[發明專利]基于非線性變換的SM4白盒實現方法

有效

• 申請號: 201610555295.8
• 申請日: 2016-07-15
• 公開（公告）號: CN107623566B
• 公開（公告）日: 2022-09-06
• 發明（設計）人: 范修斌;白琨鵬
• 申請（專利權）人: 青島博文廣成信息安全技術有限公司
• 主分類號: H04L9/00
• 分類號: H04L9/00;H04L9/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.基于非線性變換的SM4白盒實現方法，其特征在于：SM4白盒加密/解密方法共有32輪；每輪需要16個D盒、4個R盒和136個X盒；

其中，D盒是用于將每輪輸入的32比特數據進行狀態變換的查找表，定義如下：

其中：

(1)D_r，i，j算子8進32出，其為左作用算子，即D_r，i，j的作用方式為

(2)r＝1，2，…，32是當前的輪數，i，j＝0，1，2，3，i由右向左增序，其為輸入的位置參數，j由左向右增序，其為輸入分割位置的參數；

(3)PD和PX都是隨機選取的4比特可逆非線性變換；

(4)

(5)MB_r+i-1是在GF(2)上隨機選取的32×32可逆線性變換，是MB_r+i-1的逆變換，是的第j個32×8子變換，mb是在GF(2)上隨機選取的8×8可逆線性變換；

R盒是用于密鑰保護的查找表，定義如下：

其中：

(1)R_r，j算子16進32出，其為左作用算子，即R_r，j的作用方式為由左向右增序；

(2)

(3)

(4)XOR(x)是左作用算子，對于與x等長的值y，其中為比特異或運算；

(5)k_r是標準SM4密碼算法第r輪的32比特輪密鑰，k_r，j是k_r的第j個字節；

(6)S是標準SM4密碼算法輪函數中的8比特S盒，M是標準SM4密碼算法輪函數中的32比特循環移位生成的線性變換，M^j是M的第j個32×8子變換，M＝(M⁰，M¹，M²，M³)；

(7)MB與D盒中的MB一致；

(8)PR是隨機選取的4比特可逆非線性變換；

X盒是用于連接D盒和R盒、實現異或運算的查找表，以兩個4比特數據為輸入，輸出一個新的4比特數據，X盒分為兩種：X₀和X₁，其定義如下：

其中：

(1)sid＝0，1；

(2)對于X₀，nib＝0，1；

(3)對于X₁，nib＝0，1，…，7；

整個SM4白盒實現方法以(x′₃，x′₂，x′₁，x′₀)為輸入，經過32輪變換后，輸出(x′₃₅，x′₃₄，x′₃₃，x′₃₂)，其中要保護E₃，E₂，E₁，E₀，E₃₅，E₃₄，E₃₃，E₃₂以及它們的逆：

第r輪以4個32比特數值，

(x′_r+2，x′_r+1，x′_r，x′_r-1)＝(E_r+2(x_r+2)，E_r+1(x_r+1)，E_r(x_r)，E_r-1(x_r-1))

為輸入，其中：

(a)

PX_{1，l，6，2t}，PX_{1，l，6，2t+1}，t＝0，1，2，3是隨機選取的4比特可逆非線性變換；MB_l是在GF(2)上隨機選取的32×32可逆線性變換；

(b)l＝r-1，r，r+1，r+2，r＝1，2，…，32；

(c)x_l是標準SM4密碼算法的中間值；

計算一個新的32比特數值x′_r+3＝E_r+3(x_r+3)，每輪計算步驟如下：

(1)s_r，0←D_r，1，0(x′_r，0)，s_r，1←D_r，1，2(x′_r，2)；

(2)s_r，0←(X_{0，r，0，0，0，0}，X_{0，r，0，0，1，0}，…，X_{0，r，0，3，0，0}，X_{0，r，0，3，1，0})(s_r，0，D_r，1，1(x′_r，1))；注：s_r，0＝(s_r，0，0，…，s_r，0，7)，D_r，1，1(x′_r，1)＝((D_r，1，1(x′_r，1))₀，…，(D_r，1，1(x′_r，1))₇)，其中t＝0，1，…，7；

(3)s_r，0←(X_{0，r，0，0，0，1}，X_{0，r，0，0，1，1}，…，X_{0，r，0，3，0，1}，X_{0，r，0，3，1，1})(s_r，0，D_r，2，0(x′_r+1，0))；

(4)s_r，0←(X_{0，r，0，0，0，2}，X_{0，r，0，0，1，2}，…，X_{0，r，0，3，0，2}，X_{0，r，0，3，1，2})(s_r，0，D_r，2，1(x′_r+1，1))；

(5)s_r，0←(X_{0，r，0，0，0，3}，X_{0，r，0，0，1，3}，…，X_{0，r，0，3，0，3}，X_{0，r，0，3，1，3})(s_r，0，D_r，3，0(x′_r+2，0))；

(6)s_r，0←(X_{0，r，0，0，0，4}，X_{0，r，0，0，1，4}，…，X_{0，r，0，3，0，4}，X_{0，r，0，3，1，4})(s_r，0，D_r，3，1(x′_r+2，1))；

(7)s_r，1←(X_{0，r，1，0，0，0}，X_{0，r，1，0，1，0}，…，X_{0，r，1，3，0，0}，X_{0，r，1，3，1，0})(s_r，1，D_r，1，3(x′_r，3))；

(8)s_r，1←(X_{0，r，1，0，0，1}，X_{0，r，1，0，1，1}，…，X_{0，r，1，3，0，1}，X_{0，r，1，3，1，1})(s_r，1，D_r，2，2(x′_r+1，2))；

(9)s_r，1←(X_{0，r，1，0，0，2}，X_{0，r，1，0，1，2}，…，X_{0，r，1，3，0，2}，X_{0，r，1，3，1，2})(s_r，1，D_r，2，3(x′_r+1，3))；

(10)s_r，1←(X_{0，r，1，0，0，3}，X_{0，r，1，0，1，3}，…，X_{0，r，1，3，0，3}，X_{0，r，1，3，1，3})(s_r，1，D_r，3，2(x′_r+2，2))；

(11)s_r，1←(X_{0，r，1，0，0，4}，X_{0，r，1，0，1，4}，…，X_{0，r，1，3，0，4}，X_{0，r，1，3，1，4})(s_r，1，D_r，3，3(x′_r+2，3))；

(12)x′_r+3←D_r，0，0(x′_r-1，0)；

(13)x′_r+3←(X_{1，r，0，0}，…，X_{1，r，0，7})(x′_r+3，D_r，0，1(x′_r-1，1))；

(14)x′_r+3←(X_{1，r，1，0}，…，X_{1，r，1，7})(x′_r+3，D_r，0，2(x′_r-1，2))；

(15)x′_r+3←(X_{1，r，2，0}，…，X_{1，r，2，7})(x′_r+3，D_r，0，3(x′_r-1，3))；

(16)x′_r+3←(X_{1，r，3，0}，…，X_{1，r，3，7})(x′_r+3，R_r，0(s_r，0，0，s_r，1，0))；

(17)x′_r+3←(X_{1，r，4，0}，…，X_{1，r，4，7})(x′_r+3，R_r，1(s_r，0，1，s_r，1，1))；

(18)x′_r+3←(X_{1，r，5，0}，…，X_{1，r，5，7})(x′_r+3，R_r，2(s_r，0，2，s_r，1，2))；

(19)x′_r+3←(X_{1，r，6，0}，…，X_{1，r，6，7})(x′_r+3，R_r，3(s_r，0，3，s_r，1，3))；

其中，字母D、R、X表示D盒、R盒、X盒，且：

(1)x′_l，j是x′_l的第j個字節；

(2)s_r，sid是32比特中間值；

(3)s_r，sid，j是s_r，sid的第j個字節。