軽量ブロック暗号Piccolo のDivision Property 及び高階差分特性の比較·検証

摘要

EUROCRYPT2015においてNTT の藤堂により積分特性を一般化·再定義したDivision Property（DP）[1］が提案された．DP による評価では，従来手法を用いた計算機実験による評価が困難なパラメータの場合でも効率的に積分特性を求めることが可能である．CRYPT2015では DP を用いることで共通鍵ブロック暗号 MISTY1 ［2］のフルラウンド解析[3]がなされている．また，金子により最良の積分特性が高階差分特性[5]に一致することが証明[6]されており，積分特性を再定義したDPでも同様のことが言える．Piccolo [4］はCHES2011においてSONYの渋谷らが提案した軽量ブロック暗号である. Piccolo は秘密鍵80bitまたは128bit，ブロック長64bit の変形Feistel 構造を有している．本稿ではPiccolo の構造に対し藤堂の手法を用いてDP を導出し，現在知られている高階差分特性と比較した．また，DP の伝搬規則上高階差分に比べて特性が劣化する場合が確認され，この発生要因について検証を行った．