
equal to
to zero.
zero.
The
Из этого
равенства следует,
что скалярное
произведение
равно нулю.
10.2.2
Fourier transformation
10.2.2.
Преобразование
Фурье
10.2.2
Fourier transformation
□
The FourierФурье
transformation
essentially переход
the change-of-basis
Преобразование
– это, поis существу,
от базиса transformation
характеров к станThe Fourier
Fourier transformation
transformation is
is essentially
essentially the
the change-of-basis
change-of-basis transformation
transformation
The
дартному
базису.
Однако
чтобы
избежать
выбора
произвольного
from the basis of characters to the standard basis. However,^ in изоморфизма
order to
from
the
basis определить
of charactersего
to как
the преобразование
standard basis.
basis. However,
However,
in order
order
to опре^ и G,
the
basis
of
to
the
standard
in
to
междуfrom
G
лучше
ℂG вG,ℂGit. При
таком
avoid
choosing
an characters
arbitrary isomorphism
between G
and
is
better
to
^
avoid
choosing
an
arbitrary
isomorphism
between
G
and
G,
it
is
better
to
avoid
choosing
an arbitrary
isomorphism
between
Gχ ∈and
G,ℂGitнепосредственно
isthebetter
to
G
G
делении
преобразование
Фурьеfrom
отображает
характер
G⊂
to
C
.
With
this
definition,
Fourier
define
it as a transformation
C
G
G
^ G
. With this definition, the Fourier
χfromGC
define
it as
as aa transformation
transformation
toC
CG
define
it
With
this definition,
theортогональны
Fourier
Gхарактеры
в вектор
стандартного
базиса
δfrom
∈ ℂ χC
. Поскольку
групп
transformation
maps
a character
intoG
⊂. C
G directly to a standard basis
G
transformation
maps
a
character
χ
in
G
⊂
C
directly
to
a
standard
basis
(по теореме
10.13),
определение
10.14
дает
желаемое
преобразование
базиса.
transformation
maps
a
character
χ
in
G
⊂
C
directly
to
a
standard
basis
G
vector δχχχ in CG
. Since group characters are orthogonal (by Theorem 10.13),
G
vector
δ
in
C
.
Since
group
characters
are
orthogonal
(by
Theorem
10.13),
vector
δ in
C . achieves
Since
group
characters
aretransformation.
orthogonal
Definition
10.14
the desired
basis
Определение
10.14
(преобразование
Фурье).
Пусть (by
f : Theorem
G → ℂ –10.13),
некоторая
Definition 10.14
10.14 achieves
achieves the
the desired
desired basis
basis transformation.
transformation.^ ^
Definition
функция.
Преобразованием
Фурье
f
называется
функция
f
:
G
→
ℂ,
определенная
Definition 10.14 (Fourier transformation) Let f : G → C be a function.
Definition
10.14 (Fourier
(Fourier transformation) Let
Letff
G →
→ C
C be
be aa function.
function.
следующим
образом:
Definition
10.14
:: G
The Fourier
transformationtransformation)
of f is the function f
:G
→ C defined
by
The Fourier
Fourier transformation
transformation of
of ff is
is the
the function
function ff:: G
G
→C
C defined
defined by
by
→
The
1
1
f(χ ) = �χ,f � = 1
χ (x)f (x)..
χ (x)f (x) .
(χ )) =
= �χ,f
�χ,f �� =
= |G|
ff
(χ
|G| x∈G χ (x)f (x) .
|G|
x∈G
x∈G
^
G
G
G
.
→
F(f ) = f
The Fourier transformation
is the
map F : CG
Преобразование
Фурье – это
отображение
ℱ C:G
→ ℂG,by
определенное
как
ℂdefined
The Fourier
Fourier transformation
transformation is
is the
the map
map F
F :: C
CG →
→C
CG
defined by
by F(f
F(f )) =
= ff..
^
The
defined
ℱ(f) = f . As discussed above, the Fourier transformation F from Definition
10.14
As discussed
discussed
above, преобразование
the Fourier transformation
transformation
Fиз
from
Definition 10.14
10.14
Как maps
было
сказано
выше,
Фурье
ℱF
определения
As
above,
from
Definition
every
character
χthetoFourier
the corresponding
standard
basis
function10.14
δχχχ . отоmaps
every
character
χ
to
the
corresponding
standard
basis
function
δ
бражает
каждый
характер
χ
в
соответствующую
функцию
стандартного
maps
χ tothat
the Ccorresponding
standard
basis function
δ .. базиG
is dual
to C[G].
In particular,
the basis
Recallevery
from character
Example 10.3
G
G
G
са δχ. Напомним
(см.
пример
10.3),
что
ℂ
двойственно
ℂ[G].
В
частности,
для
is
dual
to
C[G].
In
particular,
the
basis
Recall
from
Example
10.3
that
C
to vectors
C[G]. In
Recall
from Example
that
C is dual
defined bythe basis
of characters
has a dual10.3
basis
consisting
of the
χ∗∗∗ particular,
базисаof
существует
двойственный
базис,
состоящий
из
векторов
χ∗,
defined
by
ofхарактеров
characters
has
a
dual
basis
consisting
of
the
vectors
χ
characters has a dual basis consisting
of the vectors χ defined by
1
определенных как
χ (x) δx .
χ∗∗∗ = 11
=
χ (x)
(x) δδxx ..
χ
|G|
χ = |G| x∈G χ
|G| x∈G
x∈G
Note that χ∗∗∗ is the result of applying the anti-isomorphism from Theorem 10.6
is the
the result
result of
of applying
applying
the
anti-isomorphism from
from Theorem
Theorem 10.6
10.6
Note that
that χ
χ is
the
anti-isomorphism
Note
= 1 if χ = ψ and zero
otherwise.
to χ . By Theorem 10.13, ψ(χ ∗ ) = �χ,ψ�
142
As discussed above, the Fourier transformation F from Definition 10.14
maps every character χ to the corresponding standard basis function δ χ .
Recall from Example 10.3 that CG is dual to C[G]. In particular, the basis
Функции на абелевых группах
of characters has a dual basis consisting of the vectors χ ∗ defined by
1
χ∗ =
χ (x) δx..
|G|
x∈G
∗
Note that χ ∗is the result of applying the anti-isomorphism from Theorem 10.6
Заметим, что χ – результат применения антиизоморфизма из теоремы 10.6
∗ ) = �χ,ψ� = 1 if χ = ψ and zero otherwise.
∗
χ . By Theorem
10.13,
ψ(χψ⟩
к χ. Поtoтеореме
10.13, ψ(χ
) = ⟨χ,
= 1, если χ = ψ, и нулю в противном случае.
This
is the property
that the
term
“dual —
basis”
refers
Accordingly,
there
“9781009607865book”
— апеллирует
2025/12/2
14:12
— to.
page
144 — #156
Это свойство,
к которому
термин
«двойственный
базис».
exists
a dual version
of the—Fourier
transformation,
defined
by144
mapping
everyФурье,
Соответственно,
существует
двойственная
версия
преобразования
“9781009607865book”
2025/12/2
— 14:12
— page
— #156
определенная
χ∗ в соответствующий
to theотображения
correspondingкаждого
standardвектора
basis vector
δχ . By the orthogo-вектор
vector χ ∗путем
χ
стандартного
δ . (Theorem
В силу ортогональности
характеров
(теорема
nality of базиса
characters
10.13), the following
definition realizes
this10.13),
следующее
определение
реализует
это
преобразование.
144
Functions
on
Abelian
groups
transformation.
144
Functions on
Abelian
groups
Определение
10.15of(преобразование
Фурье,
двойственное).
Property
Cambridge University
Press
do not share Пусть
or copyu – вектор,
^ ∈ ℂ[G^],
принадлежащий ℂ[G]. Преобразованием Фурье u называется вектор u
Definition 10.15 (Fourier transformation, dual) Let u be a vector in C[G].
определенный как
udefined
The Fourier10.15
transformation
of u is the vector
u in C[
G]
by in C[G].
Definition
(Fourier transformation,
dual)
Let
be a vector
defined by
The Fourier transformation of
u
is
the
vector
u
in
C[
G]
uχ = χ (x) ux..
uχχ = x∈Gχ (x) uxx .
^ ], определенx∈G
ℱ:defined
x∈G
The Fourier transformation
is the map
Fотображение
: C[G] → C[G]
F(u)
=
u.
Преобразованием
Фурье называется
ℂ[G] →by
ℂ[G
^
ное как
ℱ(u)
=
u
.
The
Fourier
transformation
is
the
map
F
:
C[G]
→
C[
G]
defined
by
F(u)
=
u
The “dual” Fourier transformation F from Definition 10.15 is related to.
«Двойственное»
преобразование
ℱ из
определения
10.15
связано
theThe
Fourier
transformation
F fromФурье
Definition
10.14
by 10.15
F = isF −∨
. Here,
“dual”
Fourier transformation
F from Definition
related
to
−∨
с преобразованием
Фурье
ℱ
из
определения
10.14
соотношением
ℱ
=
ℱ
. Здесь
∨
−∨
−∨
F
:
C[
G]
→
C[G]
is
the
transpose
of
F,
which
is
defined
by
the
relation
Fourier transformation F from Definition 10.14 by F = F . Here,
^the
ℱ∨ : ℂ[G
] ∨∨
→ ℂ[G]
–
результат
транспонирования
ℱ,
определенного
соотношением
of F,
which
is defined by the relation
→ C[G] is the transpose
F : C[G]
f F ∨ (u)
= F(f
) (u)
∨
f(ℱ
(u)
=
ℱ(f)(u)
∨∨
(u)(χ ∗ ) and f = ψ equal to a
G (u) = F(f ) −∨
and fG infCF
for
all
u
in
C[
G]
.
Setting
u
=
F
^
для любых u ∈ ℂ[G ] и f ∈ ℂ . Если положить в этом
равенстве u = ℱ−∨(χ∗) и f = ψ
ψ
∗
−∨
G
−∨
G
−∨(χu∗∗)=and
∗ Hence,
−∨
character
of
G,
this
yields
δ
(u)
=
ψ(χ
).
F
for
all
u
in
C[
G]
and
f
in
C
.
Setting
u
=
F
fχ и=ℱFψ
equal
равной характеру G, то получим δψ(u) = ψ(χ ). Отсюда u δ=χ δand
==ℱ
. .to a
−∨.
character of G, this yields δ ψψ(u) = ψ(χ ∗∗). Hence, u = δχχ and F = F −∨
10.8 The Fourier
transformation
from Definition
5.2 is преобразованиthe Fourier
ПримерExample
10.8. Преобразование
Фурье
из
определения
5.2
является
n
n
transformation
on
C[F
by Example
10.7,
theхарактерами
characters
of FFourier
n
Example
10.8
The
Fourier
transformation
from
Definition
5.2 is the
2 ]. Indeed,
ем Фурье
на ℂ[𝔽
]. Действительно,
в силу
примера
10.7,
𝔽22nare
являются
2
transformation on C[Fn2n2]. Indeed, by Example
the characters of Fn2n2 are
u 10.7,
x
χu (x) = (−1)u x .
χu(x) = (−1) u .x
u x.
χuu(x)yields
= (−1)
Plugging
this
into
Definition
10.15
Definition
�
Подстановка этого равенства в определение
10.155.2.
дает определение 5.2.
⊳
Plugging this into Definition
�
G
^ 10.15 yields Definition 5.2.
G inner product space with
The vector
space C isℂan
Векторное
пространство
является пространством со скалярным произ
space with
G
G
ведениемThe vector space C is an
�f inner
,g� =product
f (χ )g(χ )
f (χ )g(χ )
�f ,g� = χ∈G
T
χχ∈
∈G
G
for all f and g in CG . With this choice of inner product, the Fourier
^
A similar result holds for the transformation F.
G
G
transformation
isg unitary.
для любых
f, gf∈ ℂ
. При
таком
скалярного
преобразование
for
all
and
in
CG
. выборе
With this
choice of произведения
inner product, the
Fourier
G transformation
G
Фурье transformation
унитарно.
Аналогичный
результат
имеет
место
для
преобразования
is
unitary.
A
similar
result
holds
for
the
F.
Theorem 10.16 The Fourier transformation F : C → C is unitary. That ℱ.
−1 = F † , with F † the adjoint of F. Explicitly,
), then
G
^ if
Gf
G
is, F10.16.
=CF(f
Theorem
10.16
The FourierФурье
transformation
CG
→
is
unitary.
That что
Теорема
Преобразование
ℱ : ℂG → F
ℂG: унитарно.
Это
означает,
−1 †= F ††, with F †† the adjoint of F. Explicitly, if f = F(f ), then^
−1
† F −1
is,
ℱ = ℱ , где ℱ – преобразование,
сопряженное
ℱ.
f (x)
= χ (x)f
(χВ) .явном виде если f = ℱ(f), то
χ (x)f (χ ) .
f (x) = χ∈G
.
†
χ∈
G
χ∈
G
Proof By definition, the adjoint of F satisfies F (g),f = g,F(f ) for all g
anddefinition,
f in CG . Hence,
for all
χ and
ψ, F ††(g),f = g,F(f ) for all g
in CG By
Proof
the adjoint
of F
satisfies
G and f in CG
G
χ ψ
in CG
† . Hence, for all χ and ψ,
χ
F F (χ ),ψ = F(χ ),F(ψ) = δ ,δ = δ (ψ) .
F ††F (χ ),ψ = F(χ ),F(ψ) = δ χχ,δ ψψ = δ χχ (ψ) .
It follows that F −1 = F † . For the concrete formula, note that
transformation is unitary. A similar result holds for the transformation F.
Theorem 10.16 The Fourier transformation F : CG → CG
is unitary. That
−1
†
†
is, F = F , with F the adjoint of F. Explicitly, if f = F(f ), then
на конечных абелевых группах 143
10.2. Анализ Фурье
f (x) =
χ (x)f (χ ) .
χ∈G
Доказательство. По определению, преобразование,
сопряженное ℱ, удовлетво∈ †ℂG и f ∈
G. Следовательно,
†
ряет равенству
⟨ℱ
(g),
f⟩
=
⟨g,
ℱ(f)⟩
для
любых
g
Proof By definition, the adjoint of F satisfies F (g),f =ℂ g,F(f
) for all g для
любых χ и Gψ
in C and f in CG . Hence, for all χ and ψ,
F † F (χ ),ψ = F(χ ),F(ψ) = δ χ ,δ ψ = δ χ (ψ)..
−1 =−1F † . †For the concrete formula, note that
It follows
that F
Отсюда
следует,
что
ℱ = ℱ . Что до конкретной формулы, заметим, что
f (x) = F −1 f (δx ) = f F δx =
χ (x) f (χ )..
χ∈G
The равенство
second equality
follows
Definition 10.15.
Второе
следует
изfrom
определения
10.15.
10.2.3. Двойственность Понтрягина
□
^ или
Property
of Cambridge
Pressдвойственностью
do not share or copy
Связь между
GиG
между ℂG иUniversity
ℂG называется
Понтрягина.
^.
Эта двойственность переносится на подгруппы G и G
^
Определение 10.17 (аннулятор). Пусть G – конечная абелева группа.
Аннулятором подмножества H ⊆ G называется подгруппа
^ | ∀x ∈ H : χ(x) = 1 }.
H1 = { χ ∈ G
^ аннулятором H называется группа
Аналогично для подгруппы H ⊆ G
H1 = { x ∈ G | ∀χ ∈ H : χ(x) = 1}.
Эти определения эквивалентны каноническому изоморфизму из теоремы 10.11.
Из определения 10.17 следует, что H11 = H.
^ . Иначе говоря, «взятие аннулятора»
Если {0} ⊆ H ⊆ K ⊆ G, то {1} ⊆ K1 ⊆ H1 ⊆ G
^
отображает подгруппы G в подгруппы G и наоборот, но изменяет направление
включения на противоположное. Следующий результат дает более детальную
характеристику групп H1 и K1.
^ 1,
Теорема 10.18. Пусть H – подгруппа G. Существует изоморфизм между G/H и H
определяемый передачей x + H отображению вычисления evx : H1 → ℂ. Кроме того,
этот изоморфизм приводит к следующему равенству подпространств:
Span{χ | χ ∈ H1} = Span{f ◦ πH | f ∈ ℂG/H},
где πH : G → G/H – отображение проецирования πH (x) = x + H.
^ 1, определенное как
Доказательство. Заметим, что отображение θ : G → H
θ(x) = evx, является гомоморфизмом групп. По теореме 10.11, evx – характер H1, определенный как χ ↦ χ(x). Следовательно, evx ≡ 1 тогда и только тогда,
когда x является элементом H. Отсюда следует, что ядро θ совпадает с H. Тогда
первая теорема об изоморфизме групп показывает, что x + H ↦ evx является
^ 1.
изоморфизмом G/H и H
Равенство подпространств можно продемонстрировать следующим образом.
Любая функция, принадлежащая оболочке H1, постоянна на смежных классах H,
потому что χ(x) = χ(y) тогда и только тогда, когда x/y ∈ H1. Следовательно:
144
Функции на абелевых группах
G/H
“9781009607865book”
“9781009607865book”
— 2025/12/2
14:12
— ◦
14:12
—H | page
146
— #158
— #158
Span{χ
|—
χ ∈2025/12/2
H1} ⊆ —
Span{f
π
f—
∈ ℂpage
}. 146
“9781009607865book” —
— 2025/12/2
2025/12/2 —
— 14:12
14:12
— page
page 146
146 —
— #158
#158
“9781009607865book”
—
Однако, в силу изоморфизма, размерности совпадают, и, значит, это включение является равенством.
□
Теорема
вычисление
преобразования
Фурье функций, по146
146 10.18 упрощает
Functions
Functions
on Abelian
on Abelian
groups
groups
146 на смежных классах
Functions
on Abelian
Abelian
groups
стоянных
подгруппы
H ⊆ G,
т. е. имеющих вид f ◦ πH, где
146
Functions
on
groups
f ∈ ℂG/H. В анализе Фурье такие функции называются периодическими. По теореме
10.18,
◦
является
характеров,
принадлежаperiodic.
periodic.
Byf Theorem
ByπTheorem
10.18,
10.18,
fлинейной
◦π
fH◦ is
πHa linear
isкомбинацией
a linear
combination
combination
of the
ofcharacters
the characters
H
1periodic.
By Theorem
Theorem 10.18,
10.18, ff ◦◦ π
πH
is aa linear
linear combination
combination of
of the
the characters
characters
1periodic.
1 . Hence,
H is
щих
.. H
Следовательно,
By
in HHin
Hence,
in H
H 11.. Hence,
Hence,
in
1 , H 1,
G/H
f (χ
f (χ)G/H
) χ if
∈ χH ∈
если
, if
,
(χG/H ) if χ ∈ H 11,
)=
(χ ) = ff
f�
◦π
f�
πH
H◦(χ
(χG/H
) else.
if χ ∈ H случае.
,
�
в
противном
0
0
else.
f
◦
π
(χ
)
=
H (χ ) =
f�
◦ πH
0
else.
0
else.
InВthe
Infirst
the first
case
case
above,
above,
χG/H
χG/H
is theischaracter
the character
of G/H
of
G/H
obtained
obtained
fromfrom
χ из
byχχxпосредством
by
+x +
первом
случае
χG/H
является
характером
G/H,
полученным
is the
the character
character
of1G/H
G/H
obtained
from
χ by
by xx +
+
Inχ�→
the
first
case
above,
χdefined
1. H
G/H
is
of
obtained
from
χ
In
the
first
case
above,
χ
H
→
�
H
(x).
χ
(x).
This
This
is
well
is
well
defined
because
because
χ
∈
χ
H
∈
Indeed,
.
Indeed,
by
Definition
by
Definition
10.14,
10.14,
G/H
отображения x + H ↦ χ(x). Он определен корректно,
потому что
χ ∈ H1.
1
1
H �→
�→ χ
χ (x).
(x). This
This is
is well
well defined
defined because
because χ
χ∈
∈H
H .. Indeed,
Indeed, by
by Definition
Definition 10.14,
10.14,
H
Действительно, по определению
10.14,
1
1
f�
◦π
f�
πH
)=
(χ ) = 11 χ
(x)f
χ (x)f
(πH (x))
(πH (x))
H◦(χ
�
|G|
πH
(χ|G|
=x∈G
χ (x)f
(x)f (π
(πH
(x))
H (χ
H (x))
ff�
◦◦ π
)) =
χ
x∈G
|G|
|G|
x∈G
1 1 x∈G
χ (x χ+(xH+
)fH
(x)f+(xH+
) H)
= =
1
1
|G/H
| |
= |G/H
χ (x
(x +
+H
H )f
)f (x
(x +
+H
H ))
=
χ
x+H
∈G/H
x+H
∈G/H
|G/H ||
|G/H
x+H
∈G/H
x+H ∈G/H
= f =
(χG/H
f (χ).
G/H ).
=
f
(χ
).
G/H ).
= f (χG/H
The The
equality
equality
of subspaces
of subspaces
in Theorem
in Theorem
10.18
10.18
can be
candualized
be dualized
by applying
by applying
The equality
equality
of
subspaces
in
Theorem
10.18
can
be
dualized
by applying
applying
∗ from
The
of
subspaces
in
Theorem
10.18
can
be
dualized
Равенство
подпространств
10.18
можно
дуализировать,
применив
the
anti-isomorphism
the anti-isomorphism
x �→
xx�→
xв∗ теореме
from
Theorem
Theorem
10.6
10.6
to
both
to both
sides:
sides: by
∗
∗
∗
the anti-isomorphism
anti-isomorphism
x �→
�→
x from
from
Theorem
10.6
to
both
sides:
антиизоморфизм
x
из
теоремы
10.6
к
обеим
частям:
the
x
x
Theorem
10.6
to
both
sides:
∗ x ↦
1
SpanSpan
χ | χχ∗∗∈| χH ∈
H=11Span
δg | xδg+| xH+∈HG/H
∈ G/H
. .
= Spang∈x+H
g∈x+H
∗
1
Span χ
χ || χ
χ∈
∈H
H =
= Span
Span g∈x+H δδgg || xx +
+H
H∈
∈ G/H
G/H ...
Span
g∈x+H
ofsee
Exercise
There
There
is a variant
is a variant
of Theorem
of Theorem
10.18
10.18
for subgroups
for subgroups
of G;
G;
see Exercise
10.10.
10.10.
^ ; see
There
is
a
variant
of
Theorem
10.18
for
subgroups
of
G;
Exercise
10.10. 10.10.
Существует
вариант
теоремы
10.18
для
подгрупп
G
см.Exercise
упражнение
There is a variant of Theorem 10.18 for subgroups of G;
see
10.10.
10.3. Историческая
справка
10.310.3
Historical
Historical
remarks
remarks
10.3
Historical
remarks
10.3
Historical
remarks
Дополнительные сведения
о линейной
алгебре,
обсуждаемой в этой главе,
Additional
Additional
details
details
about
about
the
linear
the
linear
algebra
algebra
discussed
discussed
in this
inалгебре,
this
chapter
chapter
may
may
be be в книможно найти в большинстве учебников по линейной
например
Additional
details
about
the linear
linear algebra
algebra
discussed
in this
this
chapter
may
be
Additional
details
about
the
discussed
in
chapter
may
be
found
found
in
most
in
most
linear
linear
algebra
algebra
textbooks,
textbooks,
such
such
as
Halmos
as
Halmos
(1958).
(1958).
The
The
theory
theory
ге Халмоша (1958). Теория анализа Фурье на конечных абелевых группах
разfound
in
most
linear
algebra
textbooks,
such
as
Halmos
(1958).
The
theory
found
in вmost
linear
textbooks,
Halmos
(1958).
Thebooks,
theory
of Fourier
of
Fourier
analysis
analysis
on
finite
on algebra
finite
Abelian
Abelian
groups
groups
issuch
developed
is as
developed
in multiple
in
multiple
books,
рабатывается
нескольких
книгах,
в частности
Терраса
(1999).
of Fourier
Fourier
analysis
onалгебре
finite Abelian
Abelian
groups
is понадобятся
developed in
in multiple
multiple
books,
of
analysis
on
finite
groups
is
developed
including
including
Terras
(1999).
(1999).
Сведения
о Terras
линейной
из этой
главы
в главеbooks,
11. Стимуincluding
Terras
(1999).
лом для
изучения
преобразования
Фурье
на
произвольных
группах,
including
Terras
(1999).
The
The
linear
linear
algebra
algebra
introduced
introduced
in this
in this
chapter
chapter
is necessary
is necessary
forабелевых
Chapter
for Chapter
The
linear
algebra
introduced
in
this
chapter
is necessary
necessary
for Abelian
Chapterтеория
а не
на
𝔽2n, служит
что
вthis
главе
11 заново
linear
algebra
introduced
in
chapter
is
for
Chapter
11.только
The
11. The
motivation
motivation
to
study
to тот
study
theфакт,
Fourier
the Fourier
transformation
transformation
for
arbitrary
forвыстраивается
arbitrary
Abelian
11. and
The
motivation
toFfor
study
the
Fourier
transformation
for
arbitrary
Abelian
nstudy
линейного
криптоанализа
в
постановке
хотяfor
это
ни theory
в Abelian
коем
11.
The
motivation
the
Fourier
transformation
arbitrary
groups,
groups,
and
not
just
not just
for to
isn2nэтой
,that
is that
Chapter
Chapter
11 reconstructs
11 –reconstructs
the
theory
the
of of случае
2, F
n
неlinear
является
основной
целью
главы.
Исторически
линейный
криптоанализ
groups,
and
not
just
for
F
,
is
that
Chapter
11
reconstructs
the
theory
of
2
groups,
and
not
just
for
F
,
is
that
Chapter
11
reconstructs
the
theory
of
linear
cryptanalysis
cryptanalysis
in this
in setting
this setting
– although
this is
thisbyisno
bymeans
no means
the point
the point
of of
2 – although
впервые
был
обобщен
на
другие
конечные
абелевы
группы
в
работе
Беньера,
linear
cryptanalysis
in
this
setting
–
although
this
is
by
no
means
the
point
of
linear
cryptanalysis
in this
setting
– although
thisfirst
is by
no means
the
point
of
the chapter.
the
chapter.
Historically,
Historically,
linear
linear
cryptanalysis
cryptanalysis
was was
first
extended
extended
to other
to other
finite
finite
Стернаthe
и Воденэ.
Более полную
трактовку
далwas
Бейн
(2021).
chapter.
Historically,
linear
cryptanalysis
first
extended
to
other
finite
the groups
chapter.
linear
cryptanalysis
was
first
extended
to other
finite
Abelian
Abelian
groups
byHistorically,
Baignères,
by Baignères,
Stern
Stern
and
Vaudenay.
and Vaudenay.
A more
A
more
complete
complete
treatment
treatment
Abelian
groups
by Baignères,
Baignères,
Stern and
and Vaudenay.
Vaudenay. A
A more
more complete
complete treatment
treatment
Abelian
groups
by
was was
given
given
in Beyne
in Beyne
(2021).
(2021). Stern
was given
given
in Beyne
Beyne (2021).
(2021).
итература
was
in
10.4. Л
Baignères, Thomas, Jacques Stern, and Serge Vaudenay (Aug. 2007). «Linear Cryptanalysis of Non Binary Ciphers».
In:References
SAC 2007. Ed. by Carlisle M. Adams, Ali Miri,
10.410.4
References
10.4 References
References
10.4
Baignères,
Baignères,
Thomas,
Thomas,
Jacques
Jacques
Stern,
Stern,
and Serge
and Serge
Vaudenay
Vaudenay
(Aug.
(Aug.
2007).
2007).
“Linear
“Linear
Baignères,
Thomas,
Jacques
Stern,
andIn:
Serge
Vaudenay
(Aug.
2007).
“Linear
Baignères,
Thomas,
Stern,
and
Serge
2007).
“Linear
Cryptanalysis
Cryptanalysis
of Non
of Jacques
Non
Binary
Binary
Ciphers.”
Ciphers.”
SAC
In:Vaudenay
SAC
2007.
2007.
Ed.(Aug.
by
Ed.Carlisle
by
Carlisle
M.
M.
Berlin, Heidelberg, pp. 184–211. doi: 10.1007/978-3-540-77360-3 13.
Beyne, Tim (Dec. 2021). “A Geometric Approach to Linear Cryptanalysis.” In:
ASIACRYPT 2021, Part I. Ed. by Mehdi Tibouchi and Huaxiong Wang.
10.5. Упражнения
145
Vol. 13090. LNCS. Springer, Cham, pp. 36–66.
doi: 10.1007/978-3-03092062-3 2.
and MichaelHalmos,
J. Wiener.
4876. LNCS.
Springer, Berlin,
Heidelberg,
184–211.
PaulVol.
R. (1958).
Finite-dimensional
Vector
Spaces. 1st pp.
ed. Undergraddoi: 10.1007/978-3-540-77360-3_13.
uate Texts in Mathematics. Springer New York, NY.
Beyne, Tim (Dec.
Geometric
Linear
Сryptanalysis».
In:
Terras,2021).
Audrey«A(1999).
FourierApproach
Analysis ontoFinite
Groups
and Applications.
ASIAСRYPT 2021,
Part
I.
Ed.
by
Mehdi
Tibouchi
and
Huaxiong
Wang.
Vol.
13090.
London Mathematical Society Student Texts. Cambridge University Press,
LNСS. Springer, Сham, pp. 36–66. doi: 10.1007/978-3-030- 92062-3_2.
Cambridge.
Halmos, Paul R. (1958). Finite-dimensional Vector Spaces. 1st ed. Undergraduate
Texts in Mathematics. Springer New York, NY.
Terras, Audrey (1999). Fourier Analysis on Finite Groups and Applications. London
10.5 Exercises
Mathematical Society Student Texts. Сambridge
University Press, Сambridge.
Exercise 10.1
10.5. Упражнения
Prove that the functions
δx
with x in G form a basis for CG :
Упражнение
10.1
1. Show that Span{δ x | x ∈ G} = CG .
Докажите, что функции δx, где x ∈ G, образуют
базис ℂG:
2. Show that the functions δ x with x in G are linearly independent.
G
1) покажите, что Span{δx | x ∈ G} = ℂ ;
2) покажите, что функции δx, где x ∈ G, линейно независимы.
Exercise 10.2
Let p10.2
and q be real numbers greater than one such that 1/p + 1/q = 1.
Упражнение
1. Show that xy числа,
≤ x p /pбольшие
+ y q /q for
nonnegative
Пусть p и q – вещественные
1, all
такие
что 1/px+ and
1/q y= in
1. R.
p
q
G
1. Покажите,
что xy ≤that
x /p
y /q≤для
неотрицательных
∈ ℝ.
2. Deduce
|f +(g)|
�f �любых
all f in C and g x,
in yC[G].
q �g�p for
G
2. Выведите
отсюда,
что
|f(g)|
≤
‖f
‖
‖g‖
для
любых
f
∈
ℂ
,
g
∈
ℂ[G].
∨
q
p
3. Show that �f � ≤ �f �q .
3. Покажите, что ‖f ‖∨p ≤ ‖fp‖q.
a g so
|f (g)|
�f �.q Отсюда
�g�p . Based
on this,
4. For
in CG , construct
4. Для любой
f ∈ all
ℂG fпостройте
g такую,
чтоthat
|f(g)|
= ‖f‖=q ‖g‖
сделайте
p
∨ = �f � .
∨
that
�f
�
вывод, чтоconclude
‖f ‖ p = ‖f‖
.
q
p
q
Упражнение 10.3
Докажите, что
⟨f, g⟩
= �f ,g� =
Prove
that
ведение на ℂG.
Exercise 10.3
1
|G|
x∈G f (x) g(x)
определяет
скалярное
defines
an inner
product on произCG .
Exercise 10.4
10.4
Упражнение
The goal of this exercise is to prove Theorem 10.6. Let θ : x �→ x ∗ .
Цель этого упражнения – доказать теорему 10.6. Пусть θ : x ↦ x∗.
1. Prove that θ (x + y) = θ (x) + θ (y).
1. Докажите, что θ(x + y) = θ(x) + θ(y).
2. Prove
that θ=(λx)
= λ θ (x).
2. Докажите,
что θ(λx)
λθ(x).
3. Prove
θ is invertible.
What θis−1θ?−1 ?
3. Докажите,
что θthat
обратимо.
Что такое
Упражнение 10.5
Property of Cambridge University Press do not share or copy
Пусть V – подпространство конечномерного пространства со скалярным произведением U. Докажите, что:
1) V⊥ является пространством со скалярным произведением;
2) ортогональное дополнение V⊥ совпадает с самим V: V⊥⊥ = V;
3) U = V ⊕ V⊥.
Последний результат показывает, что ортогональное дополнение является
алгебраическим дополнением.
2. The orthogonal complement of V ⊥ is V itself: V ⊥⊥ = V .
3. U = V ⊕ V ⊥ .
146
The last result shows that orthogonal complements are algebraic complements.
Функции на абелевых группах
Упражнение 10.6
Exercise 10.6
ПустьLet
V –V подпространство
со скалярным
be a subspace of aконечномерного
finite-dimensional пространства
inner product space
U . The про0
0
∨
изведением
U.
Аннулятором
V
называется
подпространство
V
⊆ U∨, опредеannihilator of V is the subspace V of U defined by
ленное как
V 0 = u ∈ U ∗ | ∀v ∈ V : u(v) = 0 .
V0 = {u ∈ U∗ | ∀v ∈ V : u(v) = 0}.
Dually, the annihilator of a subspace W of U ∨ is the following
subspace of U :
∨
Двойственно, аннулятором
подпространства W ⊆ U
называется следующее
подпространство U: W 0 = u ∈ U | ∀w ∈ W : w(u) = 0 .
Prove that:
+ dim V 0
W0 = {u ∈ U | ∀w ∈ W : w(u) = 0}.
1. dim V что
= dim U = dim U ∗ = dim W + dim W 0 .
Докажите,
∗ = V ⊥ and0 (W 0 )∗ = W ⊥ .
∗
If U
an inner
(V 0 )W
1) 2.dim
V +is dim
V0 = product
dim U =space,
dim Uthen
= dim
+ dim W ;
2) For
если
– пространство
произведением,
тоTheorem
(V0)∗ = V⊥10.6.
и (W0)∗ = W⊥.
theUsecond
question, x со
�→скалярным
x ∗ is the anti-isomorphism
from
Во втором вопросе x ↦ x∗ является антиизоморфизмом, в силу теоремы 10.6.
Exercise 10.7
The concept of
angles between vectors generalizes to subspaces of a finiteУпражнение
10.7
dimensional
inner векторами
product spaceобобщается
W . For subspaces
U and V of W , define
a
Понятие
угла между
на подпространства
конечномерmap �V ,U �с: внутренним
U → V by �Vпроизведением
,U � = πV ιU , where
: U подпространств
→ W is the
ного linear
пространства
W. ιUДля
U,
inclusion
map and
πV : W →
V is the orthogonal
on V
. U⟩ = πV ιU, где ιU :
V⊆W
определим
линейное
отображение
⟨V, U⟩ projection
: U → V как
⟨V,
U → W1.– Show
отображение
включения,
а πV : W → subspaces
V – ортогональная
проекция на V.
that if U and
V are one-dimensional
spanned by unit-norm
1. Покажите,
чтоv,если
U и V – then
одномерные
натянутые на
vectors u and
respectively,
�V ,U � : λuподпространства,
�→ �v,u�λv.
векторы
u
и
v
единичной
нормы
соответственно,
то
⟨V,
U⟩
:
↦ ⟨v,u⟩λv.
2. Show that for all vectors u in U , no other vector in V of the same λu
length
2. Покажите, что для любого вектора u ∈ U никакой другой вектор V такой
makes a smaller angle to u than �V ,U �(u).
же длины не образует с u угол меньший, чем ⟨V, U⟩(u).
Let σσ1, ,. …,
. . ,σσd –beсингулярные
the singular values
of �V ,U⟨V,
�, corresponding
to right andправым
3. 3.Пусть
значения
U⟩, соответствующие
1
d
left
singular
vectors
u
,
.
.
.
,u
and
v
,
.
.
.
,v
,
respectively.
Let
Ui = U ∩ Поло1 векторам
d
и левым сингулярным
u11, …, uddи v1, …, vd соответственно.
⊥ and V =
⊥ . Prove
⊥ V ∩ Span{v , . . . ,v
⊥
Span{u
,
.
.
.
,u
}
}
that
for allчто для
жим Ui = 1U ∩ Span{u
, …, vi−1} . Докажите,
i−1 1, …, ui−1
i } и Vi = V ∩ Span{v
1
1i−1
i in {1,i.∈. .{1,
,d},…, d}
любого
σi =
�ui ,vi �
|�u,v�|
..
= max
�ui � �vi � u∈Ui \{0} �u� �v�
v∈Vi \{0}
Углы 0 ≤ θ1 ≤ … ≤ θd ≤ π/2, такие что cos θi = σi, называются главными углами
между подпространствами U и V. Сингулярные векторы – это направления,
Property of Cambridge University Press do not share or copy
вдоль которых измеряются главные углы.
* Упражнение 10.8
Пусть L : V → V – линейное отображение на конечномерном пространстве со
скалярным произведением V. Подпространство U ⊆ V называется инвариантным подпространством L, если L(U) ⊆ U.
1. Докажите, что если U – инвариантное подпространство L, то U⊥ – инвариантное подпространство L† и, наоборот.
2. Воспользовавшись предыдущим результатом, докажите, что если отображение L самосопряженное, то существует ортонормированный базис V, такой что представление L в этом базисе является диагональной матрицей.
subspace of L and conversely.
2. Use the previous result to prove that if L is self-adjoint, then there exists
an orthonormal basis of V , so that the matrix representation of L relative
to this basis is diagonal.
10.5. Упражнения 147
Упражнение 10.9
Exercise 10.9
Упражнение 10.10
Exercise 10.10
^
is canonically
^
Prove that
isomorphic канонический
to G through the изоморфизм
isomorphism x x�→
Докажите,
чтоG
между G
и G существует
↦ evx, где
ev
,
where
ev
:
χ
→
�
χ
(g)
is
the
evaluation
map
(see
Theorem
x
x
evx : χ ↦ χ(g) – отображение вычисления (см. теорему 10.11).10.11).
^ for
Show that ev
of G
x in G. x ∈ G.
x is
1. 1.Покажите,
что
evax character
– характер
G
дляallлюбого
2. 2.Докажите,
что
x
↦
ev
–
изоморфизм
Prove that x �→ evx is xan isomorphism ofгрупп.
groups.
^.
Цель этого упражнения – доказать аналог теоремы 10.18 для подгруппы H ⊆ G
The goal of this exercise is to prove an analogue of Theorem 10.18 for a
Для каждого вопроса
используйте два разных рассуждения: одно, аналогичное
For
subgroup H of G.
each question, use two different arguments: one similar
доказательству теоремы 10.18, и другое, основанное на двойственности.
to the proof of Theorem 10.18,
the other based on duality.
^ /Hand
1. Укажите изоморфизм G
в H^1.
1.
Give an isomorphism
from G/H to H
2. 1.Покажите,
что этот изоморфизм
продолжается
до следующего равенства
2.подпространств:
Show that this isomorphism lifts to the following equality of subspaces:
∗
Span δx | x ∈ H 1 = Span
ψ∈χH ψ | χ H ∈ G/H ..
Property of Cambridge University Press do not share or copy
Глава 11
Геометрический подход
В этой главе мы заново – в последний раз – построим теорию линейного криптоанализа. Одна из причин, зачем это нужно, уже упоминалась в главе 9: существуют различные комбинаторные свойства, которые потенциально могут
быть полезны, но для которых отсутствуют аналитические методы. Однако
прежде чем приступать к этому вопросу, мы должны отступить назад и попытаться улучшить наше понимание линейного криптоанализа.
11.1. Геометрический взгляд
Пусть F : G → H – криптографический примитив, например блочный шифр. Отправной точкой геометрического подхода служит формулировка криптоаналитических свойств F, таких как линейные аппроксимации, в терминах пары
векторных пространств ℂ[G] и ℂH. Этот взгляд весьма общий и с некоторыми
модификациями применим также к другим важным методам, в т. ч. к дифференциальному и интегральному криптоанализам.
11.1.1. Криптоаналитические свойства
В простейшем случае векторные пространства одномерные, так что крипто
аналитическое свойство определяется парой (u, v), где u ∈ ℂ[G], а v ∈ ℂH. На интуитивном уровне смысл u и v следующий:
вектор u представляет назначения весов (комплексных чисел) элементам G. Это способ отслеживать состояние набора входов или выходов;
функция v отображает элементы G и – путем продолжения – ℂ[G] в ℂ.
Она представляет измерение или наблюдение состояния набора входов
либо выходов.
Применение функции F : G → H к состоянию преобразует назначение весов
на G в соответствующее назначение на H. В простейшем случае, когда F – перестановка, это приводит к переупорядочению весов, которые были назначены
элементам X. В разделе 11.1.2 описано действие функций F общего вида. Пока
что достаточно будет сказать, что результат характеризуется линейной функцией TF : ℂ[G] → ℂ[H], которая отображает δx в δF(x).
В криптоанализе редко бывает возможно вычислить точное состояние
TFu. Однако достаточно вычислить v(TFu). Следующее определение обобщает
сказанное выше.
T : C[G] → C[H ] that maps δx to δF(x) .
In cryptanalysis, it is rarely possible to compute the exact state T FF u.
In cryptanalysis, it is rarely possible
to compute the exact state T u.
However, it is enough to evaluate v(T F u). The following definition generalizes
However, it is enough to evaluate v(T F u). The following definition generalizes
the above.
the above.
взглядof
Definition 11.1 (Cryptanalytic property) 11.1.
A Геометрический
cryptanalytic property
a 149
Definition 11.1 (Cryptanalytic property) A cryptanalytic property of a
function F : G →
H is a pair (U,V ) with U a subspace
of C[G] and V a
Определение
(криптоаналитическое
Криптоаналитическим
function F11.1
: GH→
H is a pair (U,V ) withсвойство).
U a subspace
of C[G] and V a
subspace
of C . The
evaluation
of the property
at u in
U V),
and v in UV –
is equal
свойством
функции
F : evaluation
G → H называется
пара
(U,U
подпрост
subspace
of CH . The
of the property
at u in
andгде
v in V is equal
F u).
H
to
v(T
F
ранство
ℂ[G],u).а V – подпространство ℂ . Результат вычисления свойства
to v(T
F
в u ∈ U и The
v ∈ Vpurpose
равен of
v(Tthe
u).techniques introduced in this chapter is to estimate
The
purpose of the techniques introduced in this chapter is to estimate
F
v(T F u). The following example of a cryptanalytic property is useful to keep F
u). Theсfollowing
example
of a cryptanalytic
property
is useful
to keepv(T u).
Цельv(T
методов,
которыми
мы познакомимся
в этой
главе,
– оценить
in mind.
Следующий
in mind.пример криптоаналитического свойства полезно иметь в виду.
Example 11.1 Let F : G → H be a function, and X and Y subsets of G and
11.1 F Let
G–→
H be a function,
X and Y subsetsGofиGHand
ПримерExample
11.1. Пусть
: G F→: H
функция,
а X и Yand
– подмножества
соответH, respectively. This example defines a cryptanalytic property that evaluates
ственно.
этом примере
свойство,
H,Вrespectively.
This определяется
example definesкриптоаналитическое
a cryptanalytic property that
evaluatesравное
to the number ∈
ofX,
x in
X such
that
F(x)
∈ Y . Let δδX –beвектор,
the vector
defined by
числу элементов
таких
что
F(x)
∈ Y.
определенный
как
to the numberx of
x in
X such
that
F(x)
∈ Пусть
Y . Let δXX be the vector
defined by
δX =
δ .
=
δxx..
δX
x∈X
x∈X
A concrete example for G = F222 is shown in Figure 11.1. Define δYY : H →
C by
Конкретный
показан
рис. 11.1.
11.1.Define
Определим
δY :CHby
→ ℂ как
A concreteпример
example для
for GG== F𝔽22 is
shown inна
Figure
δ :H→
δ Y = δyy..
δY =
δ .
y∈Y
y∈Y
Y
Y = 0=в 0противном
То есть
(y)
1,=если
δYδ(y)
случае. Линейное
That δis,
δYY =(y)
1 if yy ∈∈ Y,
Yи
and
otherwise. Extending
δYY linearly проY (y)
That
is,
linearly
Y δ (y) = 1 if y ∈ Y and δ (y) = 0 otherwise. Extending δ
должение
на Ha дает
функционал,
который
суммирует
свои входы
to Hδgives
linearлинейный
functional that
sums its input
over X. Hence,
the property
to
H
gives
a
linear
functional
that
sums
its
input
over
X.
Hence,
the
property
Y
по X. Следовательно,
результатом
вычисления
свойства
(U,
V),
где
U
= Span{δX}
(U,V ) with U = Span{δX } and V = Span{δY } evaluates to
(U,V )Ywith
U = Span{δX } and V = Span{δ } evaluates to
и V = Span{δ
}, является
δYY T FFδX
δ T δX
δX
T FFδX
δ Y T F δX
δX
T F δX
δX
T δX — page 152 — #164
“9781009607865book”
— 2025/12/2
T FF — 14:12
1
1
TF
1
1
T
1
1
y
x
y
x
00 01 10 11 x
00 01 10 11 y
00 01 10 11
00 01 10 11
00 01 210 112
00 01 10 11
152 Свойство
Geometric
Рис. 11.1.
F: 𝔽2 → 𝔽2 из примера
11.1,approach
где F(x) = x + 11, X = {00, 10} и Y = {10, 11}.
Figure 11.1 PropertyРезультат
of F : F22 →
F22 from Example
вычисления
δY(TF δX11.1
) = 1 with F(x) = x + 11,
Figure 11.1 Property of F : F2 → F2 from Example
11.1 with F(x) = x + 11,
X = {00,10} and Y = {10,11}.
The evaluation is δYY T FF δX = 1.
The
T
X = {00,10}
and
Y
=
{10,11}.
evaluation
is
δ
δX = 1.
Y
F
Y
δ
T δX =
δ
x∈X
δF(x) = |{x ∈ X | F(x) ∈ Y }|..
Property of Cambridge University Press doF not share or copy
Property
ofuses
Cambridge
University
Press
share or copy
F maps
В первом
равенстве
используется
факт,
T not
отображает
δx в δF(x)�
.
The first
equality
the fact that
Tтот
δxчто
to δdo
F(x) .
11.1.2. Распространение
⊳
Для функции
F : G → H общего вида линейное отображение TF определяется
11.1.2 Propagation
следующим образом.
For a general function F : G → H , the linear map T F is defined as follows.
Определение 11.2 (прямой образ). Пусть F : G → H – функция. Оператором
Definition
(Pushforward)
Let F : G →
H be a function.
The pushforпрямого
образа11.2
(pushforward)
F называется
линейное
отображение
TF : ℂ[G] →
F
ward operator ofкак
F is the linear map T : C[G] → C[H ] defined by
ℂ[H], определенное
= δδF(x)
TTF δδxx =
F(x)
F
для любого x ∈ G.
for all x in G.
Definition 11.2 implies that for u in C[G] with coordinates ux ,
T Fu =
δy
ux .
ward operator of F is the linear map T FF : C[G] → C[H ] defined by
ward operator of F is the linearF map
F T : C[G] → C[H ] defined by
T δxT=
δδ = δ
F xF(x) F(x)
T FFδx = δF(x)
T δxx = δF(x)
F(x)
for all
forx all
in G.
x in G.
150
Геометрический
подход
for all
x in G.
for Definition
all x in11.2
G. 11.2
Definition
implies
implies
that for
thatufor
in C[G]
u in C[G]
with with
coordinates
coordinates
ux , ux ,
Definition
11.2
implies
that
for
u
in
C[G]
with
coordinates
ux ,
Из определения
11.2implies
следует,
что для вектора u ∈ ℂ[G] с координатами
ux
Definition 11.2
F that
F for u in C[G] with coordinates uxx,
T u T= u =
δy δy
ux . ux .
F
T u = y∈H x∈G
δy x∈G ux ..
T FFuy∈H
=
δyy F(x)=y
uxx.
y∈HF(x)=y
x∈G
y∈H
y∈H
F(x)=y
x∈G
x∈G
F(x)=y
F(x)=y
F with
The The
matrix
matrix
representation
representation
of T of
T F with
respect
respect
to thetostandard
the standard
basesbases
of C[G]
of C[G]
F with respect to
Матричное
представление
T FTотносительно
стандартных
базисов
ℂ[G] и ℂ[H]
The
matrix
representation
of
the
standard
bases
of
C[G]
F
and The
C[H
and C[H
]matrix
is called
] isrepresentation
called
the transition
the transition
matrix
matrix
of
F.
of
With
F.
With
some
some
abuse
abuse
of
notation,
of
notation,
it
of T FF.with
respect некоторую
to the standard
bases of itC[G]
называется
матрицей
переходов
Допуская
вольность,
она
тоже
F
F
and
C[H
]
is
called
the
transition
matrix
of
F.
With
some
abuse
of
notation,
it
is denoted
is denoted
by T
asT well.
asthe
well.
The
coordinates
The coordinates
of the
transition
the
transition
matrix
matrix
areofgiven
are
given
by by
Fbycalled
and
C[H
]Tis
transition
matrix
ofofF.
With
some
abuse
notation,
it
обозначается
.
Элементы
матрицы
переходов
равны
F
is denoted by T as well. The coordinates
of the transition matrix are given by
is denoted by T FF as well. The coordinates
of the transition matrix are given by
1y =
if yF(x),
= F(x),,
если
F
F 1, if
Ty,x
T=y,x
= 1 if y = F(x),
F 0 else.
в
противном
случае.
0
else.
1
if
y
=
F(x),
Ty,x
=
F
F =
Ty,x
0 else.
y,x
0 else.
ThereThere
is a dual
is
a dual
version
version
of Definition
of
Definition
11.2,
11.2,
corresponding
corresponding
to the
totranspose
the transpose
of of мат
Существует
двойственная
версия
определения
11.2,
соответствующая
Hto the
H transpose of
FThere
is athe
dual
version
of
Definition
11.2,
Fcorresponding
T F . получающейся
ItT describes
.There
It describes
backward
the
backward
propagation
propagation
of
a
function
of
a
function
v
in
C
v
in
through
C
through
F.
F.распрорице,
транспонированием
T
.
Оно
описывает
обратное
is a dual version of Definition 11.2, corresponding to the
H transpose of
H
T FFF. Itфункции
describes the
backward
propagation
of a function v in CH
through
F.
странение
v
∈
ℂ
через
F.
TDefinition
. It describes
the
backward
ofbe
aHfunction
v inThe
C H The
through
F.
Definition
11.3 11.3
(Pullback)
(Pullback)
Let propagation
FLet
: GF :→
GH
→
a be
function.
a function.
pullback
pullback
H : GH →
G HG be a function. The pullback
F ∨Let
F∨
Definition
11.3
(Pullback)
F
operator
operator
of
F
of
is
the
F
is
linear
the
linear
map
map
T
T
:
C
:
→
C
C
→
defined
C
defined
by
by
Определение
G→
H – функция.
Оператором
Definition11.3
11.3 (обратный
(Pullback) образ).
LetF ∨F : Пусть
GH → FHG: be
a function.
The pullback
∨
operator
of F is
the linear map
T FF∨∨ : CH
→
CG
defined
by
обратного
образа
(pushback)
F называется
линейное
отображение
T F : ℂH → ℂG,
H
G
operator
of F is
the linear map
T
:
C
→
C
defined
by
F ∨ yF ∨ y y
y
T δT ∨=δδ =◦ δF ◦ F
определенное как
T F∨ δy = δy ◦ F
T FF ∨δ yy = δ yy ◦ F
for all
fory all
in H
y in
. H.
for all yy ∈inH.
H.
для любого
for pullback
all ypullback
in Hoperator
. operator
The
The
is indeed
is indeed
the transpose
the transpose
of theofpushforward
the pushforward
operator:
operator:
Оператор
обратного
образа
действительно
результатом
транспоThe pullback
operator
is indeed
the transposeявляется
of the pushforward
operator:
The pullback
operator
isy—
indeed
the transpose
of the
operator:
∨
∨
y
y
y 14:12
y—pushforward
F
y
F 153 —
“9781009607865book”
page
#165
нирования
оператора
T F δTyF∨(δδxпрямого
) (δ
=x )δ=
◦ образа:
δF2025/12/2
(x)
◦ F =(x)
δ y=δ—
δ
δ
=
δ
=
T
δ
δ
T
.
δ
.
F(x)
x x
F(x)
T FF ∨∨δ yy (δx ) = δ yy ◦ F (x) = δ yy δF(x) = δ yy T FF δx .
y T Fδx .
T F δ y (δxx) = δ y ◦ F (x) = δ y δF(x)
=
δ
x
F ∨ Twith
F ∨ with
This This
also also
means
means
that that
the matrix
the matrix
representation
representation
of F(x)
T of
respect
to the
to the
∨ respect
F
∨
H that
H the
G matrix
G
This
alsoозначает,
means
representation
of Ttransition
respect
toF.the станF
∨
∨ Twith
F
standard
standard
bases
bases
of
C
of
and
C
C
and
is
C
the
is
transpose
the
transpose
of
the
of
transition
the
matrix
matrix
of
F.
of
Это
также
что
матричное
представление
относительно
F
This also means that
representation of T
with respect to the
H Gthe matrix
standard
bases ofH C
and
CG
is the transpose
of the transition
matrix of
F.153
11.1
viewpoint
дартных
базисов
иH
описывается
матрицей,
являющейся
результатом
Hℂand
GGeometric
standard
basesℂof C
CG
is the transpose
of the transition
matrix of
F.
транспонирования F.
Property
Property
of Cambridge
of
Cambridge
University
University
Press
Press
doдемонстрационного
not
do
not
share
or copy
orcipher
copyшифра
ПримерExample
11.2.
Матрица
переходов
S-блока
из
11.2
The
transition
matrix
of
theдля
S-box
ofshare
the example
from
Property
of
Cambridge
University
Press
do
not
share
or
copy
главы 1Chapter
равна
следующей
матрице
перестановки:
Property
of
Cambridge
University
Press
do
not
share
or
copy
1 is equal to the following permutation matrix:
⎡
⎤
0 0 0 0 0 0 0 1
⎢0 0 0 0 1 0 0 0⎥
⎢
⎥
⎢0 1 0 0 0 0 0 0⎥
⎢
⎥
⎢
⎥
0
0
0
0
0
0
1
0
⎢
⎥
TS = ⎢
⎥..
⎢0 0 1 0 0 0 0 0⎥
⎢
⎥
⎢0 0 0 1 0 0 0 0⎥
⎢
⎥
⎣0 0 0 0 0 1 0 0⎦
1 0 0 0 0 0 0 0
�
The matrixпредставлением
representation of the
pullback operator
is theобраза
transpose
of T S . резульМатричным
оператора
обратного
является
S
⊳
тат транспонирования T .
The following theorem summarizes two important properties of pushforВ следующей
теореме
формулируются
два hold
важных
свойства
операторов
прямоward operators.
All of
these properties also
for pullback
operators,
but for
го образа.
Всеorder
они имеют
место также
дляbeоператоров
(2) the
of multiplication
should
reversed. обратного образа, но в свойстве (2) порядок операций умножения следует изменить на противоположный.
Theorem 11.4 Let F : G → H be a function. The pushforward operator T F
of F has the following properties:
(1) If F((x1, . . . ,xn )) = (F1 (x1 ), . . . ,Fn (xn )) with Fi : Gi → Hi so that G =
�
�n
G and H = n H , then T F = T F1 ⊗ T F2 ⊗ · · · ⊗ T Fn .
The matrix
matrix representation
representation of
of the
the pullback
pullback operator
operator is
is the
the transpose
transpose of
of TT ..
The
��
The following
following theorem
theorem summarizes
summarizes two
two important
important properties
properties of
of pushforpushforThe
ward operators.
operators. All
All of
of these
these properties
properties also
also hold
hold for
for pullback
pullback operators,
operators, but
but for
for
ward
11.1. Геометрический взгляд 151
(2) the order of multiplication should be reversed.
Theorem 11.4 Let F : G → H be a function. The pushforward operator T FF
Теорема 11.4. Пусть F : G → H – функция. Оператор прямого образа T F функof FF has
has the
theследующими
following properties:
properties:
of
following
ции F обладает
свойствами:
n
(1) IfIfF((x
F((x ,,......,x
,x ))
)) =
=1(F
(F111),
(x…,
),.F...n.(x
.,F
,F
(xгде
))Fwith
with
Gi iiтакая,
→H
Hii so
so
that
G
= i=1
F((x
(x
))
G
→
that
(1) (1)
Если
(x
)),(x
: GiFF→
что
GG
==
⊕
Gi и
11),
ii ::H
n nn nn
i
�nnn 11,1 …, xn))Fnn = (F
�
�
�
F
F
F
F
nn
F
F
F
F
11
22
F1 nn F2
Fn
G
and
H
=
H
,
then
T
=
T
⊗
T
⊗
·
·
·
⊗
T
.
H = ⊕i=1
H
,
то
T
=
T
⊗
T
⊗
…
⊗T
.
G
and
H
=
H
,
then
T
=
T
⊗
T
⊗
·
·
·
⊗
T
.
i
i
i
i
i=1 i
i=1
i=1
i=1
F F=
rr ··⊗
(2) (2)
Если
F◦2FF◦
FF1F,11то
TF T=T FT
⊗T
(2) IfIfFFF==
=FFrF◦…◦
then
T FFF222T
T FF11.F. 1 .
,, then
=r ⊗
TT FF…
····TT
rr ◦◦ ·· ·· ·· ◦
22 ◦◦
Доказательство.
Достаточно
доказать
результат
и It
rIt=follows
2. Из from
определеProof ItIt is
is sufficient
sufficient
to prove
prove
the result
result
for nn =
= 22для
andnrr==
=22.
2.
follows
from
Proof
to
the
for
and
ния 11.2
и определения
тензорных
произведений
следует, что
Definition
11.2 and the
definition of
tensor productsвinпримере
Example 10.5
10.5 that
= δδ(F
TT FF δδ(x
(x11,x
,x )) =
(F (x
(x1),F
),F (x
(x ))
)) ...
�� 22�� �� 11 1��
�� 22 22 ��
�� ��
δδxx ⊗
⊗ δδxx22
11
δδFF (x
⊗
⊗ δδFF22(x
(x22))
11 (x11))
Hence,
forлюбых
all xx11 in
in
G
and
inGG
Gимеем
Hence,
for
all
22,,
Отсюда
для
x1G
∈11Gand
и xxx222∈in
1
2
F
F
F
(δxx11 ⊗
⊗ δδxx22)) =
= TT FF11δδxx11 ⊗
⊗ TT FF22δδxx22..
TT FF (δ
The свойство
second property
property
isявляется
also an
an immediate
immediate
consequence
of Definition
Definition 11.2:
11.2:11.2:
The
second
also
consequence
of
Второе
такжеis
прямым
следствием
определения
F ◦F
F
F
“9781009607865book”
—x 2025/12/2
— 14:12 — page 154 — #166
and
this holds
holds for
for
all
in G.
G.
and
this
xx in
и это справедливо
дляall
любого
∈ G.
“9781009607865book” — 2025/12/2 — 14:12 — page 154 — #166
11.1.3. Геометрия
11.1.3 Geometry
F
◦F11
= δδFF22(F
= TT FF22δδFF11(x)
= TT FF22TT FF11δδxx,,,
TT FF22◦F
δδxx =
(F11(x))
(x)) =
(x) =
□
В главе 10 векторные пространства ℂ[G] и ℂG были снабжены p-нормой.
154
Geometric
In Chapter
Chapter
10, the
theвvector
vector
spaces
C[G] and
and
CG
wereприходим
equipped with
with
the p-norm.
p-norm.
In
10,
spaces
C[G]
C
were
equipped
the
Как было
отмечено,
частном
случае
p approach
=approach
2G мы
к пространству
со
154
Geometric
скалярным
произведением.
Оказывается,
евклидова
норма
играет
важную
As discussed,
discussed,
the special
special case
case pp =
= 22 leads
leadsчто
to an
an inner
inner product
product
space.
turns
As
the
to
space.
ItIt turns
роль в out
криптоанализе.
that the Euclidean norm plays an important role in cryptanalysis.
If,(x
,y…,
. .,,(x
,yвыборка
samples,
an unbiasedто не1),
1 ), .(x
q ) are q plaintext-ciphertext
Если (x
yq)q,y
–
q пар (открытый
текст,then
шифртекст),
If1(xy11,y
1 ), . . .q,(x
q q ) are q plaintext-ciphertext samples, then an unbiased
F
F
estimator
of v(TF u)u)isимеет
given by
смещенная
оценка
estimator
of v(Tv(T
u) is given byвид
Property of
of Cambridge
Cambridge University
University
Press do
do not
not share
share or
or copy
copy
Property
Press
q
|G|
q
t = |G| v(yi ) uxi..
t= q
v(yi ) uxi .
q i=1
i=1
Assume that что
the inputs
are sampled
independently
and
uniformly at random.
Предположим,
случайные
входы
выбираются
независимо
равномерно.
Assume that the
inputs
are sampled
independently
and
uniformly atиrandom.
A variant
of модели
the simple
model postulates
that неправильных
for wrong keys, ключей
the outputs
Вариант
простой
постулирует,
что для
выходы
A variant of the simple model postulates that for wrong keys, the outputs
yq1являются
, . . . ,yq areнезависимыми
independent and uniform
random variables
on H . If, in addition,
y1, …, y
и
равномерно
распределенными
случайными
y1, . . . ,yq are independent
and uniform random variables
H . If, in addition, 1
1 ofon
величинами
того,
uthe
= 0variance
и ∑y∈H1v(y)
=
0, то
дисперсия
0 Если,
and кроме
= 0,∑then
t for
wrong
keys is t для
x =H.
x∈G uна
y∈H v(y)
x∈G x
u
=
0
and
v(y)
=
0,
then
the
variance
of
t
for
wrong keys is
x
x∈G
y∈H
неправильных
ключей
равна
q
|G|2
1
q
|v(y)|22 = �u�222 �v�222 ,
|G|2 E|uxi |22 |v(yi )|22 = |G| |ux |22
1
q
|H |
E|uxi | |v(yi )| = |G|
|u |
|v(y)| = �u�2 �v�2 ,,
x∈G x
q i=1
|H | y∈H
x∈G
y∈H
i=1
where the norms are defined as in Chapter 10.
where определены,
the norms are defined
as in Chapter
где нормы
как вofглаве
10. of10.
In words, the product
the lengths
u and v is the standard deviation
In words,
the productчто
of the lengths of u длин
and v is иthe
standard deviation
Словесно
этоstatistic.
означает,
v является
of the test
One canпроизведение
show, under additionaluassumptions
thatстандартным
are not
of
the
test
statistic.
One
can
show,
under
additional
assumptions
that are not
отклонением
Приdeviation
дополнительных
предположениях,
discussed статистики
in detail here, критерия.
that the standard
is approximately
the same
discussed
inподробно
detail here,не
that the standard deviation
is approximately
theстандартное
same
которые
что
for здесь
the right
key. In fact, ifобсуждаются,
we go as far as можно
assumingпоказать,
that the test
statistic
is
for
the
right
key.
In
fact,
if
we
go
as
far
as
assuming
that
the
test
statistic
is
отклонение
приблизительно
одинаково
для правильного
ключа.
normally
distributed, then the
results in Chapters
4 and 7 imply
that theФактически
datanormally distributed, then the results in Chapters 4 and 7 imply that the datacomplexity is inversely proportional to
1
Дисперсия
комплексной
величины
z равна 𝔼|z − 𝔼z|2.
complexity
is inverselyслучайной
proportional
to
F
|v(T u)|
|v(T F u)| .
�u�2 �v�2 .
�u�2 �v�2
where the norms are defined as in Chapter 10.
In words, the product of the lengths of u and v is the standard deviation
of the test statistic. One can show, under additional assumptions that are not
152 Геометрический подход
discussed in detail here, that the standard deviation is approximately the same
for допустим,
the right key.что
In fact,
if we go критерия
as far as assuming
that the test
statistic is то из
если мы
статистика
распределена
нормально,
normally
distributed,
then
the
results
in
Chapters
4
and
7
imply
that
the data- сложрезультатов, приведенных в главах 4 и 7, следует, что информационная
complexity
is
inversely
proportional
to
ность обратно пропорциональна
|v(T F u)|
..
�u�2 �v�2
This should,
however,
beотнестись
taken with aсgrain
of salt.
The assumptions
mentioned выше
Однако
к этому
следует
долей
скептицизма.
Упомянутые
above do not
so the two-norm
is not2-норма
always the
measure
of прапредположения
неalways
всегдаhold,
справедливы,
поэтому
не right
всегда
является
length.
Roughly
speaking,
althoughхотя
the 2-норма
two-norm вinнекоторых
some cases случаях
captures правильthe
вильной
мерой
длины.
Грубо говоря,
correct local
geometry,геометрию,
it does not determine
the global
geometry.
но улавливает
локальную
глобальную
геометрию
она не определяет.
По большей
геометрический
подход является
комбинаторной
For theчасти
most part,
the geometric approach
is a combinatorial
theory andтеорией и не
пытается
решать
статистические
задачи,
такие
как
определение
does not attempt to solve statistical problems such as determining the data- информационной
данного
свойства.
Однако
некоторых
случаях выcomplexity сложности
of a given property.
However,
in some
casesвchoosing
a particular
бор конкретной
нормы
автоматически
приводит
к
полезным
статистическим
norm automatically leads to useful statistical results. Exploring the underlying
результатам.
Изучение
объясняющих
причин
бы нас за рамки соreasons for
this would
take us beyond это
the state
of theзавело
art.
временного
состояния
исследований.
“9781009607865book” — 2025/12/2 — 14:12 — page 155 — #167
Remark 11.5 As discussed in Chapter 10, the 2-norm is induced by an inner
Замечание 11.5. Как обсуждалось в главе 10, 2-норма индуцирована скалярным
product. This inner product leads to an isometric isomorphism between C[G]
произведением.
Это скалярное произведение ведет к изометрическому изоG
and Cмежду
. In most
this isomorphism
is not used.
However,
when
морфизму
ℂ[G]ofиthis
ℂG. chapter,
В большей
части настоящей
главы
этот изоморфизм
working
with
the
2-norm,
thinking
of
cryptanalytic
properties
as
a
pair
of
11.2
Linear
cryptanalysis
не используется. Но при работе с 2-нормой мысленное представление155
криптоG
H
G
subspaces
of
C[G]
and
C[H
]
(or
C
and
C
)
sometimes
helps
with
geometric
аналитических свойств как пары подпространств ℂ[G] и ℂ[H] (или ℂ и ℂH) иног
intuition.
да помогает
вырабатывать геометрическую интуицию.
11.2 Linear cryptanalysis
1 The variance of a complex-valued random variable z is E |z − Ez|2 .
pushforward and pullback operators theoretically make it possible to
инейный криптоанализ
11.2.The
Л
evaluate cryptanalytic properties (in the sense of Definition 11.1). However,
Операторы
прямого
и обратного
образовMost
теоретически
позволяют
вычислять
in theProperty
standard
basis,
this is impractical.
block
involve
additions
of Cambridge
University
Press
do ciphers
not share
or Однако
copy
криптоаналитические
свойства
(в
смысле
определения
11.1).
в станwith round keys k, for which the pushforward operator is conventionally
дартном базисе это
непрактично. Большинство блочных шифров включают
k
denoted by T . Ideally, the properties used in the analysis depend minimally
сложение с раундовыми ключами k, для которого оператор прямого образа по
on the key.
соглашению обозначается
T k. В идеале
используемые при анализе,
G
k ∨ f is свойства,
For
f
in
C
,
the
function
given by x �→ f (x + k). Hence, as
должны минимально зависеть отT ключа.
∨
in Chapter
the Fourier transformation
of обсуждаthe
Дляdiscussed
f ∈ ℂG функция
T k 10,
f определяется
как x ↦ f(xF+ diagonalizes
k). Отсюда,all
как
k ∨ . Dually, F diagonalizes the matrices T k . Hence, it makes sense
matrices
T
лось в главе 10, следует, что преобразование Фурье диагонализирует все мат
tok∨take
the Fourier transformation
of all cryptanalytic
рицы T
. Двойственно
F диагонализирует
матрицыproperties.
T k. Следовательно, имеет
смысл брать преобразование Фурье всех криптоаналитических свойств.
11.2.1 Correlation matrices
11.2.1.
Корреляционные матрицы
Considerодномерное
a one-dimensional
cryptanalytic propertyсвойство,
determinedопределяемое
by u in C[G] векРассмотрим
криптоаналитическое
H
H
and
v ℂ[G]
in C и. vThe
transformationsФурье
of u and
equal u^to=
uℱ=
FGи(u)
торами
u∈
∈ ℂFourier
. Преобразования
u иv vare
равны
(u)
v^ = ℱH(v)
G
and
v = FH Вычисление
(v), respectively.
The evaluation
of the property
is given by
соответственно.
свойства
производится
по формуле
−1
−1
v T F u = FH−1
v T F FG
u =
v FH T F F G
u .
−∨ page 144 in Section 10.2.2.
= FℱH−∨
– see
The second
equality
followsизfrom
FHчто
=ℱ
(см. стр. 142 в разделе 10.2.2).
Второе
равенство
следует
того,
H
H
−1
F
−∨
F
is the Fourier
transformation ofФурье
the pushforward
operaThe map F
Отображение
ℱHHTT ℱF
является
преобразованием
оператора
прямого
G
H
образаtor
T FT. F .
Definition 11.6 (Correlation matrix) Let F : G → H be a function between
→ C[H
] as the Fourier
finite commutative groups G and H . Define C F : C[G]
transformation of the pushforward operator of F:
vv TT uu =
v
u
v
u
= F
FHH
v TT F
FGG
u =
=
v F
FHHTT F
FGG
u ..
−∨
The
The second
second equality
equality follows
follows from
from F
FHH =
=F
FHH−∨ –– see
see page
page 144
144 in
in Section
Section 10.2.2.
10.2.2.
−1
F
−1 is the Fourier transformation of the pushforward operaF
The
map
F
T
F
The map FHH T FGG is the Fourier transformation of the pushforward operaF
11.2. Линейный криптоанализ 153
tor
tor TT F..
Definition
11.6
matrix)
Let
H
aa function
Definition11.6
11.6 (Correlation
(Correlation
matrix) матрица).
Let FF:: G
G→
→
H be
be F
function
between
Определение
(корреляционная
Пусть
: G → between
H
– функция
F
F
^
^ ] как
finite
commutative
groups
G
and
H
.
Define
C
:
C[
G]
→
C[
H
the
F ]] as
:
C[
G]
→
C[
H
as
the
Fourier
finite
commutative
groups
G
and
H
.
Define
C
между коммутативными группами G и H. Определим C : ℂ[G ]Fourier
→ ℂ[H
transformation
of
the
pushforward
operator
of
F:
transformation
of
the
pushforward
operator
of
F:
преобразование Фурье оператора прямого образа функции F:
F
F −1
−1 .
C
CF =
=F
FHH TT F F
FGG
..
F
The
the
representation
of
The correlation
correlation matrix
matrix of
of FFFis
isявляется
the matrix
matrixматричным
representationпредставлением
of C
C F with
with respect
respectCto
toF отноКорреляционная
матрица
the
standard
bases
of
C[
G]
and
C[
H
].
^
^
the стандартных
standard bases of
C[G] and
C[] H
сительно
базисов
ℂ[G
и ].ℂ[H ].
The
of
matrix
of
Элементы
корреляционной
матрицы
F равны
The coordinates
coordinates
of the
the correlation
correlation
matrix
of FF are
are given
given by
by
1
1
FF
F ∗∗
C
= δ χχ C FFδ ψ =
χχ(F(x))
= χχ TT Fψ
ψ =
=
(F(x)) ψ(x)
ψ(x)...
Cχ,ψ
χ,ψ = δ C δψ
|G|
|G|
x∈G
x∈G
“9781009607865book”
—
—
page
#168
“9781009607865book”
— 2025/12/2
2025/12/2
— 14:12
14:12 —
—cryptanalytic
page 156
156 —
—
#168
coordinates
are
of
properties
These
coordinates
are evaluations
evaluations
of one-dimensional
one-dimensional
cryptanalytic
properties
Эти These
элементы
являются
результатами
вычисления
одномерных
криптоана∗
χ
∗ and
χ..
(u,v)
with
u
=
ψ
v
=
χ
.
Equivalently,
u
=
δ
and
v
=
δ
^
^
ψ
(u,v)
with
u
=
ψ
and
v
=
χ
.
Equivalently,
u
=
δ
and
v
=
δ
литических свойств (u, v), где u = ψ* и v = χ. Эквивалентно
u = δψ и v = δχ.
ψ
Example
Linear
cryptanalysis
cryptanalytic
of
Example
11.3
Linear криптоанализе
cryptanalysis uses
usesиспользуются
cryptanalytic properties
properties
of the
the form
form
Пример
11.3. В11.3
линейном
криптоаналитические
∗
156
Geometric
approach
свойства
∗}, Span{χ }).
156вида
Geometric
(U,V
(Span{ψ
}, Span{χ }).
(U,V )) =
=
(Span{ψ approach
FF .
The
unit-norm
vectors
∗
The evaluation
evaluation of
of this
this property
property
at(Span{ψ
unit-norm
vectors is
is C
Cχ,ψ
}, Span{χ}).
(U, V) =at
χ,ψ .
n
m, then the group characters ψ and χ are given by
IfIfG
HH == FFm
G == FF2n2 and
and
,
then
the
group
characters
ψ
and χ are given by
2
Вычисление этого
свойства2 для векторов
с единичной нормой дает C Fχ,ψ .
uu xx and
vv xx. Hence,
ψ(x)
=
(−1)
χ
(x)
=
(−1)
(−1)
(x) = (−1)
. Hence,
mand
University
Press
not share or copy
Еслиψ(x)
G = Property
𝔽=2n и
H = 𝔽of
,Cambridge
то χ
характеры
группы
ψ и χ do
равны
Property
of
2 Cambridge University Press do not share or copy
1
FF
u x+v F(x)
CCχ,ψ
= 1
(−1)
(−1)u x+v F(x).. .
χ,ψ = 2nn
2
n
x∈F
x∈F2n2
n ^n
mm
uTx
m 𝔽^m F
u xx(−1)
С точностью
до изоморфизма
u u↦
между
𝔽2n
и𝔽
CF
Up
uu�→
between
FFn2nand
F
FFm2m
Uptotothe
theisomorphism
isomorphism
�→(−1)
(−1)
between
and
Fи2n2,𝔽
,and
and
and2 элементы
F
the
22иand
22, ,the
2
2
F
F
можноcoordinates
индексировать
буквами
u
и
v
вместо
χ
и
ψ.
Это
возвращает
нас
coordinates of
of CC can
can be
be labeled
labeled by
by uu and
and vv instead
instead of
of χχ and
and ψ.
ψ. This
This leads
leads
к определению
2.3. 2.3.
⊳
back
��
backtotoDefinition
Definition
2.3.
Свойства
корреляционных
матриц, которые
мы доказывали
в главе 2 с поThe
The properties
properties of
of correlation
correlation matrices
matrices that
that were
were proven
proven inin Chapter
Chapter 22 by
by
мощью
муторных
вычислений,
теперь
оказываются
прямыми
следствиями
tedious
calculations
now
become
immediate
consequences
of
Theorem
11.4.
tedious
nowэто
become
immediate
consequences
Theorem
11.4.
теоремы
11.4.calculations
Объясняется
тем, что
оператор
прямогоof
образа
не зависит
от
This
isisbecause
the
properties
of
the
pushforward
operator
are
independent
of
This
because
the
properties
of
the
pushforward
operator
are
independent
of
выбора базиса. В частности, имеет место следующий результат.
the
thechoice
choiceof
ofbasis.
basis.In
Inparticular,
particular,the
thefollowing
followingresult
resultholds.
holds.
Теорема
11.7.
Пусть
F
:
G
→
H
–
некоторая
функция.
Отображение
CF обладает
Theorem
11.7
Let
F
:
G
→
H
be
a
function.
The
map
CCFFhas
Theorem 11.7 Let F : G → H be a function. The map
hasthe
thefollowing
following
следующими
свойствами:
properties:
properties:
n
(1) Если F((x1, …, xn)) = (F1(x1), …, Fn(xn)), где Fi : Gi → Hi такая, что G = ⊕i=1
G иH=
(1)
If
F((x
,
.
.
.
,x
))
=
(F
(x
),
.
.
.
,F
(x
))
with
F
:
G
→
H
so
that
G
==i
1
n
1
1
n
n
i
i
i
(1)
If
F((x
,
.
.
.
,x
))
=
(F
(x
),
.
.
.
,F
(x
))
with
F
:
G
→
H
so
that
G
1
n
1
1
n
n
i
i
i
n
⊕i=1
Hi
,
то
⊗
nn C F = C F1 ⊗ C F2
nn… ⊗C Fn .
FF22 ⊗ · · · ⊗ C FFnn.
Gi and H =
Hi , then CCFF ==CCFF11 ⊗
⊗CC
⊗ ··· ⊗ C .
i=1
i=1 Gi and H = i=1
i=1FHi , then
Fr
F2
F1
(2) Если
F
=
F
◦…◦
F
◦
F
,
то
C
=
C
⊗
…
⊗
C
⊗C
.
F
F
F
F
r
r= Fr ◦ · · 2· ◦ F21 ◦ F1 , then C F = C Fr · · · C F22C F11.
(2)
If
F
(2) If F = Fr ◦ · · · ◦ F2 ◦ F1 , then C = C · · · C C .
Доказательство.
Как и в случае
теоремы 11.4,
достаточно
доказать
результат
Proof
Proof Like
Likefor
forTheorem
Theorem11.4,
11.4,ititisissufficient
sufficienttotoprove
provethe
theresult
resultfor
fornn==22and
and
для n r= =
2 и2.rThe
= 2.first
Первое
свойство
опирается
на
тот
факт,
что
ℱ
=
ℱG ⊗ ℱG .
property
relies
on
the
fact
that
FFGG1 ⊕⊕GG2 ==FFGG1 ⊗
FFGGG
. .This
12⊕G
2Thisis
1
2
r
=
2.
The
first
property
relies
on
the
fact
that
⊗
is
1
2
1
2
Это следствие из теоремы 10.12. А именно
due
to
Theorem
10.12.
Specifically,
due to Theorem 10.12. Specifically,
−1
FF1
F2
F1 −1
−1 = F
−1⊗ FH T FF22F −1
−1..
TT 1⊗T
CCFF == FFHH1 ⊗F
H
⊗T F2 FFGG11⊗F
⊗FGG22
= FHH11TT F1FFGG
FGG
11 ⊗ FH22 T
2 .
1 ⊗FH22
2
CCFF11
CCFF22
Explicitly,
Explicitly,the
thesecond
secondproperty
propertyfollows
followsfrom
fromTheorem
Theorem11.4
11.4(2)
(2)as
asfollows:
follows:
−1
−1
FF22 FF11
FF22 −1
F
F
CC CC == FFHH TT FFK−1 FFKKTT F11FFG−1 ==FFHH TT FFFG−1 ==CCFF,,
K
G
G
154
= 2.
2. The
The first
first property
property relies
relies on
on the
the fact
fact that
that F
FG1 ⊕ G2 =
=F
FG1 ⊗
⊗F
FG2 .. This
This is
is
rrdue
=
G1 ⊕ G2
G1
G2
to Theorem
10.12. Specifically,
due
to
Theorem
10.12.
Specifically,
due to Theorem 10.12.
Specifically,
−1
−1
F2 −1
T FF1 ⊗T FF2
FG1 ⊗FG2 −1
= FH1 T FF11 F−1
CFF = FH1 ⊗FH2
−1
F2 F−1
G1 ⊗ FH2 T F
G2 .
−1
F = FH1 ⊗FH2 T F11 ⊗T F22 FG1 ⊗FG2 −1 = F
F1 FG
C
T
⊗F
F
T
FG
2 F
H
1 ⊗
H
.
H1 T
H2 T
C = FH1 ⊗FH2 T ⊗T
FG1 ⊗FG2
=F
F
2 .
1
2
G
G
1
2
F
F
Геометрический подход
1
2
C
C
F
F
C F11
C
1
CF22
C
Explicitly,
the second
property follows
from Theorem
11.4
(2) as follows:
Второе
свойство
явно вытекает
из теоремы
11.4 (2)11.4
следующим
образом:
Explicitly,
the second
second
property follows
follows
from Theorem
Theorem
(2) as
as follows:
follows:
Explicitly,
the
property
from
11.4 (2)
−1
−1
−1
F2 F1
F
F
F
F
FK T F 1 F−1
C CF1 = FH T F22 F−1
= FH T F F−1
= CF,,
=
K2025/12/2
G14:12
G 157
“9781009607865book”
−1
−1
−1
F FG
F , #169
C FF22 C
C F1 =
= F
FH T
T F2—F
FK
FK T
T F11—
FG
F—
Tpage
=C
C—
HT
C
F
F
=
F
F
=
,
H
K
H
K
G
G
FK is the Fourier
transformation
for the intermediate
group
K.
где ℱK –where
преобразование
Фурье
для промежуточной
группы
K.
□
is the
the Fourier
Fourier transformation
transformation for
for the
the intermediate
intermediate group
group K.
K.
where F
FK is
where
K
Теорема
2.6 обобщается
следующим
Theorem
2.6 generalizes
as follows.образом.
Theorem 2.6
2.6 generalizes
generalizes—as
as 2025/12/2
follows. — 14:12 — page 157 — #169
“9781009607865book”
Theorem
follows.
cryptanalysis
Theorem 11.8 Let F :11.2
G →Linear
H be defined
by F(x) = L(x) + t with L : G157
→
Теорема
11.8. Пусть
F:G
определена
какby
L(x)
+ t,+
L :L
Theorem
11.8 Let
Let
F ::→G
GH→
→
H be
be defined
defined
byF(x)
F(x)= =
= L(x)
L(x)
+где
t with
with
LG:: →
GH
→– гомо
Theorem
11.8
F
H
F(x)
t
G
→
H a group homomorphism and t in H . The correlation matrix of F satisfies
морфизм
t ∈ H. Корреляционная
F удовлетворяет
равенству
H aaгрупп,
group а
homomorphism
and tt in
in H
H .. матрица
The correlation
correlation
matrix of
of F
F satisfies
satisfies
H
group
homomorphism
and
The
matrix
F
χ ◦L
= χ (t) δχ ◦ L of
(ψ).
The last equality is due to Cthe
characters (Theorem 10.13).
χ,ψ
F orthogonality
F
Cχ,ψ
=
χcryptanalysis
(t)t δδχ L◦ L (ψ).
(ψ)..
11.2C
Linear
157
F
=
χ
(t)
χ,ψ
The
result follows
from Cwith
= the
C C
.
Proofoverall
The matrix
Ctt is diagonal
eigenvalues
χ (t) on the diagonal. By
t
Proof
The
matrix
C
is
diagonal
with
the
eigenvalues
χ
(t)
on
the
diagonal.
By
t
L
Доказательство.
Матрица
C
диагональная,
на
ее
диагонали
находятся
Proof
The matrix
diagonal
the definition
of CC
itisholds
thatwith the eigenvalues χ (t) on the diagonal. By собL ,, it
L
the
definition
of
C
holds
that
L
ственные
значения
χ(t).
По
определению
место(Theorem
равенство
the
of Cis, due
it holds
that
Thedefinition
last equality
of characters
10.13).
to the
orthogonality
C , имеет
L
∗
χ ◦L
C
=
χ
◦
L
(ψ
)
=
ψ,χ
◦
L
=
δ
(ψ).
F
t
L
χ,ψ
L
∗
χ
◦
L
The overall
result
C ∗ )==C ψ,χ
C . ◦ L = δχ ◦ L (ψ).
11.2.2
Multiple
linear
cryptanalysis
Lfollows
Cχ,ψ
= χfrom
◦ L (ψ
(ψ)..
C
χ,ψ = χ ◦ L (ψ ) = ψ,χ ◦ L = δ
Multiple linear cryptanalysis relies on cryptanalytic properties (U,V ) with
Последнее
равенство
справедливо
в силуPress
ортогональности
характеров
(теоProperty
of Cambridge
University
do not share or
copy
Property
of Cambridge
Cambridge
University
Pressизdo
do
not share
share
or
copy
For
t L
Property
of
University
not
copy
∗следует
∗Press
∗того,
рема 10.13).
Окончательный
результат
что
C
=
C
C
.
□
11.2.2 Multiple linearU cryptanalysis
= Span{ψ ,ψ , . . . ,ψ },
2
n
V = relies
Span{χ
,χ2 , . . . ,χm }.properties (U,V ) with
Multiple
linear cryptanalysis
on1cryptanalytic
11.2.2.
Множественный
линейный
криптоанализ
Множественный линейный криптоанализ
на криптоаналитические
∗
∗опирается
∗ linear
In Chapter 6, it was shown
multidimensional
approximations are
U =that
Span{ψ
1 ,ψ2 , . . . ,ψn },
свойства (U, V), где
special because their correlations
characterize
the
probability
distribution of a
V = Span{χ1 ∗,χ2 ∗, . . . ,χ∗m }.
U
=
Span{ψ
,
ψ
,
…,
ψ
},
linear projection of the plaintext-ciphertext
uniform random inputs.
1
2 pairs for
n
Multidimensional linearVcryptanalysis
generalizes
to arbitrary finite Abelian
= Span{χ
, χ2, …, χm}. linear
In Chapter 6, it was shown that
multidimensional
approximations are
1
groups as the special case of multiple linear cryptanalysis where X1 =
special
because
their
correlations
characterize
the
probability
distribution of a спеВ главе 6 было показано,
что многомерные линейные
andаппроксимации
, respectively.
{ψ1, . . . ,ψn } and Y 1 = {χ1, . . . ,χm } are subgroups of G
H
linearпотому
projection
of их
the plaintext-ciphertext
pairs for uniform
random inputs.вероятциальны,
что
корреляции характеризуют
распределение
Let πY : H → H /Y be the projection
by πY (h) = h + Y . By
defined
Multidimensional
linearпар
cryptanalysis
generalizes
to
arbitrary finite Abelian
ностей линейной
проекции
(открытый
текст, шифртекст)
случайных
1 satisfies theдля
Theorem
10.18,
the
subspace
V
=
Span
χ
|
χ
∈
Y
following
равномерно
groups распределенных
as the special caseвходов.
of multiple linear cryptanalysis where X1 =
equality:
and
произвольные
Многомерный
обобщается
наH
{ψ1, . . . ,ψn } линейный
and Y 1 = {χ1криптоанализ
, . . . ,χm } are subgroups
of G
, respectively. конечные абелевы
группы
как
частный
случай
множественного
Let πY : H →
h + Y . By крип H /Y be the projection
defined
h+Yby πY (h) =линейного
H /Y
V
=
Span
f
◦
π
|
f
∈
C
=
Span
δ
|
h
+
Y
∈
H
,
1
Y
тоанализа,
где
X
=
{ψ
,
…,
ψ
}
и
Y
=
{χ
,
…,
χ
}
–
подгруппы
G
и
H
соответственно.
Theorem 10.18,
the
subspace
V
satisfies the/Y
following
1
1
n
1 = 1Span mχ | χ ∈ Y
Обозначим
π
:
H
→
H/Y
проекцию,
определенную
как
π
(h)
=
h
+
Y.
По теореY
equality:h+YY
y like{χin
1
ме 10.18,
подпространство
V
=
Span
|
χ
∈
Y
}
обладает
следующим
свойством:
where
δ
=
δ
Example
11.1.
As
discussed
at
the
y∈h+Y
10.2.3, there is Ha/Ysimilar
h+Y for the subspace U =
end of
Section
equality
= Span δ
| h + Y ∈ H /Y ,
V = Span f ◦ πY | f ∈ C
Span ψ ∗ | ψ ∈ X 1 . It is obtained by applying the anti-isomorphism x �→ x ∗
Theorem
10.6:
где δh+Yfrom
= ∑y∈h+Y
δy, как
y 11.1. Как было сказано в конце раздела 10.2.3,
where
δ h+Y
= в примере
y∈h+Y δ like in Example 11.1. As discussed at ∗the
аналогичное
равенство
имеет
место
для
подпространства
Usubspace
= Span {ψ
|=ψ ∈ X1}.
end of
Section
10.2.3,
there
is
a
similar
equality
for
the
U
∗
Оно получается
применением
антиизоморфизма
x ↦ x. из теоремы 10.6:
δg+X
| g + X ∈the
G/X
Span ψ ∗ | ψ ∈ X 1 .UIt =
is Span
obtained
by applying
anti-isomorphism x �→ x ∗
from Theorem 10.6: U = Span {δg+X | g + X ∈ G/X}. h+Y
in V is
The result of evaluating (U,V ) at δg+X /|X| in U and δ
Результатом вычисления (U, V) для
δg+X/|X| ∈ U и δh+Y ∈ V является
U = Span δg+X | g + X ∈ G/X .
1 h+Y
δ
(F(x) + Y ) = Pr F(x) ≡ h mod Y ,,
x
|X|
x∈g+X (U,V ) at δg+X /|X| in U and δ h+Y in V is
The result of evaluating
with x uniform
on the coset g + X.
This is the same
probability
1 random
δ h+Y (F(x) + Y ) = Pr F(x) ≡ h mod Y ,
as in Corollary
|X| 6.6. From the equalities ofx the subspaces above, it follows
x∈g+X
that this probability can be expressed in terms of the correlations of linear
11.3. Точное распространение 155
где x – случайная равномерно распределенная величина на смежном классе g + X.
Это та же самая вероятность, что в следствии 6.6. Из равенств указанных выше
подпространств следует, что эту вероятность можно выразить в терминах
корреляций линейных аппроксимаций с характерами, принадлежащими X1
и Y1. В упражнении 11.4 вам будет предложено сделать это явно.
11.3. Точное распространение
В первой части главы 9 обсуждались «точные» обобщения линейного криптоанализа. Примеры включают свойства насыщения, линейные аппроксимации
с нулевой корреляцией и инварианты.
11.3.1. Прямое распространение
Под распространением подпространства U ⊆ ℂ[G] посредством функции F :
G → H подразумевается,
что нужно
определить
образ
T FU. В
общем
случае это
“9781009607865book”
— 2025/12/2
— 14:12
— page
158
— #170
практически неосуществимо, потому-то вместо этого и используются криптоаналитические свойства, но в некоторых случаях можно показать, что T FU ⊆ W,
где W – подпространство ℂ[H].
Geometric
Пример158
11.4. Если F(X) ⊆ Y, где X ⊆
G и Y ⊆ approach
H, то
T F Span {δx | x ∈ X} ⊆ Span {δy | y ∈ Y}.
11.3 Exact propagation
Из этого включения следует, что результатом вычисления криптоаналитичеY
F
= Span{δ
и V = Span{δ
}, является
δY(T
δX) = |X|.
⊳
ского свойства
(U,part
V), где
In the first
of U
Chapter
9, X}“exact”
extensions
of linear
cryptanalysis
were
discussed.
Examples
include
saturation
properties,
zero-correlation
linear
Не каждому точному распространению соответствует включение множеств.
approximations and invariants.
Пример 11.5. Описанный в разделе 9.1.1 метод нахождения свойств насыщения
основан на описании состояния как одного из нескольких возможных мноForward
жеств 11.3.1
без указания
на то, что происходит с отдельными элементами этих множеств. То есть для семейств множеств S1, …, Sn и T1, …, Tm, где m ≥ n,
To propagate a subspace U of C[G] through a function F : G → H means
to determine the image
T F U . This is generally not feasible, which is why
T F Span {δS , …, δS } ⊆ Span {δT , …, δT }.
1
n
1
m
cryptanalytic properties are used
instead,
but in some
cases
it is possible to
F
Например,
для
«функции
проецирования»
P
:
H
→
Y
(см.
раздел
9.2.3) множеshow that T U ⊆ W for a subspace W of C[H ].
ства T1, …, Tm можно охарактеризовать свойством T PδT ∈ Span{δY}. Пусть (U,V) –
i
Example
11.4 If F(X)
⊆ Y forS }subsets
X and yY◦ofP G
H,Вrespectively,
свойство,
для которого
U = Span{δ
и V = Span{δ
| yand
∈ Y}.
силу включения
i
выше,then
вычисление свойства (U, V) дает
T F Span δx | x ∈ X ⊆ Span δy | y ∈ Y .
This Pinclusion
implies that
the cryptanalytic
property
То есть
◦ F насыщено
на входном
множестве
Si. (U,V ) with U =
Y
Y
F
Span{δX } and V = Span{δ } evaluates to δ (T δX ) = |X|.
�
11.3.2.Not
Обратное
распространение
every exact propagation corresponds to an inclusion of sets.
⊳
В дополнение к распространению подпространства ℂ[G] «вперед», как описано
Example
11.5 можно
The method
from Section 9.1.1
to find saturation properties
в разделе
11.3.1,
распространить
подпространство
V ⊆ ℂHis назад
∨
based onфункции
describingFthe
one этого
of several
possible
sets, without
V ⊆ W, где
посредством
: Gstate
→ H.asДля
нужно
показать,
что T Fsaying
G
W – подпространство
ℂ
.
what happens to the individual elements of those sets. That is, for families of
sets S1, . . . ,Sn and T1, . . . ,Tm with m ≥ n,
T F Span δS1 , . . . ,δSn ⊆ Span δT1 , . . . ,δTm .
11.3 Exact propagation
11.3 Exact propagation
159
159
156
Example
11.6 Let подход
f : G → X and g : H → Y be two functions. This
Геометрический
Example
11.6
Let f :ofGnonlinear
→ X and
g : H → Yfrom
be two
functions.
generalizes
the concept
approximations
Section
9.2.2. IfThis
generalizes
the
concept
of
nonlinear
approximations
from
Section
9.2.2.
If
Пример 11.6. Пусть f :∨G → X и g : H → Y – функции.
обоб xЭтот результат
является
F
y
T
Span
δ
◦
g
|
y
∈
Y
⊆
Span
δ
◦
f
|
x
∈
X
,
щением понятия нелинейной
F∨
y аппроксимации изx раздела 9.2.2. Если
T Span δ ◦ g | y ∈ Y ⊆ Span δ ◦ f | x ∈ X ,
∨ function h : X → Y such that h ◦ f = g ◦ F.
then there exists
�
x
T F aaSpan
{δy ◦
∈ Y}
⊆ Span
then there exists
function
h :gX| y→
Y such
that {δ
h ◦◦f f=| xg∈◦X},
F.
�
то существует функция h : X → Y, такая что h ◦ f = g ◦ F.
⊳
11.3.3 Zero-correlation
11.3.3 Zero-correlation
11.3.3.
Нулевая
A property
(U,V корреляция
) that evaluates to zero for all u in U and v in V
is called a
A
property
(U,Vproperty.
) that evaluates
allFuдля
in U→and
a
Свойство
(U, V), вычисление
которого
дает
нуль
∈ in
UF
иV2v:is∈Hcalled
V,→
называетzero-correlation
Let F =toF2zero
◦ F1for
with
Hu vand
K.
1 : Gвсех
zero-correlation
property.
Let
F
=
F
◦
F
:
G
→
H
and
F
:
H
→
K.
HF1 with
2
1
2
ся свойством
с
нулевой
корреляцией.
Пусть
F
=
F
◦
F
,
где
F
:
G
→
H
и
F
:
H → K.
The annihilator of a subspace W of CH is defined2as (see
1 also 1Exercise 10.6)
2
H C
The annihilator
of a subspace
W
of
is
defined
as
(see
also
Exercise
10.6)
Аннулятор
подпространства
W
⊆
ℂ
определяется
как
(см.
упражнение
10.6)
x ∈ C[H ] | ∀w ∈ W : w(x) = 0 .
W 00 =
0
ℂ[H]]||∀w
0}.0 .
W W== {x
x ∈∈ C[H
∀w∈∈W
W::w(x)
w(x)= =
∨
F
F
0
∨
1
2
F2 T ∨ V ⊆ W for some subspace W , then (U,V ) is a zeroIf TF1FU U
⊆ 0W
and
ЕслиT
⊆⊆
W
и0Tand
V T⊆FW
для некоторого подпространства W, то (U, V) явля2 V ⊆ W for some subspace W , then (U,V ) is a zeroIf
T 1U
W
correlation
property:
ется свойством с нулевой корреляцией:
correlation property:
∨
v T FF u = T FF∨2 v T FF1 u = 0
v T u = T 2 v T 1u = 0
for alluu∈inUUи and
V . This
generalizes
the miss-in-the-middle
principle
для любых
v ∈ vV.inЭтот
обобщает
принцип
потери посередине
из разfor
allSection
u in U8.2
andthat
v in
V . This
generalizes
the miss-in-the-middle
principle
from
is
used
to
find
zero-correlation
linear
approximations.
дела 8.2, который использовался для нахождения линейных аппроксимаций
from Section 8.2 that is used to find zero-correlation linear approximations.
с нулевой корреляцией.
Example 11.7 Let S1, . . . ,Sn and T1, . . . ,Tm be two families of sets like in
and T1, .}.for
. ,Tamfunction
be two P
families
like in
Example
11.7
S1, P. . . ,Sn Span{δ
Example
11.5,SsoLet
: H →of
Y .sets
Asкак
before,
Пример 11.7. Пусть
, that
…, ST иδTTi ,∈…,
Tm –Yдва семейства
множеств,
в приме1 that TnP δ 1∈ Span{δ
Example
11.5,
so
}
for
a
function
P
:
H
→
Y
.
As
before,
T
assume
thatTTPFδF Span{δ
⊆ YSpan{δTP1 , :. .H. ,δ
}. Как
Let Uи раньше,
= Span{δSпредпоS1 , . i. }. ,δ
Sn }функции
TmY.
ре 11.5,
так что
∈
Span{δ
для
→
i}
Y
i
assume
thatarbitrary
T TSpan{δ
Span{δT1 , . . . ,δTm }. Let U = Span{δSi }
S1 , . . . ,δ
Sn }Y⊆
constant
z
in
,
ложим,and,
чтоfor
T FanSpan{δ
,
…,
δ
}
⊆
Span{δ
,
…,
δ
}.
Пусть
U
=
Span{δ
}
и
для
некоS1
Sn
Tm
Si
and, for an arbitrary
constant
z in Y , T1
торой произвольной константы z ∈y Y
V = Span δ ◦ P − δ z ◦ P | y ∈ Y .
V = Span δ y ◦ P − δ z ◦ P | y ∈ Y .
y
◦ property
P − δz ◦(U,V
P | y )∈isY}.
Since V 00 ⊇ Span{δT1V, .=. Span
. ,δTm },{δthe
zero-correlation.
�
Since V0 ⊇ Span{δT1 , . . . ,δTm }, the property (U,V ) is zero-correlation.
�
Так как V ⊇ Span{δT , …, δT }, свойство (U,V) является свойством с нулевой
1
m
корреляцией.
⊳
11.3.4 Invariants
11.3.4
Invariants
11.3.4.
Инварианты
An invariant of a function
F : G → G is a subspace U of C[G] so that
An
of a function
F :называется
G → G is a подпространство
subspace U of C[G]
that такое
Инвариантом
функции
F : G→G
U ⊆soℂ[G],
F Uinvariant
T
⊆
U
.
что T FTUF⊆UU.
⊆ U.
Example 11.8 Recall from Chapter 9 that a nonlinear invariant of a function
9 нелинейным
that a nonlinearинвариантом
invariant of a function
n что
ПримерExample
(см.from
главу
функции F :
F11.8.
: Fnn2 Напомним
→11.8
Fnn2 is Recall
a function
f Chapter
: F9),
2 → F2 such that there exists a constant c so
nFn
:
F
→
F
is
a
function
f
:
→
F
such
that
there
exists
a
constant
c so
𝔽2n → 𝔽2nF
называется
функция
f
:
𝔽
→
𝔽
такая,
что
существует
постоянная
c, такая
n
n
2
2 in2 F . Equivalently, if S = {x ∈ F | f (x)
2 x
that f2 (F(x))2 = f (x) + c for all
=
n2
n2 𝔽n | f(x) = 1}, то
n
что f(F(x))
=(F(x))
f(x) + c=для
любого
xall∈x𝔽in
.
Эквивалентно,
если
S
=
{x
∈
that
f
f
(x)
+
c
for
F
.
Equivalently,
if
S
=
{x
∈
F
|
f
(x)
=
2 n 2
\ S) ⊆ Fn \ S or F(S) ⊆ F2nn2 \2 S and
1}, then eithern F(S) ⊆ nS and F(F
n2F(S) ⊆ 𝔽n \n2S и F(𝔽n \ S) ⊆ S. Этому
либо F(S)
F(𝔽2 F(S)
\ S) ⊆⊆𝔽2S\ and
S, либо
инвари1},
then
either
F(F
\
S) ⊆
⊆ invariant:
F2 \ S and
n⊆ S и
2
2 \ S or 2F(S)
F(Fn2 \ S) ⊆ S. The following vector space
U2 F
corresponds
to this
анту соответствует
следующее
векторное
пространство
U:
F(F2 \ S) ⊆ S. The following vector space
U corresponds
to this invariant:
U = Span δS , δFn2 \S .
U = Span δS , δFn2 \S .
обладает
Альтернативно
подпространство
V not
⊆ Cshare
Propertyследующее
of Cambridge
University Press do
or copyсвойством
G
∨
T F V ⊆ V: Property of Cambridge University Press do not share or copy
V = Span {δ0 ◦ f, δ1 ◦ f}.
160
Geometric approach
Alternatively, the following subspace V of CG satisfies T F V ⊆ V :
11.4. Приближенное распространение 157
V = Span δ 0 ◦ f , δ 1 ◦ f .
Пространство V состоит из всех комплексных функций на 𝔽2, для которых
обратный
образ
f совпадает сfunctions
𝔽2n. Чтобы
выполнение
The space
V посредством
consists of all complex-valued
on Fпроверить
to Fn2
2 , pulled back
инварианта,
вычислить
свойство
V).
⊳
along f .можно
To test if
the invariant
holds, one(U,
can
evaluate the property (U,V ). �
∨
ЧтобыTo
различить
UиVU
в примере
U можно
distinguishпространства
between the spaces
and V in11.8,
Example
11.8, назвать
U may прямым инвариантом,
а
V
–
обратным
инвариантом.
Проверьте,
что
если
be called a forward invariant and V a backward invariant. Verify that Uif– прямой инвариант, то U0 – обратный инвариант
и наоборот. Кроме того, с помоU is a forward invariant, then U 0 is a backward invariant and conversely.
щью антиизоморфизма x ↦ x∗ из теоремы 10.6 можно
показать, что U является
Furthermore, using the anti-isomorphism x �→ x ∗ from
Theorem 10.6, U is
∗
прямым инвариантом тогда и только
тогда,
когда
U
–
обратный инвариант.
∗ is a backward invariant.
a
forward
invariant
if
and
only
if
U
F
Инварианты связаны с собственными векторами T .
Invariants are related to the eigenvectors of T F .
Теорема
11.9.11.9
Любой
инвариант
перестановки
G →
G имеет
Theorem
Every
invariant UU of
a permutation FF: G: →
G has
a basis базис,
F
состоящий из собственных векторов
T
.
consisting of eigenvectors of T F .
F is diagonalizable.
Proof The pushforward
operator Tобраза
Indeed,
since Fn is the ДейДоказательство.
Оператор прямого
T F допускает
диагонализацию.
n −1.
ствительно,
Fn является
функцией
для xнекоторого
identityпоскольку
function for some
n ≥ 1, theтождественной
minimal polynomial
of T F divides
F
n
n ≥ 1, минимальный
многочлен
T
делит
x
−
1.
Этот
многочлен
имеет
различThis polynomial has distinct roots over C.
F
ные корни
в
поле
ℂ.
If U is an invariant and F a permutation, then T U = U . It follows that
theОтсюда
minimalследуthe
polynomial
of the restriction
T F |U : U → U
Если U minimal
является
инвариантом,
а F – перестановкой,
тоdivides
T FU = U.
F
F
F
of T . многочлен
Hence, T |U ограничения
is diagonalizable.
ет, чтоpolynomial
минимальный
T |U : U → U делит минимальный
многочлен T F. Следовательно, T F|U допускает диагонализацию.
□
Theorem 11.9 implies that the Fourier transformation of an invariant has a
Из теоремы
11.9 следует,
что преобразование
Фурье инварианта имеет баbasis consisting
of eigenvectors
of C F .
зис, состоящий из собственных векторов CF.
Example 11.9 The invariant U from Example 11.8 is the span of two
Примерeigenvectors
11.9. Инвариант
of T F :U из примера 11.8 натянут на два собственных вектора T F:
U = Span δS + δFn2 \S , δS − δFn2 \S .
The first
vectorравен
is equal
to δδ𝔽Sn \S+=δδFn2𝔽\S
= δFn2 . In fact,это
this собственный
is an eigenvector
of
Первый
вектор
δS +
вектор
TF
n . Фактически
2
2
∨
F
F
T forперестановки
all permutations F.
F. Similarly,
V is the
of two eigenvectors
T два
: собдля любой
Аналогично
V –span
оболочка,
натянутаяofна
∨
ственных вектора T F :
V = Span x �→ 1, x �→ (−1)f f(x)(x) .
V = Span {x ↦ 1, x ↦ (−1) }.
F∨
∨
f
In particular,
the Fourier transformation
(−1) isсобственным
an eigenvectorвектором
of C . � C F . ⊳
В частности,
преобразование
Фурье (−1)of
является
f
11.4. Приближенное распространение
Вычисление любого криптоаналитического
свойства определяет линейную
11.4 Approximate propagation
функцию, называемую его отображением аппроксимации. Это отображение
The evaluations
every cryptanalytic
property determine
linear function,
используется,
чтобыof
склеить
последовательность
свойствaфункций
в свойство
called its approximation map. This map is used to glue together a sequence of
их композиции.
properties of functions to a property of their composition.
11.4.1. Отображения аппроксимации
Property of Cambridge University Press do not share or copy
Данные всех вычислений v(T Fu) криптоаналитического свойства (U, V) эквивалентны линейному отображению U → ℂ[H]/V0, определенному как
u ↦ TFu + V0.
158
Геометрический подход
Здесь V0 – аннулятор подпространства V. То есть состояние известно только
с точностью до сложения с вектором, который не может быть «измерен» с помощью функций, принадлежащих V.
Описанное выше отображение можно было бы также назвать отображением
аппроксимации (U, V), но проблема в том, что для того чтобы иметь возможность построить композицию отображения U → ℂ[H]/V0 с отображением другого свойства, необходимо вложение ℂ[H]/V0 в ℂ[H]. К счастью, выбор алгебраического дополнения V решает эту проблему. Далее в данной главе используются
ортогональные дополнения:1 ℂH = V ⊕ V⊥. В силу упражнения 10.6 и обозначив
x ↦ x∗ антиизоморфизм из теоремы 10.6, имеем (V⊥)0 = V∗. Отсюда, поскольку
V0 ∩ (V⊥)0 = (V ⊕ V⊥)0 = {0}, имеем
ℂ[H] = V0 ⊕ V∗.
Смысл всего этого в том, что ℂ[H]/V0 можно идентифицировать с помощью V∗, чтобы получить отображение U → V∗. Важно, что V∗ является подпространством ℂ[H]. Имейте в виду, что в следующем далее определении и обсуждении свойством является (U, V∗), а не (U, V), чтобы упростить обозначения. Это
разумно, т. к. с любой точки зрения V∗∗ = V.
Определение 11.10. Отображением аппроксимации криптоаналитического
свойства (U, V ∗) функции F: G → H называется линейное отображение ⟨V, U⟩F :
U → V, определенное как
⟨V, U⟩F = πV T FιU,
где ιU : U → ℂ[G] – включение, а πV : ℂ[H] → V – ортогональная проекция.
Идея отображения аппроксимации состоит в том, что оно преобразует
u ∈ U в вектор, принадлежащий V, который аппроксимирует T Fu в следующем
смысле. Для любых u ∈ U и v ∈ V∗
v⟨V, U⟩F u = v(πV T FιU u) = v(T Fu).
Последнее равенство следует из того, что ιU u = u и T Fu = πV T Fu + πV ⊥T Fu,
в сочетании с тем фактом, что V∗ является аннулятором V⊥. Иначе говоря,
замена T F его отображением аппроксимации не влияет на вычисление свойства.
11.4.2. Геометрия
По теореме о наилучшей аппроксимации (теорема 10.8), аппроксимации, полученные применением ⟨V, U⟩F, являются геометрически наилучшими из возможных. Качество криптоаналитического свойства измеряется его главными
корреляциями.
Определение 11.11 (главные корреляции). Пусть (U, V ∗) – криптоаналитическое
свойство функции F: G → H. Положим d = min{dim U, dim V}. Главными
корреляциями свойства (U, V ∗) называются d наибольших сингулярных
значений его отображения аппроксимации ⟨V, U⟩F.
1
Этого «произвольного» выбора можно избежать, воспользовавшись небольшим
обобщением определения 11.1.
Definition 11.11
approximation
map(Principal
�V ,U �F . correlations) Let (U,V ∗ ) be a cryptanalytic
property
a function
F : the
G→
H . Letcorrelations
d = min{dim
dim∗ V
}. The
principal
If F isofinjective,
then
principal
ofU,
(U,V
) are
equal
to the
∗ ) are the d largest singular values of its
correlations
of
the
property
(U,V
cosines of the d smallest principal angles between the subspaces T F U and
approximation
map
�V ,UThe
�F . principal
11.4. Приближенное
159
V
(see Exercise
10.7).
correlation of a распространение
linear approximation
∗ ) are equal to the
∗
If
F
is
injective,
then
the
principal
correlations
of
(U,V
(Span{ψ }, Span{χ }) is
absolute value of its correlation.
∗
Еслиcosines
FThe
инъективна,
то главные
корреляции
(U, Vthe
)interpretation.
равны
косинусам
F U andd наиof the d smallest
principal
angles
between
subspaces
T Without
principal
correlations
also
have
a statistical
меньших главных углов между подпространствами TFU и V (см. упражнеV (seeinto
Exercise
10.7).
correlation
of a linear
approximation
going
details,
if σ1The
, . . . principal
,σr are the
first r principal
correlations
of a
ние 10.7). Главная
корреляция
линейной аппроксимации (Span{ψ∗}, Span{χ})
(Span{ψ ∗then
}, Span{χ
}) assumptions
is the absolute
value
of
its correlation.
property,
(under
that
we
leave
out
here)
the
minimal
dataравна абсолютной величине ее корреляции.
The principal
correlations
a statistical
interpretation.
complexity
of a hypothesis
testalso
basedhave
on known-plaintext
estimatesинтерпретация.
ofWithout
at most
У главных
корреляций
имеется
также
статистическая
into
details,
if σ1, . .что
.is,σinversely
are σ
the,proportional
first
r первые
principal
of a
rgoing
evaluations
of theскажем,
property
to r correlations
rесли
Не вдаваясь
в детали,
…,
σ
–
главных
корреляций
1
r
property,
then (under
assumptions
that we leave
out here)
minimal
data- минекоторого
свойства,
то (в
предположениях,
которые
мыthe
здесь
опускаем)
r on проверки
complexity
of a hypothesis test
based
known-plaintext
estimates
of at most
нимальная
информационная
сложность
гипотезы
на основе
оценок
2
.результатов
с известным
открытым
текстомisне
болееσirproportional
r evaluations
of the property
inversely
to вычисления этого свойi=1
ства обратно пропорциональна
r
The sum of the squares of all principal
σi2.. correlations of a multiple linear
approximation is equal to its capacity.
i=1
Сумма квадратов всех главных корреляций множественной линейной апThe sum of the squares of all principal correlations of a multiple linear
проксимации равна ее емкости.
approximation
is equal
to its capacity.
11.4.3
Principle
of dominant
trails
11.4.3.
Принцип
следов
Suppose
that F = Fдоминирующих
Gi+1 . For linear cryptanalysis,
r ◦ · · · ◦ F1 with Fi : Gi →
the multiplication
of F
correlation
matrices
the conceptкриптоаналиof linear
Предположим,
что F =property
F ◦…◦
, где Fi : G
→ Gi+1.leads
Для to
линейного
1
i
11.4.3 Principle ofrкорреляционных
dominant
trails матриц
за свойство
приводит к понятию линейtrails (χумножения
1, . . . ,χr+1 ):
ных следов
(χ1that
, …, Fχr+1
Suppose
=):Fr ◦ · · · ◦ F1 with Fi : Gi → Gi+1 . For linear cryptanalysis,
r
the multiplication property of correlation
leads to the concept of linear
matrices
F
i
CχFi+1
trails (χ1, . . . ,χr+1 ): Cχr+1,χ1 =
,χi .
χ2,...,χr i=1
r
результатами вычисления крипВ этой формуле корреляции
C F ,χ являются
i
CχFr+1,χC1χχF=
CχFi+1
In the above, the correlations
are evaluations
,χi .of cryptanalytic proper,χ
i+1 i
тоаналитических свойств функций
Fχ12,,...,χ
…, rFi=1
.
r
ties of the functions F1, . . . ,Fr .
Следующий результат показывает, что аналогичное выражение существует
The following result shows that there is a similar expression for the
для отображения аппроксимацииFпроизвольных свойств F. Последовательность
In“9781009607865book”
the above, the
correlations
are —
evaluations
cryptanalytic
proper“9781009607865book”
—UC2025/12/2
2025/12/2
14:12
—of page
page
163
—совместимых
#175
approximation
map
of (U
arbitrary
of
F. Aэквивалентно,
sequence
of
vector
spaces
14:12
—
163
—
#175
i+1
векторных пространств
,—
,χproperties
…,,χi Ur+1),—
или,
1
2
ties
of
the
functions
F
,
.
.
.
,F
.
(U1,U2, . . . ,Ur+1 ) свойств
or,1 equivalently,
properties
∗
r , U ∗),of
криптоаналитических
(U
(U2compatible
, U 3∗ ), …, (Ucryptanalytic
, U r+1
), называется
следом.
r
∗1 ), 2is called
there is
a similar expression for the
(U1The
,U2∗ ),following
(U2,U3∗ ),result
. . . , (Ushows
a trail.
r ,Ur+1that
Теорема
11.12. Для
1 of≤ arbitrary
i ≤ r + 1 обозначим
Ωisequence
множество
ортогональных
approximation
F. A
of vector
spaces
of orthogonal
subspaces
Theorem
11.12mapFor
1 ≤ i ≤ rproperties
+ 1, let �of
i be a set
∗
i
подпространств
ℂ[G
],
такое
что
ℂ[G
]
=
⊕
U.
Для
любого
свойства
(U1, U r+1
)
11.6
References
163
(U
,U
,
.
.
.
,U
)
or,
equivalently,
of
compatible
cryptanalytic
properties
∗
i
i
U∈Ω
1
2
r+1
11.6
References
163
of C[Gi ] such that C[Gi ] =
U ∈�i U . For every property (U1,Ur+1 ) of F
∗
∗
∗
функции
F,
где
U
∈
Ω
и
U
∈
Ω
,
(U1,U
. r+1
. , (U
,U
r+1
31 ),U. r+1
r+1
with
U21 ),in(U
�1 21,U
and
in r�
, ), is called a trail.
r+1
Theorem 11.12 For 1 ≤
i ≤ r + 1, let �i be a set of orthogonal subspaces
�Ur+1
,U11��FF =
=
�Ur+1,U
,Urr ��FFr ·· ·· ·· �U
�U33,U
,U22��FF2 �U
�U22,U
,U11��FF1,,,∗
r+1,U
�U
r
2
of C[Gi ] such that C[Gi ] = �UUr+1
every
property
(U1,U1 r+1 ) of F
∈�i U . For
U
,...,U
r
2
U2,...,Ur University Press do not share or copy
Property
of
Cambridge
with U1 in �1 and Ur+1 in �r+1 ,
r
r
where the
the sum
sumпроизводится
is over
over all
all (U
(U22,,по
,Urr )) in
in
�)ii.∈
. ∏r Ω .
where
is
.. .. ..всем
,U
�
где суммирование
(U
, …,
i=2U
i+1
i
2
i=2
r
i=2
i
◦···◦Fi Fι r ◦…
◦F
i ι . Кроме by
ProofProperty
By definition,
definition,
�Ur+1
,Uii��University
T=FFπ
Furthermore,
rr ◦···◦F
Доказательство.
По of
определению,
, U=
⟩π
r+1Ti Ui .. Furthermore,
того, по
r+1,U
U…r+1
F⟨U
◦···◦F
Proof
By
�U
by
U
Ui
F
r+1 ii =
i Fπ
◦
◦FiT doUnot ιshare
Ui copy
Cambridge
or
rr ◦···◦F
r+1
rPress
the
definition
of
�
,
the
map
π
is
the
identity.
Hence,
определению
Ω
,
отображение
∑
π
тождественно.
Отсюда
i+1, the map U∈ΩU ∈�i+1
U is the identity. Hence,
the definition
i+1 of �i+1
U πU
Ui+1
∈�i+1
,Uii��FFr◦···◦F
=
�Ur+1
,Ui+1
�Ui+1
,Uii��FFi...
�Ur+1
r+1,U
r+1,U
i+1��F
i+1,U
◦···◦Fi =
Fr ◦···◦F
◦···◦Fi+1 �U
�U
�U
r
r
i
i
i+1
Ui+1∈�
∈�i+1
U
i+1
i+1
The result
result follows
follows by
by repeatedly
repeatedly applying
applying this
this equality
equality for
for ii =
= 1,
1, .. .. .. ,r
,r −
− 1.
1.
The
Результат
получается
повторным применением
этого
равенства
для
i = 1, …, rSince
−
1.
□
Since knowing
knowing the
the approximation
approximation map
map of
of aa property
property is
is equivalent
equivalent to
to
knowing all
all of
of its
its evaluations,
evaluations, Theorem
Theorem 11.12
11.12 provides
provides aa way
way to
to glue
glue together
together
knowing
properties
of
F
,
.
.
.
,F
.
In
practice,
the
sum
over
all
trails
is
approximated
by
properties of F11, . . . ,Frr . In practice, the sum over all trails is approximated by
summing over a small set of dominant trails.
160
Геометрический подход
Поскольку знание отображения аппроксимации некоторого свойства эквивалентно знанию всех результатов его вычисления, теорема 11.12 дает способ
склеить свойства F1, …, Fr. На практике суммирование по всем следам аппроксимируется суммированием по небольшому множеству доминирующих следов.
11.5. Историческая справка
Отправной точкой геометрического подхода стала идея о том, что корреляционные матрицы представляют линейные отображения. Если отнестись к этой
точке зрения всерьез, то важно понимать, на каких векторных пространствах
эти отображения действуют. Первым применением этого подхода стал анализ
инвариантов в работе Бейна (2018). Линейный криптоанализ и его обобщения
обсуждались в работе Бейна (2021).
Случай линейного криптоанализа служит введением в геометрический подход вообще. Он важен для понимания других криптоаналитических методов,
таких как дифференциальный и интегральный криптоанализы, и связей между ними (Бейн, 2023).
11.6. Литература
Beyne, Tim (Dec. 2018). «Block Cipher Invariants as Eigenvectors of Correlation Matrices». In: ASIACRYPT 2018, Part I. Ed. by Thomas Peyrin and Steven Galbraith.
“9781009607865book”
— 2025/12/2
— doi:
14:12
— page 164 — #176
Vol. 11272.
LNCS. Springer, Cham,
pp. 3–31.
10.1007/978-3-030-03326-2_1.
Beyne, Tim (Dec. 2021). «A Geometric Approach to Linear Cryptanalysis». In: ASIACRYPT 2021, Part I. Ed. by Mehdi Tibouchi and HuaxiongWang. Vol. 13090. LNCS.
Springer, Cham, pp. 36–66. doi: 10.1007/978-3-030-92062-3_2.
164
Geometric approach
Beyne, Tim (June 2023). «A Geometric Approach to Symmetric-key Cryptanalysis».
PhD thesis. KU Leuven.
11.7 Exercises
11.7. Упражнения
Exercise 11.1
Упражнение
11.1
Let G be a finite
Abelian group. A fixed point of a function F : G → G is an
Пусть G
– конечная
Неподвижной
функции
F :A
G is
→ G наelement
x of Gабелева
such thatгруппа.
F(x) = x.
Recall that the точкой
trace Tr A
of a matrix
зывается
элемент
x ∈ G, такой
что
F(x)that
= x.
следомofTrfixed
A матриthe sum
of its diagonal
entries.
Prove
TrНапомним,
C F is equal toчто
the number
цы A называется
points of F. сумма элементов на ее главной диагонали. Докажите, что
Tr C F равен количеству неподвижных точек F.
Exercise 11.2
Упражнение 11.2
Let F : G → H be a function. A pair of inputs (x,y) is called a collision for F
Пусть F : G → H – некоторая функция. Пара входов (x, y) называется коллизией
if F(x)F(x)
= F(y).
Prove
the following
formulaформулу
for the probability
that a uniform
для F, если
= F(y).
Докажите
следующую
для вероятности
того, что
random
pair of inputs
is a collision:
случайная
равномерно
распределенная
пара входов является коллизией:
C F 2..
|H | Pr F(x) = F(y) =
χ,1
x,y
χ ∈H
In the above, x and y are uniform random variables on G and C F is the
correlation matrix of F.
Exercise 11.3
if random
F(x) = pair
F(y).ofProve
inputsthe
is following
a collision:formula for the probability that a uniform
if
F(x) =pair
F(y).
Prove is
thea following
the probability that a uniform
random
of inputs
collision: formula for
F 2
random pair of inputs|H
is |a Pr
collision:
F(x) = F(y)
= Cχ,1
.
C F 2 .
|H | Prx,y
F(x) = F(y) =
χ,1
χ ∈ H F 2
11.7.
Упражнения 161
|H | x,y
Pr F(x) = F(y) = χ ∈ H Cχ,1
.
x,y
χ ∈H
In the above, x and y are uniform random
variables on G and C F is the
В формуле
выше
x
и
y
–
случайные
равномерно
величины
Incorrelation
the above,matrix
x andofyF.are uniform random variablesраспределенные
on G and C F is the
F
F is the
на G,In
а
C
–
корреляционная
матрица
F.
the
above,
x
and
y
are
uniform
random
variables
on
G
and
C
correlation matrix of F.
correlation matrix of F.
Exercise 11.3
Упражнение 11.3
Exercise 11.3
Exercise
11.3
Let–Fконечное
field порядка
of order
qq,and
a polynomial
over
2
q be a finiteполе
q of degree
ПустьLet
𝔽
а f f– полином
над
𝔽q F
степени
dd≥d≥
2,≥2взаимно
qF be a finite field of order q and f a polynomial over F
q
q of degree
coprime
to
q.
One
of
the
consequences
of
the
Riemann
hypothesis
for
curves
простой
из следствий
Риманаover
для Fкривых
надd конечными
Let
Fсq q.beОдним
finite
of order
q гипотезы
and f aofpolynomial
≥2
q of degree
coprime
toa q.
Onefield
the
consequences
the Riemann
hypothesis
for curves
over
finite
fields
isofthe
following
exponential
sum estimate:
полями
является
следующая
оценка
экспоненциальной
суммы:
coprime
to
q.
One
of
the
consequences
of
the
Riemann
hypothesis
for
curves
over finite fields is the
following
estimate:
exponentialsum
estimate:√
over finite fields is the
following
exponential
sum
2πi
Tr
f
(x)
exp 2πi Tr f (x) ≤ (d − 1)
q ..
p ≤ (d − 1) √q .
x∈Fexp
2πi
Tr
f
(x)
√
q
p
x∈F exp
≤ (d − 1) q .
q
p
x∈Fq as Weil’s
result is называется
known
bound. Вейля.
ЭтотThis
результат
границей
This result is known as Weil’s bound.
1. result
LetFF is
:: F
�→𝔽Fqas
the cube
function
definedопределенная
by F(x) = x 3 . Prove
that = x3. До1. This
Пусть
𝔽known
кубическая
функция,
как F(x)
qq ↦
q–be
Weil’s
bound.
3 . Prove that
1.кажите,
Let F : Fчто
defined
by
F(x)
=
x
q �→ Fq be the cube function
F
√ by F(x) = x 3 . Prove that
1. Let F : Fq �→ Fq be the cube function
C defined
q
√
χ,ψ ≤ 2/
F
≤ 2/ q
Cχ,ψ
√
C F ≤ 2/ q
χ,ψ
for all nontrivial characters χ
and assuming that q is not a power of three.
forлюбого
all nontrivial
characters χ and
assumingχthat
q is not a power ofчто
three.
для
нетривиального
характера
в предположении,
q не яв2.forSuppose
that q characters
≡ 2 (modχ3).
Let
G : Fq �→
Fqq be
the function
defined
all степенью
nontrivial
and
assuming
that
is not
a power of
three. by
ляется
тройки.
2. Suppose
3).that
Let ifGk: F
Fqq be
the function
G(x) =that
(x 3q+≡k)21/3(mod
. Prove
�=q 0�→
and
is odd,
then defined by
3 +q k)
2. Suppose
that
≡1/3
2 . (mod
3).
Let
G�=
: F0q and
�→ F
thethen
function defined by
qisbe
G(x)
=
(x
Prove
that
if
k
q
odd,
2. Предположим,
что
q
≡
2
(mod
3).
Пусть
G
:
𝔽
↦
𝔽
– функция,
определен“9781009607865book”
— 2025/12/2
14:12q — page
165 — #177
G —√
q
3 + k)1/3 . Prove
G(x)
=
(x
that
if
k
=
�
0
and
q
is
odd,
then
3
1/3— 2025/12/2
C
≤
2/
q
“9781009607865book”
—
14:12
—
page
165
—
#177
ная как G(x) = (x + k) . Докажите,
что√если k ≠ 0 и q нечетно, то
G χ,ψ
Cχ,ψ
≤ 2/ q
C G ≤ 2/√q
for all nontrivial characters χ χ,ψ
.
for all nontrivial characters χ.
3.
What
goes
wrong
in
the
second
question when
even?
11.7
Exercises
165
forлюбого
all nontrivial
characters χ
. характера
нетривиального
χ. q qis is
3.для
What goes wrong
in the second
question
when
even?
11.7 Exercises
165
What goes
wrong inвопросе
the second
question when
q is even?
3. 3.Почему
во втором
возникает
проблема,
если q четно?
Property of Cambridge University
Press do not share or copy
Exercise 11.4
Property11.4
of Cambridge University
Press do not share or copy
Упражнение
Exercise 11.4
Property
University
Press
do not X
share
or, copy
H of
beCambridge
finiteабелевы
Abelian
groups
with
subgroups
andXY
Пусть Let
G иGH and
– конечные
группы
с подгруппами
и respectively,
Y соответственLet
G
and
H
be
finite
Abelian
groups
with
subgroups
X
and
Y
,
in Section
11.2.2.
Let F
F :: G
Hнекоторая
be a function
andrespectively,
consider
the
но, какlike
в разделе
11.2.2.
Пусть
G →→H –
функция,
и рассмотрим
like
in Section 11.2.2. Let F : G → H be a function and consider the
probabilities
вероятности
probabilities
Pr
F(x) ≡ h mod Y ,,
Pr xF(x) ≡ h mod Y ,
x
x uniform random
on the coset
g + X. By Theorem
10.18,
где x with
– случайная
равномерно
распределенная
величина
на these
смежном
with
x
uniform
random
on
the
coset
g
+
X.
By
Theorem
10.18,
these
F
be expressed
as linear
combinations ofможно
the correlations
Cχ,ψ
классеprobabilities
g + X. Поcan
теореме
10.18,
эти вероятности
выразить
в виде
F
probabilities
can
be
expressed
as
linear
Fcombinations1 of the 1correlations C
1
1
χ,ψ
линейных
комбинаций
корреляций
C χ,ψ, где ψ ∈ X , χ ∈ Y .
with ψ
in X and χ in
Y .
with ψ in X 1 and χ in Y 1 .
1. Докажите
неравенство
для random
случайной
x, равно1. Prove theследующее
following equality
for x uniform
on g +величины
X:
1.мерно
Prove распределенной
the following equality
for
x
uniform
random
on
g
+
X:
на g + X:
|Y |
F
Pr
F(x) ≡ h mod Y =|Y | χ (h) ψ(g) FCχ,ψ .
x
Pr F(x) ≡ h mod Y = |H |
χ1 (h) ψ(g) Cχ,ψ .
x
|H | ψ∈X
1 1
ψ∈X
χ∈Y
χ ∈Y 1
Avoid lengthy calculations like those in the proof of Theorem 6.3.
Avoid lengthy calculations
like those in the
ofчто
Theorem
Избегайте
вычислений
тех,
встретились
F proof
1 6.3.
1в дока2. Prove theгромоздких
inverse relationship:
Write Cтипа
χ,ψ (with ψ in 1X and χ in 1Y ) as
F
зательстве
теоремы
6.3.
2. Prove
the combination
inverse relationship:
Write Cχ,ψ for
(with
ψ in Xg +
and
in hY +) Yas.
a linear
of the probabilities
all cosets
X χand
a linear combination of the probabilities for all cosets g + X and h + Y .
Exercise 11.5
Exercise 11.5
Give a function F : G → G such that T F is not diagonalizable.
ψ∈X1
χ ∈Y 1
Avoid lengthy calculations like those in the proof of Theorem 6.3.
Геометрический
F
2. Prove
the inverseподход
relationship: Write Cχ,ψ
(with ψ in X1 and χ in Y 1 ) as
a linear combination of the probabilities for all cosets g + X and h + Y .
2. Докажите обратное соотношение: запишите C Fχ,ψ (где ψ ∈ X1, χ ∈ Y1) в виде
линейной комбинации вероятностей для всех смежных классов g + X и
Exercise 11.5
h+Y.
162
Give a function F : G → G such that T F is not diagonalizable.
Упражнение 11.5
Приведите пример функции F : G →Exercise
G, такой11.6
что T F не допускает диагонализации.
�
Let G be a finite Abelian group and F : G → G a permutation. Suppose that
* Упражнение
11.6
F has � disjoint cycles of lengths l1, . . . ,l� , with cycle i consisting of values
Пусть (x
G i,1
– ,x
конечная
абелева группа, а F : G → G – перестановка. Предположим,
i,2, . . . ,xi,li ).
что F имеет ℓ непересекающихся циклов
длин l1, …, lℓ, где i-й цикл содержит
1. What are the eigenvalues of T F ?
значения (xi,1, xi,2, …, xi,l ).
i
F
F
2. равны
Give the
corresponding
eigenvectors
1. Чему
собственные
значения
TF?of T and C .
F
2. Выпишите
соответствующие
векторы
и CF.
3. Describe
a permutation F :собственные
F1337
→ F1337
withoutT nontrivial
invariant
2
2
1337
1337
3. Опишите
перестановку F : 𝔽 2 → 𝔽 2 , не имеющую нетривиальных
subspaces.
инвариантных подпространств.
“9781009607865book”
Упражнение
11.7
Exercise 11.7
— 2025/12/2 — 14:12 — page 166 — #178
“9781009607865book”
—→
2025/12/2
— 14:12
— page and
166let—F :#178
Let: PG1 →
: GX→
Y be balanced
“projections,”
2: H
Пусть P
иX
P2and
: HP
→Y
– сбалансированные
«проекции»,
а F :GG→
→HH – не1
be
a
function.
Note
that
P
induces
a
partition
of
G
as
follows:
1
которая функция. Заметим, что P1 индуцирует следующее разбиение G:
−1
G=
P
166
Geometric
approach
1 (x)..
x
∈X
166
Geometric approach
y ◦ P for x in X and y in Y .
In the
δP−1и(x)v =and
v=
Далее
мыfollowing,
полагаемletu u= =
δP−1
δy ◦
P2δдля
x2∈ X и y ∈ Y.
1
1 (x)
1. Prove the following equality:
1. 1.Докажите
равенство:
Prove the следующее
following
equality:
v T F uF = |{z ∈ G | P1 (z) = x ∧ P2 (F(z)) = y}|
u) = |{z ∈University
G | P (z) = Press
x ∧ P (F(z))
y}|
Property ofv(T
Cambridge
do not= share
or copy
v T F u = |{z ∈ G | P11(z) = x ∧ P2 2 (F(z)) = y}|
forлюбых
all x in xX∈and
для
X, yall∈yY.in Y .
for
all
x
in
X
and
y in Y . of the approximation map of (Span{u},
2. Deduce that the all
coordinates
2. Выведите отсюда, что координаты отображения аппроксимации
2. Span{v})
Deduce that
the to
coordinates
the are
approximation
map of (Span{u},
relative
normalizedofbases
given by
(Span{u}, Span{v})
в нормированных
базисах
имеют вид
Span{v}) relative to normalized bases are given by
Pr[P2 (F(z)) = y | P1 (z) = x],,
z
Pr[P2 (F(z)) = y | P1 (z) = x],
where
the probability
isz over a uniform
random z. равномерно распредегде
вероятность
вычисляется
для случайной
n
where
the
probability
is
over
a
uniform
величины
3.ленной
Suppose
that G = z.
F2 , X = Y = F2 , random
P1 (x) =z. u x and P2 (x) = v x.
n
Suppose
=a permutation,
F
,, P
(x)
ux иxPand
P
v x.
Show
thatthat
if FGis
then
exist
so
matrix
Tthe=
3. 3.Предположим,
что
G2 =, X
𝔽2n ,=X Y= Y=
=F𝔽22there
P11(x)
==uTbases
(x)that
=2v(x)
x. Покажите,
что
2
Show
that if Fofis �V
a permutation,
thenтоthere
exist basesтакие
so thatбазисы,
the matrix
representation
,U �F is
если
F является
перестановкой,
существуют
что мат
representation
of �V ,U �F⟨V,
is U⟩ имеет вид
ричное
представление
F 1
0 ,
01 c0 ,
,
0 c
where c is the correlation of the linear approximation (u,v). What are the
where
c iscorrelations
the correlation
of the
approximation
Whatравны
are theглавprincipal
of (U,V
)? linear
где
c – корреляция
линейной
аппроксимации
(u,(u,v).
v). Чему
principal
correlations
of (U,V )?
ные
корреляции
(U, V)?
Exercise 11.8
Exercise 11.8
Let (U,V ) be a multiple linear property of F : G → G that contains the trivial
Let (U,V
) be a multiple
property
F : G →norm
G that� contains
trivial
matrix
is
linear
approximation.
Thelinear
square
of the of
Frobenius
· �2fr of a the
linear
approximation.
of the
Frobenius norm � · �2fr of a matrix is
the
sum
of the squares The
of itssquare
singular
values.
the
sum ofthat
the ��V
squares
1. Prove
,U � of�2its−singular
1 is thevalues.
capacity of the multiple linear approxiF fr
2
11.7. Упражнения 163
Упражнение 11.8
Пусть (U, V) – множественное линейное свойство функции F : G → G, содержащее тривиальную линейную аппроксимацию. Квадрат нормы Фробениуса
‖ · ‖2fr матрицы равен сумме квадратов ее сингулярных значений.
1. Докажите, что величина ‖⟨V, U⟩F‖2fr − 1 равна емкости множественной линейной аппроксимации.
2. Воспользовавшись тем фактом, что норма Фробениуса не изменяется
при унитарном преобразовании базиса, покажите, что ‖⟨V, U⟩F‖2fr − 1 равна квадратичному евклидову расхождению.
Упражнение 11.9
Коалгеброй над ℂ называется векторное пространство V с операцией копроизведения Δ: V → V ⊗V, которая удовлетворяет нескольким аксиомам. Например,
ℂ[G] является коалгеброй с копроизведением
Δ(δx) = δ(x,x).
(11.1)
Следующие далее вопросы относятся к отображению Δ: ℂ[G] → ℂ[G2], определенному формулой (11.1). Обозначим id тождественную функцию на ℂ[G].
1. Докажите, что Δ коассоциативно: (id ⊗ Δ) ◦ Δ = (Δ ⊗ id) ◦ Δ.
2. Покажите, что существует коединица ϵ : ℂ[G] → ℂ, для которой (id ⊗ ϵ) ◦
Δ = id и (ϵ ⊗ id) ◦ Δ = id.
3. Морфизмом коалгебр называется линейное отображение T : ℂ[G] → ℂ[H],
удовлетворяющее условию ΔH ◦ T = (T ⊗ T) ◦ ΔG, где ΔG – копроизведение
на ℂ[G], а ΔH – копроизведение на ℂ[H]. Докажите, что для любого морфизма коалгебр T : ℂ[G] → ℂ[H] существует функция F: G → H такая, что
T = T F.
Структура коалгебры на ℂ[G] играет важную роль в геометрическом подходе
к криптоанализу вообще.
Appendix A Normal distribution
Appendix A Normal distribution
Приложение A.
Нормальное распределение
appendix collects
some import
facts about
the normal
distribution.
These results
В этомThis
приложении
собраны
некоторые
важные
факты,
касающиеся
нормальThis
appendix
collects
import
about in
theChapters
normal 4,
distribution.
results в глаare used
throughout
thissome
book,
and infacts
particular
and 7. These
ного распределения.
Эти
результаты
используются
в6 книге,
особенно
are used throughout this book, and in particular in Chapters 4, 6 and 7.
вах 4, 6
и 7.
A.1 нормальное
Univariate normal
distribution
A.1. Одномерное
распределение
A.1 Univariate normal distribution
Нормальные
распределения
– это
семейство
непрерывных
распределений
веNormal distributions
are a family
of continuous
probability
distributions.
The standard
Normal
distributionsisare
family of continuous
probability
The standard
роятностей.
нормальное
распределение
имеет функцию
плотности
normal Стандартное
distribution
thea distribution
with
density
functiondistributions.
normal distribution is the distribution with density function
1 2
1
ϕ(x) = √1 e−12 x2 ..
−
2π
2
ϕ(x) = √
e x .
2π
This probability density function is illustrated in Figure A.1.
График
этой
функции
показан
на рис.
A.1.
ThisThe
probability
density
functionfunction
is illustrated
Figure A.1.
cumulative
distribution
of theinstandard
normal distribution is denoted
Функция
распределения
стандартного
нормального
обознаThe
cumulative
distribution
function
of
the
standard normal распределения
distribution is denoted
by �. By definition, it is equal to
чаетсяbyбуквой
Φ. По определению,
она
вид
имеет
�. By definition,
it is equal to
x
�(x) = x ϕ(z) dz.
�(x) = −∞ ϕ(z) dz..
−∞
�(x)
�(x)
x −1
1
0
x −1
1
0
x −1
1
0
Рис. A.1. Функция плотности вероятности стандартного нормального распределения
Figure A.1 Probability density function of the standard normal distribution.
Figure A.1
Probabilityчто
density
functionстандартного
of the standard normal
distribution. распредеИз симметрии
ϕ следует,
среднее
нормального
ления равно нулю. С помощью интегрирования
по частям можно показать, что
168
168 Press do not share or copy
дисперсия Property
равна 1. of Cambridge University
Property of Cambridge University Press do not share or copy
Другие нормальные распределения получаются из стандартного путем масштабирования и сдвига. Если x – случайная величина со стандартным нормальным распределением, то функция распределения σx + μ переводит x в
zero. Using integration by parts, it can be shown that the variance is equal to one.
The other
normal
distributions
thestandard
standardnormal
normal
distribution
It follows
follows
from
the symmetry
symmetry
of ϕ
ϕ are
thatobtained
the mean
meanfrom
of the
the
distribution
is
It
from
the
of
that
the
of
standard normal
distribution
is
by
scaling
and
translation.
If
x
is
random
variable
following
the
standard
normal
zero.
Using
integration
by
parts,
it
can
be
shown
that
the
variance
is
equal
to
one.
zero. Using integration
by parts, itdistribution
can be shown
that theofvariance
isisequal
to one. that
distribution,
the cumulative
function
σx + μ
the function
The other
otherthen
normal
distributions
are obtained
obtained
from
the standard
standard
normal
distribution
Приложение
A.from
Нормальное
распределение
165
The
normal
distributions
are
the
normal
distribution
maps
x to and translation. If x is random variable following the standard
by
scaling
normal
by scaling and translation. If x is random
following the standard normal
x − μvariable
distribution, then
then the
the cumulative
cumulative distribution
distribution
function
of σσ xx +
+μ
μ is
is the
the function
function that
that
distribution,
function
of
..
�
maps
x
to
σ
maps x to
x − μ
Equivalently,
densityсказать,
function of
σ�x функция
+
to
xμ
− maps
μ . xплотности
Эквивалентноthe
можно
что
σx + μ переводит x в
.
�
σ
σ1 x−μ 2
1
σ x..to
e−μ2 maps
Equivalently, the
the density
density function
function√
of σσ xx +
+
Equivalently,
of
2π σ μ maps x to
1 x−μ 22
1
−each
12 x−μ
1
The
mean
and
variance
uniquely
determine
of the normal family. Hence,
σmember
e
√
−
Среднее и дисперсия однозначно
e 2 σ
.. каждый член семейства нор√ 2π σопределяют
it is reasonable to denote the normal
distribution with mean μ and variance σ 2 by
2π
σ
мальных распределений.
Поэтому разумно обозначить нормальное распреде2 ).
N
(μ,σ
The
mean
and variance
variance
uniquely determine
determine
each
member of
of the
the normal
normal family.
family. Hence,
Hence,
ление The
со The
средним
μ
и
дисперсией
σ2 𝒩(μ,each
σ2).member
mean
and
uniquely
2 the
normal distribution
is normal
of singular
importance
due
itsμ connection
with
by преit
is
reasonable
to
denote
the
distribution
with
mean
and
variance
Особая
важность
распределения
связана
следующей
it is reasonable
toнормального
denote the normal
distribution with mean
μ andсоvariance
σσ 2 by
2
following
limit
theorem.
N
(μ,σ
).
2
N (μ,σ
).
дельной
теоремой.
a sequence
of independent
Theorem
A.1 (Central
limit theorem)
Let importance
x1,x2, . . . bedue
The normal
normal
distribution
is of
of singular
singular
its connection
connection
with the
the
The
distribution
is
importance
its
with
2 . due
random
variables
on
R
with
mean
μ
and
variance
σ
In
the
limit
as
n
→
∞,
the
following
limit
theorem.
Теорема
A.1
(центральная
предельная
теорема).
Пусть
x
,
x
,
…
–
последова√
1
2
following limit
theorem.
n
2 ).
n converges
to Let
N (μ,σ
distribution
of (Central
тельность
независимых
величин
на
ℝ
со
средним
μof иindependent
дисперсией σ2.
i=1 xi /случайных
,x
,
.
.
.
be
a
sequence
Theorem
A.1
limit
theorem)
x
1
2
Theorem A.1 (Central limit theorem)n Let x1,x2, . . .2 be a sequence2 of independent
One
of Theorem
A.1сходится
is the
approximation
to the
In кthe
the
limitσas
as).n
n →
→ ∞,
∞,
random
variables
on R
R with
with mean
mean
μ
and
variance
σ 2 .normal
В пределе
приof
n the
→
∞consequences
распределение
∑ i=1
xi /√n
𝒩(μ,
√
limit
the
random
variables
μ
and
variance
2 ). σ . In with
nn on xSpecifically,
√
binomial
distribution.
the
binomial
distribution
n
trials
of
probability
distribution
of
/
n
converges
to
N
(μ,σ
2
i
i=1
distribution
of
x
/
n
converges
to
N
(μ,σ
).
i
Одно
следствий
A.1 –−нормальная
аппроксимация биномиальi=1теоремы
p isиз
well
approximated
by N np,np(1
p) A.1
for is
large
One
of
the consequences
consequences
of Theorem
Theorem
then.normal
normal approximation
approximation to
to the
the
One
of
the
of
A.1 is
the
ного распределения.
Точнее, биномиальное
распределение
с n испытаниями
binomial
distribution.
Specifically,
the
binomial
distribution
with
n
trials
of
probability
binomial distribution.
the binomial
distribution
with n trials of probability
и вероятностью
успеха Specifically,
p при больших
n хорошо
аппроксимируется
распредеp is
is well
well approximated
approximated by
by N
N np,np(1
np,np(1 −
− p)
p) for
for large
large n.
n.
p
лением 𝒩(np, np(1 − p)).
A.2 Multivariate normal distribution
ногомерное
нормальное
A.2.The
Мstandard
multivariate normal
distribution is распределение
the probability distribution of a vector
A.2
Multivariate
normal
distribution
A.2
Multivariate
normal
distribution
of
d
independent
standard
normal
distributions.
Consequently,
its densityназывается
is given by
Стандартным многомерным нормальным распределением
рас-
The standard
standard
multivariate normal
normal
distribution
is the probability
distribution of
ofстандартных
vector
пределение
вероятностей
вектора,
состоящего
из d независимых
d
The
multivariate
distribution
aa vector
1 2 is the 1probability
1
2
1distribution
−
x
−
�x�
of
d
independent
standard
normal
distributions.
Consequently,
its
density
is
given
by
i
2
2
2
= Consequently,
e
ϕ(x) =normal
e
√ distributions.
нормальных
распределений.
Следовательно,
его плотность
равна
of d independent
standard
its ,density
is given by
2π
(2π )d
1 2
1
1
− 12 xi2 = 1
− 1 �x�2
ϕ(x) =
=
√1 ee−
d . ee− 122 �x�22 ,,,
2 xi =x
with (x1, . . . ,xd ) theϕ(x)
coordinates√of
the
vector
in
R
d
2π
(2π ))d
i=1 2π
(2π
Other multivariate normal
from the standard one by
i=1 distributions are obtained
transformations.
Specifically,
if
xℝvector
is
d a randomdvariable following the standard
with
(x
,
.
.
.
,x
)
the
coordinates
of
the
x
in
R
.
где (x1,affine
…,
x
)
–
элементы
вектора
x
∈
.
d.
with (xd 11, . . .normal
,xdd ) thedistribution,
coordinatesthen
of the
x in Rdensity
multivariate
thevector
probability
function
of Ax + μone
is the
Other
multivariate
normal
distributions
are obtained
obtained from
from
the standard
standard
by
Другие
многомерные
нормальные
распределения
получаются
из
Other
multivariate
normal
distributions
are
the
oneстандартby
function
that
maps
x
to
affine
transformations.
Specifically,
if
x
is
a
random
variable
following
the
standard
transformations.
Specifically,
if x is a random
variable following
theслучайная
standard
ного сaffine
помощью
аффинных
преобразований.
А именно
если x –
веmultivariate normal
normal distribution,
distribution,
then1the
the probability
probability
density
function of
of Ax
Ax +
+μ
μ is
is the
the
1
2 function
−1 (x−μ)�
1 then
multivariate
density
−
�A
личина
со
стандартным
многомерным
нормальным
распределением,
то
функ2
2
e
,
function that
that maps
maps xx to
to | det A|
function
)d
ция плотности
вероятности
Ax—+ 2025/12/2
μ(2π
переводит
x в — page 170 — #182
“9781009607865book”
— 14:12
−1 (x−μ)�2
1
1
− 112 �A−1
2,
1 d ×d
e−
�A (x−μ)�
with μ a vector in Rd and A| det
an1 invertible
matrix.
The factor
| det A| is the Jacobian
2,,
2
e
d
A|
(2π
)
d + μ. The vector μ is the mean of Ax + μ.
| det A| x (2π
determinant of the transformation
�→ )Ax
The
matrix
of Ax
μ is equald ×d
to matrix. The factor | det A| is the Jacobian
withcovariance
μ aa vector
vector din
in
Rdd and
and
A an
an+invertible
invertible
μ
A
d ×d matrix.
The factord×d.
| detМножитель
A| is the Jacobian
где μ –with
вектор
в ℝ , аRA
– обратимая
матрица
размера
|det A| –
170
Normal
distribution
determinant of
of the
the transformation
transformation xx �→
�→ Ax
Ax +
+ μ.
μ. The
The vector
vector μ
μ is
is the
the mean
mean of
of Ax
Ax +
+ μ.
μ.
determinant
это якобиан
преобразования
x
↦
Ax
+
μ.
Вектор
μ
является
средним
распредеThe covariance
covariance matrix
matrix of
of Ax
Ax +
+μ
μ is
is equal
equal to
to
The
i=1
d
d
ления Ax +Property
μ. Ковариационная
матрица
AxPress
+ μ равна
of Cambridge
University
do not share or copy
� = E (Ax)(Ax) = A E x x A = AA . .
x
Property of
of Cambridge
Cambridge
Universityx Press
Press do
do not
not share
share or
or copy
copy
Property
University
The mean μ and the covariance matrix � uniquely identify every member of the
Среднее μ и ковариационная матрица Σ однозначно определяют каждый
multivariate normal family. The multivariate normal distribution with mean μ and
член семейства
многомерных нормальных распределений. Многомерное норcovariance matrix � is denoted by N (μ,�). Its probability density function maps x
мальное
распределение
со средним μ и ковариационной матрицей Σ обозначаd
in R to
ется 𝒩(μ, Σ). Его функция плотности
переводит x ∈ ℝd в
−1
1
1
1 распределения
e− 2 (x−μ) � (x−μ) .
√
| det �| (2π )d
If x is a random variable with distribution N (μ,�), then for all vectors v in Rd ,
the distribution of v x is the univariate normal distribution N (v μ,v � v). The mean
� = E (Ax)(Ax) = A E x x A = AA .
x
x
�
=
E
(Ax)(Ax)
=
A
E x x A identify
= AA every
.
The mean μ and the covariance
matrix � uniquely
member of the
x
x
multivariate normal family. The multivariate normal distribution with mean μ and
The Приложение
mean μ and A.
the covariance matrix
� uniquely identify every member of the
166
covariance
matrix � Нормальное
is denoted by распределение
N (μ,�). Its probability density function maps x
multivariate
normal family. The multivariate normal distribution with mean μ and
d
in R to
covariance matrix � is denoted
by N
Its probability
density function maps x
−1
1
1
1 (μ,�).
e− 2 (x−μ) � (x−μ)..
√
in Rd to
d
| det
1 �| (2π
1 ) − 1 (x−μ) � −1 (x−μ)
e 2
.
√
| det with
�| distribution
is a random variable
N (μ,�), then
forΣ),
all то
vectors v in Rd ,
(2π
)d
Если xIf–xслучайная
величина
с
распределением
𝒩(μ,
для любого векunivariate
normal
distribution Nнормальным
(v μ,v � v). The mean
distribution
of v x is the
d
тора v the
∈ℝ
vTx
является
одномерным
If xраспределение
is a random variable
with
distribution
N (μ,�), then for all vectors vраспределеin Rd ,
follows
byT linearity of expectation, and the variance from
T
нием 𝒩(v
μ, v Σv). Среднее
получается
из
линейности
математического
ожидаthe distribution
of v x is the
univariate normal
distribution
N
(v
μ,v
�
v).
The
mean
variance from
byVlinearity
ния, а follows
дисперсия
по2and
формуле
v вычисляется
x = Eof vexpectation,
(x − μ)
= vthe E
(x − μ) (x − μ) v = v � v.
x
x
x
2
x = Eofvthe(xcentral
− μ) limit
= vtheorem
E (x −for
μ)multivariate
(x − μ) vdistributions.
= v � v..
There isVavvariant
x
x
x
. . be a sequence
of independent
Theorem
(Central
theorem)
Let x1,xfor
2, .multivariate
There isA.2
a variant
of limit
the central
limit theorem
distributions.
Существует
вариант
теоремы
дляasмногомерных
random variables
on
Rdцентральной
with√mean μ and предельной
covariance matrix
�. In the limit
n → ∞,
Theorem A.2 (Central limit theorem) Let x1,x2, . . . be a sequence of independent
распределений.
the distribution of ni=1
x
/
n
converges
to
N
(μ,�).
d i
random variables on
R with√mean μ and covariance matrix �. In the limit as n → ∞,
Теорема
A.2 (центральная
n converges toтеорема).
N (μ,�). Пусть x1, x2, … – последоваthe distribution
of ni=1 xi / предельная
тельность независимых случайных величин на ℝd со средним μ и ковариационной
матрицей Σ. В пределе при n → ∞ распределение ∑ni=1 xi /√n сходится к 𝒩(μ, Σ).
Property of Cambridge University Press do not share or copy
Property of Cambridge University Press do not share or copy
Appendix B Statistical formulary
Appendix B Statistical formulary
Приложение B.
Appendix B Statistical formulary
Краткий справочник по статистике
Формулы в табл. B.1 опираются на несколько аппроксимаций, которые переThe formulas in Table B.1 rely on several approximations. These are listed in Table B.2.
численыThe
в табл.
B.2.specific
Приведенные
нижеtoзамечания
following
comments apply
Table B.1: относятся к табл. B.1.
The formulas in Table B.1 rely on several approximations. These are listed in Table B.2.
The following
specific comments apply
Table B.1:без возвращения поделить аргуОдиночные
аппроксимации.
Для toвыборки
Single√
approximations. For sampling
without replacement, divide the argument of �
n (см.
The
Table
B.1
rely
on 4.3,
several
approximations.
These
arethe
listed
in Table
1 −inq/2
(see
Section
page
61).66).
by
мент
Φformulas
на
раздел
4.3,
стр.
Single
approximations.
For
sampling
without
replacement,
divide
argument
ofB.2.
�
√
The
following
specific
comments
apply
to Table B.1:
n
approximations.
If page
the
correlations
are known up to sign, replace Cap(�)
1 − q/2
(see Section
4.3,
61).
byMultiple
Множественные
аппроксимации.
Еслиareкорреляции
известны
с точностью
by approximations.
(see Section
6.1.2,Ifpage
80)
Multiple
correlations
known up to
sign,
replace
Cap(�)
Single√approximations.
For the
sampling
without
divide
the
argument
of �
replacement,
до знака,
то
заменить
Cap(Λ)
на
(см.
раздел
6.1.2,
стр.
83)
by (see Sectionn6.1.2, page 80)
by 1 − q/2 (see Section 4.3, page
|�|
61).
Multiple approximations. If the correlations
up to sign, replace Cap(�)
are
ci4known
.
|�|
by (see Section 6.1.2, page 80)
4
ci=1
.
.
i
i=1
|�|
Multidimensional approximations.
If
the
correlations are unknown and � = �in ⊕
ci4plaintexts
.
|�| by |�out | when
chosen
available
(see
6.2.3,
�out , replaceapproximations.
Multidimensional
If the
correlations
areare
unknown
and
� Section
= �in ⊕
Многомерные
аппроксимации.
Если
корреляции
неизвестны
и replace
Λ6.2.3,
= Λin |�|
⊕ Λout,
i=1
page
85).
For
multidimensional
zero-correlation
linear
approximations,
�out , replace |�| by |�out | when chosen plaintexts are
available
(see Section
2на
|
|�
|
(see
Section
8.4,
page
116).
by
|�
то заменить
|Λ|
|Λ
|,
если
доступны
выбранные
открытые
тексты
(см.
разout
in multidimensional
page 85). For
zero-correlation
linear are
approximations,
out
Multidimensional
approximations.
If the correlations
unknown andreplace
� = �|�|
in ⊕
2 |� 88).
дел 6.2.3,
стр.
Для
многомерных
линейных
аппроксимаций
с
нулевой
|
|
(see
Section
8.4,
page
116).
by�|�
out|�| by
replace
|�out
| whenare
chosen
plaintexts are
(see Section
6.2.3,
If out
thein, correlations
or the
capacity
key-dependent,
useavailable
the following
formula:
корреляцией
заменить
|Λ| на |Λzero-correlation
|2 |Λ
| (см. раздел
8.4, стр. 117).
page
85).
For
multidimensional
linear
approximations,
replace
|�|
in
out
If the correlations
or the capacity are key-dependent, use the following formula:
fk PS (k),
page 116).
by |�in |2 |�out | (see Section 8.4,
Если корреляции или емкость зависят
k∈
fkKPSот
(k),ключа, то использовать следующую
If the correlations or the capacity are key-dependent, use the following formula:
формулу:
k∈K k. These frequencies are derived from the prior
with fk the frequency of key class
distribution
of
the
key.
Additional
of ,the key schedule
may
be required.
fk PSfrequencies
(k),
with fk the frequency of key class k. analysis
These
are derived
from
the prior The
above formula
canAdditional
be adaptedanalysis
to Ktakeofinto
account
model
errors,
as discussed
distribution
of the key.
the key
schedule
may
be required.
The in
k∈
Section
7.3.2
on be
page
102. to take into account model errors, as discussed in
above
formula
can
adapted
fk thek-го
frequency
of ключей.
key class k.Эти
These
frequencies
are derived
the prior расгде fk Section
–with
частота
класса
частоты
выводятся
изfrom
априорного
7.3.2 of
on the
page
102.
distribution
key.
Additional analysis of the key schedule may be required. The
пределения ключа. Может потребоваться дополнительный анализ развертки
above formula can be adapted to take into account model errors, as discussed in
ключа.Section
Приведенную
выше формулу можно модифицировать, так чтобы она
7.3.2 on page 102.
учитывала ошибки модели (см. обсуждение в разделе 7.3.2 на стр. 104).
171
Property of Cambridge University
Press do not share or copy
171
Property of Cambridge University Press do not share or copy
171
Property of Cambridge University Press do not share or copy
172
172
Known
Unknown
Known
Unknown
Table B.1. Basic statistical formulas for the success probability PS
Statisticalformulary
formulary
Statistical
TableB.1.
B.1. Basic
Basicstatistical
statisticalformulas
formulasfor
forthe
thesuccess
successprobability
probabilityPPSS
Table
√
Correlations
√
√
√
−1
−1
Single
−1
−1
Single
�
(P
�
� |c|
|c| qq +
+�
� справочник
(PFF))Knownпо статистике
� |c|
|c| qq +
+�
� (P
(PFF/2)
/2)
Unknown
Приложение
B.Краткий
168
approximation
approximation
TableB.1.
B.1. Basic
Basicstatistical
statisticalformulas
formulasCorrelations
forthe
thesuccess
successprobability
probabilityPPSS
Table
for
Correlations
Known
Unknown
Known
Unknown
Таблица B.1. Основные статистические формулы для вероятности
успеха PS
√
√
Correlations
Correlations
−1
Single
� |c| q + � (P
)
� |c| q +
�−1 (PF /2)
F
Known
Unknown
Known
Unknown
approximation
Cap(�)
Корреляции
Cap(�)
−1
−1
Multiple
−1√
−1√
Multiple
√F ))
√
�
(P
�
qq +
(P
−1 (P
−1 (P /2)
� Cap(�)
Cap(�) qq +
+�
�
(P
� ) √
+��
�
(PqFF))+ �−1
√
Single �
F
−1
Single
|c|
q
+
�
|c|
� |c| Известны
q + � (PFF) 2|�|
� |c|Неизвестны
q + � (P
approximations
approximationsapproximation
2|�|
FF/2)
approximation
√
√
√
√
−1 (P )
−1 (P /2)
−1
−1
Single
Single
Одиночная
|c|
q
+
�
�
|c|
q
+
�
��
|c|
q
+
�
(P
)
�
|c|
q
+
�
(P
/2)
F
F
F
F
Cap(�)
approximation
approximation
−1
аппроксимация
Multiple
� Cap(�)
� √
q + �−1 (PF )
√
√
q + � (PF )
approximations
2|�|
|�|
|�|
−1
Multiple
Multiple
// Cap(�)
Cap(�)
q +� �
(P
�
� −1Cap(�)
(PFF)) q + �−1
−1 (P )
−1 (P )
Multiple�
Множественная
−1
11 q +
Multiple
�
q
+
�
√
� Cap(�) q + � (PFF)
� √ 2|�| q + � (PFF)
n+22
zero-correlation
zero-correlationapproximations
22n+
аппроксимация
approximations
2|�|
Cap(�)
Cap(�)
−1
−1 (P )
−1
Multiple
Multiple
√
Cap(�)
(PFF
√
�� Cap(�)
qq++�� (P
))
�� √
qq++��−1
(PFF)
|�|
approximations
2|�| /
approximations
2|�|
Множественная
Multiple
�
q + �−1 (PF )
/
1
√
n+
с нулевой zero-correlation
корреляцией
√
2 |�|2
|�| q + �−1
−1 (P )
Multiple
Multiple
//
F)
��used
q +formulas
� (P
Ffrom
Table
B.2.
in
n+
Table
B.2. Approximations
Approximations
used
in112the
the
formulas
from Table
Table B.1
B.1
zero-correlation
n+
zero-correlation
2
2
√
2√
Таблица B.2.
Аппроксимации, используемые
формул из табл. B.1/ /
|�|
|�|
−1для
−1
Multiple
Multiple
q
+
�
(P
)
��
q
+
�
(P
)
F
F
11
n+
zero-correlation
Correlations
zero-correlation
22n+ 22 Correlations
Known
Unknown
Known
Unknown
Table B.2. Approximations used inКорреляции
the formulas from Table B.1
correlation
zero
correlation
zero for
for wrong
wrong keys
keys
Известны
Неизвестны
TableB.2.
B.2. Approximations
Approximations
usedininthe
theformulas
formulasfrom
from
TableB.1
B.1
Table
used
Table
qq large
Correlations
large (normal
(normal approximation)
approximation)
Single
Single
Одиночная
нулевая
корреляция
для неправильных
ключей
Knownvariance)
Unknown
approximation
approximation
cc22 �
� 11 (constant
(constant
variance)
TableB.2.
B.2. Approximations
Approximations
used
the
formulas
fromTable
TableB.1
B.1
used
ininthe
formulas
from
Correlations
аппроксимация Table
q велико
(нормальная
аппроксимация)
Correlations
2Known
Unknown
zero forдисперсия)
wrongUnknown
keys
≪ correlation
1 (постоянная
cKnown
22 fixed
c
c
fixed
q large (normal
approximation)
Single
Correlations
Correlations
cc fixed
fixed
correlation
zerofor
forwrong
wrong
keys
correlation
zero
keys
c2 фиксировано
approximation
P
PFF small
small
Known
Unknown
Known
cq2large
� 1 (normal
(constant
variance)Unknown
c
фиксировано
approximation)
Single
q large (normal approximation)
Single
PF мало
approximation
zerofor
for
wrongkeys
keys
correlation
zero
wrong
approximation
22 �
�11(constant
(constant
variance)
cccorrelation
variance)
c2 fixed ключей
all
correlations
zero
for
wrong
keys
all
correlations
zero
for
wrong
keys
все
корреляции
равны
нулю
для
неверных
large(normal
(normalapproximation)
approximation)
qqlarge
Single
Single
c fixed
√
√
P small
q/
(normal
approximation)
q/ |�|
|�| large
large
(normal
approximation)
велико
(нормальная
аппроксимация)
approximation
approximation
22 �
fixed
(constantvariance)
variance)cc22Ffixed
fixed
F
cc �
√
√ 11(constant
c
F
c
fixed
C
�
1/
|�|
Cvvii+v
Multiple
Multiple
+vjj,u
,uii+u
+ujj � 1/ |�|
P
small
PFFsmall
Множественная
approximations
approximations
2
2
all
correlations
zero
for
wrong
keys
c
fixed
c fixed
whenever
whenever
(u+ u+
+j, uu
�
+,vvii j+
когда
(u(u
v√
)+∉vvjjΛ)) �∈�∈ �
jij,v
аппроксимация
i ciicfixed
fixed
q/ |�|
large
(normal approximation)
Pмалы)
small
Pkeys
пренебрежимо
ccciicccjjj≪
�
(negligible
covariances)
�111(ковариации
(negligible
covariances)
FFsmall
all
correlationszero
zerofor
for
wrongkeys
correlations
√wrong
all
F
√
� 1/
C√
|�|
Multiple
+v
i +uj(normal
q/vi|�|
|�|j ,u
large
(normalapproximation)
approximation)
q/
large
Cap(Λ)
фиксирована
approximations
√
Cap(�)
fixed
Cap(�)
fixed
+
all
√
F
correlations
zero
for
wrong
keys
c
,c
…
фиксированы
whenever
(u
u
,v
+
vj ) �∈keys
�
all
correlations
zero
for
wrong
F
2
i�
j1/
i |�|
�
1/
|�|
C
1
2
,c
.
.
.
fixed
c
Multiple
,c
.
.
.
fixed
c
C
qc
мало
v
+v
,u
+u
1
2
1 2
j 22
√
Multiple
v√
i
i i+vjj,ui i+ujqc
small
qc
small
q/
|�|
large
(normal
approximation)
c
c
�
1
(negligible
covariances)
q/
|�|
large
(normal
approximation)
i
i
approximations
i j
approximations
whenever
(ui i+
,vi√
FF
uujj,v
+
whenever
i√
(u
++vvjj))�∈�∈��
C
�
C
�1/
1/covariances)
|�|
|�|
Multiple
Multiple
v
+v
,u
+u
v
+v
,u
+u
i
j
i
j
i
j
i
j
c
c
�
1
(negligible
ci icjj � 1 (negligible covariances)
Cap(�) fixed
approximations
approximations
(ui i++uujj,v
,vi i++vvjj))�∈�∈�
�
. . . fixed(u
c ,cwhenever
2whenever
qci2 small
Property of Cambridge University 1Press
do not share or copyCap(�)
fixed
�11(negligible
(negligiblecovariances)
covariances)
cci iccjj �
Cap(�) fixed
,c22......fixed
fixed
cc11,c
2
small
qc2i small
qc
i
Cap(�)fixed
fixed
Cap(�)
,cUniversity
fixed Press do not share
cc11,c
22. .. .. .fixed
Property of Cambridge
or copy
qci2i2small
small
qc
Propertyof
ofCambridge
CambridgeUniversity
UniversityPress
Pressdo
donot
notshare
shareor
orcopy
copy
Property
Propertyof
ofCambridge
CambridgeUniversity
UniversityPress
Pressdo
donot
notshare
shareor
orcopy
copy
Property
Приложение C.
Список блочных шифров
Таблица C.1. Список блочных шифров, упоминаемых в этой книге
Блочный шифр
Глава
Ссылка
3-Way
Глава 1,
стр. 15
Joan Daemen, René Govaerts, and Joos Vandewalle
(Dec. 1994). «A New Approach to Block Cipher Design». In: FSE’93. Ed. by Ross J. Anderson. Vol. 809.
LNCS. Springer, Berlin, Heidelberg, pp. 18–32. doi:
10.1007/3-540-58108-1_2
Simon
Глава 2,
стр. 39
Ray Beaulieu et al. (2013). The SIMON and SPECK
Families of Lightweight Block Ciphers. Cryptology
ePrint Archive, Report 2013/404.
URL: https://eprint.iacr.org/2013/404
Rijndael
Глава 3,
стр. 46
Joan Daemen and Vincent Rijmen (2020). The Design
of Rijndael – The Advanced Encryption Standard (AES).
2nd ed. Information Security and Cryptography.
Springer, Berlin, Heidelberg. isbn: 978-3-662-607688. doi: 10.1007/978-3-662-60769-5
Speck
Глава 3,
стр. 51
Ray Beaulieu et al. (2013). The SIMON and SPECK
Families of Lightweight Block Ciphers. Cryptology
ePrint Archive, Report 2013/404
Литература
Ashur, Tomer, Tim Beyne, and Vincent Rijmen (Apr. 2020). «Revisiting the WrongKey-Randomization Hypothesis». In: Journal of Cryptology 33.2, pp. 567–594. doi:
10.1007/s00145-020-09343-2.
Baignères, Thomas, Pascal Junod, and Serge Vaudenay (Dec. 2004). «How Far Can
We Go Beyond Linear Cryptanalysis?» In: ASIACRYPT 2004. Ed. by Pil Joong Lee.
Vol. 3329. LNCS. Springer, Berlin, Heidelberg, pp. 432–450. doi: 10.1007/978-3540-30539-2_31.
Baignères, Thomas, Jacques Stern, and Serge Vaudenay (Aug. 2007). «Linear Cryptanalysis of Non Binary Ciphers». In: SAC 2007. Ed. by Carlisle M. Adams, Ali Miri,
and Michael J. Wiener. Vol. 4876. LNCS. Springer, Berlin, Heidelberg, pp. 184–211.
doi: 10.1007/978-3-540-77360-3_13.
Banik, Subhadeep et al. (Nov. 2015). «Midori: A Block Cipher for Low Energy». In:
ASIACRYPT 2015, Part II. Ed. by Tetsu Iwata and Jung Hee Cheon. Vol. 9453. LNCS.
Springer, Berlin, Heidelberg, pp. 411–436. doi: 10.1007/978-3-662-48800-3_17.
Beaulieu, Ray et al. (2013). The SIMON and SPECK Families of Lightweight Block
Ciphers. Cryptology ePrint Archive, Report 2013/404. url: https://eprint.iacr.
org/2013/404.
Beierle, Christof, Anne Canteaut, and Gregor Leander (2018). «Nonlinear Approximations in Cryptanalysis Revisited». In: IACR Transactions on Symmetric Cryptology 2018.4, pp. 80–101. issn: 2519-173X. doi: 10.13154/tosc.v2018.i4.80-101.
Beyne, Tim (Dec. 2018). «Block Cipher Invariants as Eigenvectors of Correlation Matrices». In: ASIACRYPT 2018, Part I. Ed. by Thomas Peyrin and Steven Galbraith.
Vol. 11272. LNCS. Springer, Cham, pp. 3–31. doi: 10.1007/978-3-030-03326-2_1.
Beyne, Tim (Dec. 2021). «A Geometric Approach to Linear Cryptanalysis». In: ASIACRYPT 2021, Part I. Ed. by Mehdi Tibouchi and Huaxiong Wang. Vol. 13090. LNCS.
Springer, Cham, pp. 36–66. doi: 10.1007/978-3-030-92062-3_2.
Beyne, Tim (June 2023). «A Geometric Approach to Symmetric-Key Cryptanalysis».
PhD thesis. KU Leuven.
Biryukov, Alex, Christophe De Cannière, and Michaёl Quisquater (2004). «On Multiple Linear Approximations». In: Advances in Cryptology – CRYPTO 2004, 24th Annual International Cryptology Conference, Santa Barbara, California, USA, August
15–19, 2004, Proceedings. Ed. by Matthew K. Franklin. Vol. 3152. LNCS. Springer,
pp. 1–22. doi: 10.1007/978-3-540-28628-8\_1.
Blondeau, Cґeline and Kaisa Nyberg (2017). «Joint Data and Key Distribution of Simple, Multiple, and Multidimensional Linear Cryptanalysis Test Statistic and Its
Impact to Data Complexity». In: Designs, Codes and Cryptography 82, pp. 319–349.
Bogdanov, Andrey et al. (Dec. 2012). «Integral and Multidimensional Linear Distinguishers with Correlation Zero». In: ASIACRYPT 2012. Ed. by Xiaoyun Wang
Литература
171
and Kazue Sako. Vol. 7658. LNCS. Springer, Berlin, Heidelberg, pp. 244–261. doi:
10.1007/978-3-642-34961-4_16.
Bogdanov, Andrey and Vincent Rijmen (2014). «Linear Hulls with Correlation Zero
and Linear Cryptanalysis of Block Ciphers». In: DCC 70.3, pp. 369–383. doi:
10.1007/s10623-012-9697-z.
Bogdanov, Andrey and Elmar Tischhauser (Mar. 2014). «On the Wrong Key Randomisation and Key Equivalence Hypotheses in Matsui’s Algorithm 2». In: FSE 2013.
Ed. by Shiho Moriai. Vol. 8424. LNCS. Springer, Berlin, Heidelberg, pp. 19–38. doi:
10.1007/978-3-662-43933-3_2.
Bogdanov, Andrey and Meiqin Wang (Mar. 2012). «Zero Correlation Linear Cryptanalysis with Reduced Data Complexity». In: FSE 2012. Ed. by Anne Canteaut.
Vol. 7549. LNCS. Springer, Berlin, Heidelberg, pp. 29–48. doi: 10.1007/978-3-64234047-5_3.
Collard, Baudoin and Francёois-Xavier Standaert (Apr. 2009). «A Statistical Saturation Attack against the Block Cipher PRESENT». In: CT-RSA 2009. Ed. by
Marc Fischlin. Vol. 5473. LNCS. Springer, Berlin, Heidelberg, pp. 195–210. doi:
10.1007/978-3-642-00862-7_13.
Collard, Baudoin, Francois-Xavier Standaert, and Jean-Jacques Quisquater (2007).
«Improving the Time Complexity of Matsui’s Linear Cryptanalysis». In: Information Security and Cryptology – ICISC 2007: 10th International Conference,
Seoul, Korea, November 29–30, 2007. Proceedings 10. Springer, Berlin, Heidelberg,
pp. 77–88. doi: 10.1007/978-3-540-76788-6_7.
Daemen, Joan (Mar. 1995). «Cipher and Hash Function Design Strategies Based on
Linear and Differential Cryptanalysis». PhD thesis. KU Leuven.
Daemen, Joan, Renґe Govaerts, and Joos Vandewalle (Dec. 1994). «A New Approach
to Block Cipher Design». In: FSE’93. Ed. by Ross J. Anderson. Vol. 809. LNCS.
Springer, Berlin, Heidelberg, pp. 18–32. doi: 10.1007/3-540-58108-1_2.
Daemen, Joan, Renґe Govaerts, and Joos Vandewalle (Dec. 1995). «Correlation Matrices». In: FSE’94. Ed. by Bart Preneel. Vol. 1008. LNCS. Springer, Berlin, Heidelberg, pp. 275–285. doi: 10.1007/3-540-60590-8_21.
Daemen, Joan, Lars R. Knudsen, and Vincent Rijmen (Jan. 1997). «The Block Cipher
Square». In: FSE’97. Ed. by Eli Biham. Vol. 1267. LNCS. Springer, Berlin, Heidelberg, pp. 149–165. doi: 10.1007/BFb0052343.
Daemen, Joan and Vincent Rijmen (Dec. 2001). «The Wide Trail Design Strategy». In:
8th IMA International Conference on Cryptography and Coding. Ed. By Bahram Honary. Vol. 2260. LNCS. Springer, Berlin, Heidelberg, pp. 222–238. doi: 10.1007/3540-45325-3_20.
Daemen, Joan and Vincent Rijmen (2020). The Design of Rijndael – The Advanced Encryption Standard (AES). 2nd ed. Information Security and Cryptography. Springer,
Berlin, Heidelberg. isbn: 978-3-662-60768-8. doi: 10.1007/978-3-662-60769-5.
Halmos, Paul R. (1958). Finite-dimensional Vector Spaces. 1st ed. Undergraduate
Texts in Mathematics. Springer New York, NY.
Harpes, Carlo, Gerhard G. Kramer, and James L. Massey (May 1995). «A Generalization of Linear Cryptanalysis and the Applicability of Matsui’s Piling-Up Lemma».
172
Литература
In: EUROCRYPT’95. Ed. by Louis C. Guillou and Jean-Jacques Quisquater. Vol. 921.
LNCS. Springer, Berlin, Heidelberg, pp. 24–38. doi: 10.1007/3-540-49264-X_3.
Harpes, Carlo and James L. Massey (Jan. 1997). «Partitioning Cryptanalysis». In:
FSE’97. Ed. by Eli Biham. Vol. 1267. LNCS. Springer, Berlin, Heidelberg, pp. 13–27.
doi: 10.1007/BFb0052331.
Hermelin, Miia, Joo Yeon Cho, and Kaisa Nyberg (2008). «Multidimensional Linear
Cryptanalysis of Reduced Round Serpent». In: Information Security and Privacy,
13th Australasian Conference, ACISP 2008, Wollongong, Australia, July 7–9, 2008,
Proceedings. Ed. by Yi Mu, Willy Susilo, and Jennifer Seberry. Vol. 5107. LNCS.
Springer, pp. 203–215. doi: 10.1007/978-3-540-70500-0\_15.
Kaliski Jr., Burton S. and Matthew J. B. Robshaw (Aug. 1994). «Linear Cryptanalysis
Using Multiple Approximations». In: CRYPTO’94. Ed. by Yvo Desmedt. Vol. 839.
LNCS. Springer, Berlin, Heidelberg, pp. 26–39. doi: 10.1007/3-540-48658-5_4.
Knudsen, Lars R. and Matthew J. B. Robshaw (May 1996). «Non-Linear Approximations in Linear Cryptanalysis». In: EUROCRYPT’96. Ed. by Ueli M. Maurer. Vol. 1070.
LNCS. Springer, Berlin, Heidelberg, pp. 224–236. doi: 10.1007/3-540-68339-9_20.
Kullback, Solomon and Richard A. Leibler (1951). «On Information and Sufficiency».
In: The Annals of Mathematical Statistics 22.1, pp. 79–86.
Leander, Gregor et al. (Aug. 2011). «A Cryptanalysis of PRINTcipher: The Invariant Subspace Attack». In: CRYPTO 2011. Ed. by Phillip Rogaway. Vol. 6841. LNCS.
Springer, Berlin, Heidelberg, pp. 206–221. doi: 10.1007/978-3-642-22792-9_12.
Leander, Gregor, Brice Minaud, and Sondre Rшnjom (Apr. 2015). «A Generic Approach to Invariant Subspace Attacks: Cryptanalysis of Robin, iSCREAM and
Zorro». In: EUROCRYPT 2015, Part I. Ed. by Elisabeth Oswald and Marc Fischlin.
Vol. 9056. LNCS. Springer, Berlin, Heidelberg, pp. 254–283. doi: 10.1007/978-3662-46800-5_11.
Matsui, Mitsuru (May 1994a). «Linear Cryptanalysis Method for DES Cipher». In:
EUROCRYPT’93. Ed. by Tor Helleseth. Vol. 765. LNCS. Springer, Berlin, Heidelberg,
pp. 386–397. doi: 10.1007/3-540-48285-7_33.
Matsui, Mitsuru (Aug. 1994b). «The First Experimental Cryptanalysis of the Data Encryption Standard». In: CRYPTO’94. Ed. by Yvo Desmedt. Vol. 839. LNCS. Springer,
Berlin, Heidelberg, pp. 1–11. doi: 10.1007/3-540-48658-5_1.
Nyberg, Kaisa (May 1995). «Linear Approximation of Block Ciphers (Rump Session)». In: EUROCRYPT’94. Ed. by Alfredo De Santis. Vol. 950. LNCS. Springer,
Berlin, Heidelberg, pp. 439–444. doi: 10.1007/BFb0053460.
Schulte-Geers, Ernst (2013). «On CCZ-equivalence of Addition mod 2 n». In: Designs,
Codes and Cryptography 66, pp. 111–127.
Selcёuk, Ali Aydin (Jan. 2008). «On Probability of Success in Linear and Differential
Cryptanalysis». In: Journal of Cryptology 21.1, pp. 131–147. doi: 10.1007/s00145007-9013-7.
Tardy-Corfdir, Anne and Henri Gilbert (Aug. 1992). «A Known Plaintext Attack of
FEAL-4 and FEAL-6». In: CRYPTO’91. Ed. by Joan Feigenbaum. Vol. 576. LNCS.
Springer, Berlin, Heidelberg, pp. 172–181. doi: 10.1007/3-540-46766-1_12.
Литература
173
Terras, Audrey (1999). Fourier Analysis on Finite Groups and Applications. London
Mathematical Society Student Texts. Cambridge University Press, Cambridge.
Todo, Yosuke, Gregor Leander, and Yu Sasaki (Dec. 2016). «Nonlinear Invariant Attack – Practical Attack on Full SCREAM, iSCREAM, and Midori64». In: ASIACRYPT 2016, Part II. Ed. by Jung Hee Cheon and Tsuyoshi Takagi. Vol. 10032. LNCS.
Springer, Berlin, Heidelberg, pp. 3–33. doi: 10.1007/978-3-662-53890-6_1.
Vaudenay, Serge (1996a). «An Experiment on DES Statistical Cryptanalysis». In: CCS
’96, Proceedings of the 3rd ACM Conference on Computer and Communications Security, New Delhi, India, March 14–16, 1996. Ed. by Li Gong and Jacques Stearn. ACM,
New York, pp. 139–147. doi: 10.1145/238168.238206.
Vaudenay, Serge (Mar. 1996b). «An Experiment on DES Statistical Cryptanalysis».
In: ACM CCS 96. Ed. by Li Gong and Jacques Stern. ACM Press, New York, pp. 139–
147. doi: 10.1145/238168.238206.
Wall’en, Johan (Feb. 2003). «Linear Approximations of Addition Modulo 2 n.». In:
FSE 2003. Ed. by Thomas Johansson. Vol. 2887. LNCS. Springer, Berlin, Heidelberg,
pp. 261–273. doi: 10.1007/978-3-540-39887-5_20.
Предметный указатель
A
абсолютно непрерывная функция 95
алгебраическая нормальная форма 130
альтернативная гипотеза 59
анализа шаг 70
аннулятор
подгруппы 143
подпространства 146, 156
антиизоморфизм 135
апостериорное распределение 103, 105
априорное распределение 102, 167
атака
с выбранным открытым текстом
многомерная линейная 88
определение 14
атака с выбранным открытым текстом
с нулевой корреляцией 117
атака с известным открытым текстом
информационная сложность 159
определение 14, 22
атака, трудность 13
аффинная функция 31
аффинное подпространство 123
Б
Байеса коэффициент 102
безопасность, определение 13
билинейная форма 85
билинейное отображение 137
биномиальное распределение 66, 165
битовый вектор 13
блочный код 55
блочный шифр 13
внутренняя и внешняя часть 23, 69
демонстрационный шифр 15
проектирование 14
размер блока 15
типа Rijndael 46
Фейстеля шифр 39, 118
булева функция 28
быстрое преобразования Фурье 73
В
Вейля граница 161
вероятностная мера 95
вероятность истинно положительного
результата 60
вероятность ложноположительного
результата
инвариантное подпространство 123
компромисс 96
линейная аппроксимация с нулевой
корреляцией 112
определение 60
средняя 102
вероятность успеха 13
известная корреляция 62, 81
инвариантное подпространство 123
компромисс 96
краткий справочник 168
неизвестная корреляция 64, 82
неизвестные знаки корреляций 84
нулевая корреляция 109, 116
определение 60
ветвей и границ метод 42
выборка
без возвращения 107
использование 58
с возвращением 59, 66
выборочное среднее 58
выполнимость (SAT) 50
выполнимость по модулю теорий (SMT)
Boolector 53
LibSMT 53
PySMT 56
Z3 53
выпуклая оболочка 49
выпуклое множество 49
выпуклый политоп 49
Г
геометрический подход 148
гипергеометрическое распределение
многомерное 116
одномерное 66
главная корреляция 158
главные углы 146, 159
граф 42
график функции 52
Предметный указатель
группа
аннулятор 143
двойственная в смысле
Понтрягина 139
действие 138
линейный криптоанализ на 152
характеры 139
Д
двойственное векторное
пространство 133
двойственный базис 141
дерево 42
Джеффриса расхождение 99
дисперсия 59
дистилляции шаг 69
дифференциальный криптоанализ 148
доминирующий след 34, 160
дополнение
алгебраическое 145, 158
ортогональное 85, 136, 145, 158
Е
емкость
и главные корреляции 159
определение 78
средняя 116
Ж
жадный поиск 43
З
задача о покрытии множества 49
И
изометрия 134
инвариант
нелинейный 125, 156
прямой и обратный 157
инвариантное подпространство 123, 146
симметрии 123
интегральный криптоанализ 123, 148
интегрирование
измеримых функций 94
по частям 83, 164
информационная сложность
геометрический подход 152, 159
известная корреляция 63, 81, 87
неизвестная корреляция 64, 87
при выбранном открытом тексте 88, 117
информация дискриминации 99
исчерпывающий поиск 14, 70, 76
итеративный шифр 14
К
175
квадратичная булева функция 125
квадратичная форма 40
квадратичное евклидово
расхождение 86, 101, 127, 163
квадратичный дискриминантный
анализ 98
кладочная функция 32
Клоостермана сумма 56
ключ 13
восстановление 13, 21, 69, 88, 113
инвариант различия ключей 120
кандидат 24
развертка 14, 73
ранжирование 67
расширенный 14
раундовый 15
слабый 124
сложение с 15, 18, 33
шифр с чередованием ключа 14
коалгебра 163
ковариация
эмпирические корреляции 79
коллизия 160
комбинаторная оптимизация 42
композиция
использование леммы о набегании
знаков 19
корреляционных матриц 29, 153
раундовых функций 14
конкатенация 15, 32
конъюнктивная нормальная форма 50
корреляционная матрица
аффинная функция 31
геометрический подход 152
гомоморфизм групп 154
квадратичная форма 40
определение 29, 153
поразрядное И 39
сложение по модулю 52
случайная перестановка 108
случайная функция 105, 107
корреляция
булевы функции 28
главная 158
коэффициент 28
линейной аппроксимации 29
случайного бита 27
эмпирическая 62
кратчайший путь 43
криптоанализ с разбиением 129
криптоаналитическое свойство 148
176
Предметный указатель
Кронекера произведение 32, 138
кубическая функция 161
Кульбака–Лейблера расхождение 99
Л
Лая–Месси построение 92
лексикографический порядок 31
лемма о набегании знаков 19, 27
линейная алгебра 132
линейная аппроксимация
геометрический подход 154
многомерная 84
множественная 78
определение 15
с нулевой корреляцией 109
таблица (LAT) 17
линейная функция 31
линейное программирование 46
линейный дискриминантный анализ 98
линейный след. См. след
линейный функционал 134
М
маска 16
матрица переходов 150
матрица с максимальным разделением
(MDS)
определение 55
построение 55
Мацуи алгоритм
алгоритм 1 21
алгоритм 2 23, 69
поиск следа 43
метод потери посередине 110, 112, 156
метрическое пространство 132
моделирования шаг 69
Н
наиболее мощный в среднем 102
насыщение
атака с 88, 121, 127
свойство 116, 121, 155
Неймана–Пирсона лемма 96
нелинейность 26
неподвижная точка 160
неправильный ключ
рандомизация 62, 72, 102, 104
норма
p-норма 133
двойственная 134
евклидова 31, 133, 151
нормированное векторное
пространство 133
определение 133
нормальное распределение
гипотеза о среднем 60
многомерное 78, 97, 165
основные факты 164
смесь 103
функция плотности 164
функция распределения 60, 164
четвертый момент 83, 90
нулевая корреляция
геометрический подход 156
линейная аппроксимация 109
линейный криптоанализ 109
метод потери посередине 110, 156
многомерная 115
свойство 156
случайная перестановка 114
статистический подход 116
О
область принятия 96
оператор обратного образа 150
оператор прямого образа 149
операция разветвления 26
ортогональная матрица 30
ортогональная проекция 136
ортогональное
дополнение 85, 136, 145, 158
ортогональность
векторов 136
корреляционных матриц 30
характеров групп 141
ортонормированный базис 136
основная теорема конечных абелевых
групп 140
отношение правдоподобия
для многомерных нормальных
распределений 97
логарифмическое 97
определение 97
среднее и дисперсия 99
отображение аппроксимации
геометрия 158
определение 158
отображение вычисления 131, 134, 139
оценка 58, 151
ошибки модели 104, 167
ошибки первого и второго рода 96
П
перенос 52
перестановка битов 15, 18
Пифагора теорема 136
подстановочно-перестановочная сеть 15
Предметный указатель
поиска шаг 70
поиск в глубину 42
Понтрягина двойственность 139, 143
порядковая статистика 67
поточечное произведение 139
почти всюду 94
правильный ключ
рандомизация 102
преимущество
восстановления ключа 67
проверки гипотезы 60
проверка гипотез
интерпретация Неймана–Пирсона 59,
96
определение 59
почти равные распределения 98
простых 95
различение многомерных нормальных
распределений 97
составных 101
Фишер 59
проецирование
каркас 128
линейная проекция 86, 99
на факторпространство 84, 143
ортогональная проекция 136
функция 128, 155, 162
простая гипотеза 95
простая модель 62
пространство с мерой 94
прямая сумма
векторных пространств 136, 158
групп 140
Пуассона формула суммирования 85
равномерно наиболее мощный
критерий 96, 102
различитель 13, 60
Р
Рандона–Никодима плотность 95
раундовая функция 14
режим с аутентификацией Галуа 66
режим счетчика 66
Рида–Соломона код 56
С
самодвойственная норма 135
самосопряженное отображение 137, 146
сбалансированная
булева функция 37
функция проецирования 128, 162
свободное векторное пространство 132
симплекс-метод 46
177
Синглтона граница 55
сингулярное значение 137, 146, 158, 163
скалярное произведение
битовых векторов 85
индуцированная норма 135
пространства со 135
функций 28, 37
слабый ключ 124
след
геометрический подход 159
линейный 19, 33
след матрицы 160
сложение по модулю 51
смешанно-целочисленное
программирование
CPLEX 50
Google OR-Tools 56
Gurobi 50
определение 46
формат LP 50
смещение
линейной аппроксимации 16
случайного бита 27
эмпирическое смещение 21
сопряженное отображение 137
стандартный базис 132
статистическая атака 21
с насыщением 88, 123
статистический вывод 58
степени свободы 91
степень
булевой функции 125
полинома 55, 161
Стирлинга формула 114
таблица подстановки 15
Т
Тейлора ряд 100
тензор
первого ранга 138
элементарный 138
тензорное произведение 137
теорема о линейной оболочке 41
теорема о наилучшей аппроксимации 136
транспонирование линейного
отображения 142
Туэ–Морса последовательность 47
У
угол
между векторами 136
между векторными
подпространствами 146
178
Предметный указатель
универсальное свойство 137
Уолша–Адамара преобразование 37
усечение 73
Ф
факторпространство 84
Фейстеля шифр
аппроксимация с нулевой
корреляцией 118
определение 39
фиктивная переменная 48
формальная линейная комбинация 132
Фробениуса норма 163
функция следа 56
функция стоимости 96, 102
Фурье преобразование 28, 86, 141
Х
Хэмминга
вес битового вектора 48, 53
вес кодовых слов 55
расстояние между функциями 26
Ц
целевая функция 46
центральная предельная
теорема 63, 66, 165
многомерная 78, 107, 166
циркулянтная матрица
диагонализация 75
определение 73
свертка 77
умножение 74
Ч
ч2 критерий 87, 89, 91
число разветвлений 48, 55
Ш
широкого следа стратегия 46
шифрование–перемешивание–
шифрование 119
Э
экспоненциальная сумма 161
эффективная линейная
аппроксимация 16
Я
якобиан 165
ячейка 46
A
add-rotate-xor (XOR) 51
Advanced Encryption Standard (AES)
размер блока 15
стандартизация 54
D
Data Encryption Standard (DES)
S-блок S5 25
линейный криптоанализ 24
M
MixColumns 47
P
p-норма 133
Q
Quickhull алгоритм 49
S
ShiftRows 47
Simon 39
SPC 93
Speck 51
SubCells 47
S-блок
DES 25
Rijndael 56
активный 35
определение 15
3-Way 15
Книги издательства «ДМК Пресс» можно купить оптом и в розницу
на складе издательства по адресу:
Москва, ул. Электродная, д. 2, стр. 12, офис 7,
тел. +7 (499) 322–19–38,
а также заказать на сайте www.dmkpress.com
с доставкой в любой регион РФ
Тим Бейн, Винсент Рэймен
Линейный криптоанализ
Главный редактор Яценков В. С.
editor@dmkpress.com
Перевод
Корректор
Верстка
Дизайн обложки
Слинкин А. А.
Синяева Г. И.
Луценко С. В.
Трофимова С. В.
Формат 70×100 1/16.
Гарнитура «PT Serif». Печать цифровая.
Усл. печ. л. 14,63. Тираж 200 экз.
Веб-сайт издательства: www.dmkpress.com
Криптография находит множество применений в повседневной
жизни. Это руководство посвящено анализу безопасности (криптоанализу) фундаментальных блоков, на которых основаны криптографические приложения. Линейный криптоанализ рассматривается с математической точки зрения и сопровождается обзором
наиболее влиятельных публикаций. Главы дополнены большим количеством примеров и упражнений, опирающихся на теорию и практику.
Книга охватывает следующие темы:
• линейные приближения и следы;
• корреляционные матрицы;
• автоматический поиск;
• методы восстановления ключей;
• многомерный линейный криптоанализ;
• приближения нулевой корреляции и геометрический подход.
Предварительные знания теории криптографии не требуются. Издание будет полезно как начинающим читателям, изучающим криптографию, так и опытным экспертам, применяющим ее на практике.
Тим Бейн – научный сотрудник в Лёвенском университете, Бельгия.
Его исследования были отмечены наградами на различных
конференциях по криптографии, а также научной премией
Nokia Bell 2024 г.
Винсент Рэймен – профессор Лёвенского университета
и адъюнкт-профессор Университета Бергена, Норвегия.
Он также является соавтором расширенного стандарта
шифрования (AES). Получил докторскую степень за разработку
и криптоанализ блочных шифров.
ISBN 978-5-93700-474-1
www.дмк.рф