AES的循环性

Question

众所周知，AES是非常安全的，它的最高标准(AES-256)能够保护大多数政府的国家机密。由于其步骤的性质，存在一个关于其周期性的问题，或者它需要使用相同密钥的完整加密多少次才能返回明文，假设变体是AES-ECB-128 NoPadding，只有一个完整的明文块。

Answer 1

人们普遍认为，在您描述的迭代模式下，AES的行为就像f:\{0,1\}^n \rightarrow \{0,1\}^n与n=128的随机映射。这样的映射将期望(平均)rho长度等于

\sqrt{\pi 2^n/2},

以及期望的最大rho长度(如果起点x_0以f迭代图中最长的rho模式结束)

2.4149 \sqrt{2^n},

这只是一个常数因子大于预期的数量。

rho长度是N的最小迭代次数，从带有x_1=E_K(x_0),、x_2=E_K(x_1),等的随机明文x_0开始，一直到x_{N-1}=E_K(x_{N-2})=x_j (对于某些j\in \{0,1,\ldots,N-2\}，在f(x)=E_K(x)中)。

参见Flajolet和Odlyzko于20世纪80年代末在欧洲地窖( Eurocrypt )发表的论文( 这里 )。

注意:使用rho长度这个术语是因为迭代在到达已经看到的点之前所采用的泛型\rho形状。