Earticle

WEP은 향후 네트워크 시장을 주도할 무선 랜에서 암호화 기능과 인증 기능을 제공하기 위하여 제시된 보안 프로토콜이다. 그러나 WEP는 암호문 생성 시 사용되는 초기 값 생성에 대한 구체적인 방법이 제시하고 있지 않으며, 초기 값의 크기 및 재사용 문제로 인하여 암호화를 하는 경우 안전성에 대한 문제가 제기되고 있다. 본 논문에서는 WEP의 취약점들을 지적하고 이에 대한 개선안을 제시하였고 제시한 개선안을 토대로 초기 값 재사용을 방지할 수 있는 초기 값 생성 시스템과 블록 암호 CBC 모드를 이용하여 기밀성과 상호 인증 기능을 제공할 수 있는 새로운 무선랜 보안 모델을 제안하였다.

WEP is proposed networks dominate the market in the future wireless LAN encryption and authentication features to provide a secure protocol. However, WEP does not suggest a specific measures when generating the initial values ??used for the creation cipher text, the initial value problem because the size and re-encryption if you have been raised about the safety issue. In this paper pointed out the vulnerabilities of WEP and the proposed improvement plan for this improvement was proposed based on the initial value to avoid re-creating the initial value of the system and using a block cipher in CBC mode for confidentiality and to provide mutual authentication New WLAN security model was proposed.

In this paper, a new algorithm is proposed using the technique of Cascaded Encryption (CE) for authentication of small handheld and Portable Communication Systems (PCSs). In the proposed method an 8-bit session key Ks is sent to the Mobile Station (MS) from the Authentication Center (AuC) as soon as the MS is switched on in the GSM network. The MS computes a cipher key for authentication KCA using the Recursive Positional Module-2 Substitution (RPMS) cryptographic technique. The technique of Cascaded Encryption (CE) considers the 128-bit International Mobile Subscribers’ Identification (IMSI) i.e. Ki as a stream. This stream is then divided into 16 groups each of which contains 8 bits. These groups are represented as G0 to G15. The corresponding bits of each group are put through repetitive Exclusive OR (XOR) operation with the adjacent bit until it generates a single bit number. Hence each group forms a triangular bit pattern. From these triangular bit patterns, the target block T is formed which consists of 16 bits, t0 to t15, which are generated from the groups G0 to G15. Further T is divided into two sub-blocks T0 and T1 consisting of bits t0...t7 and t8...t15 respectively. The bits of the blocks T0 and T1 are put through XOR operation with the corresponding bits of the session key Ks in two different steps to obtain C0 and C1 respectively. The bitstreams C0 and C1 are concatenated to form the 16 bits intermediate key Kim. Kim is put through the mechanism of the Rotor Machine where the direction of the bits depends on the cipher key for authentication KCA. The Rotor Machine generates the 16-bit SRES. Authentication Center (AuC) computes the SRES independently in a similar method and sends SRES and Ks to Home Location Register (HLR). HLR compares SRES obtained from AuC with SRES obtained from MS to confirm its identity.

This paper presents a study on a high-performance design for a block cipher algorithm implemented on modern many-core graphics processing units (GPUs). The recent emergence of VLSI technology makes it feasible to fabricate multiple processing cores on a single chip and enables general-purpose computation on a GPU (GPGPU). The GPU strategy offers significant performance improvements for all-purpose computation and can be used to support a broad variety of applications, including cryptography. We have proposed an efficient implementation of the encryption/decryption operations of a block cipher algorithm, SEED, on off-the-shelf NVIDIA many-core graphics processors. In a thorough experiment, we achieved high performance that is capable of supporting a high network speed of up to 9.5 Gbps on an NVIDIA GTX285 system (which has 240 processing cores). Our implementation provides up to 4.75 times higher performance in terms of encoding and decoding throughput as compared to the Intel 8-core system.

To address the requirement for high-speed encryption of large amounts of data, this study improves the widely adopted cipher block chaining (CBC) mode and proposes a controllable parallel cipher block chaining (CPCBC) block cipher mode of operation. The mode consists of two phases: extension and parallel encryption. In the extension phase, the degree of parallelism n is determined as needed. In the parallel encryption phase, n cipher blocks generated in the expansion phase are used as the initialization vectors to open n parallel encryption chains for parallel encryption. The security analysis demonstrates that CPCBC mode can enhance the resistance to byte-flipping attacks and padding oracle attacks if parallelism n is kept secret. Security has been improved when compared to the traditional CBC mode. Performance analysis reveals that this scheme has an almost linear acceleration ratio in the case of encrypting a large amount of data. Compared with the conventional CBC mode, the encryption speed is significantly faster.

In this paper, we propose a novel block cipher mode of operation, which is known as the counter chain (CC) mode. The proposed CC mode integrates the cipher block chaining (CBC) block cipher mode of operation with the counter (CTR) mode in a consistent fashion. In the CC mode, the confidentiality and authenticity of data are assured by the CBC mode, while speed is achieved through the CTR mode. The proposed mode of operation overcomes the parallelization deficiency of the CBC mode and the chaining dependency of the counter mode. Experimental results indicate that the proposed CC mode achieves the encryption speed of the CTR mode, which is exceptionally faster than the encryption speed of the CBC mode. Moreover, our proposed CC mode provides better security over the CBC mode. In summary, the proposed CC block cipher mode of operation takes the advantages of both the Counter mode and the CBC mode, while avoiding their shortcomings.

Traditional block cipher Advanced Encryption Standard (AES) is widely used in the field of network security, but it has high overhead on each operation. In the 15th international workshop on information security applications, a novel lightweight and low-power encryption algorithm named low-power encryption algorithm (LEA) was released. This algorithm has certain useful features for hardware and software implementations, that is, simple addition, rotation, exclusive-or (ARX) operations, non-Substitute-BOX architecture, and 32-bit word size. In this study, we further improve the LEA encryptions for cloud computing. The Web-based implementations include JavaScript and assembly codes. Unlike normal implementation, JavaScript does not support unsigned integer and rotation operations; therefore, we present several techniques for resolving this issue. Furthermore, the proposed method yields a speed-optimized result and shows high performance enhancements. Each implementation is tested using various Web browsers, such as Google Chrome, Internet Explorer, and Mozilla Firefox, and on various devices including personal computers and mobile devices. These results extend the use of LEA encryption to any circumstance.

A lot of Internet of Things devices has resource-restricted environment, so it is difficult to implement the existing block ciphers such as AES, PRESENT. By this reason, there are lightweight block ciphers, such as SIMON, SPECK, and Simeck, support various block/key sizes. These lightweight block ciphers can support the security on the IoT devices. In this paper, we propose efficient implementation methods and performance results for the Simeck family block cipher proposed in CHES 2015 on an 8-bit ATmega128-based STK600 board. The proposed methods can be adapted in the 8-bit microprocessor environment such as Arduino series which are one of famous devices for IoT application. The optimized on-the-fly (OTF) speed is on average 14.42 times faster and the optimized OTF memory is 1.53 times smaller than those obtained in the previous research. The speed-optimized encryption and the memory-optimized encryption are on average 12.98 times faster and 1.3 times smaller than those obtained in the previous studies, respectively.

Modified Generalized Feistel Network (MGFN)는 말레이시아의 국가 암호화 정책과 국가 사이버 보안 정책에 맞추어 2023년에 제안된 블록암호이다. MGFN은 사물 인터넷(IoT) 환경에서의 경량화 요구사항을 충족시키기 위해 설계된 64비트 블록암호이며, 128비트 길이의 키 크기를 지원한다. 본 논문에서는 블록암호 MGFN의 구조를 분석하고 선형 공격법을 기반으로 암호 분석을 수행한다. 전체 라운드 MGFN에 대한 선형 구별자를 최초로 제안하며, 키 전수 조사법보다 효율적인 선형 공격법을 개발한다. 본 논문의 분석 결과를 통해 전체 라운드 블록암호 MGFN에 대한 선형 공격이 가능함을 보인다.

The Modified Generalized Feistel Network (MGFN) is a block cipher proposed in 2023 to align with Malaysia's national encryption policy and national cybersecurity policy. MGFN is a 64-bit block cipher designed to satisfy the lightweight requirements of the Internet of Things (IoT) environment and supports a key size of 128 bits. This paper analyzes the structure of the block cipher MGFN and performs linear cryptanalysis on it. This paper proposes, for the first time, a linear distinguisher for the full-round MGFN and develops a linear cryptanalysis method more efficient than exhaustive key search. The analysis results of this paper demonstrate that a linear cryptanaysis on the full-round block cipher MGFN is feasible.

본 논문에서는 경량 블록 암호인 PIPO-64/128, 256에 대해 T-table을 사용한 구현을 최초로 제시한다. 제안 방법은 최초 16개의 T-table을 요구하지만, 필요한 두 종류의 T-table이 순환 구조임을 보이고 T-table 개수를 줄여 구현하는 변형 방법을 추가로 제시한다. 제안 방법들의 T-table 수(코드 크기)-속도간 상충관계 분석을 위해 각각 변형 구현물을 Intel Core i7-9700K 프로세서 환경에서 평가한다. 평가를 통해 획득한 속도 최적화 구현은 TLU(Table-Look-Up) 레퍼런스 구현에 비해 PIPO-64/128, 256에서 각각 11.33, 9.31배, 비트 슬라이스(Bit Slice) 레퍼런스 구현에 비해 각각 3.31, 2.76배 향상된 속도를 갖는다.

In this paper, we presents for the first time an implementation using T-table for PIPO-64/128, 256 which are lightweight block ciphers. While our proposed implementation requires 16 T-tables, we show that the two types of T-tables are circulant and obtain variants implementations that require a smaller number of T-tables. We then discuss trade-off between the number of required T-tables (code size) and throughput by evaluating the throughput of the variant implementations on an Intel Core i7-9700K processor. The throughput-optimized versions for PIPO-64/128, 256 provide better throughput than TLU(Table-Look-Up) reference implementation by factors of 3.11 and 2.76, respectively, and bit-slice reference implementation by factors of 3.11 and 2.76, respectively.

본 논문에서는 32-bit RISC-V 프로세서 상에서 경량 블록 암호인 SIMECK과 SIMON의 카운터 운용 모드에 대한 최적 구현을 제안한다. CTR 운용 모드의 특징을 활용하여 일부 값을 사전 연산하는 라운드 함수 최적화, 단일평문 최적화와 2개의 평문 병렬 최적화를 제안한다. RISC-V 상에서의 SIMECK과 SIMON에 대한 선행 연구 결과가 존재하지 않기 때문에 단일 평문 최적화와 2개의 평문 병렬 최적화 구현물에 대해 사전 연산 기법이 적용된 구현물과 사전 연산이 적용되지 않은 구현물의 성능을 비교하였다. 결과적으로, 사전 연산 기법이 적용된 구현물은 사전 연산이 적용되지 않은 구현물 대비 모두 1%의 성능 향상을 확인하였다.

In this paper, we propose an optimal implementation of lightweight block ciphers, SIMECK and SIMON counter operation mode, on a 32-bit RISC-V processor. Utilizing the characteristics of the CTR operating mode, we propose round function optimization that precomputes some values, single plaintext optimization and two plaintext parallel optimization. Since there are no previous research results on SIMECK and SIMON on RISC-V, we compared the performance of implementations with and without precomputation techniques for single plaintext optimization and two plaintext parallel optimization implementations. As a result, the implementations to which the precomputation technique was applied showed a performance improvement of 1% compared to the implementations to which precomputation was not applied.

LEA는 2013년 국내에서 개발된 경량 블록암호이다. 본 논문에서는 블록 암호 운용 방식 중 CTR 운용 모드와 CTR 운용 모드를 활용하며 기밀성과 무결성을 제공하는 GCM 운용 모드의 구현을 진행한다. LEA-CTR의 최적화 구현은 CTR 운용 모드의 고정된 Nonce 값의 특성을 활용하여 사전 연산을 통한 연산 생략과 State 고정을 통해 State 간의 이동을 생략한 최적화 구현을 제안한다. 또한 제안 기법을 GCM 운용 모드에 적용 가능함을 보여주며, Galois Field(2¹²⁸) 곱셈 연산을 사용하는 GHASH 함수 구현을 통해 GCM 구현을 진행한다. 결과적으로 32-bit RISC-V상에서 제안하는 기법을 적용한 LEA-CTR의 경우 기존 연구 대비 2%의 성능 향상을 확인하였으며, 추후 다른 연구에서 성능 지표로 사용될 수 있도록 GCM 운용 모드의 성능을 제시한다.

LEA is a lightweight block cipher developed in Korea in 2013. In this paper, among block cipher operation methods, CTR operation mode and GCM operation mode that provides confidentiality and integrity are implemented. In the LEA-CTR operation mode, we propose an optimization implementation that omits the operation between states through the state fixation and omits the operation through the pre-operation by utilizing the characteristics of the fixed nonce value of the CTR operation mode. It also shows that the proposed method is applicable to the GCM operation mode, and implements the GCM through the implementation of the GHASH function using the Galois Field(2¹²⁸) multiplication operation. As a result, in the case of LEA-CTR to which the proposed technique is applied on 32-bit RISC-V, it was confirmed that the performance was improved by 2% compared to the previous study. In addition, the performance of the GCM operation mode is presented so that it can be used as a performance indicator in other studies in the future.

사물인터넷(IoT), 클라우드 컴퓨팅, 빅데이터 등의 확산으로 애플리케이션에 대한 고속 암호화의 필요성이 대두되고 있다. GPU 최적화는 GPU가 이론적으로 얻은 암호 분석 결과 또는 축소된 버전을 합리적인 시간에 검증하는데 사용될 수 있다. 본 논문에서는 다양한 환경에서 구현되고 있는 PIPO 경량암호를 대상으로 GPU 상에서 구현하였다. PIPO에 대한 무차별 대입 공격을 고려하여 최적 구현하였다. 특히 비트 슬라이싱 기법을 적용한 최적화 구현과 GPU 요소를 최대한 사용하였다. 결과적으로 제안 기법의 구현은 RTX 3060 환경에서 초당 약 195억의 처리량을 보여 이전 연구 보다 약 122배 높은 처리량을 달성하였다.

With the spread of the Internet of Things (IoT), cloud computing, and big data, the need for high-speed encryption for applications is emerging. GPU optimization can be used to validate cryptographic analysis results or reduced versions theoretically obtained by the GPU in a reasonable time. In this paper, PIPO lightweight encryption implemented in various environments was implemented on GPU. Optimally implemented considering the brute force attack on PIPO. In particular, the optimization implementation applying the bit slicing technique and the GPU elements were used as much as possible. As a result, the implementation of the proposed method showed a throughput of about 19.5 billion per second in the RTX 3060 environment, achieving a throughput of about 122 times higher than that of the previous study.

2002년 Chow 등은 공격자가 암호 알고리즘의 입출력뿐만 아니라 중간값을 관찰하거나 변조할 수 있는 능력을 가지는 화이트박스 모델을 정의하였다. 화이트박스 암호(White-Box Cryptography, WBC)는 화이트박스 모델에서 하드웨어나 설계의 기밀성에 의존하지 않고 소프트웨어만으로 암호 알고리즘 내 암호 키를 안전하게 보호하는 것을 목표로 한다. 그러나 Chow 등이 제안한 초기 테이블 참조 방식의 화이트박스 구현은 모두 안전하지 않음이 증명되었으며, 2022년 Ranea 등은 라운드 함수의 방정식을 저장하고 이를 풀어 출력을 구하는 새로운 방식의 음함수 화이트박스 구현을 제안하였다. 본 연구에서는 모바일 환경에 적합한 경량 블록 암호인 PIPO 알고리즘에 음함수 화이트박스 구현 방식을 적용하고, 이를 위한 화이트박스 모듈 생성기와 사용자의 암호화 모듈 연산 알고리즘을 제시한다. 또한, 기존의 연구되었던 PIPO 테이블 참조 화이트박스 구현과 메모리 사용량을 비교하고, PIPO 음함수 화이트박스 구현의 성능 및 안전성을 분석한다.

In 2002, Chow et al. introduced the white-box model, where an attacker can observe and manipulate not only the inputs and outputs of a cryptographic algorithm but also its intermediate values. White-Box Cryptography (WBC) aims to securely protect cryptographic keys within this model using software alone, without relying on secure hardware or on the secrecy of the design. However, the initial look-up table white-box implementations proposed by Chow et al. were proven insecure. In2022, Ranea et al. proposed a implicit white-box implementation, a new design of white-box implementation based on implicit functions, which represents round functions as implicit functions and computes outputs by solving these equations. This study applies the implicit white-box implementation to the lightweight block cipher PIPO, designed for mobile environments, and introduces algorithms for a white-box module generator and white-box encryption module operations. Furthermore, it compares the memory usage of look-up table and implicit PIPO white-box implementations and analyzes the performance of the implicit PIPO white-box implementation.

64비트 블록암호 IIoTBC는 산업용 IoT 기기의 보안을 목적으로 설계된 암호 알고리즘으로써 128비트의 비밀키를 사용한다. IIoTBC는 IoT에 사용되는 MCU 크기가 8비트인지 16비트인지에 따라 암호화 방식이 달라진다. 본 논문에서는 MCU의 크기가 8비트인 경우 IIoTBC에 대한 차분공격을 다룬다. IIoTBC의 14-라운드의 차분특성을 이용하여 전체 32-라운드 중 15-라운드를 공격한다. 이때 필요한 선택평문과 암호화 연산은 각각 2⁵⁷과 2^122.4이다. 본 논문에서 제시한 차분특성은 기존 13-라운드 불능차분 특성보다 긴 라운드를 가지며, 이를 이용한 공격은 IIoTBC에 대한 첫 키복구 공격 결과이다.

The 64-bit block cipher IIoTBC is an encryption algorithm designed for the security of industrial IoT devices and uses an 128-bit secret key. The IIoTBC's encryption algorithm varies depending on whether the MCU size used in IoT is 8-bit or 16-bit. This paper deals with a differential attack on IIoTBC when the MCU size is 8-bit. It attacks 15-round out of the entire 32-round using IIoTBC's 14-round differential characteristic. At this time, the number of required plaintexts and encryption are 2⁵⁷ and 2^122.4, respectively. The differential characteristic presented in this paper has a longer round than the existing 13-round impossible differential characteristic, and the attack using this is the result of the first key recovery attack on IIoTBC.

양자 컴퓨터의 발전 및 Shor 알고리즘, Grover 알고리즘과 같은 양자 알고리즘의 등장으로 인해 기존 암호의 안전성은 큰 위협을 받고 있다. 양자 알고리즘은 기존 컴퓨터에서 오랜 시간이 걸리는 수학적 작업을 효율적으로 할 수 있게 해준다. 이 특성은 수학적 문제에 의존하는 현대 암호 시스템이 깨지는 시간을 단축시킬 수 있다. 이러한 알고리즘을 기반으로 하는 양자 공격에 대비하기 위해서는 기존 암호를 양자회로로 구현해야 한다. 이미 많은 암호들은 양자회로로 구현되어 공격에 필요한 양자 자원을 분석하고 암호에 대한 양자 강도를 확인하였다. 본 논문에서는 LED 경량 블록암호에 대한 양자회로를 제시하고 양자회로의 각 함수에 대한 설명을 진행한다. 이후LED 양자회로에 대한 자원을 추정하고 다른 경량 블록암호와 비교하여 평가해보도록 한다.

The development of quantum computers and the emergence of quantum algorithms such as Shor's algorithm and Grover's algorithm pose a significant threat to the security of existing cipher systems. Quantum algorithms can efficiently perform mathematical operations that take a long time on traditional computers. This characteristic can significantly reduce the time it takes to break modern cipher systems that rely on mathematical problems. To prepare for quantum attacks based on these algorithms, existing ciphers must be implemented as quantum circuits. Many ciphers have already been implemented as quantum circuits, analyzing quantum resources required for attacks and verifying the quantum strength of the cipher. In this paper, we present quantum circuits for LED lightweight block ciphers and explain each function of quantum circuits. Thereafter, the resources for the LED quantum circuit are estimated and evaluated by comparing them with other lightweight block ciphers.

최근 세계적으로 사물인터넷 부문의 지출 성장이 높아짐에 따라 이를 암호화하기 위한 경량 블록 암호의 중요성 또한 높아지고 있다. ICISC 2020에 제안된 경량 블록 암호 PIPO 암호화 알고리즘은 Unbalanced bridge 구조를 이용한 SPN 구조의 암호이다. 화이트박스 공격 모델은 공격자가 암호화 동작의 중간값까지 알 수 있는 상태를 의미한다. 이를 대응하기 위한 기법으로 2002년 Chow 등은 화이트박스 구현 기법을 제안하여 DES와 AES에 적용하였다. 본 논문에서는 경량 블록 암호 PIPO 알고리즘에 화이트박스 구현 기법을 적용한 화이트박스 PIPO를 제안한다. 화이트박스 PIPO는 Chow 등이 제안한 화이트박스 AES 대비 테이블의 크기는 약 5.8배, 연산 시간은 약 17배 감소하였다. 또한, 모바일 보안제품에 화이트박스 PIPO를 활용하였으며 적용 범위에 따른 테스트 케이스 별 실험 결과를 제시한다.

With the recent increase in spending growth in the IoT sector worldwide, the importance of lightweight block ciphers to encrypt them is also increasing. The lightweight block cipher PIPO algorithm proposed in ICISC 2020 is an SPN-structured cipher using an unbalanced bridge structure. The white box attack model refers to a state in which an attacker may know the intermediate value of the encryption operation. As a technique to cope with this, Chow et al. proposed a white box implementation technique and applied it to DES and AES in 2002. In this paper, we propose a white box PIPO applying a white box implementation to a lightweight block cipher PIPO algorithm. In the white box PIPO, the size of the table decreased by about 5.8 times and the calculation time decreased by about 17 times compared to the white box AES proposed by Chow and others. In addition, white box PIPO was used for mobile security products, and experimental results for each test case according to the scope of application are presented.

BAKSHEESH는 GIFT-128을 기반으로 설계된 128비트 경량 블록암호로, 설계 논문에서는 차분 및 선형 분석 등 주요 고전적 암호분석에 대한 안전성이 분석되었으며, 이후 후속 연구를 통해 다양한 공격 모델로 분석 범위가 확장되었다. 그러나 후속 연구에서 제시된 연관키 차분 특성은 전체 차분 전파 과정에 대한 구체적인 정보가 충분히 제시되지 않아 라운드별 차분 전파를 확인하기 어려우며, 제시된 최적 확률의 정확성에 대한 검토가 필요하다. 본 논문에서는 SAT 기반 자동화 탐색을 통해 BAKSHEESH의 연관키 차분 특성을 재검토하고 기존 결과를 확장 및 개선한다. 분석 범위를 기존의 9라운드에서 14라운드까지 확장하여 10라운드 이상의 연관키 차분 특성을 최초로 제시하였으며, 그 결과 다수의 라운드에서 기존보다 높은 확률의 연관키 차분 특성을 도출하였다. 특히 본 논문에서 제시한 확률 2^-88의 14라운드 연관키 차분 특성은 현재까지 알려진 BAKSHEESH의 최적 확률을 갖는 최장 연관키 차분 특성에 해당한다.

BAKSHEESH is a 128-bit lightweight block cipher designed based on GIFT-128. Its design paper analyzed the security against major classical cryptanalysis, such as differential and linear cryptanalysis, and subsequent studies have since extended the analysis to a broader range of attack models. However, the related-key differential characteristics presented in the subsequent study do not provide sufficient information on the overall difference propagation, making it difficult to verify the round-by-round propagation, and the optimality of the reported probabilities requires further examination. In this paper, we revisit the related-key differential characteristics of BAKSHEESH through SAT-based automated search, extending and improving the existing results. We extend the analysis range from 9 rounds to 14 rounds, presenting related-key differential characteristics of 10 or more rounds for the first time, deriving related-key differential characteristics with higher probabilities than the existing results in many rounds. In particular, we present a 14-round related-key differential characteristic with probability 2^-88, which is the longest related-key differential characteristic with optimal probability for BAKSHEESH known to date.

블록암호 알고리즘의 안전성을 점검하거나 공격하는 대표적인 방법은 차분 공격과 선형 공격이다. 이 두 방법을 이용한 차분-선형 공격은 차분 구별자 및 선형 구별자가 서로 독립적이라 가정한 한계점이 있으며, 이를 보완하기 위한 도구로서 최근 DLCT (Differential Linear Connectivity Table)가 제안됐다[1]. 본 논문에서는 제안된 DLCT를 적용한 13-라운드 차분-선형 구별자를 이용해 15-라운드 RECTANGLE의 분석을 제시한다. 또한 2⁷⁹의 시간 복잡도와 2²⁴의 공간 복잡도를 통해 마스터 키 22 비트를 복구하는 자세한 키 복구 알고리즘을 제시한다.

Typical methods of checking or attacking the security of block cipher algorithms are differential cryptanalysis and linear cryptanalysis. Difference-linear cryptanalysis using these two methods have limitation assuming that the differential distinguisher and the linear distinguisher are independent of each other, and a Differential Linear Connectivity Table (DLCT) has recently been proposed as a tool to compensate for them[1]. This paper presents an analysis of block cipher 15-round RECTANGLE through a 13-round differential-linear distinguisher using the proposed DLCT. Also we present a detailed key recovery algorithm that recovers master key 22 bits through 2⁷⁹ time complexity and 2²⁴ memory complexity.

본 논문에서는 2008년에 제안된 대칭구조 SPN 블록 암호 알고리즘에 대한 차분 오류 공격을 제안한다. 이 알고리즘은 암호화 과정과 복호화 과정이 동일한 SPN 구조 블록 암호 알고리즘이다. 본 논문에서 소개하는 공격은, 1개의 랜덤 바이트 오류와 $2^8$의 전수조사를 이용하여, 타깃 알고리즘의 128-비트 비밀키를 복구한다. 본 논문의 공격 결과는 대칭구조 SPN 블록 암호 알고리즘에 대한 첫 번째 공격 결과이다.

In this paper, we propose a differential fault analysis on symmetry structured SPN block cipher proposed in 2008. The target algorithm has the SPN structure and a symmetric structure in encryption and decryption process. To recover the 128-bit secret key of the target algorithm, this attack requires only one random byte fault and an exhaustive search of $2^8$. This is the first known cryptanalytic result on the target algorithm.

본 논문에서는 경량 블록 암호 PIPO에 대한 인테그랄 구별자(integral distinguisher)을 탐색한 결과를 통해 8-라운드 PIPO-64/128에 대한 키 복구 공격을 수행한다. ICISC 2020에서 제안된 경량 블록 암호 PIPO는 고차 마스킹 구현을 고려한 설계를 통해 부채널 공격에 대한 저항성을 갖는 효율적인 구현이 가능하다. 동시에 차분 분석, 선형 분석 등의 다양한 분석법을 적용하여 PIPO의 안전성을 보였다. 그러나 인테그랄 공격에 대해, 5-라운드 이상의 인테그랄 구별자가 존재하지 않을 것이라고 제안되었을 뿐 인테그랄 공격에 대한 안전성 분석은 현재까지 수행된 바 없다. 본 논문에서는 MILP 기반 Division Property를 통해 PIPO에 대한 인테그랄 구별자를 탐색하는 방법을 제시하고, 기존의 결과와 달리 6-라운드 인테그랄 구별자가 존재함을 보인다. 뿐만 아니라, PIPO의 라운드 함수 구조를 활용하여 입출력에 대한 선형 변환을 고려하는 인테그랄 구별자 탐색 방법을 통해 총 136개의 6-라운드 인테그랄 구별자를 제시한다. 마지막으로, 획득한 6-라운드 인테그랄 구별자 중 4개를 이용하여 2^124.5849의 시간 복잡도와 2⁹³의 메모리 복잡도를 가지는 8-라운드 PIPO-64/128 키 복구 공격을 제안한다.

In this paper, we search integral distinguishers of lightweight block cipher PIPO and propose a key recovery attack on 8-round PIPO-64/128 with the obtained 6-round distinguishers. The lightweight block cipher PIPO proposed in ICISC 2020 is designed to provide the efficient implementation of high-order masking for side-channel attack resistance. In the proposal, various attacks such as differential and linear cryptanalyses were applied to show the sufficient security strength. However, the designers leave integral attack to be conducted and only show that it is unlikely for PIPO to have integral distinguishers longer than 5-round PIPO without further analysis on Division Property. In this paper, we search integral distinguishers of PIPO using a MILP-aided Division Property search method. Our search can show that there exist 6-round integral distinguishers, which is different from what the designers insist. We also consider linear operation on input and output of distinguisher, respectively, and manage to obtain totally 136 6-round integral distinguishers. Finally, we present an 8-round PIPO-64/128 key recovery attack with time complexity 2^124.5849 and memory complexity of 2⁹³ with four 6-round integral distinguishers among the entire obtained distinguishers.