בקריפטואנליזה, **קריפטואנליזה לִינֵאָרִית** (באנגלית: Linear cryptanalysis) היא צורה כללית של קריפטואנליזה המבוססת על ניתוח קירובים ליניאריים ואפיניים הכוללים שילוב סיביות מקלט פונקציית הצפנה סימטרית, מהפלט שלה וממפתח ההצפנה.

קריפטואנליזה ליניארית פועלת בדרך כלל לפי מודל התקפת גלוי-ידוע שהיא מודל התקפה שבו מניחים שליריב או מנתח הצופן גישה למספר מוגבל של זוגות קלט/פלט, שהם בהקשר של צופן בלוקים, מספר רב של בלוקים של טקסט-קריא ובלוקים של טקסט-מוצפן המתאימים להם שהוצפנו עם אותו מפתח סודי ועם מידע זה הוא מנסה לפצח את הצופן. אך בניגוד להתקפת גלוי-נבחר, למתקיף אין שליטה על תוכן הנתונים שהשיג.

היסטוריה
--------

הקריפטואנליזה הליניארית מיוחסת למיצורו מצואי, שפרסם אותה לראשונה ב-1992 יחד עם ימאגישי לפיצוח הצופן FEAL וכן נוסתה נגד צופן DES והייתה להתקפה הפומבית הראשונה על הצופן, אך היא דורשת מספר עצום של בלוקים ידועים ({\displaystyle 2^{43}} זוגות במקרה של DES). קריפטואנליזה ליניארית מתאימה במיוחד נגד צופן בלוקים ואף נגד צופן זרם. ההתקפה הליניארית יחד עם הדיפרנציאלית הן שתי ההתקפות הקריפטוגרפיות המפורסמות והמוצלחות ביותר נגד צפני בלוקים מודרניים והביאו לשבירתם המוחלטת של לא מעט צפנים. כיום ההתקפה הליניארית משמשת כאבן בוחן וכלי שימושי לבדיקת ביטחון כל צופן בלוקים מודרני. כיום מצפים מכל צופן שיוכיח עמידות נגד התקפה זו אפילו אם היא תאורטית ביסודה אם היא יעילה מכוח גס באופן ניכר. למרות האמור, למרבה ההפתעה אפילו לאחר שנים של קריפטואנליזה, ההתקפה הליניארית נגד צופן DES התגלתה כלא יעילה במיוחד באופן מעשי. ועד היום DES שרד את שתי ההתקפות המתוארות, הליניארית והדיפרנציאלית כאחד.

וריאציות
--------

במשך השנים פותחו מספר וריאציות של הקריפטואנליזה הליניארית ביניהן:

* **קריפטואנליזת קירובים ליניאריים מרובים**.
* **קריפטואנליזת מתאם אפס**.
* **קריפטואנליזת חציצה** (Partitioning).

תיאור כללי
----------

הקריפטואנליזה הליניארית מנסה לנצל קיום מופעים בהסתברות גבוהה של משוואות ליניאריות המערבות סיביות מבלוק הקלט, בלוק הפלט (ליתר דיוק מפלט הסבב האחד לפני אחרון של הצופן) ומפתח ההצפנה. הרעיון הבסיסי הוא לבצע קירוב של חלק מפעולת הצופן עם משוואה ליניארית מעל חיבור XOR (חיבור מודולו 2). משוואה ליניארית כזו יכולה להיות למשל:

{\displaystyle {\boldsymbol {X\_{i\_{1}}\oplus X\_{i\_{2}}\oplus ...\oplus X\_{i\_{u}}\oplus Y\_{j\_{1}}\oplus Y\_{j\_{2}}\oplus ...\oplus Y\_{j\_{v}}=0}}}

כאשר {\displaystyle X\_{i}} מייצג את הסיבית במיקום ה-{\displaystyle i} של בלוק הקלט {\displaystyle X=[X\_{1},X\_{2},...X\_{n}]} המכיל {\displaystyle n} סיביות וכן {\displaystyle Y\_{j}} מייצג את הסיבית במיקום ה-{\displaystyle j} של בלוק הפלט {\displaystyle Y=[Y\_{1},Y\_{2},...Y\_{n}]}. המשוואה המתוארת מחברת תת-קבוצה באורך {\displaystyle u} סיביות של {\displaystyle X} עם תת-קבוצה באורך {\displaystyle v} סיביות של {\displaystyle Y}. המטרה היא למצוא סיביות קלט/פלט שמקיימות את המשוואה האמורה בהסתברות גבוהה באופן משמעותי או בהסתברות נמוכה באופן משמעותי. באופן כללי אסור שלינאריות כזו תתרחש בצופן, אחרת הוא יהיה חלש מאוד כי היא הוכחה לכך שהצופן מכיל אקראיות ירודה. באופן אידיאלי אם ננסה להזין {\displaystyle v+u} סיביות קלט/פלט שונות במשוואה המתוארת ההסתברות שהמשוואה תתקיים צריכה להיות {\displaystyle 1/2}. ככל שהסטייה או הנטאי בתוצאות גדולה מחצי כך קל יותר למנתח הצופן לשבור אותו. ההטיה בהקשר זה נקראת **הטיה ליניארית הסתברותית** אותה מסמנים ב-{\displaystyle p\_{L}}. ככל ששיעור ההטיה ההסתברותית {\displaystyle |p\_{L}-1/2|} גדלה משמעותית כך קל יותר ליישם את ההתקפה הליניארית על הצופן.

ישנן מגוון דרכים לביצוע הקריפטואנליזה הליניארית. לצורך התיאור כאן נתייחס למה שמיצורו מצואי מכנה במאמר שלו **אלגוריתם 1**. למרות שבמשוואה הליניארית לעיל לא מופיעות סיביות ממפתח ההצפנה המותקף, האגף הימני במשוואה "0" כולל באופן עקיף סיביות מהמפתח שמיקומן ידוע אך לא ערכן. אם סכום הסיביות מהמפתח המשתתפות במשוואה הוא אפס, ההטיה תהיה עם סימן (פלוס או מינוס) זהה אילו המשוואה כללה סיביות מהמפתח (אם ההסתברות {\displaystyle p\_{L}} התקבלה). אם {\displaystyle p\_{L}=1} פירושו של דבר שהמשוואה המתוארת מייצגת את התנהגות הצופן בשלמות ולכן הצופן כנראה מכיל פגם חמור. אם {\displaystyle p\_{L}=0} פירושו של דבר שהמשוואה המתוארת מייצגת פונקציה אפינית של הצופן, שגם זו אינדיקציה לתקלה חמורה. במקרה של XOR פונקציה אפינית היא בעצם המשלים של הפונקציה הליניארית, כך שבשני המקרים הצופן יהיה חשוף להתקפה ליניארית.

### דוגמה לקריפטואנליזה ליניארית

לצורך המחשת הקריפטואנליזה הליניארית, נניח שנתון צופן בלוקים פשוט המורכב מרשת החלפה-תמורה. הוא מקבל בלוק קלט באורך 16 סיבות (שני בתים), מעבד את הבלוק על ידי חזרה ארבע פעמים על פונקציה פנימית הכוללת בדומה ל-AES, שלוש שכבות; החלפה, תמורה וערבוב מפתח, כמתואר בתרשים משמאל. למרות שהצופן פשוט והוא מובא כאן להמחשה בלבד, ההתקפה הליניארית על צופן זה מספקת תובנה די טובה לגבי פעולתה נגד צפנים מודרניים מורכבים יותר.

לצורך הדיון נניח ששלב ההחלפה בצופן הצעצוע האמור כולל ארבע תיבות החלפה המקבלות 4 סיביות ומחזירות 4 סיביות. כל תיבת החלפה אפשר ליישם באמצעות טבלה פשוטה המכילה 16 ערכים באורך 4 סיביות כל אחד. הערך המוחזר הוא בעצם תוכן הכניסה שהקלט מייצג את מספרה. ברוב הצפנים קיימות מספר טבלאות, לצורך הפשטות נניח שקיימת רק תיבה אחת כזו שבה משתמשים ארבע פעמים בכל סבב. להלן הטבלה הלקוחה מצופן DES בייצוג הקסדצימלי:


|  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
| --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- |
| **קלט** | 0 | 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | A | B | C | D | E | F |
| **פלט** | E | 4 | D | 1 | 2 | F | B | 8 | 3 | A | 6 | C | 5 | 9 | 0 | 7 |

לצורך שלב הטרנספוזיציה (תמורה) נתונה הטבלה הבאה. פעולת הטרנספוזיציה ניתנת לתיאור באופן הבא: הפלט בפוזיציה ה-{\displaystyle i} של תיבת ההחלפה {\displaystyle j} מנותב לכניסה ה-{\displaystyle j} של תיבת ההחלפה ה-{\displaystyle i} (בסבב הבא). ראוי לציין שאין טעם בטרנספוזיציה בסבב האחרון של הצופן כי היא ניתנת להפיכה בקלות.


|  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
| --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- |
| **קלט** | 0 | 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | A | B | C | D | E | F |
| **פלט** | 0 | 4 | 8 | C | 1 | 5 | 9 | C | 2 | 6 | A | D | 3 | 7 | B | F |

שכבת חיבור המפתח מבצעת חיבור XOR של כל סיביות הפלט עם חלק מהמפתח הסודי הנקרא תת-מפתח. חיבור המפתח בסיום הסבב האחרון מבטיח שלא יהיה אפשרי להתעלם מהסבב האחרון כשמנתחים את הצופן. לצורך הפשטות נניח שתת-המפתחות עבור ארבעת הסבבים הוכנו בנפרד זה מזה. פענוח הוא פשוט חזרה לאחור צעד אחרי צעד במבנה זהה להצפנה, רק יש צורך לוודא שתיבות ההחלפה הן פונקציה חד-חד-ערכית ועל ועל כן הן הפיכות וכן צריך להשתמש במפתחות בסדר הפוך.

### עקרון הערמה

מציאת משוואה ליניארית של הצופן מסתמכת על צירוף משוואות ליניאריות של חלקים שונים של הצופן למשוואה ליניארית אחת. החלק הקשה הוא למצוא ולצרף משוואות ליניאריות מתאימות. לצורך ההדגמה נתייחס לצופן הצעצוע המתואר לעיל. אם נתונים שני משתנים מקריים {\displaystyle X\_{1}} ו-{\displaystyle X\_{2}}, אז {\displaystyle X\_{1}\oplus X\_{2}=0} הוא ביטוי ליניארי השקול ל-{\displaystyle X\_{1}=X\_{2}}. אם {\displaystyle X\_{1}\oplus X\_{2}=1} זהו ביטוי אפיני השקול ל-{\displaystyle X\_{1}\neq X\_{2}}. נניח שההתפלגות הסטטיסטית נתונה על ידי:

{\displaystyle \Pr[X\_{1}=i]={\begin{cases}p\_{1},&i=0\\1-p\_{1},&i=1\end{cases}}}
וכן

{\displaystyle \Pr[X\_{2}=i]={\begin{cases}p\_{2},&i=0\\1-p\_{2},&i=1\end{cases}}}
אם שני המשתנים המקריים בלתי תלויים אפשר לשלב את שניהם ביחד:

{\displaystyle \Pr[X\_{1}=i,X\_{2}=j]={\begin{cases}p\_{1}p\_{2},&i=0,j=0\\p\_{1}(1-p\_{2}),&i=0,j=1\\(1-p\_{1})p\_{2},&i=1,j=0\\(1-p\_{1})(1-p\_{2}),&i=1,j=1\end{cases}}}
וכן אפשר להוכיח ש-

|  |
| --- |
| {\displaystyle \Pr[X\_{1}\oplus X\_{2}=0]\ =\Pr[X\_{1}=X\_{2}]}
{\displaystyle \,\,\,\ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ =\Pr[X\_{1}=0,X\_{2}=0]+\Pr[X\_{1}=1,X\_{2}=1]}
{\displaystyle \,\,\,\ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ \ =p\_{1}p\_{2}+(1-p\_{1})(1-p\_{2})}. |

דרך אחרת להציג זאת, יהיו {\displaystyle p\_{1}=1/2+\varepsilon \_{1}} וכן {\displaystyle p\_{2}=1/2+\varepsilon \_{2}} כאשר {\displaystyle \varepsilon \_{1}} ו-{\displaystyle \varepsilon \_{2}} הן שיעור ההטיה ההסתברותיות מחצי כך שמתקיים {\displaystyle 1/2\leq \varepsilon \_{1}} וכן {\displaystyle \varepsilon \_{2}\leq +1/2}. מזה נובע ש-{\displaystyle \Pr[X\_{1}\oplus X\_{2}=0]=1/2+2\varepsilon \_{1}\varepsilon \_{2}}. ההטיה של {\displaystyle X\_{1}\oplus X\_{2}=0} היא {\displaystyle \varepsilon \_{1,2}=2\varepsilon \_{1}\varepsilon \_{2}}. אפשר להרחיב את האמור ליותר משתנים מקריים {\displaystyle X\_{1}} עד {\displaystyle X\_{n}} עם ההסתברויות {\displaystyle p\_{1}=1/2+\varepsilon \_{1}} עד {\displaystyle p\_{n}=1/2+\varepsilon \_{n}}. ההסתברות ש-{\displaystyle X\_{1}\oplus X\_{2}\oplus ...\oplus X\_{n}=0} תתקיים ניתנת לחישוב באמצעות למת הערמה (Piling-Up Lemma) של מיצורו מצואי, בהנחה שכל המשתנים בלתי תלויים:

נתונים {\displaystyle n} משתנים מקריים בלתי תלויים: {\displaystyle X\_{1},X\_{2},...X\_{n}} מתקיים

{\displaystyle \Pr[X\_{1}\oplus X\_{2}\oplus ...\oplus X\_{n}=0]=1/2+2^{n-1}\prod \_{i=1}^{n}\varepsilon \_{i}}.

או לחלופין

{\displaystyle \varepsilon \_{1,2,...n}=2^{n-1}\prod \_{i=1}^{n}\varepsilon \_{i}}

כאשר {\displaystyle \varepsilon \_{1,2,...n}} מייצג את ההטיה של {\displaystyle X\_{1}\oplus X\_{2}\oplus ...\oplus X\_{n}=0}. יש לשים לב שאם {\displaystyle p\_{i}=0} או {\displaystyle p\_{i}=1} אז {\displaystyle \Pr[X\_{1}\oplus X\_{2}\oplus ...\oplus X\_{n}=0]=0} או 1 בהתאם. אם רק {\displaystyle p\_{i}} אחד שווה חצי אז {\displaystyle \Pr[X\_{1}\oplus X\_{2}\oplus ...\oplus X\_{n}=0]=1/2}.

כאשר מרכיבים משוואה ליניארית של הצופן המשתנים {\displaystyle X\_{i}} הם בעצם קירוב ליניארי של תיבות ההחלפה. למשל, אם נתונים ארבעה משתנים מקריים {\displaystyle X\_{1},X\_{2},X\_{3}} ו-{\displaystyle X\_{4}} ויהיו {\displaystyle \Pr[X\_{1}\oplus X\_{2}=0]-1/2+\varepsilon \_{1,2}} וכן {\displaystyle \Pr[X\_{2}\oplus X\_{3}=0]=1/2+\varepsilon \_{2,3}}, הסכום {\displaystyle X\_{1}\oplus X\_{3}} המתקבל על ידי חיבור {\displaystyle X\_{1}\oplus X\_{2}} עם {\displaystyle X\_{2}\oplus X\_{3}} אז מתקיים:

{\displaystyle \Pr[X\_{1}\oplus X\_{3}=0]=\Pr[(X\_{1}\oplus X\_{2})\oplus (X\_{2}\oplus X\_{3})=0]}.
בדרך זו אפשר לשלב משוואות ליניאריות כדי לקבל משוואה ליניארית חדשה, ואם מניחים שהמשתנים בלתי תלויים אז אפשר להשתמש בלמת הערמה באופן הזה:

{\displaystyle \Pr[X\_{1}\oplus X\_{3}=0]=1/2+2\varepsilon \_{1,2}\varepsilon \_{2,3}}
כתוצאה מכך {\displaystyle \varepsilon \_{1,3}=2\varepsilon \_{1,2}\varepsilon \_{2,3}}. אפשר לראות שהביטויים {\displaystyle X\_{1}\oplus X\_{2}=0} וכן {\displaystyle X\_{2}\oplus X\_{3}=0} מקבילים לקירובים הליניאריים של שתי תיבות ההחלפה בהתאמה ואילו {\displaystyle X\_{1}\oplus X\_{3}=0} מקביל לקירוב הליניארי של שתיהן יחד. כמובן שבניתוח אמיתי של הצופן מעורבים יותר תיבות החלפה ויותר משתנים מקריים בהתאם.

### תיבות ההחלפה

במרבית הצפנים כמו DES ו-AES, כל הפעולות למעט תיבות ההחלפה הן פעולות ליניאריות ולכן מספיק לייצג את פעולות תיבות ההחלפה כמשוואה ליניארית כדי לפצח את הצופן. בהינתן תיבת החלפה כמו בדוגמה לעיל, המקבלת 4 סיביות {\displaystyle X=[X\_{1}X\_{2}X\_{3}X\_{4}]} ומחזירה ארבע סיביות {\displaystyle Y=[Y\_{1}Y\_{2}Y\_{3}Y\_{4}]}. קל יותר לגלות קירובים ליניאריים על ידי חישוב ההטיה של כל תיבה בנפרד. למשל אם לוקחים את הביטוי {\displaystyle X\_{2}\oplus X\_{3}\oplus Y\_{1}\oplus Y\_{3}\oplus Y\_{4}=0} או לחלופין {\displaystyle X\_{2}\oplus X\_{3}=Y\_{1}\oplus Y\_{3}\oplus Y\_{4}}, מנסים את כל 16 האפשרויות של {\displaystyle X} ובודקים את התוצאות {\displaystyle Y} המתקבלות מתיבת ההחלפה, מגלים שב-12 מתוך 16 המקרים המשוואה האמורה מתקיימת, כלומר בהסתברות של {\displaystyle 12/16-1/2=1/4}. דוגמה אחרת, עם הביטוי {\displaystyle X\_{1}\oplus X\_{4}=Y\_{2}} מתקבלת הטיה של אפס וכן עם המשוואה {\displaystyle X\_{3}\oplus X\_{4}=Y\_{1}\oplus Y\_{4}} ההסתברות היא {\displaystyle 2/16-1/2=-3/8} שזהו קירוב אפיני (בגלל סימן המינוס). היות שההתקפה הליניארית מסתמכת על שיעור ההטיה אין חשיבות לסימן וההתקפה תצליח במידה שווה במקרה של קירוב ליניארי או אפיני (מלמעלה או מלמטה). את כל 16 האפשרויות של הצירופים הליניאריים של כל המשוואות האפשריות, אפשר לסכם בטבלה. על בסיס טבלה הזו מגלים את כל הקירובים הליניאריים/אפיניים של תיבת ההחלפה ומסכמים אותם בטבלה אחרת הנקראת **טבלת קירוב ליניארי**, לדוגמה כך נראית הטבלה עבור תיבת ההחלפה שנבחרה לצורך הדוגמה:

|  | 0 | 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | A | B | C | D | E | F |
| --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- |
| **0** | +8 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 |
| **1** | 0 | 0 | -2 | -2 | 0 | 0 | -2 | +6 | +2 | +2 | 0 | 0 | +2 | +2 | 0 | 0 |
| **2** | 0 | 0 | -2 | -2 | 0 | 0 | -2 | -2 | 0 | 0 | +2 | +2 | 0 | 0 | -6 | +2 |
| **3** | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | +2 | -6 | -2 | -2 | +2 | +2 | -2 | -2 |
| **4** | 0 | +2 | 0 | -2 | -2 | -4 | -2 | 0 | 0 | -2 | 0 | +2 | +2 | -4 | +2 | 0 |
| **5** | 0 | -2 | -2 | 0 | -2 | 0 | +4 | +2 | -2 | 0 | -4 | +2 | 0 | -2 | -2 | 0 |
| **6** | 0 | +2 | -2 | +4 | +2 | 0 | 0 | +2 | 0 | -2 | +2 | +4 | -2 | 0 | 0 | -2 |
| **7** | 0 | -2 | 0 | +2 | +2 | -4 | +2 | 0 | -2 | 0 | +2 | 0 | +4 | +2 | 0 | +2 |
| **8** | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | -2 | +2 | +2 | -2 | +2 | -2 | -2 | -6 |
| **9** | 0 | 0 | -2 | -2 | 0 | 0 | -2 | -2 | -4 | 0 | -2 | +2 | 0 | +4 | +2 | -2 |
| **A** | 0 | +4 | -2 | +2 | -4 | 0 | +2 | -2 | +2 | +2 | 0 | 0 | +2 | +2 | 0 | 0 |
| **B** | 0 | +4 | 0 | -4 | +4 | 0 | +4 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 |
| **C** | 0 | -2 | +4 | -2 | -2 | 0 | +2 | 0 | +2 | 0 | +2 | +4 | 0 | +2 | 0 | -2 |
| **D** | 0 | +2 | +2 | 0 | -2 | +4 | 0 | +2 | -4 | -2 | +2 | 0 | +2 | 0 | 0 | +2 |
| **E** | 0 | +2 | +2 | 0 | -2 | -4 | 0 | +2 | -2 | 0 | 0 | -2 | -4 | +2 | -2 | 0 |
| **F** | 0 | -2 | -4 | -2 | -2 | 0 | +2 | 0 | 0 | -2 | +4 | -2 | -2 | 0 | +2 | 0 |

כל כניסה בטבלה מייצגת בבסיס הקסדצימלי, את מספר הפעמים שנמצאה התאמה בין המשוואה הליניארית של קלט תיבת ההחלפה לבין סכום סיביות הפלט שלה פחות 8. לכן אם מחלקים את הערך בכניסה כלשהי ב-16 מתקבלת ההטיה ההסתברותית של הצירוף הליניארי המתאים. הערך של אינדקס כל כניסה מגדיר את המשתנים המקריים הנכללים במשוואה בצורה של צירוף ליניארי מהצורה {\displaystyle a\_{1}\cdot X\_{1}\oplus a\_{2}\cdot X\_{2}\oplus a\_{3}\cdot X\_{3}\oplus a\_{4}\cdot X\_{4}} כאשר {\displaystyle a\_{i}\in \{0,1\}} והסימן {\displaystyle \cdot } מייצגת פעולת AND. לכן הערך בבסיס הקסדצימלי הוא {\displaystyle a\_{1}a\_{2}a\_{3}a\_{4}} כאשר {\displaystyle a\_{1}} הוא הסיבית המשמעותית ביותר. מזה אפשר לראות שההטיה של המשוואה הליניארית {\displaystyle X\_{3}\oplus X\_{4}=Y\_{1}\oplus Y\_{4}} (בשורה הרביעית בעמודה העשירית) היא {\displaystyle -6/16=-3/8} וההסתברות שהמשוואה הליניארית תתקיים היא {\displaystyle 1/2-3/8=1/8}. מהתבוננות בטבלה אפשר לשים לב שההסתברות שכל סכום של סיביות פלט שווה לערך שאין בו סיביות מהקלט הוא בדיוק חצי, זאת בגלל שתיבת ההחלפה היא פונקציה חד ערכית ועל וכל צירוף ליניארי מחייב שיהיה מספר שווה של סיביות אפס ואחד. באותה מידה ההסתברות של כל צירוף ליניארי שאין בו סיביות פלט היא בדיוק {\displaystyle +1/2}(בטבלה היא {\displaystyle +8}), לכן השורה העליונה בטבלה כולה מאופסת למעט בכניסה השמאלית ביותר וכן לגבי העמודה הראשונה.

### קירוב ליניארי של כל הצופן

בהינתן הקירובים הלנאריים של כל תיבות ההחלפה של הצופן, קיים מספיק מידע כדי לחשב את הקירוב הליניארי של הצופן בשלמותו. את זה אפשר לבצע על ידי צירוף מספר קירובים מתאימים מתיבות ההחלפה. עם מידע זה אפשר לחלץ סיביות מהמפתח הסודי ששימש בסבב האחרון של הצופן. לדוגמה, בתרשים משמאל מתואר קירוב לנארי של צופן הצעצוע להמחשה בתיבות {\displaystyle S\_{12},S\_{22},S\_{32}} ו-{\displaystyle S\_{34}} כאשר הספרה הראשונה באינדקס התיבה מציינת את מספר הסבב ואילו השנייה את מספר התיבה (שזה התיבה השנייה בסבב הראשון, השנייה בסבב השני והתיבות השנייה והרביעית בסבב השלישי). יש לשים לב שהקירוב האמור אינו כולל את כל הצופן אלא רק שלושה סבבים ממנו, זה כל מה שדרוש להתקפה. לאחר בחינה של התרשים וטבלת הקירובים, מתקבלים הקירובים הבאים:

{\displaystyle S\_{12}:X\_{1}\oplus X\_{3}\oplus X\_{4}=Y\_{2}} בהסתברות {\displaystyle 12/16} והטיה {\displaystyle +1/4}
{\displaystyle S\_{22}:X\_{2}=Y\_{2}\oplus Y\_{4}} בהסתברות {\displaystyle 4/16} והטיה {\displaystyle -1/4}
{\displaystyle S\_{32}:X\_{2}=Y\_{2}\oplus Y\_{4}} בהסתברות {\displaystyle 4/16} והטיה {\displaystyle -1/4}
{\displaystyle :S\_{34}:X\_{2}=Y\_{2}\oplus Y\_{4}} בהסתברות {\displaystyle 4/16} והטיה {\displaystyle -1/4}

יהיו {\displaystyle U\_{i}} ו-{\displaystyle V\_{i}} בלוק הקלט ובלוק הפלט בהתאמה של תיבות ההחלפה של הצופן בסבב ה-{\displaystyle i}. וכן {\displaystyle U\_{ij}} ו-{\displaystyle V\_{ij}} הסיבית ה-{\displaystyle j} של בלוק הקלט או הפלט בהתאמה, בסבב ה-{\displaystyle i}. באותו אופן {\displaystyle K\_{i}} מייצג את המפתח המחובר ב-XOR עם בלוק הנתונים בסבב ה-{\displaystyle i} כאשר {\displaystyle K\_{5}} הוא המפתח שמחובר לאחר הסבב הרביעי וכן {\displaystyle K\_{ij}} מתייחס לסיבית במיקום ה-{\displaystyle j} של המפתח ה-{\displaystyle i}. לכן בשלב הראשון של הצופן מתקבל: {\displaystyle U\_{1}=P\oplus K\_{1}}. כאשר {\displaystyle P} הוא בלוק הקלט הגלוי או המסר המיועד להצפנה, באורך 16 סיביות. על בסיס הקירוב הליניארי של הסבב הראשון של הצופן, המשוואה הליניארית הבאה:

|  |
| --- |
| {\displaystyle V\_{1,6}\ =\ U\_{1,5}\oplus U\_{1,7}\oplus U\_{1,8}}
{\displaystyle \ \ \ \ \ \ \ =(P\_{5}\oplus K\_{1,5})\oplus (P\_{7}\oplus K\_{1,7})\oplus (P\_{8}\oplus K\_{1,8})} |

מתקיימת בהסתברות {\displaystyle 3/4}. וכן עבור הסבב השני, הצירוף הבא

{\displaystyle V\_{2,6}\oplus V\_{2,8}=U\_{2,6}}
מתקיים בהסתברות {\displaystyle 1/4}. היות שפלט הסבב הראשון הוא בעצם קלט הסבב השני המחובר עם המפתח המתאים, מתקבל {\displaystyle U\_{2,6}=V\_{1,6}\oplus K\_{2,6}} לכן אפשר לקבל קירוב ליניארי מהצורה:

{\displaystyle V\_{2,6}\oplus V\_{2,8}=V\_{1,6}\oplus K\_{2,6}}
בהסתברות 1/4. לפי *למת הערמה* של מצואי, אם משלבים יחד את הצירופים משני הסבבים הראשונים מתקבלת המשוואה:

{\displaystyle V\_{2,6}\oplus V\_{2,8}\oplus P\_{5}\oplus P\_{7}\oplus P\_{8}\oplus K\_{1,5}\oplus K\_{1,7}\oplus K\_{1,8}\oplus K\_{2,6}=0}
שמתקיימת בהסתברות ש/ל {\displaystyle 1/2+2(3/4-1/2)(1/4-1/2)=3/8} עם הטיה {\displaystyle -1/8}. למרות שהיא מתבססת על ההנחה שהקירובים הליניאריים של כל סבב בלתי תלויים שהיא הנחה לא מדויקת, בפועל היא עובדת היטב. עבור הסבב השלישי אפשר להבחין ש:

{\displaystyle V\_{3,6}\oplus V\_{3,8}=U\_{3,6}} בהסתברות {\displaystyle 1/4} וכן
{\displaystyle V\_{3,14}\oplus V\_{3,16}=U\_{3,14}} בהסתברות {\displaystyle 1/4}.
היות שמתקיים {\displaystyle U\_{3,6}=V\_{2,6}\oplus K\_{3,6}} וכן {\displaystyle U\_{3,14}=V\_{2,8}\oplus K\_{3,14}} מתקבלת המשוואה הבאה:

{\displaystyle V\_{3,6}\oplus V\_{3,8}\oplus V\_{3,14}\oplus V\_{3,16}\oplus V\_{2,6}\oplus K\_{3,6}\oplus V\_{2,8}\oplus K\_{3,14}=0}
בהסתברות של {\displaystyle 1/2+2(1/4-1/2)^{2}=5/8} (עם הטיה {\displaystyle -1/8}). כעת אפשר לשלב את הצירופים מכל הסבבים (לפי עקרון הערמה) ולקבל את:

{\displaystyle V\_{3,6}\oplus V\_{3,8}\oplus V\_{3,14}\oplus V\_{3,16}\oplus P\_{5}\oplus P\_{7}\oplus P\_{8}\oplus K\_{1,5}\oplus K\_{1,7}\oplus K\_{1,8}\oplus K\_{2,6}\oplus K\_{3,6}\oplus K\_{3,14}=0}.
אפשר לפשט את המשוואה. היות שבעצם {\displaystyle U\_{4,6}=V\_{3,6}\oplus K\_{4,6},U\_{4,8}=V\_{3,14}\oplus K\_{4,8},U\_{4,14}=V\_{3,8}\oplus K\_{4,14}} וכן {\displaystyle U\_{4,16}=V\_{3,16}\oplus K\_{4,16}}, אפשר לשכתב את המשוואה האמורה כך:

{\displaystyle \textstyle U\_{4,6}\oplus U\_{4,8}\oplus U\_{4,14}\oplus U\_{4,16}\oplus P\_{5}\oplus P\_{7}\oplus P\_{8}\oplus \sum \_{K}=0}.

כאשר {\displaystyle \textstyle \sum \_{K}} כולל את כל סיביות המפתח המשתתפות (שמיקומן ידוע):

{\displaystyle \textstyle \sum \_{K}=K\_{1,5}\oplus K\_{1,7}\oplus K\_{1,8}\oplus K\_{2,6}\oplus K\_{3,6}\oplus K\_{3,14}\oplus K\_{4,6}\oplus K\_{4,8}\oplus K\_{4,14}\oplus K\_{4,16}}

ההסתברות שהמשוואה האחרונה תתקיים היא {\displaystyle 1/2+2^{3}(3/4-1/2)(1/4-1/2)^{3}=15/32} עם הטיה -{\displaystyle 1/32} והיא הקירוב הליניארי של הצופן.
היות ש-{\displaystyle \textstyle \sum \_{K}} קבוע בהתאם למפתח הסודי המשוואה הבאה:

{\displaystyle U\_{4,6}\oplus U\_{4,8}\oplus U\_{4,14}\oplus U\_{4,16}\oplus P\_{5}\oplus P\_{7}\oplus P\_{8}=0}
חייבת להתקיים בהסתברות של {\displaystyle 15/32} או {\displaystyle (1-15/32)=17/32} שתלוי בערכו של {\displaystyle \textstyle \sum \_{K}} (אפס או אחד בהתאמה). כעת בידינו הקירוב הליניארי הכולל של שלושת הסבבים הראשונים של הצופן בהסתברות של {\displaystyle 1/32}.

### ניחוש סיביות מפתח

לאחר שהתגלה הקירוב הליניארי הכולל של {\displaystyle R-1} מתוך {\displaystyle R} הסבבים של הצופן, עם הטיה הסתברותית משמעותית, עוברים לשלב ניחוש סיביות תת-המפתח האחרון על ידי חישוב לאחור. ביתר פירוט, תחילה מנסים את כל האפשרויות של המפתח האחרון ({\displaystyle K\_{5}} במקרה זה) ומחברים אותם ב-XOR עם הבלוק המוצפן, ואז מבצעים פענוח חלקי (העברה בתיבות ההחלפה של הסבב האחרון) של הבלוק שהתקבל. פעולה זו מתבצעת עבור כל זוגות הבלוקים גלויים/מוצפנים שנמצאים בידי המתקיף. שומרים מונה שמקודם בכל פעם שהתקבל ערך המקיים את הצירוף הליניארי של התיבות מהסבב האחרון (יש לזכור שהבלוק הגלוי ידוע). כל ניחוש סיביות מפתח שהמונה שלו גבוה או נמוך ממחצית מזוגות הקלט/פלט שבידי המתקיף בשיעור משמעותי הדבר נחשב לניחוש מוצלח. ניחוש לא נכון אמור לתת תוצאה אקראית ולכן המשוואה האמורה תתקיים בהסתברות קרובה לחצי.

בצופן הצעצוע המובא להמחשה, הצירוף הליניארי האחרון משפיע על הפלט לתיבות {\displaystyle S\_{42}} ו-{\displaystyle S\_{44}} של הסבב האחרון. כיוון שכל תיבה מכילה 4 סיביות בסך הכול 8 זה אומר שעבור כל זוג קלט/פלט מנסים את כל 256 צירופי סיביות של המפתח {\displaystyle K\_{5}} במקטעים {\displaystyle [K\_{5,5}...K\_{5,8},K\_{5,13}...K\_{5,16}]} (יתר סיביות המפתח אינן משפיעות כי שתי תיבות אילו היו התיבות הפעילות היחידות בסבב זה). עבור כל ניחוש מפתח חלקי כזה, מקדמים מונה כלשהו אם המשוואה האחרונה התקיימה. הזוגות שלהם המונה הגבוה ביותר (שלילי או חיובי) מרמזות על ניחוש מוצלח בהסתברות גבוהה. המשוואה האחרונה (הצירוף הליניארי של הצופן) משפיעה על התוצאה בהתאם למפתח. אם ערכן של סיביות המפתח בפוזיציות הללו הוא {\displaystyle \textstyle \sum \_{K}=0} אז המשואה תתקיים בהסתברות גבוהה מחצי ואילו אם {\displaystyle \textstyle \sum \_{K}=1} המשוואה תתקיים בהסתברות נמוכה מחצי. את צופן הצעצוע המתואר אפשר לתקוף עם 10,000 זוגות קלט/פלט ידועים, ולפי תיאור ההתקפה עד כה, התגלה ניחוש מוצלח של סיביות תת-המפתח {\displaystyle [K\_{5,5}...K\_{5,8}]=[0010]} וכן {\displaystyle [K\_{5,13}...K\_{5,16}]=[0100]}. ואכן המונה עבור סיביות אילו {\displaystyle [2,4]} בבסיס הקסדצימלי כצפוי היה גבוה משמעותית מ-5,000. הטבלה הבאה מכילה להמחשה, אוסף חלקי מתוך 256 האפשרויות. ערכים אילו מייצגים את שיעור ההטיה לפי החשבון האמור, "הטיה = מונה פחות חצי לחלק למספר הזוגות". כאשר המונה מתייחס לניחוש מסוים של 8 סיביות מהמפתח. אפשר לראות שההטיה הגבוהה ביותר מופיעה כאשר הניחוש הוא 2,4.

| קטע תת-המפתח | הטיה | קטע תת-המפתח | הטיה |
| --- | --- | --- | --- |
| {\displaystyle [K\_{5,5}...K\_{5,8},K\_{5,13}...K\_{5,16}]} |  | {\displaystyle [K\_{5,5}...K\_{5,8},K\_{5,13}...K\_{5,16}]} |  |
| 1C | 0.0031 | 2A | 0.0044 |
| 1D | 0.0078 | 2B | 0.0186 |
| 1E | 0.0071 | 2C | 0.0094 |
| 1F | 0.0170 | 2D | 0.0053 |
| 20 | 0.0025 | 2E | 0.0062 |
| 21 | 0.0220 | 2F | 0.0133 |
| 22 | 0.0211 | 30 | 0.0027 |
| 23 | 0.0064 | 31 | 0.0050 |
| 24 | 0.0336 | 32 | 0.0075 |
| 25 | 0.0106 | 33 | 0.0162 |
| 26 | 0.0096 | 34 | 0.0218 |
| 27 | 0.0074 | 35 | 0.0052 |
| 28 | 0.0224 | 36 | 0.0056 |
| 29 | 0.0054 | 37 | 0.0048 |

הערך {\displaystyle 0.0336} בשורה 9 בטבלה שהתגלה במהלך הניסוי, קרוב מאוד לערך הצפוי של {\displaystyle 1/32=0.03125}. למרות שניחוש נכון תמיד יהיה בעל הטיה גבוהה ביותר, בכל זאת קיימים ערכים של ניחושים לא נכונים שמכילים הטיה גבוהה. מה שמעיד על כך שההשוואה של ניחושים נכונים אינה בדיוק השוואה של נתונים אקראיים מול משוואה ליניארית שאז ההטיה אמורה להיות אפס במצב אידיאלי. העובדה שזה לא קורה נובעת מכמה סיבות ביניהן מאפייני תיבות ההחלפה המשפיעות על הפענוח החלקי, אי דיוקים הנובעים מההנחה השגויה שהצירופים של תיבות ההחלפה בלתי תלויים זה בזה וכן מההשפעה של מה שקרוי "פרישה ליניארית" או "מעטפת ליניארית" ראה קבוצה פורשת.

### סיבוכיות ההתקפה

ההסתברות שמשוואה ליניארית תתקיים תלויה בהטיה ההסתברותית של תיבות ההחלפה הפעילות ובמספרן (התיבות הפעילות הן אילו שהקו עובר דרכן בתרשים). באופן כללי ככל שההטיה גבוהה יותר בתיבות ההחלפה כך היא תהיה גבוהה יותר בצופן כולו. כמו כן ככל שפחות תיבות החלפה פעילות כך שיעור ההטיה יהיה גבוה יותר. יהי {\displaystyle \varepsilon } ההטיה מחצי של ההסתברות שמשוואה ליניארית עבור כל הצופן תתקיים. מיצורו מצואי הראה שמספר זוגות הקלט/פלט הנדרש לצורך הקרפיטואנליזה הליניארית פרופורציונלי ל-{\displaystyle \varepsilon ^{-2}} ואם {\displaystyle N\_{L}} מייצג את מספר הבלוקים הקריאים הדרוש אז אפשר להעריכו על ידי {\displaystyle N\_{L}\approx 1/\varepsilon ^{2}}.

למרות שסיבוכיות ההתקפה נמדדת גם בזמן וגם בזיכרון, בקריפטואנליזה ליניארית מתייחסים בעיקר לכמות הזיכרון. כלומר מניחים שאם יש באפשרותנו להשיג {\displaystyle N\_{L}} טקסטים אז ההתקפה בת ביצוע. לאור האמור הדרכים להתגונן מפני הקריפטואנליזה הליניארית הן מיטוב תיבות ההחלפה, כלומר צמצום ההטיה הליניארית שלהם וכן בניית הצופן באופן שיהיו יותר תיבות החלפה פעילות. צופן AES הוא דוגמה מצוינת לגישה זו. אמנם צריך לשים לב שההוכחה כביכול שצופן עמיד מפני קריפטואנליזה ליניארית מסתמכת על אי קיומם של קירובים ליניאריים בהסתברות גבוהה, חישוב ההסתברות של משוואות ליניאריות מתבסס על ההנחה שהתיבות בלתי תלויות וההטיה שלהם בלתי תלויה כך שאפשרי ליישם את עקרון הערמה של מצואי וכן על ההנחה שקירוב ליניארי יחיד מספיק כדי לחשב את הביטוי הליניארי הטוב ביותר בין סיביות הקלט וסיביות הפלט. במציאות הקירובים הליניאריים של תיבות ההחלפה אינם בלתי תלויים מה שעלול להשפיע על חישוב ההסתברות של ההטיה הכללית של הצופן. וכן מופעים של קירובים ליניאריים עם אותן סיביות קלט ופלט אך עם תיבות החלפה פעילות אחרות ניתנים לצירוף כך שתתקבל הסתברות ליניארית גבוהה יותר מהצפוי עם סט אחד של תיבות החלפה פעילות. תופעה זו נקראת מעטפת ליניארית או פרישה ליניארית. והיא משליכה על כך שגם אם נראה כאילו הצופן אינו מכיל הטיה הסתברותית גבוהה שילוב של מספר מופעים של קירובים ליניאריים יכול להוביל להטיה גבוהה. בכל אופן הגישה הבסיסית המתוארת כאן נוטה לעבוד היטב נגד מספר צפנים מודרניים, זאת משום שההשערה שהקירובים הליניאריים של תיבות ההחלפה בלתי תלויים סבירה למדי וכן אם מופעים של קירובים ליניאריים של קבוצת תיבות החלפה פעילות מניבים הטיה הסתברותית גבוהה הם נוטים להעלים את המעטפת הליניארית.

ראו גם
------

* קריפטואנליזה
* קריפטואנליזה דיפרנציאלית

הערות שוליים
------------

1. ↑  Matsui, M. & Yamagishi, A. "A new method for known plaintext attack of FEAL cipher". Advances in Cryptology - EUROCRYPT 1992
2. ↑  Matsui, M. "Linear Cryptanalysis Method for DES Cipher" (PDF). Advances in Cryptology - EUROCRYPT 1993.
3. ↑  Alex Biryukov, Christophe De Canni'ere, and Michal Quisquater. On Multiple Linear Approximations. In Matt Franklin, editor, Advances in Cryptology – CRYPTO ’04, 24th Annual International Cryptology Conference, Santa Barbara, California, USA, August 15–19, 2004. Proceedings, volume 3152 of Lecture Notes in Computer Science, pages 1–22, Berlin/Heidelberg, 2004. Springer.
4. ↑  Zero-Correlation Linear Cryptanalysis of Block Ciphers
5. ↑  Carlo Harpes, Gerard G. Kramer, James L. Massey (May 1995). A Generalization of Linear Cryptanalysis and the Applicability of Matsui's Piling-up Lemma (PDF/PostScript). Advances in Cryptology — Eurocrypt '95. Saint-Malo: Springer-Verlag. pp. 24–38. Retrieved 9 September 2007
6. ↑  A Tutorial on Linear and Differential Cryptanalysis, Howard M. Heys

| קריפטוגרפיה |
| --- |
| 

| מושגי יסוד |
| --- |
| פנקס חד-פעמי • צופן בלוקים • צופן בלוקים בר התאמה • צופן זרם • סודיות מושלמת • ביטחון סמנטי • הצפנה סימטרית • הצפנה אסימטרית • חתימה דיגיטלית • הצפנה הומומורפית • הצפנה מרובה • הצפנה מאומתת • הצפנה הסתברותית • סכמת ריפוד אסימטרית אופטימלית • אריזת מפתח הצפנה • סודיות מושלמת קדימה |

 |
| 

| הצפנה קלאסית |
| --- |
| מכונת הצפנה • צופן החלפה • צופן אתב"ש • צופן קיסר • צופן ויז'נר • צופן ורנם • צופן פלייפייר • צופן היל • אולטרה • אניגמה • ציקלומטר • קולוסוס • PURPLE • ג'ייד • מג'יק • צופן שחלוף |

 |
| 

| צופן בלוקים |
| --- |
| לוציפר • AES • 3DES • DES • Threefish • Twofish • Blowfish • FEAL • SEED • CAST • IDEA • RC2 • RC6 • MARS • RC5 • GOST • סרפנט • MISTY • KASUMI • קמליה • ARIA • SAFER • TEA • LEA • CLEFIA • SEA • Hummingbird • PRESENT • KATAN • KeeLoq • Simon & Speck • אנוביס |

 |
| 

| אופני הפעלה |
| --- |
| אופן הפעלה של צופן בלוקים • EAX • OCB • IAPM • CWC mode • GCM • CCM |

 |
| 

| צופן זרם |
| --- |
| RC4 • Salsa20 • SOSEMANUK • גריין • E0 • A5/1 • A5/2 • A5/3 • A5/4 • MICKEY • HC-128 • SNOW • Trivium • Rabbit • ZUC • ChaCha |

 |
| 

| הצפנה אסימטרית |
| --- |
| פרוטוקול דיפי-הלמן • חידות מרקל • חתימת למפורט • הצפנת תרמיל • RSA • הצפנת רבין • חתימה דיגיטלית רבין • צופן אל-גמאל • חתימה דיגיטלית אל-גמאל • DSA • הצפנת בלום-גולדווסר • ECC • הצפנת קריימר-שופ • הצפנת פאיי • הצפנת מקאליס • GGH • NTRU • עקום 25519 • חתימה דיגיטלית של שנור • הצפנת אוקמוטו-אושיאמה |

 |
| 

| פרוטוקולים |
| --- |
| עץ מרקל • פרוטוקול אתגר-מענה • פרוטוקול נידהאם-שרודר • פרוטוקול קרברוס • הוכחה באפס ידע • פרוטוקול פייגה-פיאט-שמיר • העברה עלומה • חלוקת סוד • TLS (SSL) • Secure Shell • MQV • X.509 • פרוטוקול שיתוף מפתח
• מיסור שלא לפרסום • פרוטוקול סיגנל |

 |
| 

| פרימיטיבים תאורטיים |
| --- |
| מחולל פסבדו-אקראי קריפטוגרפי • פונקציה חד-כיוונית • תמורה חד-כיוונית • סיבית קשה • פונקציה פסבדו-אקראית קריפטוגרפית • תמורה פסאודו-אקראית • פונקציית גיבוב קריפטוגרפית • וקטור אתחול • פונקציית ספוג • הצפנה מבוססת סריג |

 |
| 

| קריפטואנליזה |
| --- |
| ניתוח תדירויות • כוח גס • התקפת איזון זמן/זיכרון • תקיפת היפגשות באמצע • קריפטואנליזה ליניארית • קריפטואנליזה דיפרנציאלית • התקפת גלוי-ידוע • התקפת גלוי-נבחר • התקפת מוצפן-נבחר • פירוק לגורמים של מספר שלם • התקפת ערוץ צדדי • התקפת קורלציה • התקפת שיבוש • מודל אורקל אקראי • התקפת התנגשויות |

 |
| 

| בעיות מתמטיות ואלגוריתמים |
| --- |
| בעיית לוגריתם דיסקרטי • תחשיב אינדקסים • נפה ריבועית • אלגוריתם rho של פולרד • נפת שדה מספרים • אלגוריתם רו של פולרד ללוגריתמים • אלגוריתם פוליג-הלמן |

 |
| 

| פונקציות גיבוב קריפטוגרפיות |
| --- |
| SHA • MD5 • MD4 • SHA-1 • SHA-2 • SHA-3 • RIPEMD • Skein • BLAKE • Grøstl • SipHash |

 |
| 

| אימות וזיהוי |
| --- |
| אימות זהות • סיסמה • קוד אימות מסרים • Poly1305 • סיסמה חד-פעמית |

 |
| 

| נושאים נלווים |
| --- |
| מספר אקראי • מספר ראשוני • יתירות • מפתח שיחה • סטגנוגרפיה • הצפנה קוונטית • הצפנה פוסט-קוונטית • עקרון קרקהופס • אבטחת מידע • קריפטוגרפיה ויזואלית • אליס ובוב • מסיבת חתימה על מפתחות ציבוריים • שידור מוצפן • הצפנת דיסקים • הצפנת סף • חתימה דיגיטלית מבוססת פונקציית גיבוב • פונקציה זניחה • רשת פייסטל • רשת החלפה-תמורה • הלבנה • אימות מסרים • חתימה עיוורת • חישוב רב משתתפים בטוח |

 |