差分密码分析

定义

差分密码分析（Differential Cryptanalysis）是针对分组密码等对称原语的一种选择明文攻击方法，由 Eli Biham 和 Adi Shamir 于 1990 年公开提出。其思想是研究成对明文的差分（通常为异或差）经过密码各轮变换后以何种概率传播为特定的密文差分。

原理

分析者构造高概率的"差分特征"（差分路径），加密大量满足输入差分的明文对，统计输出差分命中情况，从而区分正确与错误的末轮子密钥猜测，逐步恢复密钥。攻击复杂度取决于最优差分特征的概率。

历史插曲

Biham 与 Shamir 用该方法分析 DES 时发现其 S 盒对差分攻击有着不同寻常的抵抗力。IBM 后来证实，设计团队在 1974 年就已知晓这一技术（内部称 T-attack），并应 NSA 要求保密——差分分析实际上被隐藏了近二十年。

影响

差分分析与稍后的线性密码分析共同构成现代分组密码设计的基准威胁模型：AES 的宽轨迹策略（wide trail strategy）就是为可证明地抵抗这两类攻击而设计的。各类变体（截断差分、不可能差分、飞去来器攻击）至今仍是密码分析的核心工具。