Abstrakt. I det här dokumentet konstruerar vi en utvald nyckelskiljare och en tillhörande nyckelattack på hela 256-bitars nyckel AES. Vi definierar ett begrepp om differential q-multikollision och visar att för AES-256 q-multikollision kan konstrueras i tiden q · 2 67 och med försumbart minne, medan vi bevisar att samma uppgift för en idealisk chiffer av samma blockstorlek skulle kräva vid 128 ) tid. Med liknande tillvägagångssätt och med samma komplexitet kan vi även konstruera q-pseudo kollisioner för AES-256 i Davies-Meyer hashing-läge, ett system som är bevisligen säkert i ideal-chiffer-modellen. Vi har också beräknat partiella q-multikollisioner i tid q · 2 37 på en PC för att verifiera våra resultat. Dessa resultat visar att AES-256 inte kan modellera ett idealiskt chiffer i teoretiska konstruktioner. Slutligen utökar vi våra resultat för att hitta den första allmänt kända attacken på den fullständiga 14-rounden AES-256: en relaterad nyckelskiljare som fungerar för en av 2 35 nycklar med 2 120 data och tids komplexitet och försumbart minne. Denna särskiljare är översatt till en nyckel-återhämtning attack med total komplexitet av 2 131 tid och 2 65 minne.
i REF med q = 2.
Distinguisher and Related-Key Attack on the Full AES-256
{'venue': 'Advances in Cryptology – CRYPTO 2009, Proceedings, volume 5677 of Lecture Notes in Computer Science', 'journal': None, 'mag_field_of_study': ['Computer Science']}