王子（暗号）

Prince は、低遅延のアンロール ハードウェア実装をターゲットにしたブロック暗号です。これは、いわゆる FX 構造に基づいています。^[2]その最も注目すべき機能は、アルファ リフレクションです。つまり、復号化は、計算コストが非常に低い関連キーを使用した暗号化です。他のほとんどの「軽量」暗号とは異なり、ラウンド数が少なく、ラウンドを構成するレイヤーのロジックの深さは低いです。その結果、完全にアンロールされた実装は、AESやPRESENTよりもはるかに高い周波数に到達できます。著者によると、同じ時間制約とテクノロジの場合、PRINCE は PRESENT-80 の 6 ～ 7 倍、AES-128 の 14 ～ 15 倍の面積を使用します。^[3]

ブロックサイズは64ビット、キーサイズは128ビットです。キーは2つの64ビットキーとに分割されます。入力はとXORされ、次にコア関数によってを使用して処理されます。コア関数の出力はによってXORされ、最終出力が生成されます（はから導出された値です）。復号化は、とを交換し、コア関数に定数alphaとのXORを入力として入力することで行われます。 ^[4]${\displaystyle K_{0}}$${\displaystyle K_{1}}$${\displaystyle K_{0}}$${\displaystyle K_{1}}$${\displaystyle K'_{0}}$${\displaystyle K_{0}'}$${\displaystyle K_{0}}$${\displaystyle K_{0}}$${\displaystyle K'_{0}}$${\displaystyle K_{1}}$

コア関数には、5 つの「前方」ラウンド、1 つの中間ラウンド、および 5 つの「後方」ラウンドが含まれ、合計 11 ラウンドになります。元の論文では、12 ラウンドについて言及されていますが、明示的には示されていません。中間ラウンドを 2 ラウンドとしてカウントすると (2 つの非線形レイヤーが含まれているため)、ラウンドの合計数は 12 になります。

順方向ラウンドは、 と XOR されたラウンド定数 から始まり、次に非線形層、最後に線形層 が続きます。 「逆方向」ラウンドは、ラウンド定数を除いて、「順方向」ラウンドの逆になります。 ${\displaystyle K_{1}}$${\displaystyle S}$${\displaystyle M}$

非線形レイヤーは、指定された 8 つの S ボックスのアフィン相当の中から選択できる 単一の 4 ビットS ボックスに基づいています。

線形レイヤーは、64x64 マトリックスによる乗算と、 AESのシフト行に似ていますが、バイトではなく 4 ビットのニブルで動作するシフト行で構成されます。 ${\displaystyle M'}$

${\displaystyle M'}$は 16x16 行列から構成され、による乗算はを使用した 2 つの乗算と を使用した 2 つの乗算の計 4 つの小さな乗算で計算できます。 ${\displaystyle M_{0}}$${\displaystyle M_{1}}$${\displaystyle M'}$${\displaystyle M_{0}}$${\displaystyle M_{1}}$

中間ラウンドは、レイヤーと、それに続くレイヤーで構成されます。 ${\displaystyle S}$${\displaystyle M'}$${\displaystyle S^{-1}}$

プリンス暗号の解読を促進するため、その背後にある組織は「プリンスチャレンジ」を作成した。2016年10月23日にオリジナルからアーカイブ。2016年10月9日に取得。

論文「PRINCEのセキュリティ分析」^[1]では、完全版とラウンド縮小版に対するいくつかの攻撃、特に複雑度2 ^{125.1の攻撃と2 33の}データを必要とする関連キー攻撃が紹介されている。

FX構造の一般的な時間・メモリ・データのトレードオフがPrinceへの応用とともに公開されました。^[5]この論文では、FX構造は広く導入されている暗号のセキュリティを向上させる優れたソリューションである（DES-XがDESに対して行ったように）が、新しい設計には疑問のある選択であると主張しています。この論文では、Prince暗号を微調整して、この特定の種類の攻撃に対して強化する方法を示しています。

完全な暗号に対するバイクリーク暗号解読攻撃が公開されている。これは鍵探索空間を2 ^1.28削減するため、設計者の推定とある程度一致する（元の論文では係数 2 について言及されている）。 ^[6]

論文「PRINCE 型暗号の反射暗号解析」は、アルファ反射に焦点を当て、アルファ定数の選択基準を確立しています。この論文では、アルファの選択が適切でない場合、暗号全体に対する効率的な攻撃につながることを示しています。ただし、設計者がランダムに選択した値は、弱い値には含まれません。^[7]

ラウンド数を減らしたバージョンでは、いくつかのミート・イン・ザ・ミドル攻撃が公開されている。^{[8] [9] [10]}

マルチユーザー設定での攻撃では、232人の^{ユーザーの中から2人のユーザーの鍵を265}分で見つけることができます。^[11]

全体の複雑さが118.56ビットの10ラウンドの攻撃が公開されている。^[12]

^{7ラウンドで257回}の演算時間を要する攻撃が公開されている。^[13]

ランダム4ビットニブルフォールトモデルの下で7つの誤った暗号文を使用した差分フォールト攻撃が公開されている。^[14]

論文「ラウンド短縮PRINCE暗号解読のための新しいアプローチ」^[15]では、最大6ラウンドまでのラウンド短縮バージョンに対する ブーメラン攻撃と既知平文攻撃が紹介されている。

2015年には追加の攻撃がいくつか公開されましたが、無料では入手できません。^{[16] [17]}

• http://eprint.iacr.org/2012/529.pdf オリジナル論文: 「PRINCE – パーベイシブ コンピューティング アプリケーション向けの低遅延ブロック暗号」
• https://www.emsec.rub.de/research/research_startseite/prince-challenge プリンスチャレンジのホームページ
• https://github.com/sebastien-riou/prince-c-ref Cでのソフトウェア実装
• https://github.com/weedegee/prince Pythonでのソフトウェア実装
• https://github.com/huljar/prince-vhdl VHDLでのハードウェア実装