View metadata,Downloaded citation and from similar orbit.dtu.dk papers on:at core.ac.uk Dec 18, 2017 brought to you by CORE provided by Online Research Database In Technology Secure Block Ciphers - Cryptanalysis and Design Tiessen, Tyge; Rechberger, Christian; Knudsen, Lars Ramkilde Publication date: 2017 Document Version Publisher's PDF, also known as Version of record Link back to DTU Orbit Citation (APA): Tiessen, T., Rechberger, C., & Knudsen, L. R. (2017). Secure Block Ciphers - Cryptanalysis and Design. Kgs. Lyngby: Technical University of Denmark (DTU). (DTU Compute PHD-2016; No. 412). General rights Copyright and moral rights for the publications made accessible in the public portal are retained by the authors and/or other copyright owners and it is a condition of accessing publications that users recognise and abide by the legal requirements associated with these rights. • Users may download and print one copy of any publication from the public portal for the purpose of private study or research. • You may not further distribute the material or use it for any profit-making activity or commercial gain • You may freely distribute the URL identifying the publication in the public portal If you believe that this document breaches copyright please contact us providing details, and we will remove access to the work immediately and investigate your claim. Secure Block Ciphers Cryptanalysis and Design Tyge Tiessen Ph.D. Thesis April 2016 Document compiled on April 25, 2016. Supervisor: Christian Rechberger Co-supervisor: Lars R. Knudsen Technical University of Denmark Department of Applied Mathematics and Computer Science ISSN: 0909-3192 Serial no.: PHD-2016-412 Abstract The rapid evolution of computational devices and the widespread adoption of digital communication have deeply transformed the way we conduct both business and everyday life and they continue to do so. The ability to ensure confidentiality and integrity of information sent over digital channels is fundamental to this development and is absolutely essential for all private and corporate communication, ranging from bank transactions, digital citizen services, and remote computer access, to cell phone calls and instant messaging. The vast majority of secured data sent over all types of networks is encrypted using so-called symmetric ciphers. The security of our digital infrastructure thus rests at its very base on their security. The central topic of this thesis is the security of block ciphers – the most prominent form of symmetric ciphers. This thesis is separated in two parts. The first part is an introduction to block ciphers and their cryptanalysis, the second part contains publications written and published during the PhD studies. The first publication evaluates the security of a modification of the AES in which the choice of S-box is unknown to the attacker. We find that some of the attacks that can be applied to the AES can be transferred to this block cipher, albeit with a higher attack complexity. The second publication introduces a new block cipher family which is targeted for new applications in fully homomorphic encryption and multi-party computation. We demonstrate the soundness of the design and its superior performance in these applications. The third publication treats the cryptanalysis of Simon, a cipher proposed by the NSA. In particular we discuss how the methods of differential and linear cryptanalysis can correctly be applied to ciphers of this type. The fourth publication introduces a cryptanalytic framework which generalizes differential cryptanalysis. We demonstrate that attacks based on impossible transitions in this framework can competitively break round-reduced block ciphers in the low-data setting. i Resumé Den hurtige og fortsatte udvikling af beregningsenheder og den udbredte overgang til digital kommunikation har fundamentalt ændret den måde, hvorpå vi gør forretning og begår os i hverdagen. Evnen til at sikre fortrolighed og integritet af den information, vi sender via digitale kommunikationskanaler, er fundamental for denne udvikling og er absolut essentiel for al privat og forretningsmæssig kommunikation, spændende over alt fra bankoverførsler, digitale offentlige tjenester og fjernadgang til computere, til mobiltelefonsamtaler og chatbeskeder. Langt størstedelen af sikret data, der bliver sendt over alle typer netværk, er krypteret med såkaldte symmetriske ciphers. Vores digitale infrastrukturs sikkerhed hviler således grundlæggende på sikkerheden af disse. Hovedemnet for denne afhandling er sikkerheden af block ciphers – den mest anvendte type af symmetriske ciphers. Afhandlingen består af to dele. Den første del er en introduktion til block ciphers og kryptoanalyse af disse, mens den anden del består af publikationer skrevet og udgivet under Ph.d.-studierne. Den første publikation undersøger sikkerheden af en modificeret udgave af AES, hvor valget af S-box ikke er kendt af angriberen. Vi konkluderer, at nogle angreb på AES kan overføres til denne block cipher, dog med en forhøjet angrebskompleksitet. Den anden publikation introducerer en ny type block cipher, som er målrettet nye anvendelser inden for fuldstændigt homomorfisk kryptering og multi-party beregninger. Vi demonstrerer designets korrekthed og overlegne ydeevne i disse anvendelser. Den tredje publikation omhandler kryptoanalyse af Simon, en block cipher udviklet af NSA. Navnligt diskuterer vi, hvordan differential og linear kryptoanalyse korrekt kan anvendes på denne type cipher. Den fjerde publikation introducerer en type kryptoanalyse som generaliserer differential kryptoanalyse. Vi viser, at angreb baseret på umulige overgange i denne type kryptoanalyse kan bruges til vellykket at angribe block ciphers. iii Zusammenfassung Rasante Fortschritte in der Computerentwicklung und die umfassende Ausbreitung digigitaler Kommunikationsmittel haben tiefgreifende Veränderungen sowohl im Wirtschafts- als auch im Alltagsleben nach sich gezogen, die unvermindert andauern. In dieser Entwicklung spielt die Fähigkeit, die Vertraulichkeit und Unversehrtheit von Information, die über digitale Kanäle gesendet wird, zu gewährleisten, eine Schlüs- selrolle. Sie ist grundlegend für jegliche private und kommerzielle Kommunikation, sei es Onlinebanking, Fernwartung, Handytelefonante oder Chatprogramme. Die große Mehrheit der gesicherten Daten, die über alle Arten von Netzwerken geschickt werden, wird verschlüsselt mithilfe von sogenannten symmetrischen Chiffren. Somit bildet die Sicherheit dieser Chiffren das Fundament der Sicherheit unserer digitalen Infrastruktur. Den zentralen Gegenstand dieser Dissertation bildet die Sicherheit von Blockchif- fren – die bedeutendste Art von symmetrischen Chiffren. Diese Arbeit ist in zwei Teile aufgeteilt. Den ersten Teil bildet eine kurze Einführung zu Blockchiffren und ihrer Kryptanalyse. Der zweite Teil enthält Veröffentlichungen, die im Rahmen der Promotion entstanden und veröffentlich wurden. Die erste Veröffentlichung unter- sucht die Sicherheit einer Abwandlung des AES, in dem die Spezifierung der S-Box dem Angreifer unbekannt ist. Wie sich zeigt, lassen sich einige der Angriffe auf AES auch auf diese Variante übertragen, allerdings zulasten des Zeitaufwandes des Angriffs. Die zweite Veröffentlichung führt eine neue Familie von Blockchiffren ein, die speziell für den Einsatz in Protokollen, die sicheres verteiltes Rechnen oder voll- ständig homomorphe Verschlüsselung benutzen, entwickelt wurde. Wir zeigen, dass diese Chiffrenfamilie Sicherheit bei gleichzeitig höherer Leistungsfähigkeit in diesen Protokollen möglich macht. Die dritte Veröffentlichung behandelt die Kryptanalyse der NSA-Chiffre Simon. Insbesondere wird diskutiert, wie die Methoden der differen- tiellen und linearen Kryptanalyse auf Chiffren dieser Art korrekt angewandt werden können. Die vierte Veröffentlichung führt einen neuen Typus von Kryptanalyse ein, der eine Verallgemeinerung der differentiellen Kryptanalyse darstellt. Es wird ge- zeigt, dass Attacken, die auf unmöglichen Übergängen in dieser erweiterten Struktur fußen, beim Brechen rundenreduzierter Blockchiffren mit geringem Datenaufwand konkurrenzfähig sind. v Acknowledgements I truly enjoyed my time as a Ph.D. student. I am aware that this is to the smallest part my own accomplishment and I would like to take this opportunity to express my gratitude to those who made this such a pleasant experience. First of all, I would like to thank my supervisor, Christian Rechberger who was always available for guidance and support while leaving me freedom to pursue research ideas of my own. Thank you for your encouragement and patience. I would also like to thank Lars Ramkilde Knudsen, my co-supervisor, for managing a great research group and even more so for being a source of inspiration, having an open door, and putting things into perspective. This gratitude naturally extends to all current and former members of our research section: Mohamed Ahmed Abdelraheem, Martin R. Albrecht, Hoda A. Alkhzaimi, Subhadeep Banik, Andrey Bogdanov, Christina Boura, Christian D. Jensen, Stefan Kölbl, Martin M. Lauridsen, Christiane Peters, Arnab Roy, Elmar Tischhauser, and Philip Vejre. All of you helped to make this a wonderful and inspiring research group to be in. I particularly would like to thank Martin and Stefan for their humor, endless discussions, distractions, enthusiasm, coffee, and beers. I also thank Joan Daemen and Vincent Rijmen for joining the defense committee and Christian D. Jensen for chairing it. I would like to thank Gregor Leander for his hospitality