什么规则(S)对一个好S盒子是违反的，它与非线性等有什么关系？

Question

我生成了这个单周期的替换框，我想把它作为一个例子来理解一个好的S盒子会是什么样子。我有种感觉，这个特别的是软弱的。这里是(输入的上四位与行匹配，下四位与列匹配)：

AC 17 FB CB 60 93 35 50 F7 83 DF B3 8B 66 25 05
9B 16 0E 96 04 2A 95 62 FD 43 BE 37 4D 38 D9 07
E7 9C 80 3F D2 8E BA 1E 2F 36 F4 2E 2B AF A8 5A
9E 4C C0 19 82 3B 30 E9 4E DE 01 C8 15 8D 20 0B
39 CA E6 D0 F6 E3 57 D6 A3 1B 03 69 81 CE 22 AD
31 5E 57 34 70 A8 68 09 F2 B9 EA 6A 02 3E 21 78
C6 86 2C 85 6F D3 5C 2D 24 FF 92 D4 CF 18 4F B7
C5 12 FE 51 B1 B4 1C A1 97 40 C4 2F 47 F1 0A DA
F3 A2 8A 29 EE 10 32 F0 3D 48 D7 E8 6D A4 26 DC
B8 FC 91 DB A7 49 0C 5B 9F 13 F8 76 6C 11 73 58
B0 67 CD 88 44 27 75 D5 FA 8C 58 AE 14 7F 0F BB
B5 B6 46 E2 89 A6 63 08 E1 5F 1F 9D F9 98 64 79
4B 1A 42 AC D1 59 61 41 87 EB 77 A0 C2 DD CC 74
45 7D B2 8F C1 E5 99 C7 7E 3A 7B E4 F9 6E A5 7A
1D 53 56 ED 0D EC C9 71 C3 65 AB 06 EF 3C A7 5D
E0 7C 90 9A D8 06 23 A9 54 33 4A BF BD 72 84 6B

我注意到几件事：

• 在一些地方，输出的上四位与表中字节的上四位或下四位匹配。也有一些是低四位匹配的。
• 在一些地方，输出的下四位与表中的左或右输出的下四位匹配。上四位也是如此。

我对S盒子的建筑艺术不太熟悉，但我觉得这是一个很差的艺术。

我想知道的是:一个好的S盒子是违反什么规则的，它和非线性有什么关系？

更新#1

里奇框架指出，上面的S盒不是双向的.以下是正确的答案：

AC 17 FB CB 60 93 35 50 F7 83 DF B3 8B 66 25 05
9B 16 0E 96 04 2A 95 62 FD 43 BE 37 4D 38 D9 07
E7 9C 80 3F D2 8E BA 1E 2F 36 F4 2E 2B AF 55 5A
9E 4C C0 19 82 3B 30 E9 4E DE 01 C8 15 8D 20 0B
39 CA E6 D0 F6 E3 52 D6 A3 1B 03 69 81 CE 22 AD
31 5E 57 34 70 A8 68 09 F2 B9 EA 6A 02 3E 21 78
C6 86 2C 85 6F D3 5C 2D 24 FF 92 D4 CF 18 4F B7
C5 12 FE 51 B1 B4 1C A1 97 40 C4 28 47 F1 0A DA
F3 A2 8A 29 EE 10 32 F0 3D 48 D7 E8 6D A4 26 DC
B8 FC 91 DB A7 49 0C 5B 9F 13 F8 76 6C 11 73 AA
B0 67 CD 88 44 27 75 D5 FA 8C 58 AE 14 7F 0F BB
B5 B6 46 E2 89 A6 63 08 E1 5F 1F 9D F9 98 64 79
4B 1A 42 00 D1 59 61 41 87 EB 77 A0 C2 DD CC 74
45 7D B2 8F C1 E5 99 C7 7E 3A 7B E4 BC 6E A5 7A
1D 53 56 ED 0D EC C9 71 C3 65 AB F5 EF 3C 94 5D
E0 7C 90 9A D8 06 23 A9 54 33 4A BF BD 72 84 6B

它仍然存在着我以前注意到的同样的问题。

Answer 1

我有一个软件工具来分析S盒的基本微分和线性性质.

将S框提交给我的工具将产生以下输出：

最可能的微分特性(S)：1 -> 215，概率10/256 (xor -> xor) (重量1 -> 6)线性: 18.0 ((166,166))

微分概率

因此，我们可以看到，最有可能的差别是，1的差将输出215的差值，概率为10/256。所使用的差异类型是xor，可以使用其他函数，例如尝试查找其他差异。概率为10/256的微分并不可怕，但可能会更好。作为参考，AES S盒的最大微分概率为4/256。

线性

线性密码分析类似于差分密码分析，但对许多人来说，其原因可能稍微复杂一些。“线性”值表示到最近的线性函数的距离。S盒越接近线性函数，它就越容易被攻击。同样，你给出的S盒的值是中等好的，但也没有AES S盒那么好，它的线性值为16.0。

对

的进一步理解

为了真正理解上述内容，我建议这一资源用于研究差动和线性密码分析。这是一个相对温和的介绍，与一份关于这一主题的实际论文相比。我在学习这些教程的同时，开发了分析S盒的软件。

Answer 2

您对S框有多个问题，这意味着Ella正在使用的软件正在产生错误的结果。

微分均匀度确实为10，但非线性仅为93，线性度为35。您还有一个AutoCorrelation为100和SSI为283888，这两个值都高于最佳值。

问题是你没有双射S盒，有些元素丢失了，有些元素被复制了.

你的S盒不见了: 0x00，0x28，0x52，0x55，0x94，0xAA，0xBC，0xF5

它还有以下两个: 0x06，0x2F，0x57，0x58，0xA7，0xA8，0xAC，0xF9

这就是我认为基于有限场反演的“好”S盒，它是我在快速算法生成的范围内所能产生的最好的结果之一：

A2 B8 4F 8C 29 EC 68 82 CD D9 EB 1D D0 CF A9 36
41 BF 57 72 65 E1 23 AE A3 37 3C 84 2F CC A8 9E
39 25 03 1B 07 2E DA 70 90 FB D3 CE 5F 6D E8 EF
5A 83 4E 58 99 3B 66 C3 24 6C 86 BE 62 64 F8 A5
02 B4 97 63 E6 F7 BD 04 E9 D7 8B A0 94 67 1C D8
2C 27 76 34 13 1E 0C 79 19 52 C5 9A AD 00 74 15
05 89 8A 11 D1 DE 54 18 DD 1F 4D 61 6E 9C C8 B7
FC 43 FD C9 4B 7E EE 28 C1 3A 7B 53 31 5E C7 C2
0E 5D 80 40 5B 95 75 9D B3 FA 30 77 44 92 F0 14
46 AB 6A E2 AF 2A 1A 59 AA E4 DF BC 48 42 51 71
A4 F4 98 0A EA A7 06 F6 9B 3D 35 0F 0B 2D 7A 21
C0 22 CB 45 D5 8D F1 78 D4 3F 26 DB D6 AC F5 91
60 87 81 E7 01 3E 2B BA F3 7D A6 09 8F E5 20 8E
32 FF 49 5C B6 E0 BB 69 33 9F DC ED 73 4A B1 0D
4C D2 FE 96 16 B2 7C B5 56 CA B0 6B 50 E3 A1 C6
F9 08 85 B9 47 C4 38 12 93 6F 88 7F 55 10 17 F2