[发明专利]基于非线性变换的SM4白盒实现方法

权利要求书

1.基于非线性变换的SM4白盒实现方法，其特征在于：SM4白盒加密/解密方法共有32轮；每轮需要16个D盒、4个R盒和136个X盒；

其中，D盒是用于将每轮输入的32比特数据进行状态变换的查找表，定义如下：

其中：

(1)D_r，i，j算子8进32出，其为左作用算子，即D_r，i，j的作用方式为

(2)r＝1，2，…，32是当前的轮数，i，j＝0，1，2，3，i由右向左增序，其为输入的位置参数，j由左向右增序，其为输入分割位置的参数；

(3)PD和PX都是随机选取的4比特可逆非线性变换；

(4)

(5)MB_r+i-1是在GF(2)上随机选取的32×32可逆线性变换，是MB_r+i-1的逆变换，是的第j个32×8子变换，mb是在GF(2)上随机选取的8×8可逆线性变换；

R盒是用于密钥保护的查找表，定义如下：

其中：

(1)R_r，j算子16进32出，其为左作用算子，即R_r，j的作用方式为由左向右增序；

(2)

(3)

(4)XOR(x)是左作用算子，对于与x等长的值y，其中为比特异或运算；

(5)k_r是标准SM4密码算法第r轮的32比特轮密钥，k_r，j是k_r的第j个字节；

(6)S是标准SM4密码算法轮函数中的8比特S盒，M是标准SM4密码算法轮函数中的32比特循环移位生成的线性变换，M^j是M的第j个32×8子变换，M＝(M⁰，M¹，M²，M³)；

(7)MB与D盒中的MB一致；

(8)PR是随机选取的4比特可逆非线性变换；

X盒是用于连接D盒和R盒、实现异或运算的查找表，以两个4比特数据为输入，输出一个新的4比特数据，X盒分为两种：X₀和X₁，其定义如下：

其中：

(1)sid＝0，1；

(2)对于X₀，nib＝0，1；

(3)对于X₁，nib＝0，1，…，7；

整个SM4白盒实现方法以(x′₃，x′₂，x′₁，x′₀)为输入，经过32轮变换后，输出(x′₃₅，x′₃₄，x′₃₃，x′₃₂)，其中要保护E₃，E₂，E₁，E₀，E₃₅，E₃₄，E₃₃，E₃₂以及它们的逆：

第r轮以4个32比特数值，

(x′_r+2，x′_r+1，x′_r，x′_r-1)＝(E_r+2(x_r+2)，E_r+1(x_r+1)，E_r(x_r)，E_r-1(x_r-1))

为输入，其中：

(a)

PX_{1，l，6，2t}，PX_{1，l，6，2t+1}，t＝0，1，2，3是随机选取的4比特可逆非线性变换；MB_l是在GF(2)上随机选取的32×32可逆线性变换；

(b)l＝r-1，r，r+1，r+2，r＝1，2，…，32；

(c)x_l是标准SM4密码算法的中间值；

计算一个新的32比特数值x′_r+3＝E_r+3(x_r+3)，每轮计算步骤如下：

(1)s_r，0←D_r，1，0(x′_r，0)，s_r，1←D_r，1，2(x′_r，2)；

(2)s_r，0←(X_{0，r，0，0，0，0}，X_{0，r，0，0，1，0}，…，X_{0，r，0，3，0，0}，X_{0，r，0，3，1，0})(s_r，0，D_r，1，1(x′_r，1))；注：s_r，0＝(s_r，0，0，…，s_r，0，7)，D_r，1，1(x′_r，1)＝((D_r，1，1(x′_r，1))₀，…，(D_r，1，1(x′_r，1))₇)，其中t＝0，1，…，7；

(3)s_r，0←(X_{0，r，0，0，0，1}，X_{0，r，0，0，1，1}，…，X_{0，r，0，3，0，1}，X_{0，r，0，3，1，1})(s_r，0，D_r，2，0(x′_r+1，0))；

(4)s_r，0←(X_{0，r，0，0，0，2}，X_{0，r，0，0，1，2}，…，X_{0，r，0，3，0，2}，X_{0，r，0，3，1，2})(s_r，0，D_r，2，1(x′_r+1，1))；

(5)s_r，0←(X_{0，r，0，0，0，3}，X_{0，r，0，0，1，3}，…，X_{0，r，0，3，0，3}，X_{0，r，0，3，1，3})(s_r，0，D_r，3，0(x′_r+2，0))；

(6)s_r，0←(X_{0，r，0，0，0，4}，X_{0，r，0，0，1，4}，…，X_{0，r，0，3，0，4}，X_{0，r，0，3，1，4})(s_r，0，D_r，3，1(x′_r+2，1))；

(7)s_r，1←(X_{0，r，1，0，0，0}，X_{0，r，1，0，1，0}，…，X_{0，r，1，3，0，0}，X_{0，r，1，3，1，0})(s_r，1，D_r，1，3(x′_r，3))；

(8)s_r，1←(X_{0，r，1，0，0，1}，X_{0，r，1，0，1，1}，…，X_{0，r，1，3，0，1}，X_{0，r，1，3，1，1})(s_r，1，D_r，2，2(x′_r+1，2))；

(9)s_r，1←(X_{0，r，1，0，0，2}，X_{0，r，1，0，1，2}，…，X_{0，r，1，3，0，2}，X_{0，r，1，3，1，2})(s_r，1，D_r，2，3(x′_r+1，3))；

(10)s_r，1←(X_{0，r，1，0，0，3}，X_{0，r，1，0，1，3}，…，X_{0，r，1，3，0，3}，X_{0，r，1，3，1，3})(s_r，1，D_r，3，2(x′_r+2，2))；

(11)s_r，1←(X_{0，r，1，0，0，4}，X_{0，r，1，0，1，4}，…，X_{0，r，1，3，0，4}，X_{0，r，1，3，1，4})(s_r，1，D_r，3，3(x′_r+2，3))；

(12)x′_r+3←D_r，0，0(x′_r-1，0)；

(13)x′_r+3←(X_{1，r，0，0}，…，X_{1，r，0，7})(x′_r+3，D_r，0，1(x′_r-1，1))；

(14)x′_r+3←(X_{1，r，1，0}，…，X_{1，r，1，7})(x′_r+3，D_r，0，2(x′_r-1，2))；

(15)x′_r+3←(X_{1，r，2，0}，…，X_{1，r，2，7})(x′_r+3，D_r，0，3(x′_r-1，3))；

(16)x′_r+3←(X_{1，r，3，0}，…，X_{1，r，3，7})(x′_r+3，R_r，0(s_r，0，0，s_r，1，0))；

(17)x′_r+3←(X_{1，r，4，0}，…，X_{1，r，4，7})(x′_r+3，R_r，1(s_r，0，1，s_r，1，1))；

(18)x′_r+3←(X_{1，r，5，0}，…，X_{1，r，5，7})(x′_r+3，R_r，2(s_r，0，2，s_r，1，2))；

(19)x′_r+3←(X_{1，r，6，0}，…，X_{1，r，6，7})(x′_r+3，R_r，3(s_r，0，3，s_r，1，3))；

其中，字母D、R、X表示D盒、R盒、X盒，且：

(1)x′_l，j是x′_l的第j个字节；

(2)s_r，sid是32比特中间值；

(3)s_r，sid，j是s_r，sid的第j个字节。