Tại sao không thể tấn công AES bằng cách tạo một hàm để mô hình hóa sự thay thế xảy ra trong s-box?

Tôi nhận ra rằng các hộp s có thể thực hiện các phép biến đổi được thực hiện trong AES phi tuyến tính. Tuy nhiên tôi không chắc làm thế nào điều này làm cho AES an toàn. Chẳng hạn, nếu chúng ta không có hộp s thì có thể tính khóa từ một tập hợp các phương trình tuyến tính:

$C^1=Ax+k$

$C^2=AC^1+k$

...

$y=AC^n+k$

Trong đó A là phép biến đổi tuyến tính, k là khóa, C là bản mã trung gian, n là số vòng mã hóa, x là đầu vào và y là đầu ra cuối cùng.Tuy nhiên, nếu chúng ta thêm một hộp S, thì sẽ không thể biểu diễn phép thế mà nó thực hiện như một hàm của x, f(x), vì vậy bây giờ chúng ta có:

$C^1=Af(x)+k$

$C^2=Af(C^1)+k$

...

$y=Af(C^n)+k$

Điều mà đối với tôi dường như cũng trở thành con mồi của việc loại bỏ Gaussian (thông qua việc thay thế từng phương trình thành hàm của phương trình tiếp theo), mặc dù một hàm như vậy để thay thế xảy ra trong hộp s có thể cực kỳ phức tạp để rút ra. Miễn là chúng ta được cung cấp một vài giá trị x trải qua quá trình mã hóa bằng cùng một khóa và các hộp s được biết đến công khai, chúng ta sẽ có thể tính toán khóa. Tôi nhận ra rằng trong thực tế, điều này không thể xảy ra nếu không thì AES sẽ không được sử dụng, vì vậy tôi rất biết ơn nếu được trợ giúp trong việc xác định nơi tôi đã sai/các hộp S sẽ can thiệp như thế nào để ngăn phương pháp đó xảy ra :)

Nếu tôi hiểu chính xác, bạn đề nghị xử lý các giá trị trung gian $C^i$ như các biến.

Vấn đề là ở đó $f(C^i)$ là phi tuyến tính và chứa nhiều đơn thức hơn 128 biến (vì tính phi tuyến đến từ hộp S, số lượng đơn thức nhiều nhất là $256\times16$). Do đó, không thể loại bỏ nó bằng phương trình $C^i = ...$, và $C^i$ không được sử dụng ở bất cứ nơi nào khác. Lưu ý rằng nếu bạn thêm nhiều giá trị văn bản gốc/bản mã hơn, các biến $C^i$ không giống nhau nên không thể dùng cặp khác để khử các đơn thức phụ đó. Thay vào đó, nhiều biến hơn được thêm vào.

Lưu ý rằng S-box có một điểm yếu là tồn tại bậc hai phương trình (trên $GF(2)$) kết nối đầu vào và đầu ra của nó (thay vì các phương trình cấp 7 trực tiếp của hộp S), giúp đơn giản hóa hệ thống rất nhiều. Tuy nhiên, vẫn chưa ai có thể chỉ ra cách giải quyết hệ thống như vậy hoặc hệ thống tương tự nhanh hơn so với AES key bruteforce.

Đối với bản ghi, nguồn gốc của các phương trình bậc hai là hộp S tương đương với $GF(256)$ chức năng trái ngược $y=x^{254}$. Chúng ta có $yx^2=x^{256}=x$ và vì thế $yx^2-x=0$, là bậc hai trên $GF(2)$ (chia thành 8 phương trình).