改进的全轮HALFLOOP-48相关调柄攻击

来源：电子与信息学报杂志2026年第3期北京时间：

作者：孙晓萌, 张文英, 苑兆忠

单位：山东师范大学信息科学与工程学院 济南 250358

摘要：HALFLOOP是一类基于调柄机制、结构类似AES的轻量级分组密码，用于保护第4代高频无线电系统中的自动链路消息。由于其行移位与列混合操作具有使差分快速扩散的特点，寻找具有实际可行性的长轮数、高概率的差分区分器，并实现对完整轮HALFLOOP-48的有效攻击仍是亟待解决的关键问题。为此，该文提出一个新的截断差分三明治区分器框架，并基于布尔可满足性(SAT)方法实现自动化搜索最优差分区分器。该框架将密码分为3个子密码层， \begin{document}$ {{E}}_{0} $\end{document}和\begin{document}$ {{E}}_{1} $\end{document}使用字节级模型，\begin{document}$ {{E}}_{m{m}} $\end{document}使用比特级模型。为突破大型S盒差分特征建模的瓶颈，该文提出基于仿射子空间的降维方法，将高维向量的差分特征分解为两个低维子向量，显著降低了SAT的约束规模。其次，为提高区分器概率，将\begin{document}$ {{E}}_{0} $\end{document}与\begin{document}$ {{E}}_{1} $\end{document}的依赖关系系统地分为3层，逐一计算每层概率并相乘，得到了概率高达\begin{document}$ {2}^{-43.2} $\end{document}的8轮HALFLOOP-48截断差分三明治区分器，且给出了满足该差分路径的明文对实例。最终，利用该实际差分路径，对完整轮数的HALFLOOP-48算法发起密钥恢复攻击。与已有结果相比，该文结果在时间复杂度上减少了\begin{document}$ {2}^{25.4} $\end{document}，在内存复杂度上减少了\begin{document}$ {2}^{10} $\end{document}。结果说明HALFLOOP算法无法抵抗相关调柄下的三明治攻击。

关键词：轻量级分组密码, 相关调柄攻击, 截断三明治区分器, 布尔可满足性问题, 密钥恢复攻击

基金资助：国家自然科学基金(62272282)