本书系统地介绍了序列密码的典型分析方法。全书共8章，主要内容包括时间存储数据折中分析方法、相关分析方法、线性分析方法、代数分析方法、猜测确定分析方法、侧信道分析方法和其他分析方法。 本书可作为从事网络空间安全、信息安全和密码学研究的科研人员，以及网络空间安全、信息安全和密码学专业的研究生和高年级本科生的教科书或参考资料。
本书的写作具有以下特色：1）系统性强。本书系统总结了散见于各种文献中的各种序列密码分析方法，将其归纳为时间存储数据折衷分析方法、相关密钥分析方法、线性分析方法、代数分析方法、猜测确定分析方法、侧信道分析方法和其他分析方法等七大类，并分门别类地介绍了一些典型的分析方法。2）内容新颖。本书反映了序列密码分析领域的研究进展，不仅处处有小的综述，而且极力介绍一些新的具体分析方法，包括序列密码的时间存储数据折衷攻击方法、条件相关分析方法、选择初始向量分析方法、立方分析方法、面向字节的猜测确定攻击方法、冷启动攻击、近似碰撞攻击方法等。同时，尽量反映一些新的设计思想，包括Sprout序列密码、FLIP序列密码、抗泄漏序列密码等。
密码学主要包括两部分，即密码编码学和密码分析学，这两部分既对立又统一，正是由于其对立性才促进了密码学的发展。一个密码算法（也称密码体制）的安全性只有通过系统地考查抵抗当前各类攻击的能力并进行全面的分析才能得出适度的定论。密码算法的安全性分析并非易事，但有一点是非常清楚的，那就是掌握现有的分析方法（也称攻击方法）并利用这些方法对相应的算法进行分析以考查其安全强度。密码分析方法不仅涉及的知识面宽，而且带有一定的实验性和经验性，任何一种分析方法都只有通过实践才能真正掌握。密码分析方法有很多，因为不同的密码算法有不同的分析方法，甚至同一密码算法也有很多种分析方法。作者在教学实践的基础上，于2000年在清华大学出版社出版了《密码分析学》一书，系统地介绍了当时已有的分析密码算法和密码协议的典型方法，该书出版后受到广大读者的青睐。时隔20年，密码分析学有了更丰富的内涵，很多书对此做了比较详细的介绍，但仍然缺乏一本全面、系统地介绍序列密码分析方法的著作。鉴于这种情况，作者结合多年的教学和科研实践，并在自己的读书笔记的基础上，撰写了本书，以飨读者。
作者有幸承担并主持了国家自然科学基金重点项目流密码的设计与分析和国际3GPP标准祖冲之（ZUC）序列密码的研制工作，在这些项目的执行过程中，创设或掌握了不少新知识、新思想和新方法，对序列密码理论、设计、分析和应用都有了更加深刻的认识，深知密码基础理论和密码分析方法的重要性，深深地体会到设计一个新颖的、理论上安全的、实用的轻量级序列密码绝非易事。不信，你可以亲自试一试，尤其是当你读完本书后，你的自信会大打折扣。
本书具有以下特点：
（1） 结构清晰。本书系统总结了散见于众多文献中的各种序列密码分析方法，将其归纳为时间存储数据折中分析方法、相关分析方法、线性分析方法、代数分析方法、猜测确定分析方法、侧信道分析方法和其他分析方法七大类，并分门别类地介绍了典型的分析方法。
（2） 内容新颖。本书反映了序列密码分析领域的研究进展，不仅处处有小的综述，而且极力介绍一些新的具体分析方法，包括序列密码的时间存储数据折中攻击方法、条件相关分析方法、选择初始向量分析方法、立方攻击方法、面向字节的猜测确定攻击方法、冷启动攻击方法、近似碰撞攻击方法等。同时，尽量反映一些新的设计思想，包括Sprout序列密码、FLIP序列密码、抗泄露序列密码等。
（3） 选材精良。本书在写作过程中以借鉴有代表性的重要文献为主，尤其是一些阐述经典分析方法的经典文献，尽量采用原始文献中的表述，把问题和原理讲透、讲清楚。这样做不仅有利于引导读者阅读原文，而且能够原原本本地反映典型分析方法的精髓，不会曲解原作者的真实意图。
本书在每章的开头都给出本章内容提要和本章重点，并在每章的结尾附有思考题，这些都有利于读者理解和掌握相关内容。每章还设有注记与思考，对本章进行总结和注解。各章末尾附有本章参考文献，作者这样做的目的是希望本书能够起到抛砖引玉的作用，向对序列密码分析感兴趣的读者提供一些线索，以便读者进一步阅读和研究。
作者在写作本书过程中得到了西安电子科技大学胡予濮教授、郑州信息工程大学戚文峰教授、中国科学院软件研究所张斌研究员、中国科学院数学与系统科学研究院冯秀涛副研究员的大力支持和帮助，也得到了序列密码讨论班的老师和同学们的帮助，在此向他们表示衷心的感谢。作者特别感谢清华大学出版社、国家重点基础研究发展计划项目（编号： 2013CB338003）和国家自然科学基金重点项目（编号： 60833008）的支持。
本书的初稿是2017年秋完成的，作者虽然下了很大功夫，但是总觉得不够理想，于是又花了几年的时间进行了修改和完善，并征求了许多专家学者的意见和建议。丑媳妇总要见公婆，敬请读者多提宝贵意见和建议。
冯登国2021年6月于北京
冯登国，中国科学院院士。长期从事网络与信息安全研究工作，在THEOR COMPUT SCI，J CRYPTOL，IEEE IT等国内外重要期刊和会议上发表论文逾200篇，主持研制国际和国家标准20余项，荣获国家科技进步奖一等奖、国家技术发明奖二等奖等多项奖励。曾任国家高技术研究发展计划（863计划）信息安全技术主题专家组组长，国家863计划信息技术领域专家组成员，国家重点基础研究发展计划（973计划）项目首席科学家，国家信息化专家咨询委员会委员，教育部高等学校信息安全类专业教学指导委员会副主任委员等。
第1章绪论1
1.1序列密码的分类及工作模式1
1.2序列密码的发展现状5
1.3序列密码的研究意义10
1.4一些重要概念及其基本性质11
1.5本书的结构与安排20
1.6注记与思考21
思考题22
本章参考文献22
第2章时间存储数据折中分析方法24
2.1时间存储折中攻击方法25
2.1.1DES25
2.1.2时间存储折中攻击方法的基本原理28
2.2序列密码的时间存储折中攻击方法31
2.2.1序列密码的时间存储折中攻击方法的基本原理31
2.2.2序列密码和分组密码的时间存储折中攻击方法的区别33
2.3序列密码的时间存储数据折中攻击方法34
2.3.1序列密码的时间存储数据折中攻击方法的基本原理35
2.3.2使用采样的时间存储数据折中攻击35
2.3.3使用低采样抵抗力的时间存储数据折中攻击36
2.4应对序列密码的时间存储数据折中攻击方法的措施38
2.4.1应对序列密码的时间存储数据折中攻击方法的基本措施38
2.4.2一个应对时间存储数据折中攻击失败的设计范例38
2.5注记与思考43
思考题43
本章参考文献44
第3章相关分析方法46
3.1分别征服相关分析方法47
3.1.1二元加法非线性组合序列密码模型47
3.1.2分别征服相关分析方法的基本原理47
3.1.3分别征服相关分析方法的应用实例51
3.1.4应对分别征服相关分析方法的措施52
3.2快速相关分析方法57
3.2.1快速相关分析的统计模型57
3.2.2算法A的基本思想及其描述60
3.2.3算法B的基本思想及其描述63
3.2.4应对快速相关分析方法的措施67
目 录3.3多步快速相关分析方法67
3.3.1多步快速相关分析的基本思想68
3.3.2多步快速相关分析的具体算法与理论分析70
3.3.3多步快速相关分析的进一步讨论74
3.4条件相关分析方法76
3.4.1基于条件线性逼近的条件相关分析方法77
3.4.2基于条件掩码的条件相关分析方法80
3.5熵漏分析方法91
3.5.1多输出前馈网络密码的熵漏分析91
3.5.2收缩生成器的熵漏分析96
3.6注记与思考100
思考题101
本章参考文献102
第4章线性分析方法105
4.1仿射逼近分析方法106
4.1.1仿射逼近分析方法的基本原理106
4.1.2仿射逼近分析方法的应用实例107
4.1.3应对仿射逼近分析方法的措施108
4.2线性校验子分析方法111
4.2.1线性校验子分析方法的基本原理111
4.2.2线性校验子分析方法的应用实例115
4.2.3改进的线性校验子分析方法117
4.3线性一致性测试分析方法119
4.3.1线性一致性测试分析方法的基本原理119
4.3.2线性一致性测试分析方法的应用实例120
4.4线性时序线路逼近分析方法122
4.4.1向量布尔函数的相关特性122
4.4.2带记忆的组合器的相关特性124
4.4.3线性时序线路逼近分析方法127
4.5线性掩码分析方法130
4.5.1一个形式化区分攻击框架130
4.5.2线性攻击133
4.5.3低扩散攻击137
4.6选择初始向量分析方法142
4.6.1基本思想和已有相关工作143
4.6.2选择IV统计攻击的一个框架144
4.6.3对初始化过程的一个分析实例146
4.7注记与思考149
思考题149
本章参考文献150
第5章代数分析方法152
5.1基于线性反馈的序列密码的代数分析方法152
5.1.1序列密码的代数分析方法153
5.1.2Toyocrypt的代数分析155
5.1.3LILI128的代数分析157
5.1.4使用LFSR比特的一个子集对序列密码的一般攻击160
5.1.5应对代数分析方法的措施161
5.2快速代数分析方法163
5.2.1攻击所使用的方程类型163
5.2.2对序列密码的预计算代数分析166
5.2.3对无记忆序列密码的快速一般攻击169
5.3改进的快速代数分析方法171
5.3.1一个快速预计算算法的正确性证明171
5.3.2一个改进的预计算算法174
5.3.3攻击实例176
5.4立方分析方法177
5.4.1立方攻击方法的基本思想177
5.4.2立方攻击方法成功的概率分析178
5.4.3Grain v1的立方攻击180
5.5带记忆的组合器的代数分析183
5.5.1一个简单的证明方法183
5.5.2关于带记忆的组合器的一般化结果185
5.6注记与思考188
思考题189
本章参考文献189
第6章猜测确定分析方法192
6.1自收缩生成器的猜测确定分析方法192
6.2FLIP的猜测确定分析方法198
6.3SNOW的猜测确定分析方法202
6.4面向字节的猜测确定分析方法205
6.5注记与思考212
思考题212
本章参考文献212
第7章侧信道分析方法214
7.1计时攻击方法214
7.2能量分析方法215
7.2.1能量分析的基本原理和防御措施216
7.2.2序列密码的差分能量分析219
7.3电磁分析方法222
7.4故障攻击方法224
7.4.1故障攻击的基本原理和防御措施224
7.4.2序列密码的故障攻击225
7.5缓存攻击方法226
7.5.1缓存攻击的基本原理和防御措施226
7.5.2基于时间的缓存攻击方法227
7.6冷启动攻击方法229
7.7抗泄露序列密码231
7.7.1抗泄露密码学的基本概念与基础理论232
7.7.2抗泄露序列密码的构造234
7.8注记与思考238
思考题239
本章参考文献239
第8章其他分析方法242
8.1相关密钥攻击方法242
8.1.1RC4的密钥方案算法的弱点242
8.1.2Hummingbird2的实时相关密钥攻击249
8.1.3SNOW3G的滑动分析259
8.2差分分析方法261
8.2.1序列密码的差分特征261
8.2.2序列密码差分分析实例262
8.3基于分别征服策略的攻击方法264
8.3.1COSvd(2，128)序列密码264
8.3.2COSvd(2，128)序列密码的分析268
8.4近似碰撞攻击方法274
8.5注记与思考281
思考题282
本章参考文献282
书单推荐
