108北京邮电大学学报第34卷Nk-1推论1)=2时,单圈T函数第k位序列的2lpq自相关函数满足k+1k+11+2Ai,kAi,k=2-24Rxk()2-8.i=01p,q2l-1pq2)当=1时,单圈T函数第k位序列的自相Nk-1k+1k+12l关函数满足2-12Rx()2-4.Nkpqkl+2Ai,kAi,k=i=01p,q2l-1证明定理2中分别取l=k和l=k+1即可得.2pqN结果表明移位越小越大一般对单圈k-1,,Rxk().2lnnNkT函数fF2F2的第k位序列,当l较大,即较l+2Bi,k2i=0小时,Rx()的上下界都较大,且只相差8.此时,pl-1kpNN其中,Ai,k=xi+k,kxi+(p+1)k,k(0p2-1);Bi,k=2l2l自相关函数的取值大,即序列的自相关性差,使得2l-1-1pqp对基于T函数的流密码进行差分攻击或线性攻击Ai,kAi,k.由式(1)知Ai,k=1,i0.定义1p,q2l-1p=0pq容易成功.012l-12l-1向量Ai,k=(Ai,k,Ai,k,,Ai,k)F2和集合2l3结束语W2m+1={|F2,wt()=2m+1},其中m0,2l-1-1p流密码设计中需要生成满足一定密码学性质故Ai,k=1当且仅当Ai,kW2m+1.将所有p=0(如自相关性等)的序列.本文研究了T函数生成序W2m+1分成W4m+1和W4m+32类,其中l列的自相关函数在移位为Nk/2时的取值情况,并2lW4m+1={|F2且wt()=4m+1,m0}通过该结果指出了单圈T函数的一个密码学弱点,2lW4m+3={|F2且wt()=4m+3,m0}即在移位较小时,其移位自相关性较差.该结论也22考虑到C4m+1=2m(4m+1)为偶数,及C4m+3=表明,对基于T函数的流密码可采取差分或线性攻(4m+3)(2m+1)为奇数,可记为击等方式进行分析.NkIc=i|Ai,kW4m+2c+1,0i<,cF22l参考文献:N[1]KlimovA,ShamirA.Anewclassofinvertiblemappingsk-12l\[C\]CHES2002.Berlin:SpringerVerlag,2003:则当iIc时,Bi,k=c,Bi,k=|I1|.于是i=1470483.Nk0Nk2l[2]KlimovA,ShamirA.Cryptographicapplicationsofwtxkxk=l+2|I1|2Tfunctions\[C\]SAC2003.Berlin:SpringerVerlag,NkNk2004:248261.由0|I1|l可知,对=l,有22[3]KlimovA,ShamirA.NewcryptographicprimitivesbasedNk-12Rxk()Nk-4onmultiwordTfunctions\[C\]FSE2004.Berlin:SpringerVerlag:2004:115N这里,Ai,k的重量等于向量ai,k=xi,k,xi+k,k,,2l[4]赵璐,温巧燕.单圈T函数输出序列的线性复杂度及稳(2l-1-1)N定性\[J\].北京邮电大学学报,2008,31(4):6265.xi+k,k,xi,k1的游程数减1.由此可知,Ai,k2lZhaoLu,WenQiaoyan.LinearcomplexityandstabilityWm当且仅当ai,k恰好有2(m+1)个游程.因此Ai,kofoutputsequencesofsinglecycleTfunction\[J\].W4m+1当且仅当ai,k有2(2m+1)游程,即|I1|=0当JournalofBeijingUniversityofPostsandTelecommunicaNk1tions,2008,31(4):6265.且仅当Rxl=Nk1-l-2成立的条件为对所k22[5]KolokotronisN.CryptographicpropertiesofnonlinearNkpseudorandomnumbergenerators\[J\].DesCodes有0i<l,ai,k有2(2m+1)个游程.2Cryptogr,2008,46(3):353363.定理2中l=1,2时,结论也成立.l=