New Distinguishing Attacks on Sparkle384 Reduced to 6 Rounds and Sparkle512 Reduced to 7 Rounds

6 라운드로 축소된 Sparkle384와 7 라운드로 축소된 Sparkle512에 대한 새로운 구별 공격

Abstract

Sparkle is one of the finalists in the Lightweight Cryptography Standardization Process conducted by NIST. It is a nonlinear permutation and serves as a core component for the authenticated encryption algorithm Schwaemm and the hash function Esch. In this paper, we provide specific forms of input and output differences for 6 rounds of Sparkle384 and 7 rounds of Sparkle512, and make formulas for the complexity of finding input pairs that satisfy these differentials. Due to the significantly lower complexity compared to similar tasks for random permutations with the same input and output sizes, they can be valid distinguishing attacks. The numbers(6 and 7) of attacked rounds are very close to the minimum numbers(7 and 8) of really used rounds.

Sparkle은 NIST에서 최근까지 진행한 경량 암호 표준화 프로세스의 최종 후보 알고리즘 중 하나로서, 비선형 퍼뮤테이션이며, 인증 암호화 알고리즘 Schwaemm 및 해시함수 Esch의 핵심 구성 요소이다. 본 논문에서는 Sparkle의 두 버전 Sparkle384의 6 라운드와 Sparkle512의 7 라운드에 대해 특정한 형태의 입력 차분과 출력 차분을 제시하고, 그것을 만족시키는 입력쌍을 찾는 복잡도에 관한 공식을 제시한다. 또한, 같은 입출력 크기를 갖는 랜덤 퍼뮤테이션에 대한 동일 작업 보다 복잡도가 훨씬 낮을 가능성이 매우 크다는 것을 보인다. 그러므로, 이것들은 유효한 구별 공격이 된다. 공격되는 라운드 수(6과 7)는 실제 사용되는 라운드 수의 최소값(7과 8)과 매우 가깝다.

I. 서론

Sparkle은 NIST 경량 암호 표준화 프로세스(Lightweight cryptography standardization process)[1]의 최종 후보 알고리즘 중 하나로서, 비선형 퍼뮤테이션이며, 인증 암호화 알고리즘 Schwaemm 및 해시함수 Esch의 핵심 구성 요소이다. Saprkle에 사용된 비선형 함수인 Alzette는 64비트 입출력을 가지며, 32비트 덧셈, 로테이션, XOR로 구성된 ARX 구조이다. 또한 입출력 크기가 256비트인 Sparkle256, 384비트인 Sparkle384, 512비트인 Sparkle512의 세 가지 버전이 있다.

Sparkle에 대한 안전성 분석 결과는 알려진 것이 많지 않다. Bierle 등의 Sparkle 설계자들은 Sparkle256, Sparkle384, Sparkle512에 대하여 각각 4 라운드, 5 라운드, 6 라운드만으로는 차분 공격에 대해 b/2-비트 안전성을 보장할 수 없음을 보였고, 또한, 선형 공격에 대해서도 각각 5 라운드, 6 라운드, 6 라운드만으로는 b/2-비트 안전성을 보장할 수 없음을 보였다[2]. CRYPTO 2022에서는 Schrottenloher와 Stevens가 Sparkle256의 4 라운드와 Sparkle384의 4 라운드, Sparkle512의 5 라운드에 대한 guess-and- determine 구별자(Distinguisher)를 제시하였다[3].

본 논문에서는 Sparkle384와 Sparkle512의 6 라운드 및 7 라운드에 대하여 특정한 형태의 입력 차분과 출력 차분을 다음과 같이 설정하고,

Sparkle384의 6 라운드:

Δ_I = (0,0,0,α,0,0), Δ_O = (0,ε,ε,ε,0,ε)       (1)

Sparkle512의 7 라운드:

Δ_I = (0,0,0,0,α,0,0,0), Δ_O = (ξ,0,ξ,η,ξ,0,0,ξ)       (2)

(1)과 (2)의 입력 차분 Δ_I와 출력 차분 Δ_O을 만족하는 쌍을 찾는 복잡도를 제시한다. 여기서, 입력 차분 Δ_I와 출력 차분 Δ_O에 있는 α, ε, ζ, η는 0이 아닌 어떠한 64비트 값도 될 수 있다. 반면에, ξ는 0을 포함한 어떠한 64비트 값도 될 수 있다. 6 라운드로 구성된 Sparkle384를 Sparkle384₆, 7 라운드로 구성된 Sparkle512를 Sparkle512₇로 표현하자.

Sparkle384₆ 및 Sparkle512₇에 대해 각각 (1)과 (2)를 만족시키는 쌍을 찾는 각 과정의 복잡도는 2^66.8과 2^193.2으로 계산되며, 이것은 랜덤 퍼뮤테이션에 대하여 동일한 작업을 하는 복잡도 2²⁵⁷보다 훨씬 낮다. 그러므로, 본 논문에서 제시되는 방법들은 각각 Sparkle384의 6 라운드와 Sparkle512의 7 라운드에 대한 유효한 구별 공격이 된다. 인증 암호화 알고리즘 Schwaemm256-128과 Schwaemm192-192에 핵심 구성요소로서 Sparkle384₁₁과 Sparkle384₇이 사용되고, 인증 암호화 알고리즘 Schwaemm256-256에 핵심 구성요소로서 Sparkle512₁₂와 Sparkle512₈이 사용되며, 안전성 증명에 랜덤 퍼뮤테이션 가정이 사용된다. 이런 점들을 고려할 때, 본 논문의 분석 대상이 실제 제안된 알고리즘에 매우 근접한다고 볼 수 있다.

논문의 나머지 부분은 다음과 같이 구성된다. 2장에서는 Sparkle384 및 Sparkle512의 구조에 대한 설명이 주어진다. 3장에서는 384비트 입출력 크기를 갖는 랜덤 퍼뮤테이션에 대하여 (1)을 만족시키는 쌍을 찾는 복잡도와 512비트 입출력 크기를 갖는 랜덤 퍼뮤테이션에 대하여 (2)를 만족시키는 쌍을 찾는 복잡도가 모두 2257임이 설명된다. 4장에서는 Sparkle384₆에 대하여 (1)을 만족시키는 쌍을 찾는 과정과 Sparkle 512₇에 대하여 (2)를 만족시키는 쌍을 찾는 과정이 설명되고 복잡도가 제시된다. 5장에서는 이 결과의 의미 및 향후 연구의 필요성에 대해 설명한다.

II. 배경 지식

2.1 정의 및 기호

같은 길이의 비트열 x와 y에 대한 비트 연산 XOR(배타적 논리합)을 x⊕y로 표현한다. {0,1}ⁿ을 모든 n비트 비트열들의 집합으로 정의한다. 본 논문에서 {0,1}ⁿ은 GF(2) 상의 n차 벡터 공간으로 다루어지기도 한다.

Fig. 1. Round function of Sparkle384 (Round i)

2.2 Sparkle384

Sparkle384는 집합 {0,1}³⁸⁴에 대한 비선형 퍼뮤테이션이며 라운드 반복 구조로 설계되어 있다. Sparkle384의 384-비트 입력값은 여섯 개의 64-비트 입력 워드 z⁰₀, z⁰₁, ..., z⁰₅로 쪼개어진다. i ≥ 0 번째 라운드 함수(Round i)는 입력 워드 zⁱ₀, zⁱ₁, , ..., zⁱ₅로부터 출력 워드 zⁱ⁺¹₀, zⁱ⁺¹₁, ..., zⁱ⁺¹₅를 생성한다. 라운드 함수는 세 가지 계층 π, θ, ρ로 구성된다. Round i에서 π 계층은 32-비트 라운드 상수를 zⁱ₀에 XOR하고, 32-비트 라운드 카운터 i를 zⁱ₁에 더한다. π에서 수행되는 연산은 본 논문의 연구에서 고려되는 차분 전파에 거의 영향을 미치지 않기 때문에 이후로는 생략한다. 따라서, 다음으로 적용되는 θ 계층의 입력도 zⁱ₀, zⁱ₁, ..., zⁱ₅으로 표시한다. θ 계층은 비선형 Alzette 연산, Aⁱ_j를 xⁱ_j ←Aⁱ_j(zⁱ_j) for 0 ≤ j ≤ 5 와 같이 적용한다. [2]에서 Sparkle 설계자들은 해당 Alzette A의 내부에서 사용되는 상수값 c₀, c₁, ...을 아래첨자로 사용하여 A_C0, A_C1, ...와 같이 표현하였는데, 본 논문에서는 각 Alzette 연산의 내부에 사용된 상수값 보다 해당 연산의 위치가 더 중요하게 다루어지기 때문에 i번째 라운드의 j번째 위치에 적용된 Alzette 연산이라는 의미의 Aⁱ_j와 같이 표현한다. 본 논문에서는 Alzette가 64-비트 입출력 크기를 가진 비선형 퍼뮤테이션이라는 성질만 이용하기 때문에 Alzette의 구조에 대한 자세한 설명은 생략한다. ρ 계층은 64-비트 입출력을 갖는 간단한 선형 퍼뮤테이션 σ를 사용하여 다음과 같이 (xⁱ₀, xⁱ₁, ..., xⁱ₅)로부터 (zⁱ⁺¹₀, zⁱ⁺¹₁, ..., zⁱ⁺¹₅)을 계산한다:

tⁱ ←xⁱ₀⊕xⁱ₁⊕xⁱ₂;

zⁱ⁺¹_{j-1 mod 3} ← σ(tⁱ) ⊕ xⁱ_j ⊕xⁱ_j+3 for 0 ≤ j ≤ 2;

zⁱ⁺¹_j+3 ← xⁱ_j for 0 ≤ j ≤ 2.

2.3 Sparkle512

Fig. 2. Round function of Sparkle512 (Round i)

Sparkle512는 집합 {0,1}⁵¹²에 대한 비선형 퍼뮤테이션이며 라운드 반복 구조로 설계되어 있다. 또한, Sparkle384와 동일한 Alzette 및 σ 연산을 사용하며 유사한 구조를 갖는다. Sparkle512의 512-비트 입력값은 여덟 개의 64-비트 입력 워드 z⁰₀, z⁰₁, ..., z⁰₇로 쪼개어진다. i ≥ 0 번째 라운드 함수(Round i)는 입력 워드 zⁱ₀, zⁱ₁, ..., zⁱ₇로 부터 출력 워드 zⁱ⁺¹₀, zⁱ⁺¹₁, ..., zⁱ⁺¹₇를 생성한다. 라운드 함수는 세 가지 계층 π, θ, ρ로 구성되는데, 2.2절에서와 같은 이유로 π 계층은 생략한다. Round i에서 θ 계층의 입력도 zⁱ₀, zⁱ₁, ..., zⁱ₇으로 표시한다. θ 계층은 비선형 Alzette 연산, Aⁱ_j를 xⁱ_j ←Aⁱ_j(zⁱ_j) for 0 ≤ j ≤ 7과 같이 적용한다. ρ 계층은 선형 퍼뮤테이션 σ를 사용하여 다음과 같이 (xⁱ₀, xⁱ₁, ..., xⁱ₇)로 부터 (zⁱ⁺¹₀, zⁱ⁺¹₁, ..., zⁱ⁺¹₇)을 계산한다:

tⁱ ←xⁱ₀⊕xⁱ₁⊕xⁱ₂⊕xⁱ₃;

zⁱ⁺¹_{j-1 mod 4} ←σ(tⁱ)⊕xⁱ_j⊕xⁱ_j+4 for 0 ≤ j ≤ 3;

zⁱ⁺¹_j+4 ←xⁱ_j for 0 ≤ j ≤ 3.

III. 랜덤 퍼뮤테이션에 대하여 입력 차분과 출력 차분을 만족시키는 쌍 찾기

{0, 1}³⁸⁴에 대한 랜덤 퍼뮤테이션에 대해 (1)의 입력 차분과 출력 차분을 만족시키는 쌍을 찾는 과정이 3.1 절에서 설명되고 복잡도가 퍼뮤테이션 오라클 질의 횟수로 계산된다. 유사한 논리와 방법으로, {0, 1}⁵¹²에 대한 랜덤 퍼뮤테이션에 대해 (2)의 입력 차분과 출력 차분을 만족시키는 쌍을 찾는 과정이 3.2 절에서 설명되고 복잡도가 계산된다.

3.1 {0, 1}³⁸⁴에 대한 랜덤 퍼뮤테이션에 대해 (1)의 입력 차분과 출력 차분을 만족시키는 쌍 찾기

P384를 {0, 1}³⁸⁴에 대한 모든 퍼뮤테이션들의 집합이라고 하자. P384에서 랜덤하게 선택된 P에 대하여, P 오라클과 P^-1 오라클에 대한 접근 권한이 주어진다고 가정한다. 이 때, P에 대해 (1)을 만족시키는 쌍을 찾는 방법은 다음과 같이 설명될 수 있다.

서로 다른 두 384-비트 값 X와 X′에 대해, 두 값의 XOR에 무관하게, P(X)⊕P(X′) = Δ_O가 성립할 확률은 약 2^-320이다. 그러므로, Δ_I를 만족시키는 입력쌍 2³²⁰개를 모은다면 평균적으로 (1)을 만족시키는 쌍 1개를 기대할 수 있다. Δ_I의 α에 대한 제한 조건은 단지 그것들이 0이 아니라는 것뿐임을 이용하면 효율적으로 쌍들을 모을 수 있다.

384비트 값 X에 대해 집합 T(X)를 다음과 같이 정의하자.

W = {(0,0,0,α,0,0) | α∈{0,1}⁶⁴}; 

T(X) = X⊕W = {X⊕ω | ω∈W}.

W는 V = {0,1}³⁸⁴의 64차 선형 부분공간이며, T(X)는 W의 잉여류(coset)이다. 따라서, T(X)는 V/W의 원소이고, V/W에는 2³²⁰개의 서로 다른 T(X) 집합이 존재한다. 각 T(X)는 2⁶⁴개의 원소를 가지며, T(X)의 임의의 서로 다른 두 원소 X⊕ω와 X⊕ω′은 입력 차분 Δ_I를 만족시킨다. 그러나, 서로 다른 두 집합 T(X)와 T(X′)으로부터의 어떠한 두 원소 X⊕ω와 X′⊕ω′도 Δ_I를 만족시키지 않는다. 그러므로, 각 T(X)에 대하여 Δ_I를 만족시키는 쌍을 약 2¹²⁷(≈2⁶⁴(2⁶⁴ - 1)/2)개 기대할 수 있으며, 2¹⁹³개의 서로 다른 T(X) 집합을 이용하면 2³²⁰개의 쌍을 모을 수 있다. 그러므로, 복잡도는 P에 대한 2¹⁹³⁺⁶⁴ = 2²⁵⁷번의 질의로 계산된다.

P^-1에 대한 질의를 이용하는 방법 또한 동일한 복잡도를 소요한다.

3.2 {0,1}⁵¹²에 대한 랜덤 퍼뮤테이션에 대해 (2)의 입력 차분과 출력 차분을 만족시키는 쌍 찾기

P₅₁₂를 {0,1}⁵¹²에 대한 모든 퍼뮤테이션들의 집합이라고 하자. P₅₁₂에서 랜덤하게 선택된 P에 대하여, P 오라클과 P^-1 오라클에 대한 접근 권한이 주어진다고 가정한다. 이 때, P에 대해 (2)을 만족시키는 쌍을 찾는 방법은 다음과 같이 설명될 수 있다.

서로 다른 두 512-비트 값 X와 X′에 대해, 두 값의 XOR에 무관하게, P(X)⊕P(X') = Δ_O가 성립할 확률은 약 2^-320이다. 그러므로, Δ_I 를 만족시키는 입력쌍 2³²⁰개를 모은다면 평균적으로 (2)를 만족시키는 쌍 1개를 기대할 수 있다. 3.1절에서와 비슷한 방법으로, 512비트 값 X에 대해 집합 T(X)를 다음과 같이 정의하자.

W = {(0,0,0,0,α,0,0,0) | α ∈ {0,1}⁶⁴};

T(X) = X⊕W = {X⊕ω | ω∈W}.

W는 V = {0,1}⁵¹²의 64차 선형 부분공간이며, T(X)는 W의 잉여류(coset)이다. 따라서, T(X)는 V/W의 원소이고, V/W에는 2⁴⁴⁸개의 서로 다른 T(X) 집합이 존재한다. 각 T(X)는 2⁶⁴개의 원소를 가지며, T(X)의 임의의 서로 다른 두 원소 X⊕ω와 X⊕ω′은 입력 차분 Δ_I를 만족시킨다. 그러나, 서로 다른 두 집합 T(X)와 T(X′)으로부터의 어떠한 두 원소 X⊕ω와 X′⊕ω′도 Δ_I를 만족시키지 않는다. 그러므로, 각 T(X)에 대하여 Δ_I를 만족시키는 쌍을 약 2¹²⁷(≈2⁶⁴(2⁶⁴ - 1)/2)개 기대할 수 있으며, 2¹⁹³개의 서로 다른 T(X) 집합을 이용하면 2³²⁰개의 쌍을 모을 수 있다. 그러므로, 복잡도는 P에 대한 2¹⁹³⁺⁶⁴ = 2²⁵⁷번의 질의로 계산된다.

P^-1에 대한 질의를 이용하는 방법은 약 두 배의 질의 횟수를 소요하기 때문에, 위의 방법이 조금 더 효율적이다.

IV. Sparkle에 대하여 입력 차분과 출력 차분을 만족시키는 쌍 찾기

4.1 Sparkle384₆에 대해 (1)의 입력 차분과 출력 차분을 만족시키는 쌍 찾기

Δz^j_i와 Δx^j_i를 각각 z^j_i와 x^j_i의 차분이라고 하자. Sparkle3846에 대해 (1)의 입력 차분과 출력 차분을 만족시키는 쌍은 다음과 같은 단계들(Step 1 ~ Step 4)을 통해 찾을 수 있다.

Step 1: Round 2의 왼쪽 세 입력 워드들의 차분을 다음과 같이 설정한다.

(Δz²₀,Δz²₁,Δz²₂) = (σ(β),β⊕σ(β),σ(β))       (3)

그리고 다음과 같은 식 (4)을 만족시키는 (z²₀,z²₁,z²₂)에 대한 쌍을 찾는다.

Δx²₀⊕σ(Δt²) = 0       (4)

(4)가 성립할 확률은 2^-64이다. 그러한 쌍이 발견된다면 (z³₃,z³₄,z³₅)의 값과 차분이 모두 결정되며 또한 차분 Δz³₀ = γ₀와 Δz³₂ = 0도 결정된다. 게다가, Δz³₂ = 0는 Δx³₂ = Δz⁴₅ = 0을 의미한다. (4)를 만족시키는 쌍으로부터 차분 Δx³₃, Δx³₄, Δx³₅를 계산한 다음, Δz⁴₀ = Δz⁴₁ = Δz⁴₂ = 0을 가정하면 σ(Δt³) = Δx³₅, Δx³₀ = Δx³₃⊕Δx³₅, Δx³₁ = Δx³₂⊕Δx³₅를 얻게 된다. 마지막으로, 다음 식 (5)가 확률 2^-64로 성립하기를 기대한다.

σ(Δx³₀⊕Δx³₁) = Δx³₅       (5)

그러므로, (3)을 만족시키는 쌍 2¹²⁸개가 필요하다. 여기서 β에 대한 조건은 0이 아닌 것뿐임을 이용하여 쌍을 효율적으로 모을 수 있다. 192비트 값 X에 대해 집합 S(X)를 다음과 같이 정의하자.

W = {(σ(α), α⊕σ(α), σ(α)) | α∈{0,1}⁶⁴};

S(X) = X⊕W = {X⊕ω | ω∈W}.

S(X)는 (3)을 만족시키는 2⁶⁴⁽2⁶⁴ - 1)/2 ≈ 2¹²⁷개의 쌍을 만들어낸다. 그러므로 두 개의 서로 다른 집합 S(X)와 S(X′)이 있으면 2¹²⁸개의 쌍을 얻게 된다. 이것으로 (4)와 (5)를 모두 만족시키는 1개의 쌍을 기대할 수 있다.

Step 1의 복잡도 C₁를 계산해보자. 복잡도는 Alzette 연산 시간을 단위로 계산된다. 그밖의 선형 연산들은 Alzette 연산에 비해 훨씬 가볍기 때문이다. S(X)와 S(X′)의 각 원소에 대해 먼저 A²₀, A²₁, A²₂에 해당하는 세 번의 Alzette 연산이 적용된다. 그 다음 2¹²⁸개 쌍 중에 몇 쌍이 (4)를 만족시키는지 체크한다. 평균적으로는 2⁶⁴ 쌍이 (4)를 만족시킨다. 그 쌍들 중 (5)를 만족시키는 것이 있는지 확인하기 위해 각 쌍마다 A³₃, A³₄, A³₅이 적용되는데, 최대 여섯 번의 Alzette 연산이 요구된다. 그러므로, C₁은 다음과 같이 계산된다.

C₁ = 2⁶⁵ · 3A + 2⁶⁴ · 6A = 2⁶⁶ · 3A.

Fig.3은 Step 1 이후의 Round 2와 Round 3에서의 상황을 표현하고 있다. 굵은 빨간 점선은 값은 미정(undetermined)이지만 차분은 0임을 의미한다. 굵은 파란 점선은 값은 미정이지만 차분이 결정되었고 0이 아님을 의미한다. 굵은 빨간 실선은 값이 결정되어 있고 차분이 0임을 의미한다. 굵은 파란 실선은 값이 결정되어 있고 차분이 0이 아님을 의미한다. 검은 실선은 값과 차분 모두 미정임을 의미한다.

Fig. 3. Situation in Rounds 3 and 4 after Step1in finding a right pair of (1) for Sparkle384₆

Step 2: Fig.3과 같이, Δz³₀ = γ₀이고 Δx³₀ = δ₀라고 하자. A³₀에 대해, 입력 차분 γ₀을 만족시키는 모든 2⁶⁴개의 입력쌍을 시도하여 출력 차분 δ₀을 만족시키는 쌍이 있는지 확인한다. 만약 그러한 쌍을 찾지 못한다면 다시 Step 1을 수행한다. 따라서, Step 2의 복잡도 C₂는 C₂ = 2⁶⁵A으로 계산된다.

Step 3: Fig.3에서와 같이, Δx³₁ = δ₁이라고 하자. Step 1에서 찾은 쌍은 x²₂⊕σ(t²)의 값들을 결정한다. 그 값들을 k와 k′이라고 하자. x²₂⊕ x^2'₅ = β를 만족시키는 2⁶⁴개의 모든 (z²₅,z^2′₅)쌍에 대해

A³₁(A²₅(z²₅)⊕k)⊕A³₁(A²₅(z^2'₅)⊕k') = δ₁

을 만족시키는 쌍이 있는지 확인한다. 만약 그러한 쌍을 찾지 못한다면 다시 Step 1을 수행한다. 따라서, Step 3의 복잡도 C₃는 C₃ = 2⁶⁶A으로 계산된다. Fig.4는 Step 2와 Step 3이 성공한 후의 Round 2와 Round 3의 상황을 보여준다.

Fig. 4. Situation in Rounds 3 and 4 after Steps 2 and 3 in finding a right pair of (1) for Sparkle384₆

Step 4: 이전의 Step들이 모두 성공했다면, 이 단계에서는 z³₂를 제외한 Round 3의 모든 입력 워드들의 값들이 결정되어있게 된다. 따라서, 유일한 미정 워드인 x³₂ = A³₂(z³₂)는 다른 모든 미정 워드들과 연관되어 있기 때문에, x³₂의 64 자유도를 이용하여 x⁵₀과 x⁵₂의 차분들이 일치하도록(즉, Δx⁵₀ =Δx⁵₂)할 수 있다. 이것에는 x³₂의 가능한 모든 2⁶⁴ 가지 값들을 통한 시도가 평균적으로 요구된다. 이전 Step들의 성공으로부터, (x³_i,x^3'_i) 값들이 i= 0, 1, 3, 4, 5에 대하여 확보되어 있다면, x³₂의 각 값에 대해 다음의 계산들을 수행함으로써 Δx⁵₀ =Δx⁵₂인지 확인할 수 있다:

t³ = x³₀⊕x³₁⊕x³₂;

x⁴_i = A⁴_i(x³_{i+1 mod 3}⊕σ(t³)) for i ∈ {0, 1, 2};

t⁴ = x⁴₀⊕x⁴₁⊕x⁴₂;

x⁵₀ = A⁵₀(A⁴₄(x³₁)⊕x⁴₁⊕σ(t⁴));

x^5'₀ = A⁵₀(A⁴₄(x^3'₁)⊕x⁴₁⊕σ(t⁴));

x⁵₂ = A⁵₂(A⁴₃(x³₀)⊕x⁴₀⊕σ(t⁴));

x^5'₂ = A⁵₂(A⁴₃(x^3'₀)⊕x⁴₀⊕σ(t⁴)).

이와 같은 과정에 따라, Step 4의 복잡도 C₄는 C₄ = 2⁶⁴ · 11A로 계산된다.

만약 위 식들을 만족시키는 x³₂를 찾는다면, 나머지 미정 워드들로의 전파(propagation)는 쉽게 계산된다. Fig.5는 (z³₀, ...,z³₅)에서 출력 차분 Δ_O까지의 정방향 전파, Fig.6은 (z³₀, ...,z³₅)에서 입력 차분 Δ_I까지의 역방향 전파의 결과를 보여준다.

Fig. 5. Forward propagation of differences from Round 3 to Round 5 after Step 4 in finding a right pair of (1) for Sparkle384₆

Fig. 6. Backward propagation of differences from Round 1 to Round 0 after Step 4 in finding a right pair of (1) for Sparkle384₆

4.2 Sparkle512₇에 대해 (2)의 입력 차분과 출력 차분을 만족시키는 쌍 찾기

Sparkle512₇에 대해 (2)의 입력 차분과 출력 차분을 만족시키는 쌍은 다음과 같은 단계들(Step 1 ~ Step 4)을 통해 찾을 수 있다.

Step 1: Round 2의 왼쪽 네 입력 워드들의 차분을 다음과 같이 설정한다.

(Δz²₀,Δz²₁,Δz²₂,Δz²₂) 

= (σ(β),σ(β),β⊕σ(β),σ(β))       (6)

그리고 다음과 같은 식 (7)을 만족시키는 (z²₀, z²₁, z²₂, z²₃)에 대한 쌍을 찾는다.

(Δx²₀⊕σ(Δt²), Δx²₁⊕σ(Δt²)) = (0,0).       (7)

(7)이 성립할 확률은 2^-128이다. 그러한 쌍이 발견된다면 (z²₄,z²₅,z²₆,z²₇)의 값과 차분이 모두 결정되며 또한 차분 Δz³₀ = Δz³₃ = 0와 Δz³₁ = γ₀도 결정된다. 게다가, Δz³₀ = Δz³₃ = 0은 Δx³₀ = Δz⁴₄ = 0와 Δx³₃ = Δz⁴₇ = 0을 의미한다. (7)를 만족시키는 쌍으로부터 차분 Δx³₄, Δx³₅, Δx³₆, Δx³₇를 계산한 다음에, Δz⁴₀ = ⋯ = Δz⁴₃ = 0을 가정하면 σ(Δt³) = Δx³₄, Δx³₁ = Δx³₄⊕Δx³₅, Δx³₂ = Δx³₄⊕Δx³₆를 얻게 된다. 마지막으로, 다음 식 (8)과 (9)가 각각 확률 2^-64로 성립하기를 기대한다.

Δx³₄ = Δx³₇;       (8)

σ(Δx³₁⊕Δx³₂) = Δx³₄.       (9)

그러므로, (6)을 만족시키는 쌍 2¹²⁸개가 필요하다. 여기서 β에 대한 조건은 0이 아닌 것뿐임을 이용하여 쌍을 효율적으로 모을 수 있다. 256비트 값 X에 대해 집합 S(X)를 다음과 같이 정의하자.

W = {(σ(α), σ(α), α⊕σ(α), σ(α)) | α∈{0,1}⁶⁴};

S(X) = X⊕W = {X⊕ω | ω∈W}.

S(X)는 (6)을 만족시키는 2⁶⁴(2⁶⁴ - 1)/2 ≈ 2¹²⁷개의 쌍을 만들어낸다. 그러므로 2¹²⁹개의 서로 다른 S(X) 집합이 있으면 2²⁵⁶개의 쌍을 얻게 된다. 이것으로 (7), (8), (9)를 모두 만족시키는 1개의 쌍을 기대할 수 있다.

Step 1의 복잡도 C₁를 계산해보자. 각 S(X)의 각 원소에 대해 먼저 A²₀, A²₁, A²₂, A²₃에 해당하는 네 번의 Alzette 연산이 적용된다. 그리고 이 2²⁵⁶개 쌍 중에 몇 쌍이 (7)을 만족시키는지 체크한다.

평균적으로는 2¹²⁸ 쌍이 (7)을 만족시킨다. 그 쌍들 중 (8)을 만족시키는 것이 있는지 확인하기 위해 각 쌍마다 A³₄, A³₇이 적용된다. 평균적으로는 남은 쌍들 중 2⁶⁴쌍이 (8)을 만족시킨다. 마지막으로, 그 쌍들 중 (9)를 만족시키는 것이 있는지 확인하기 위해 각 쌍마다 A³₅, A³₆이 적용된다. 그러므로, C₁은 다음과 같이 계산된다.

C₁ = 2¹²⁹⁺⁶⁴ · 4A + 2¹²⁸ · 4A + 2⁶⁴ · 4A ≃ 2¹⁹⁵A.

Fig.7은 Step 1 이후의 Round 2와 Round 3에서의 상황을 표현하고 있다.

Fig. 7. Situation in Rounds 3 and 4 after Step1 in finding a right pair of (2) for Sparkle512₇

Step 2: Fig.7과 같이, Δz³₁ = γ₀이고 Δx³₁ = δ₀라고 하자. A³₁에 대해, 입력 차분 γ₀을 만족시키는 모든 2⁶⁴개의 입력쌍을 시도하여 출력 차분 δ₀을 만족시키는 쌍이 있는지 확인한다. 만약 그러한 쌍을 찾지 못한다면 다시 Step 1을 수행한다. 따라서, Step 2의 복잡도 C₂는 C₂ = 2⁶⁵A으로 계산된다.

Step 3: Fig.7에서와 같이, Δx³₂ = δ₁이라고 하자. Step 1에서 찾은 쌍은 x²₃⊕σ(t²)의 값들을 결정한다. 그 값들을 k와 k′이라고 하자. z²₇⊕z^2'₇ = β를 만족시키는 2⁶⁴개의 모든 (z²₇,z^2'₇)쌍에 대해

A³₂(A²₇(z²₇)⊕k)⊕A³₂(A²₇(z^2'₇)⊕k') = δ₁

을 만족시키는 쌍이 있는지 확인한다. 만약 그러한 쌍을 찾지 못한다면 다시 Step 1을 수행한다. 따라서, Step 3의 복잡도 C₃는 C₃ = 2⁶⁶A으로 계산된다. Fig.8은 Step 2와 Step 3이 성공한 후의 Round 2와 Round 3의 상황을 보여준다.

Fig. 8. Situation in Rounds 3 and 4 after Steps 2 and 3 in finding a right pair of (2) for Sparkle512₇

Step 4: 이전의 Step들이 모두 성공했다면, 이 단계에서는 z³₀과 z³₃을 제외한 Round 3의 모든 입력 워드들의 값들이 결정되어있게 된다. 따라서, 유이한 미정 워드인 z³₀ = A³₀(z³₀)과 x³₃ = A³₃(z³₃)는 다른 모든 미정 워드들과 연관되어 있기 때문에, (x³₀,x³₃)의 128 자유도를 이용하여 Δx⁵₀ = Δx⁵₁과 Δx⁶₀ = Δx⁶₃이 성립하게 할 수 있다. 이것에는 (x³₀,x³₃)의 가능한 모든 2¹²⁸ 가지 값들을 통한 시도가 평균적으로 요구된다. 이전 Step들의 성공으로부터, (x³_i,x^3'_i) 값들이 i = 1, 2, 4, 5, 6, 7에 대해 확보되어 있다면, (x³₀, x³₃)의 각 값에 대해 다음의 계산들을 수행함으로써 Δx⁵₀ = Δx⁵₁인지 확인할 수 있다:

t³ = x³₀⊕x³₁⊕x³₂⊕x³₃;

x⁴_i = A⁴_i(x³_{i+1 mod 4}⊕σ(t³)) for i ∈ {0, 1, 2, 3};

t⁴ = x⁴₀⊕x⁴₁⊕x⁴₂⊕x⁴₃;

x⁵₀ = A⁵₀(A⁴₅(x³₁)⊕x⁴₁⊕σ(t⁴));

x^5'₀ = A⁵₀(A⁴₅(x^3'₁)⊕x⁴₁⊕σ(t⁴));

x⁵₁ = A⁵₁(A⁴₆(x³₂)⊕x⁴₂⊕σ(t⁴));

x^5'₁ = A⁵₁(A⁴₆(x^3'₂)⊕x⁴₂⊕σ(t⁴)).

평균적으로, 2⁶⁴개의 (x³₀, x³₃) 값들이 Δx⁵₀ = Δx⁵₁을 만족시킨다. Δx⁵₂ = Δx⁵₃ = 0이므로, Δx⁵₀ = Δx⁵₁이면 Δt⁶ = 0이다. 남아있는 (x³₀, x³₃)의 각 값에 대하여 다음의 계산들을 수행함으로써, Δx⁶₀ = Δx⁶₃인지 확인할 수 있다:

x⁵₂ = A⁵₃(A⁴₇(x³₃)⊕x⁴₃⊕σ(t⁴));

x⁵₃ = A⁵₂(A⁴₄(x³₀)⊕x⁴₀⊕σ(t⁴));

t⁵ = x⁵₀⊕x⁵₁⊕x⁵₂⊕x⁵₃;

x⁶₀ = A⁶₀(A⁵₅(x⁴₁)⊕x⁵₁⊕σ(t⁵));

x^6'₀ = A⁶₀(A⁵₅(x^4'₁)⊕x⁵₁⊕σ(t⁵));

x⁶₃ = A⁶₃(A⁵₄(x⁴₀)⊕x⁵₀⊕σ(t⁵));

x^6'₃ = A⁶₃(A⁵₄(x⁴₀)⊕x^5'₀⊕σ(t⁵)).

이와 같은 과정에 따라, Step 4의 복잡도 C₄는 C₄ = 2¹²⁸ · 12A + 2⁶⁴ · 12A ≃ 2¹³⁰ · 3A로 계산된다.

위 식들을 만족시키는 (x³₀, x³₃)를 구한다면, 나머지 미정 워드들로의 전파(propagation)는 쉽게 계산된다. Fig.9는 (z³₀, ..., z³₇)에서 출력 차분 Δ_O까지의 정방향 전파, Fig.10은 (z²₀, ..., z²₇)에서 입력 차분 Δ_I까지의 역방향 전파의 결과를 보여준다.

Fig. 9. Backward propagation of differences from Round 1 to Round 0 after Step 4 in finding a right pair of (2) for Sparkle512₇

Fig. 10. Flow from Step 1 to Step 4 in finding right pairs for Sparkle permutations

4.3 복잡도

Fig.11은 4.1절과 4.2절에서 설명된 방법들에 대하여 Step 1부터 Step 4까지의 간단한 순서도를 보여준다. p와 q를 각각 Step 2와 Step 3의 성공 확률이라고 하자. 그러면 각 방법의 총 복잡도 C는

C = ((C₁ + C₂)p^-1 + C₃)q^-1 + C₄       (10)

와 같이 표현된다.

Fig. 11. Forward propagation of differences from Round 3 to Round 6 after Step4 in finding a right pair of (2) for Sparkle512₇

p는 Alzette 연산의 차분 분포 테이블(Difference Distribution Table)에서 0이 아닌 성분의 비율과 같다. Alzette는 64비트 크기의 입력과 출력을 갖는 연산이므로 p에 대한 정확한 값을 구하는 것은 어렵다. 그런데, Alzette는 64비트 4-라운드 ARX 구조를 갖고 있으며[1], 적절한 로테이션 연산들을 사용하고 있기 때문에 32비트 덧셈에서 발생할 수 있는 차분 성질이 출력의 각 비트에 고르게 확산된다. 따라서, p의 값은 1/4과 1/2 사이에 있을 것으로 추측된다. 마찬가지로, q의 값 또한 1/4과 1/2 사이에 있을 것으로 추측된다. 작은 크기(8비트~12비트)의 입출력을 갖도록 축소된 형태의 Alzette에 대하여 테스트한 결과들은 이러한 추측을 뒷받침한다.

먼저, 4.1절에서 설명된 방법의 복잡도를 계산해 보자. 식 (10)에서 p와 q를 모두 1/4로 가정하고, Step 1부터 Step 4까지 계산된 복잡도 C₁, C₂, C₃, C₄를 대입하면, C는 다음과 같이 계산된다:

C = ((2⁶⁶· 3A + 2⁶⁵A)2² + 2⁶⁶A)2² + 2⁶⁴· 11A 

= 2⁶⁴· 251A.

한 번의 Sparkle384₆ 연산은 36번의 Alzette 연산을 요구하므로, 위의 값은 다시 C ≃ 2^66.8로 환산될 수 있다. 이 복잡도는 3.1절에서 제시된, 랜덤 퍼뮤테이션에 대한 복잡도 2²⁵⁷ 보다 훨씬 작기 때문에, 4.1절에서 설명되는 방법은 Sparkle384₆에 대한 유효한 구별 공격이 된다.

4.2절에서 설명된 방법에서는 Step 1의 복잡도가 다른 단계의 복잡도에 비해 월등히 높다. 그러므로, 식 (10)은 C ≃ C₁p^-1q^-1로 수정될 수 있다. p와 q를 모두 1/4로 가정하고, C₁ = 2¹⁹⁵A를 대입하면, C≃ 2¹⁹⁹A로 계산된다. 한 번의 Sparkle512₇ 연산이 56번의 Alzette 연산을 소요한다는 것을 고려하면 이것은 C≃ 2^193.2로 환산된다. 이 복잡도 또한 3.2절에서 제시된 랜덤 퍼뮤테이션에 대한 복잡도 2²⁵⁷ 보다 훨씬 작기 때문에, 4.2절에서 Sparkle512₇에 대해 설명되는 방법은 유효한 구별 공격이 된다.

V. 결론

Sparkle은 NIST에서 진행한 경량 암호 표준화 프로세스의 10 가지 최종 후보 알고리즘 중 하나이다. 본 논문에서는 Sparkle384의 6 라운드와 Sparkle512의 7 라운드에 대하여 새로운 구별 공격을 제시하였다. 공격된 라운드 수는 실제 제안된 알고리즘에서 사용된 라운드 수와 불과 1 라운드 차이이다.

Alzette는 64비트 4 라운드 ARX 구조로 되어 있으며, 몇 가지 분석 결과들이 제시되어 있으나[1,4-8], 이러한 ARX 구조의 차분 분포를 정확하게 파악하는 것은 매우 어려운 작업이다. 본 논문에서 제시된 구별 공격들의 복잡도 추정에는 Alzette 차분 분포에 대한 특별한 가정이 고려되었는데, 만약 향후 연구에서 Alzette 차분 분포에 대한 성질들이 좀 더 자세하게 분석된다면, 본 논문에서 제시된 구별 공격의 복잡도가 더욱 명확해질 것으로 기대한다.