2013 के अंत में, मानकीकरण के लिए तकनीकी समिति "क्रिप्टोग्राफिक सूचना सुरक्षा" (टीसी 26), रूसी संघ के क्रिप्टोग्राफी अकादमी और ओजेएससी "इंफोटेक्स" ने राष्ट्रीय .प्लान्ट मानक GOST R 34.11-2012 के क्रिप्टोनालिसिस के लिए एक प्रतियोगिता की घोषणा की। प्रतियोगिता की स्थितियों का विस्तृत विवरण वेबसाइट www.streebog.info पर प्रकाशित किया गया है। इस प्रकार, यह माना जा सकता है कि इस क्रिप्टोकरंसी के विश्लेषण पर मौजूदा काम क्रिप्टोकरंसी के लिए बढ़ी हुई रुचि का विषय बन गया है, क्योंकि वे GOST R 34.11-2012 एल्गोरिथ्म के आगे के अध्ययन के लिए शुरुआती बिंदु हैं।
वर्तमान में, कई कार्य GOST R 34.11-2012 के क्रिप्टोनालिसिस पर जाने जाते हैं। लेकिन यह ज़ोंगयु वांग, हॉंगबो यू और ज़ायोयुन वांग " गोस्ट आर हैश फंक्शन के क्रिप्टोनालिसिस " के काम में ठीक है कि इस एल्गोरिदम पर सबसे प्रभावी हमले प्रस्तावित हैं। इसलिए, मेरी राय में, यह काम इस विषय पर कामों में सबसे बड़ी रुचि है; मैं इसका अनुवाद आपके ध्यान में प्रस्तुत करता हूं।
अनुवाद हैशिंग मानकों के मूल नामों को बरकरार रखता है: नाम "GOST" 1994 मानक GOST R 34.11-94 को संदर्भित करता है, और "GOST R" कार्य में अध्ययन किए गए GOST R 34.11-2012 एल्गोरिदम को दर्शाता है।
कार्य का अनुवाद और लेखकों की अनुमति से रूसी में प्रकाशित किया गया है।

अमूर्त

GOST R रूस में हैश फ़ंक्शन के लिए मानक है। यह कार्य GOST R क्रिप्टोनालिसिस के कुछ परिणाम प्रस्तुत करता है। रिबाउंड हमलों के तरीकों का उपयोग करके, हमने ऐसे हमले प्राप्त किए हैं जो हमें कम संख्या में राउंड के साथ संपीड़न फ़ंक्शन के टकरावों को खोजने की अनुमति देते हैं। ^2,176 परिचालनों की श्रमसाध्यता और ^2,128 बाइट्स की स्मृति आवश्यकताओं के साथ 9.5 राउंड के लिए एक हमले का प्रस्ताव है। इस हमले के आधार पर, एक विभेदक प्रस्तावित है ( नोट अनुवाद ।: एक विभेदक एक एल्गोरिथ्म है जो आपको एक यादृच्छिक रूप से और समान रूप से संभावित फ़ंक्शन से एक हमले समारोह को भेद करने की अनुमति देता है)। इसके अलावा, GOST R के 512-बिट संस्करण के लिए k- टकराव के निर्माण की एक विधि प्रस्तुत की गई है, जो GOST R में उपयोग की जाने वाली संरचना की कमजोरी को दर्शाता है। हमारे ज्ञान के लिए, ये GOST R के विश्लेषण के पहले परिणाम हैं।
कीवर्ड : हैश फंक्शन, GOST R, रिबाउंड अटैक, मल्टीकॉलेक्शन।

1. परिचय

हैश फ़ंक्शंस क्रिप्टोग्राफी में एक महत्वपूर्ण भूमिका निभाते हैं और कई अनुप्रयोगों में उपयोग किए जाते हैं, जैसे इलेक्ट्रॉनिक हस्ताक्षर, प्रमाणीकरण और डेटा अखंडता। MD5 और SHA-1 एल्गोरिदम [1, 2] को हैक करने के बाद से, क्रिप्टोग्राफर्स लगातार और कुशल हैक्स कार्यों की खोज कर रहे हैं। GOST एल्गोरिथ्म का उत्तराधिकारी, GOST R रूस में हैश मानक है [3]। व्हर्लपूल [4] की संरचना में भी ऐसा ही है, यह अपने संपीड़न समारोह में एईएस-जैसे ब्लॉक सिफर का भी उपयोग करता है।
रिबाउंड हमला स्वतंत्रता प्रौद्योगिकी की एक डिग्री है जिसका उपयोग क्रमपरिवर्तन और ब्लॉक सिफर दोनों के आधार पर हैशिंग एल्गोरिदम के लिए टकराव खोजने के लिए किया जा सकता है। इस तकनीक को पहले मेंडल एट अल द्वारा प्रस्तावित किया गया था। छंटनी वाले व्हर्लपूल और ग्रोस्टल एल्गोरिदम [5] के लिए टकराव खोज हमलों को उत्पन्न करने के लिए। इसका उद्देश्य उन मानों के जोड़ों की कुशलता से खोज करना है जो पूर्वनिर्धारित छंटनी वाले अंतर से मेल खाते हैं। खोज प्रक्रिया को दो चरणों में विभाजित किया गया है: आंतरिक (भीतर का) चरण और बाहरी (आउटबाउंड) चरण। आंतरिक चरण में, हमलावर स्वतंत्रता की उपलब्ध डिग्री का पूरा उपयोग करता है और शुरू के बिंदुओं के रूप में उपयोग किए जाने वाले आंतरिक चरण के अलग-अलग अंतर को पूरा करने वाले मूल्यों के कुछ जोड़े उत्पन्न करता है। इसके बाद, बाहरी चरण में, इन आरंभ बिंदुओं को उन मानों के जोड़ों को खोजने के लिए जांचा जाता है जो बाहरी चरण के अलग-थलग पड़े हुए अंतर को पूरा करते हैं।
लैंबर्गर एट अल। [6] में इस तकनीक को मजबूत किया और व्हर्लपूल के लिए बेहतर परिणाम प्राप्त किए। प्रमुख योजना में स्वतंत्रता की उपलब्ध डिग्री का उपयोग रिबाउंड हमले के आंतरिक चरण को दो राउंड तक बढ़ाने के लिए किया जाता है। [६] के सर्वश्रेष्ठ परिणाम ^२.१ compression६ की जटिलता के साथ 9.5-राउंड संपीड़न फ़ंक्शन के लिए निकट-टक्कर हैं। यह परिणाम तब व्हर्लपूल एल्गोरिथ्म के पूर्ण 10-राउंड संपीड़न फ़ंक्शन के लिए पहली भेदभाव एल्गोरिथ्म का निर्माण करने के लिए उपयोग किया गया था। उसी समय, गिल्बर्ट एट अल ने [7] में पलटाव के हमलों के लिए सुपर-सॉक्स तकनीक का प्रस्ताव रखा, जहां एईएस-जैसे परिवर्तनों के दो दौर को विस्तारित प्रतिस्थापन के एक स्तर के रूप में माना गया। इसके अलावा, एईएस और एईएस-जैसे ब्लॉक सिफर [8, 9] के साथ-साथ एआरएक्स साइफर ( नोट ट्रांसलेशन) का विश्लेषण करने के लिए एक रिबाउंड हमले का भी इस्तेमाल किया जा सकता है: एआरएक्स ऐड-रोटेट-एक्सोर का संक्षिप्त नाम है, ये ऑपरेशन हैं। ARX ​​सिफर में बुनियादी)। [10]। हाल ही में, अनुकूलित रिबाउंड हमले की तकनीक का उपयोग करते हुए, ड्यूक एट अल [11] में केकेक के लिए विभेदित अंतर विशेषताओं का निर्माण किया।
हैश फ़ंक्शंस के लिए टकराव खोजने के विकल्प के रूप में, जॉक्स ने [12] में बहुविविध निर्माण के लिए एक विधि प्रस्तावित की। उन्होंने दिखाया कि एक पुनरावृत्त हैश फ़ंक्शन के लिए, मल्टीकोलिज़न की खोज एकल टकराव की खोज की तुलना में अधिक जटिल नहीं है। इस विधि का उपयोग अधिकांश मामलों में एक हैश फ़ंक्शन की संरचना की स्थिरता का विश्लेषण करने के लिए किया जा सकता है।

1.1। हमारा योगदान

GOST R और व्हर्लपूल संरचनाओं के बीच समानता के कारण, व्हर्लपूल विश्लेषण के लिए [6] में इस्तेमाल किए जाने वाले रिबाउंड हमले को GOST R पर भी लागू किया जा सकता है। हालांकि, GOST R, AES जैसी संरचनाओं में ShiftRows ऑपरेशन के बजाय मैट्रिक्स क्रमचय का उपयोग करता है। हम दिखाएंगे कि यह अंतर अधिक भेद्यता की ओर ले जाता है।
इस पत्र में, हम GOST R. के विश्लेषण के पहले परिणामों को प्रस्तुत करते हैं। अधिक सटीक रूप से, [6] में दिए गए समान रिबाउंड हमले के तरीकों का उपयोग करते हुए, हमने 4.5, 5.5, 7.5 और 9.5 के लिए टक्कर के खोज हमले प्राप्त किए। GOST R कम्प्रेशन फंक्शन राउंड। GOST R कम्प्रेशन फंक्शन के लिए हमारे टकराव सर्च अटैक टेबल में दिए गए हैं। 1. हमने आगे दिखाया कि 9.5 राउंड के हमले को बाद में 10-राउंड डिस्क्रिमिनेटर में बदला जा सकता है। इसके अलावा, हमने GOST R के पूर्ण 512-बिट संस्करण के लिए मल्टीकोलॉजी के निर्माण के लिए एक विधि प्रस्तावित की। इस परिणाम से पता चलता है कि GOST R में प्रयुक्त संरचना आदर्श नहीं है।

टेबल। 1. GOST आर के संपीड़न समारोह के लिए सारांश परिणाम। कोष्ठक में इंगित संसाधन तीव्रता पूर्व-गणना तालिका का उपयोग करके संशोधित हमलों को संदर्भित करता है, जिसे भरने के लिए 2 ¹²⁸ यूनिट समय और मेमोरी की आवश्यकता होती है।

राउंड	श्रम इनपुट / मेमोरी	टाइप	विवरण
4.5	2 64/2 16	टक्कर	धारा 3.3
5.5	2 64/2 64	टक्कर	धारा 3.4
7.5	2 128/2 16	टक्कर	धारा 3.5
9.5	2 240/2 16 (2 176/2 128 )	टक्कर	धारा 3.6

1.2। काम की सामग्री

इस कार्य का सारांश: अध्याय 2 में हम GOST आर के हैश फ़ंक्शन का संक्षेप में वर्णन करते हैं। फिर हम अध्याय 3 में पलटाव हमले का विस्तृत विवरण देते हैं; अध्याय 4 में एक विवेचक का वर्णन किया जाएगा। अध्याय 5 में हम बहुविविध निर्माण के लिए एक विधि का परिचय देंगे। अंत में, अध्याय 6 में, हम कार्य को सारांशित करते हैं।

2. GOST R का हैश फंक्शन

GOST R रूस में एक हैश मानक है [3]। यह 512 बिट्स के संदेश ब्लॉक को संसाधित करता है और 512- या 256-बिट हैश मानों की गणना करता है। एक एल- बिट संदेश पहले 512 बिट्स के कई में गद्देदार होता है। संदेश के अंत में एक एकल बिट जोड़ा जाता है; इसके बाद 512 - 1 - ( l mod 512) शून्य बिट्स होता है। M = M _t || एम _{टी -1} || ... || एम ₁ एक संदेश है जो बड़े ब्लॉक-एंडियन रूप में प्रस्तुत किए जाने के बाद टी ब्लॉक से मिलकर बनता है । फिर, जैसा कि अंजीर में दिखाया गया है। 1, एच ( एम ) की गणना निम्नानुसार वर्णित की जा सकती है:


अंजीर। 1. GOST R का हैश फंक्शन


जहां IV एक पूर्व निर्धारित प्रारंभिक मूल्य है, और रिंग में जोड़ ऑपरेशन को दर्शाता है । जी _एन ( एच , एम ) GOST आर एल्गोरिथ्म का एक संपीड़न कार्य है, जो 512-बिट ब्लॉक सिफर पर आधारित है और इसकी गणना निम्न प्रकार से की जाती है:

GOST R में प्रयुक्त ब्लॉक सिफर E एक एईएस वैरिएंट है जो 64-बाइट स्टेटस को अपडेट करता है (8 x 8 एरे के रूप में दर्शाया गया है - स्टेट को GF (2) फील्ड में 64 x 64 के रूप में भी दर्शाया जा सकता है) और 12 राउंड प्रदर्शन करते हुए एक राउंड की। प्रत्येक राउंड में, राज्य को एक राउंड ट्रांसफॉर्मेशन r _i के अनुसार अपडेट किया जाता है:

गोल रूपांतरण में निम्न शामिल हैं:

• नॉनलाइनियर ट्रांसफ़ॉर्मेशन एस का स्तर, जिस पर एक टेबल प्रतिस्थापन स्वतंत्र रूप से प्रत्येक स्टेटस बाइट पर लागू होता है;
• बाइट क्रमचय पी , राज्य मैट्रिक्स के तत्वों को फिर से व्यवस्थित करना;
• रैखिक परिवर्तन एल , जो कि जीएफ (2) क्षेत्र में 64 x 64 मैट्रिक्स ए द्वारा प्रत्येक स्टेटस लाइन के दाईं ओर एक स्वतंत्र गुणन है;
• ऑपरेशन X [ k _{i +1} ] ऑपरेशन XOR द्वारा राज्य पर गोल कुंजी k _{i +1} का सुपरपोज़िशन प्रदर्शन कर रहा है।

राउंड की k _की गणना निम्न प्रकार _{से की} जाती है:

जहाँ C _मैं GOST R एल्गोरिथ्म के स्थिरांक हैं, और प्रारंभिक मूल्य k ₁ को इस रूप में परिभाषित किया गया है
राज्य को अपडेट करने वाले अंतिम दौर के बाद, ब्लॉक सिफर ई का आउटपुट मूल्य, पिछला राज्य मान h _{j -1} और संदेश ब्लॉक M _j को एक्सओआर ऑपरेशन द्वारा संपीड़न फ़ंक्शन के आउटपुट मूल्य के रूप में संयोजित किया जाता है।
हम R _{i +1 के} रूप में राउंड ट्रांसफॉर्मेशन r _i के परिणाम को निरूपित करते हैं, और रूपांतरण एस , पी और एल के रूप में मध्यवर्ती राज्यों के बाद क्रमशः आर _आई ^एस , आर _आई ^पी और आर _आई ^एल। प्रारंभिक अवस्था ।

3. GOST आर संपीड़न समारोह पर पलटाव हमला

रिबाउंड हमला एक हैश फ़ंक्शन विश्लेषण तकनीक है जिसे पहले मेंडल एट अल द्वारा प्रस्तावित किया गया था। [5] ग्रोस्टल और व्हर्लपूल पर राउंड की एक छोटी संख्या के साथ हमला करने के लिए। इस तकनीक का मुख्य विचार कम संभावना वाले टुकड़ों से मिलान करने के लिए स्वतंत्रता की उपलब्ध डिग्री का उपयोग करके एक अंतर पथ का निर्माण करना है। आमतौर पर इसमें एक आंतरिक चरण होता है, जिसमें मैच-इन-द-बीच मिलान और बाद में संभावित बाहरी चरण शामिल होते हैं।
रिबाउंड तकनीक का उपयोग करते हुए, हम 4.5 और 5.5-गोल GOST R संपीड़न फ़ंक्शन के लिए टकराव पाते हैं। इसके अलावा, कुंजी विस्तार योजना की स्वतंत्रता की उपलब्ध डिग्री का उपयोग करते हुए, जैसा कि [6] में, हम 7.5 के लिए टकराव के परिणामों को मजबूत करते हैं और 9.5 गोल।

3.1। मूल प्रतिक्षेप हमला

एक रिबाउंड हमले में, संपीड़न फ़ंक्शन में उपयोग किए जाने वाले ब्लॉक सिफर या हैश फ़ंक्शन क्रमांकन को तीन घटकों में विभाजित किया गया है। बता दें कि E एक ब्लॉक सिफर है । रिबाउंड हमले को दो चरणों में विभाजित किया गया है:

• आंतरिक चरण : यह चरण ई _में कई चयनित इनपुट / आउटपुट अंतर के साथ शुरू होता _है , जो आगे और रिवर्स दिशाओं में लाइन स्तर के माध्यम से प्रचारित करता है। फिर, वास्तविक मूल्यों के सभी संभावित जोड़े उत्पन्न होते हैं जो आवश्यक अंतर को पूरा करते हैं और सारणीबद्ध प्रतिस्थापन के एक स्तर के बाद मतभेदों के अनुरूप होते हैं। ये वास्तविक मूल्य जोड़े बाहरी चरण के लिए शुरुआती बिंदु हैं।
• बाहरी चरण : आंतरिक चरण के मिलान जोड़े का उपयोग वांछित टकरावों या निकट-टकरावों को प्राप्त करने के लिए ई _fw और ई _{bw के} माध्यम से आगे और रिवर्स दिशाओं में गणना में किया जाता है। आमतौर पर, ई _fw और ई _bw में कम संभावना है, इसलिए अधिक प्रारंभिक बिंदु प्राप्त करने के लिए आंतरिक चरण को दोहराना आवश्यक है।

3.2। एक पलटाव हमले के लिए प्रारंभिक गणना

GOST R एल्गोरिथ्म पर रिबाउंड हमले का वर्णन करने से पहले, हम संक्षेप में इसके रैखिक परिवर्तन एल और संपीड़न समारोह के सारणीबद्ध प्रतिस्थापन के कुछ गुणों का वर्णन करते हैं।

• एल में अंतर प्रसार : चूंकि एल एक रैखिक परिवर्तन है, एल में एक निश्चित इनपुट अंतर एक निश्चित आउटपुट अंतर की ओर जाता है। चूंकि L स्वतंत्र रूप से प्रत्येक स्टेटस लाइन पर कार्य करता है, इसलिए एक निश्चित लाइन का आउटपुट अंतर केवल इस लाइन के इनपुट अंतर पर निर्भर करता है। यदि स्ट्रिंग का एक भी सक्रिय बाइट है, तो एल रूपांतरण हमेशा आठ सक्रिय बाइट्स में परिणामित करता है, आगे और पीछे दोनों दिशाओं में, सक्रिय बाइट की स्थिति की परवाह किए बिना।
• विभेदक गुण S : कुछ के लिए समानता के समाधान की संख्या

वहाँ केवल 0, 2, 4, 6, 8, और 256 हो सकते हैं, जो क्रमशः 38235, 22454, 4377, 444, 25 और 1 की आवृत्ति के साथ होता है। औसतन, एक यादृच्छिक रूप से चयनित अंतर ( ए , बी ) के लिए, एक समाधान के रूप में एक मूल्य खोजने की उम्मीद कर सकते हैं। और 256 x 256 इनपुट / आउटपुट अंतर तालिका मामूली गणना के साथ समाधान खोजने में मदद कर सकती है।

3.3। GOST R 4.5-राउंड कम्प्रेशन फंक्शन के लिए टक्कर का पता लगाना

इस खंड में, हम GOST R एल्गोरिथ्म के संपीड़न फ़ंक्शन पर एक पलटाव हमले के उपयोग का वर्णन करते हैं जिसे 4.5 राउंड में काट दिया गया है। हमले का मूल सक्रिय एस-बॉक्स के निम्नलिखित अनुक्रम के साथ एक 4-गोल अंतर पथ है:



अंजीर। 2. GOST R. के सक्रियण बाइट्स के संपीड़न समारोह के 4.5 राउंड पर हमले के योजनाबद्ध प्रतिनिधित्व को काले रंग में हाइलाइट किया गया है

एक पलटाव हमले में, हम मुख्य रूप से ब्लॉक सिफर ई को तीन उप-सिफर में विभाजित करते हैं । जैसा कि अंजीर में दिखाया गया है। 2, अंतर पथ का सबसे संसाधन-गहन हिस्सा आंतरिक चरण में छिपा हुआ है। ई _में अंतर पथ को संरक्षित करने के लिए स्वतंत्रता की उपलब्ध डिग्री का उपयोग किया जाता _है ।

3.3.1। आंतरिक चरण

आंतरिक चरण के पहले चरण में, हम आर ₂ ^पी और आर ₃ ^एल के चरणों में एक ही समय में 8-बाइट अंतर के साथ शुरू करते हैं और क्रमशः आर ₃ और आर ₃ ^{एस पर} आगे और पीछे बढ़ते हैं (चित्र 2 देखें)। धारा 3.2 में वर्णित ऑपरेशन एल के अंतर के प्रसार गुणों के अनुसार, हम आर ₃ और आर ₂ ^एस दोनों में पूरी तरह से सक्रिय राज्य प्राप्त करते हैं ^।
आंतरिक चरण के दूसरे चरण में, हम इनपुट / आउटपुट अंतर के उपयुक्त संयोजन को खोजने के लिए r ₃ में स्तर S पर एक मैच की खोज करते हैं। जैसा कि धारा 3.2 में दिखाया गया है, हम दिए गए अंतर पथ के लिए औसत एक समाधान खोजने की उम्मीद करते हैं। यह ध्यान देने योग्य है कि कुल में ^2,128 अलग-अलग अंतर पथ हैं, और हम आर ₃ और आर ₃ ^{एस के} लिए ^2,128 वास्तविक मूल्यों से अधिक नहीं प्राप्त कर सकते हैं ^। चूँकि k ₃ का कोई मूल्य हो सकता है, इसलिए आरंभिक अंकों की अधिकतम संख्या 2 ^{128 + 512} = 2 ^{640 है} ।

3.3.2। बाहरी चरण

बाहरी चरण में, हम आंतरिक चरण में विकसित शुरुआती बिंदुओं का उपयोग करते हैं और आगे और रिवर्स दिशाओं में उनके मूल्यों को संसाधित करते हैं। जैसा कि अंजीर में दिखाया गया है। 2, आर ₂ ^पी और आर ₃ ^एल में अंतर क्रमशः आर ₁ और आर ₅ ^पी में पहले कॉलम में मतभेद पैदा करते हैं।
पिछले चरण में उत्पन्न मानों का उपयोग करके आप आसानी से GOST R कम्प्रेशन फंक्शन के लिए 4.5 राउंड तक टकरा सकते हैं। जैसे , h और k के समान मूल्यों के लिए, m और E ( k , m ) के लिए समान अंतर हमेशा टकराव की ओर जाता है। बाहरी चरण में उत्पन्न मूल्यों की एक जोड़ी के लिए, अंतर 2 ^-64 की संभावना के साथ मीटर और ई ( के , एम ) के लिए बराबर है। इसलिए, हमें टक्कर बनाने के लिए लगभग 2 ⁶⁴ शुरुआती बिंदु उत्पन्न करने होंगे। इस की जटिलता लगभग 2 ^{64 है} । चूंकि हमें प्रतिस्थापन तालिका के लिए केवल 256 x 256 इनपुट / आउटपुट अंतर तालिका को संग्रहीत करने की आवश्यकता है, मेमोरी की आवश्यकता केवल 2 ¹⁶ बाइट्स हैं।

3.4। 5.5 राउंड कम्प्रेशन फंक्शन GOST R के लिए टकराव का पता लगाना

उन्नत प्रतिस्थापन प्रौद्योगिकी [7] का उपयोग करके, हम आंतरिक दौर में एक राउंड जोड़कर 4.5-गोल परिणाम को मजबूत कर सकते हैं। यह GOST R के 5.5-राउंड कम्प्रेशन फंक्शन पर हमले का कारण बनता है। इस हमले का बाहरी चरण 4.5 राउंड्स पर हमले के समान है, और सक्रिय एस-बॉक्स का नया क्रम निम्नानुसार है:



अंजीर। 3. 5.5-राउंड कम्प्रेशन फंक्शन GOST R पर हमले का आंतरिक चरण

जैसा कि अंजीर में दिखाया गया है। 3, R ₄ ^S की प्रत्येक पंक्ति के मान केवल R ₃ के संगत कॉलम पर निर्भर करते हैं। दूसरे शब्दों में, आर ₃ के स्तर पर स्तंभ मानों की एक जोड़ी को जानना, क्योंकि हम के ₄ जानते हैं, हम इसी पंक्ति आर ₄ ^एस के मूल्यों की गणना कर सकते हैं ^। इसलिए, हम प्रत्येक स्तंभ R ₃ और इसी पंक्ति R ₄ ^{S के} बीच पत्राचार को विस्तारित प्रतिस्थापन के रूप में मान सकते हैं ^। बेतरतीब ढंग से निर्दिष्ट इनपुट और आउटपुट अंतर के साथ प्रत्येक विस्तारित प्रतिस्थापन के लिए, हम औसत एक वास्तविक मूल्य पर खोजने की उम्मीद करते हैं।
अगला, हम विस्तार से 5.5 राउंड के लिए हमले का वर्णन करते हैं।

3.4.1। आंतरिक चरण

GOST R के 5.5 राउंड पर एक पलटाव हमले के आंतरिक चरण को निम्नानुसार वर्णित किया जा सकता है:

1. हम आर ₂ ^पी के पहले कॉलम में 8 सक्रिय बाइट्स के अंतर के साथ शुरू करते हैं और आर _{3 के} लिए आगे बढ़ते हैं।
2. प्रत्येक स्वतंत्र विस्तारित प्रतिस्थापन के लिए, इसके इनपुट अंतर को जानते हुए, हम सभी 2 ⁶⁴ जोड़े इनपुट मानों को संसाधित करते हैं और प्रतिस्थापन को आगे की गणना करते हैं। यह हमें आउटपुट अंतरों के 2 ⁶⁴ मान देता है। प्रत्येक अंतर को प्राप्त करने के लिए, हम इसके लिए अग्रणी इनपुट वैल्यूज़ के संबंधित जोड़े को सहेजते हैं। इस चरण में लगभग 2 ⁶⁴ संचालन और मेमोरी की आवश्यकता होती है।
3. R ₄ ^L में प्रत्येक 8-बाइट अंतर के लिए, R ₄ ^{S पर} वापस जाएं ^। हम आवश्यक अंतर की उपस्थिति के लिए पहले से सहेजे गए सभी मानों की जांच करते हैं।

हम मतभेदों को संतुष्ट करने वाले अधिक वास्तविक मूल्यों को प्राप्त करने के लिए आर ₂ ^पी चरण में अन्य अंतरों का चयन कर सकते हैं। आर ₂ ^पी में इनपुट अंतर के लिए ^, हम लगभग 2 ⁶⁴ शुरुआती बिंदुओं को खोजने की उम्मीद करते हैं।

3.4.2। बाहरी चरण

बाहरी चरण 4.5-राउंड हमले के समान है, जहां हमें 2 ⁶⁴ शुरुआती बिंदु चाहिए। इसलिए, 5.5-गोल टक्कर की खोज के लिए जटिलता और स्मृति की आवश्यकताएं 2 ^{64 प्रत्येक हैं} ।

3.5। 7.5-राउंड कम्प्रेशन फंक्शन GOST R के लिए टक्कर का पता लगाना

हम कुंजी विस्तार योजना के माध्यम से स्वतंत्रता की डिग्री का उपयोग करके आंतरिक चरण में 3 राउंड जोड़कर 4.5-गोल परिणामों में सुधार कर सकते हैं, जैसा कि [6] में है। मुख्य विचार आंतरिक चरण को दो उप-चरणों में अलग करना है। इन दो उप-चरणों को बाद में प्रमुख विस्तार प्रक्रिया में स्वतंत्रता की डिग्री का पूरा उपयोग करके जोड़ा जा सकता है। नतीजतन, हमें GOST R संपीड़न फ़ंक्शन के लिए एक टक्कर मिलती है, जिसे 7.5 राउंड्स तक काट दिया जाता है।
बढ़ाया आंतरिक चरण के लिए, हम सक्रिय बाइट्स के निम्नलिखित अनुक्रम का उपयोग करते हैं:

आंतरिक चरण, बदले में, अंतर पथ (छवि। 4) के अनुरूप इनपुट मूल्यों को खोजने के लिए दो उप-भागों में विभाजित किया गया है। पहले उपप्रकारों में, हम 1-2 और 4-5 राउंड के मैच खोजते हैं। और दूसरे उपप्रकारों में, हम आर ₂ और आर _{4 के} बीच सक्रिय राज्य मूल्यों को जोड़ते हैं, गोल कुंजी के मूल्य का चयन करके स्वतंत्रता की डिग्री का उपयोग करते हैं।


अंजीर। 4. 7.5-दौर संपीड़न फ़ंक्शन GOST R के लिए टक्कर की खोज का आंतरिक चरण

3.5.1। आंतरिक उपप्रकार १

इस उपपृष्ठ में, हम 1-2 और 4-5 राउंड के लिए एक मैच खोज करते हैं, जिसे निम्नानुसार वर्णित किया जा सकता है:
1. सीमा 1-2:

• हम आर ₃ के पहले कॉलम में 8 बाइट्स के अंतर से शुरू करते हैं और आर ₂ ^एस के विपरीत दिशा में चलते हैं ^।
• पहले कॉलम में 8 बाइट्स के प्रत्येक अंतर के लिए, आर ₁ ^पी, आर _{2 के} लिए आगे बढ़ें। R ₁ ^P 2 ⁶⁴ , 2 ⁶⁴ R ₂ . 2 ⁶⁴ . , 2 ⁸ . , 2 ⁶⁴ , , 2 ⁸ .

2. 4-5 राउंड: राउंड 1-2 के लिए भी ऐसा ही करें।
अब, लगभग 2 ⁹ गोल परिवर्तनों की श्रमसाध्यता के साथ एक हमले के पहले उपप्रदर्शन के बाद , हमारे पास आर ₂ ^{एस के} लिए 2 ⁶⁴ उम्मीदवार हैं , साथ ही साथ आर _{5 के लिए भी} ।

3.5.2। आंतरिक उपप्रकार २

दूसरे उपप्रकारों में, हमें आर ₂ ^एस में अंतर और आर ₅ में अंतर , साथ ही वास्तविक मूल्यों के साथ प्रमुख विस्तार योजना में स्वतंत्रता की डिग्री का उपयोग करना चाहिए। इसका मतलब है कि हम निम्न समीकरण हल करना चाहिए:

अगर

के लिए 2 ⁶⁴ उम्मीदवारों आर ₂ ^एस 2 ⁶⁴ के लिए उम्मीदवारों आर ₅ की स्वतंत्रता के मूल्यों के 512 डिग्री के साथ कश्मीर ₃ , k ₄ और k ₅ , हम 2 पाने की उम्मीद ⁶⁴ समाधान। चूंकि एलपी ( आर ₂₎ ^एस ) = आर ₂ ^एल और ( एक्स [ कश्मीर ₅ ]) ^-1 = एक्स [ कश्मीर ₅ ], हम फिर से लिखना कर सकते हैं (8) इस प्रकार है:

चूंकि हम हमेशा का क्रम बदल सकते पी और एस , और

हम निम्न समीकरण प्राप्त:

हम अंकन परिचयऔर T = P ^-1 L ^-1 ( R ₅ ), तो उपरोक्त समीकरण को इस प्रकार फिर से लिखा जा सकता है:

इस समीकरण को हल करना R ₂ के अंतर और मूल्यों के संयोजन के बराबर है। ^एस और आर ₅ । हम समीकरण को हल करने के लिए उपयोग की जाने वाली विधि का वर्णन नीचे करते हैं।


अंजीर। 5. 7.5-गोल GOST R संपीड़न फ़ंक्शन के लिए टकराव की खोज के आंतरिक उप-प्रपात 2।

चूंकि R ₂ ^L और R ₄ ^S में अंतर उप -चरण 1 के भीतर तय किया गया है, इसलिए R ₂ ^* और T में अंतर भी निश्चित हैं। और राज्यों के लिए 2 ⁶⁴ मान R ₂ ^S और R ₅ उप-श्रेणियों में उत्पन्न 1 सीधे R ₂ ^* और T के लिए 2 ⁶⁴ मान तक ले जाता है क्रमशः। अब हम प्रत्येक पंक्ति के लिए (15) स्वतंत्र रूप से हल कर सकते हैं, जैसा कि अंजीर में दिखाया गया है। 5, के रूप में वर्णित किया जा सकता है जो इस प्रकार है:
1. गणना 8-बाइट और 2 के बीच का अंतर ⁶⁴ के लिए मान आर ₂ ^* से आर ₂ ^एस और 8-बाइट अंतर की गणना और इसी 2 ⁶⁴ के लिए मूल्यों टी से आर ₅ । हमें केवल R ₂ ^* और T के लिए मानों की स्ट्रिंग की गणना और सहेजने की आवश्यकता है , क्योंकि हम समीकरण रेखा को रेखा से हल कर सकते हैं। इस चरण की जटिलता और स्मृति आवश्यकताएँ 2 ^{65 के} बजाय 2 ⁹ हैं ।
2. पहली पंक्ति R ₃ ^* के सभी 2 ⁶⁴ मूल्यों के लिए ^हम निम्नलिखित चरणों को दोहराते हैं:

• में अंतर के बाद से आर ₃ ^* पहली पंक्ति के चयनित मानों के लिए जाना जाता है, आर ₃ ^* आगे की दिशा में गणना पहली पंक्ति आर ₃ ^एल और पहली पंक्ति के लिए अंतर आर ₄ ।
• R ₄ R ₄ ^S R ₄ . R ₃ ^L , k ₄ .
• k ₃ ^* , R ₂ ^* , R ₄ ^S T . R ₂ ^* , R ₄ ^S 2 ⁶⁴ , . , , .

3. इस चरण में, हम संबंधित आर ₂ ^* और टी के लिए लाइनों के मूल्यों को पिछले चरण में प्राप्त करते हैं। प्रत्येक पंक्ति के लिए, एक विस्तृत खोज स्वतंत्र रूप से कुंजी के ₃ ^* की संबंधित पंक्ति के सभी 2 ⁶⁴ मूल्यों पर की जाती है । ध्यान दें कि हम 64-बिट मान कनेक्ट करना चाहते हैं, और 2 ⁶⁴ मुख्य मानों की जाँच करके , हम हमेशा एक समाधान खोजने की उम्मीद करते हैं। इन सभी चरणों के बाद, हम 2 मिल ⁶⁴ संगत मानों, जोड़ने आर ₂ ^* और टी । दूसरे शब्दों में, हमें 2 ⁶⁴ मिलते हैं
बाहरी चरण के लिए शुरुआती बिंदु। जटिलता 2 के बारे में है ¹²⁸ 2 के बारे में स्मृति आवश्यकताओं के साथ दौर परिवर्तनों के ¹⁶ बाइट्स। औसतन, हम 2 ⁶⁴ की जटिलता के साथ एक शुरुआती बिंदु खोजने की उम्मीद करते हैं । चरण 3 आकार 2 की लुकअप तालिका का उपयोग कर हटाया जा सकता है ¹²⁸ । लुकअप टेबल का उपयोग करते हुए, हम 1 की औसत जटिलता के साथ शुरुआती बिंदु को खोजने की उम्मीद करते हैं। हालांकि, लुकअप टेबल के निर्माण की जटिलता ^{2,128 है} , और मेमोरी की आवश्यकता ^2,128 बाइट्स हैं। नोट 2 हैं कि ⁶⁴ के लिए मतभेद आर ₃ और 2 ⁶⁴ के लिए मतभेद आर ₄ ^एस। आर ₃ और आर ₄ ^एस में अंतर की एक निश्चित जोड़ी के लिए ^, हम 2 ⁶⁴ शुरुआती बिंदुओं को खोजने की उम्मीद करते हैं । इस प्रकार, कुल मिलाकर, हमें बाहरी चरण के लिए 2 ¹⁹² से अधिक प्रारंभिक बिंदु उत्पन्न करने की आवश्यकता नहीं है ।

3.5.3। बाहरी चरण

7.5-राउंड हमले का बाहरी चरण 4.5-राउंड हमले के समान है। 7.5 राउंड में टकरावों की खोज करने के लिए एक हमला सक्रिय बाइट्स के निम्नलिखित अनुक्रम का उपयोग करता है:

GOST R के संपीड़न फ़ंक्शन के 7.5 राउंड के लिए टकरावों की खोज करने की जटिलता 2 ¹⁶ बाइट्स की स्मृति आवश्यकताओं के साथ लगभग 2 ^{64 + 64} = 2 ^{128 है} ।

3.6। 9.5-राउंड कम्प्रेशन फंक्शन GOST R के लिए टक्कर का पता लगाना

हालाँकि हम 2 ¹⁹² से अधिक शुरुआती बिंदु प्राप्त कर सकते हैं , 7.5-दौर के हमले के बाहरी चरण के लिए उनमें से केवल 2 ⁶⁴ की आवश्यकता होती है । हम 9.5 राउंड के लिए टकराव खोजने के लिए एक हमले के निर्माण के लिए शुरुआत में एक राउंड और अंत में एक राउंड जोड़कर बाहरी चरण का विस्तार कर सकते हैं। इस तरह के हमले में सक्रिय बाइट्स के निम्नलिखित अनुक्रम का उपयोग किया जाता है:

अगला, हम 9.5-राउंड हमले के बाहरी चरण का विस्तार से वर्णन करते हैं।


अंजीर। 6. 9.5-राउंड कम्प्रेशन फंक्शन GOST R के लिए हमले का योजनाबद्ध प्रतिनिधित्व

3.6.1। बाहरी चरण

7.5 राउंड के बाहरी हमले के चरण के विपरीत, यहां हम छंटनी वाले अंतर का उपयोग करते हैं। आंतरिक चरण को निष्पादित करने के बाद, उत्पन्न मान आर ₃ और आर ₈ में 8-बाइट अंतर का नेतृत्व करते हैं , जैसा कि अंजीर में दिखाया गया है। 6. हम दोनों दिशाओं में अलग-अलग अंतर पथ 8 → 1 के लिए एक पत्राचार खोजना चाहते हैं। इस छंटे हुए अंतर पथ की संभावना 2 ^{-56 है} । आर ₂ और आर ₉ में 1-बाइट अंतर हमेशा आर ₁ और आर _{10 के} लिए 8 सक्रिय बाइट्स में परिणाम होता है । इसलिए, बाहरी चरण की संभावना 2 ^{-112 है} । इसलिए हमें 2 में जनरेट करना होगा¹¹² गुना अधिक शुरुआती बिंदु।
चूंकि 9.5 राउंड में काटे गए कंप्रेशन फंक्शन की टक्कर के लिए m और R ₁₀ ^P में समान अंतर की आवश्यकता होती है , इसलिए हमें कुल 2 ^{112 + 64} = 2 ¹⁷⁶ शुरुआती अंक उत्पन्न करने होंगे। जैसा कि अनुभाग 3.5 में वर्णित है, हम 2 ^{64 के} श्रम इनपुट के साथ एक शुरुआती बिंदु खोजने की उम्मीद करते हैं । इसलिए, 9.5 राउंड के लिए टकराव खोजने की जटिलता लगभग 2 ^{64 + 176} = 2 ^{240 है} , और मेमोरी की आवश्यकताएं 2 ¹⁶ बाइट्स हैं। ^2,128 मूल्यों के साथ लुकअप टेबल का उपयोग करते समय , जटिलता ^{2,176 है}2 ¹²⁸ बाइट्स की स्मृति आवश्यकताओं के साथ ।

4. 10 राउंड के लिए भेदभाव करनेवाला

इस अध्याय में, हम GOST R संपीड़न फ़ंक्शन के लिए एक भेदभाव करने वाले को 10 राउंड में काट दिया।
। प्रस्तावित गिल्बर्ट एट अल [7] प्रकार discriminator इस प्रकार वर्णित किया जा सकता है: एक यादृच्छिक समारोह है, जो प्रदर्शन के लिए ख के -बिट क्रमचय मानचित्रण इनपुट उपस्पेस आकार अंतर मैं उपस्पेस के आकार के उत्पादन में अंतर करने के लिए जम्मू केवल {अधिकतम की आवश्यकता है , 2 ^ख / ( IJ )} समारोह कॉल (व्यापकता की हानि के बिना, हम मानते हैं कि मैं ≤ जम्मू )। L और X [ k _{11 को}
लागू करने से ] 9.5 राउंड के लिए पिछले परिणाम में, हम अंतर राउंड को 10 राउंड तक बढ़ाते हैं। भले ही R ₁₁ पूर्ण रूप से काटे गए अंतरों के संदर्भ में सक्रिय है, R ₁₁ में अंतर अभी भी आयाम 64 या उससे कम के उप-वर्ग के हैं। चूंकि संपीड़न फ़ंक्शन के इनपुट अंतर 2 ⁶⁴ आकार के एक उप-वर्ग के हैं , इसलिए आउटपुट का आकार 2 ^{128 के} एक उप-वर्ग से है । एक यादृच्छिक फ़ंक्शन के लिए, हमें इस तरह के इनपुट और आउटपुट अंतर के पत्राचार को पूरी तरह से निर्धारित करने के लिए 2 ^{512- (64 + 128)} = 2 ³²⁰ गणना की आवश्यकता है। लेकिन एक संपीड़न समारोह के लिए 10 राउंड में ^{विभाजित किया} गया, जटिलता केवल ^{2,176 है}मेमोरी आवश्यकताओं के साथ 2 ¹⁶ या 2 ¹²⁸ मेमोरी आवश्यकताओं के साथ 2 ¹²⁸ । संपीड़न फ़ंक्शन के लिए आवश्यक जटिलता एक यादृच्छिक फ़ंक्शन के लिए बहुत कम है। इस संपत्ति का उपयोग GOST R के संपीड़न फ़ंक्शन को यादृच्छिक फ़ंक्शन से अलग करने के लिए किया जा सकता है।

5. GOST R हैश फ़ंक्शन के बहुरंगीकरण

अब हम GOST R हैश फ़ंक्शन की संरचनात्मक स्थिरता पर विचार करेंगे। इस प्रकार की संरचना के लिए, हम k- टक्करों के निर्माण के लिए एक विधि प्रस्तावित करते हैं । इस मामले में जटिलता एक आदर्श संरचना के लिए k- टक्कर बनाने की जटिलता से काफी कम है । दूसरे शब्दों में, हम यह साबित करते हैं कि इस प्रकार की संरचना आदर्श नहीं है। N- बिट आउटपुट मान के
साथ एक आदर्श हैश फ़ंक्शन के लिए , टक्कर देने वाली जोड़ी की खोज करने की जटिलता लगभग 2 ^{n / 2 है} , और k- टक्कर (मल्टीकोलिज़न) की खोज के लिए यह 2 ^{n ( k -1) / k है}। हालाँकि, जोड़ीदार टक्करों के आधार पर, क्रिप्टो'04 [12] पर झुआ ने केवल टी एक्स 2 ^{एन / 2 की} जटिलता के साथ एक पुनरावृत्त संरचना के लिए 2 ^टी- टकरावों के निर्माण के लिए एक विधि प्रस्तावित की । जैसा कि अंजीर में दिखाया गया है।7, हमलावर पहले अलग-अलग युग्मक टकराव उत्पन्न करता है {( B ₁ , B ₁ ^* ), ( B ₂ , B ₂ ^* ), ..., ( B _t , B _t ^* )}। फिर हमलावर तुरंत फॉर्म ( बी ₁ , बी ₂ , ..., बी _टी ) के 2 ^{टी-टक को} प्राप्त कर सकता है , जहां बी _आई दो ब्लॉकों में से एक है बी _i और B _i ^* ।


अंजीर। 7. योजना 2 ^टी -kollizii Zhua। 2 ^t संदेशों में फ़ॉर्म ( b ₁ , b ₂ , ..., b _t ) है, जहाँ b _i , दो ब्लॉक B _i और B _{i में से एक है} ^*

इस तथ्य के बावजूद कि GOST R संरचना पुनरावृत्त नहीं है, हम इसके लिए निर्माण भी कर सकते हैं k टक्कर। इस विधि में निम्नलिखित शामिल हैं:
1. जैसा कि अंजीर में दिखाया गया है। 8, हम h _t के समान मान के लिए अग्रणी 2 ^t संदेश उत्पन्न करते हैं :

• आज्ञा देना H ₀ , GOST R के IV एल्गोरिथ्म का प्रारंभिक मूल्य है ।
• i 1 t :
  
  • B _i B _i ^* , g _N ( h _{i -1} , B _i ) = g _N ( h _{i -1} , B _i *), B _i B _i ^* 0 ²⁵⁶ || {0, 1} ²⁵⁶ . 2 ²⁵⁶ , [13].
  • 2 ^t ( b ₁ ,…, b _t ), b _i – : B _i B _i ^* .
  
  

2. चरण 1 में उत्पन्न 2 ^टी संदेशों के बीच, हम in में कश्मीर टकराव खोजने की कोशिश करते हैं और परिणामस्वरूप हमें संदेश मिलते हैं। ध्यान दें कि सभी 2 ^t संदेशों में समान मूल्य N है , और ये k संदेश हमेशा GOST R हैश फ़ंक्शन के k- टकराव की ओर ले जाते हैं।


अंजीर। 8. GOST R के लिए k टकरावों के निर्माण का योजनाबद्ध चित्रण

चूँकि चरण 1 के सभी संदेश खंड 0 ^{256 के हैं} {, 1} ²⁵⁶ और ∑ = बी ₁ बी _२ ... b _t , _t में महत्वपूर्ण बिट्स लॉग ₂ t + 256 से अधिक नहीं हैं। एक आदर्श मॉडल में चरण 2 की आवश्यकता होती है k collisions के निर्माण के लिए संदेश ∑, जिसमें निम्नलिखित असमानताओं के अनुपालन की आवश्यकता होती है

उपरोक्त असमानताओं को हल करते हुए, हमारे पास:
176 176 टी ²⁵⁶ 2 ²⁵⁶
और

दूसरे शब्दों में, एक t- ब्लॉक संदेश के लिए, जहाँ 176 ≤ t , 2 ²⁵⁶ , हम केवल GOST R हैश फ़ंक्शन के k- टकराव का पता लगा सकते हैं गणना। यह जटिलता एक आदर्श संरचना के हैश फ़ंक्शन के लिए k- टकराव को खोजने की जटिलता से काफी कम है।

6. निष्कर्ष

इस पत्र में, हमने GOST R. के लिए कुछ क्रिप्टोकरंसी परिणाम प्रस्तुत किए। सबसे पहले, हमने रिबाउंड अटैक तकनीक का उपयोग करते हुए 4.5-राउंड GOST R कंप्रेशन फ़ंक्शन पर अपने हमले का वर्णन किया। इसके अलावा, उन्नत प्रतिस्थापन प्रौद्योगिकी का उपयोग करके इस परिणाम को 5.5 राउंड तक मजबूत किया गया। तब कुंजी विस्तार योजना की स्वतंत्रता की डिग्री का उपयोग 7.5 राउंड और 9.5 राउंड के हमलों को प्राप्त करने के लिए किया गया था। इसके अलावा, 9.5-राउंड हमले के परिणाम का उपयोग करते हुए, हमने GOST R संपीड़न फ़ंक्शन के लिए 10-राउंड डिस्क्रिमिनेटर प्रस्तुत किया। काम के अंत में, हमने GOST R हैश फ़ंक्शन के लिए k- टकरावों के निर्माण के लिए एक विधि प्रस्तुत की, जो GOST R में उपयोग किए गए संरचना की कमजोरी को दर्शाता है। ।

साहित्य

1. X. वांग, एच। यू।, हाउ टू ब्रेक एमडी 5 एंड अदर हैश फंक्शन्स, इन: एडवांस इन क्रिप्टोलॉजी - EUROCRYPT 2005, स्प्रिंगर, 2005, पीपी। 19-35।
2. एक्स। वैंग, वाईएल यिन, एच। यू।, पूर्ण एसएचए -1 में ढूँढना टकराव, क्रिप्टोलॉजी में अग्रिम - CRYPTO 2005, स्प्रिंगर, 2005, पीपी। 17-36।
3. वी। डोलमेटोव, गोस्ट आर 34.11-94: हैश फंक्शन एल्गोरिदम।
4. पी। बैरेटो, वी। रिज्मेन, द व्हर्लपूल हैशिंग फंक्शन: इन द फर्स्ट ओपन नेस्सी वर्कशॉप, ल्यूवेन, बेल्जियम, वॉल्यूम। 13, 2000, पी। 14।
5. एफ। मेंडल, सी। रेचबर्गर, एम। श्लाफर, एसएस थॉमसन, द रिबाउंड अटैक: क्रिप्टैनालिसिस ऑफ रिड्यूस्ड व्हर्लपूल एंड ग्रॉस्टल, इन: फास्ट सॉफ्टवेयर एन्क्रिप्शन, स्प्रिंगर, 2009, पीपी। 260-276।
6. एम। लैम्बर्गर, एफ। मेंडेल, सी। रेचबर्गर, वी। रिजमेन, एम। श्लाफर, रिबर्ड डिस्टींगिशर्स: फुल व्हर्लपूल कम्प्रेशन फंक्शन पर परिणाम: क्रिप्टोलॉजी में अग्रिम - ASIACRYPT 2009, स्प्रिंगर, 2009, पीपी। 126-143।
7. एच। गिल्बर्ट, टी। पाइरिन, सुपर -बॉक्स क्रिप्टैनालिसिस: एईएस-जैसे क्रमपरिवर्तन के लिए बेहतर हमलों में: फास्ट सॉफ्टवेयर एन्क्रिप्शन, स्प्रिंगर, 2010, पीपी। 365-383।
8. ओ। डंकेलमैन, एन। केलर, ए। शमीर, 8-राउंड एईएस -192 और एईएस -255 पर बेहतर एकल-कुंजी हमलों में: क्रिप्टोलॉजी-एएसआईएसीटीपीटी 2010 में अग्रिम, स्प्रिंगर, 2010, पीपी। 158-176।
9. एफ। मेंडल, टी। पाइरिन, सी। रेचबर्गर, एम। श्लाफर, कम हो चुके ग्रॉस्टल कंप्रेशन फंक्शन, इको परमुटेशन और एईएस ब्लॉक सिफर के इंप्रूव्ड क्रिप्टोनालिसिस: क्रिप्टोग्राफी, स्प्रिंगर, 2009, पीपी में चयनित क्षेत्र। 16-35।
10. डी। खोरावतोविच, आई। निकोली, सी। रेचबर्गर, रोटेडेड स्किन पर रोटेशनल रिबाउंड अटैक्स: इन एडवांस इन क्रिप्टोलॉजी-एएसआईएसीपीपीटी 2010, स्प्रिंगर, 2010, पीपी। 1-19।
11. ए। डुक, जे। गुओ, टी। पाइरीन, एल। वी।, अनलॉग्ड रिबाउंड अटैक: एप्लीकेशन टू केकेक, इन: फास्ट सॉफ्टवेयर एनक्रिप्शन, स्प्रिंगर, 2012, पीपी। 402-421।
12. ए जौक्स, Iterated हैश फंक्शंस में मल्टीकॉलेक्शन: कैस्केड कंस्ट्रक्शंस के लिए एप्लीकेशन: इन एडवांस इन क्रिप्टोलॉजी - CRYPTO 2004, स्प्रिंगर, 2004, पीपी। 306-316।
13. डी। वैगनर, एक सामान्यीकृत जन्मदिन समस्या, इन एडवांस इन क्रिप्टोलॉजी - CRYPTO 2002, स्प्रिंगर, 2002, पीपी। 288-304।