线性密码分析

线性密码分析，是通过分析S盒的线性特性，发现明文比特、密文 比特和密钥比特之间可能存在的概率线性关系，即存在一个比特子 集使得其中元素的异或表现出非随机的分布来进行分析的密码分析 方法。  一种已知明文攻击方法，已知x和y，确定k或k的部分比特。

简介

我们首先来非正式地叙述一下线性密码分析的思想，原则上该思想可以被应用于任何迭代密码。假使能够在- -个明文比特子集与最后-轮即将进行代换的输入状态比特子集之间找到一个概率线性关系，即存在一-个比特 子集使得其中元素的异或表现出非随机的分布(比如，该异或值以偏离1/2 的概率取值0)。现在假设一个攻击者拥有大量的用同一未知密钥K加密的明-密文对《也就是说我们使用已知明文攻击)。对每一个明-密 文对，将用所有可能的候选密钥来对最后一-轮解密密文。 对每-一个候选密钥，计算包含在线性关系式中的相关状态比特的异或值，然后确定上述的线性关系是否成立，如果成立，就在对应于特定候选密钥的计数器上加1,在这个过程的最后，我们希望计数频率离明密文对数的- - 半最远的候选密钥含有那些密钥比特的正确值。

堆积引理

S盒的线性逼近

差分攻击