• <tr id="yyy80"></tr>
  • <sup id="yyy80"></sup>
  • <tfoot id="yyy80"><noscript id="yyy80"></noscript></tfoot>
  • 99热精品在线国产_美女午夜性视频免费_国产精品国产高清国产av_av欧美777_自拍偷自拍亚洲精品老妇_亚洲熟女精品中文字幕_www日本黄色视频网_国产精品野战在线观看 ?

    關(guān)于Trivium-型序列密碼代數(shù)次數(shù)估計的研究*

    2021-03-19 06:15:36晨,
    密碼學報 2021年1期
    關(guān)鍵詞:輪數(shù)變元代數(shù)

    劉 晨, 田 甜

    戰(zhàn)略支援部隊信息工程大學, 鄭州450001

    1 引言

    序列密碼是對稱密碼的分支之一, 用于對傳輸數(shù)據(jù)的加密. 序列密碼的加密方式為密鑰流比特與明文比特異或加, 其中密鑰流由密鑰和公開的初始化向量生成. 目前面向硬件實現(xiàn)的序列密碼都采用基于非線性反饋移位寄存器(NFSR) 的設(shè)計, 例如Trivium[1]、Grain[2]等. Trivium 是由de Cannière 和Preneel 設(shè)計的面向硬件實現(xiàn)的序列密碼, 是歐洲序列密碼征集項目eSTREAM 計劃的勝選算法之一. 并且, Trivium 已經(jīng)成為輕量級序列密碼算法的國際標準(ISO/IEC 29192-3:2012)[3]. Trivium 由一個二次非線性反饋移位寄存器和一個線性過濾函數(shù)構(gòu)成, 因其設(shè)計結(jié)構(gòu)簡單, 受到國際學者的廣泛關(guān)注. 到目前為止, Trivium 可以抵抗已有的所有攻擊方法. 受Trivium 設(shè)計的啟發(fā), 一系列Trivium-型密碼算法被提出, 主要包括Kreyvium[4]和TriviA-SC[5].

    對于Trivium-型算法, 立方攻擊(cube attacks)[6]是最有效的攻擊方法. 立方攻擊是由Dinur 和Shamir 在2009 年歐密會上提出的一種選擇IV 攻擊. 在立方攻擊中, 將輸出的密鑰流比特看成是關(guān)于密鑰變元k 和IV 變元v 的可調(diào)布爾函數(shù)f(k,v), 其核心思想是在選定的IV 取值集合上對函數(shù)f 的輸出求和從而對f 的代數(shù)正規(guī)型進行簡化, 得到低代數(shù)次數(shù)的密鑰變元方程. 自從立方攻擊思想提出以后, 得到了一系列的發(fā)展, 包括實驗立方攻擊[6–10]、相關(guān)立方攻擊[11]以及基于可分性質(zhì)的立方攻擊[12–15]等.在實驗立方攻擊中, 攻擊者主要通過隨機檢測的方法對超多項式進行線性和二次檢測. 受限于立方變量的維數(shù), 對于Trivium 算法, 實驗立方攻擊的最高輪數(shù)為802 輪[9]. 在相關(guān)立方攻擊中[11], Liu 利用超多項式和一些簡單密鑰表達式之間的相關(guān)性給出了835-輪Trivium 的密鑰恢復攻擊. 2017 年美密會上由Todo 提出基于可分性的立方攻擊, 受益于可分性和MILP 工具, 攻擊者可以使用高維數(shù)的立方集, 這也進一步提高了立方攻擊的效果. 例如, 在文[13] 中, 作者給出了891-輪Kreyvium 算法, 184-輪Grain-128a算法以及750-輪Acorn 算法的密鑰恢復攻擊.

    另一方面, 在立方攻擊中, 如果發(fā)現(xiàn)超多項式是零常值多項式, 則可以進行區(qū)分攻擊, 區(qū)分攻擊的輪數(shù)往往高于密鑰恢復攻擊. 常用的判斷零常值多項式的方法是對立方變量在f(k,v)中的代數(shù)次數(shù)進行估計.對于指標集為I 的立方變量, 若變量集{vi|i ∈I} 在f(k,v) 中的代數(shù)次數(shù)小于|I|, 則以集合{vi|i ∈I}中變量為立方變量的超多項式是零常值. 對于高輪Trivium-型算法, 目前最有效的代數(shù)次數(shù)估計方法主要有Liu 提出的基于數(shù)值映射的方法[16]和Wang 等人給出的基于可分性的方法[13]. 基于數(shù)值映射的方法中, 利用數(shù)值映射的概念, 迭代計算每一個中間狀態(tài)比特的代數(shù)次數(shù)上界. 該方法的優(yōu)點是具有線性的時間復雜度和數(shù)據(jù)復雜度, 計算速度快. Wang 等人提出的基于可分性質(zhì)的估計方法是在Todo 給出的MILP 模型[12]的基礎(chǔ)上, 通過設(shè)置目標函數(shù), 求解包含輸入變元最多的項以估計布爾函數(shù)的代數(shù)次數(shù).上述兩種估計代數(shù)次數(shù)的方法除了尋找零和區(qū)分器, 在密鑰恢復攻擊中也有重要應用. 例如, 在相關(guān)立方攻擊[11]中, 搜索基多項式主要依靠對超多項式進行代數(shù)次數(shù)估計, 基多項式是超多項式的一部分, 用來還原密鑰信息; 在還原超多項式的代數(shù)方法中[14], 利用代數(shù)次數(shù)估計篩選有效立方集, 一個有效立方集的超多項式可以用代數(shù)的方法以概率1 還原; 在基于可分性的立方攻擊中[13], 估計超多項式的代數(shù)次數(shù)可以更精確的評估立方攻擊的理論復雜度.

    針對Trivium-型算法, 本文對基于數(shù)值映射和基于可分性的兩種代數(shù)次數(shù)估計方法進行了研究. 首先, 我們給出了對這兩種方法優(yōu)缺點的分析. 數(shù)值映射的效率高,但基于可分性的估計方法準確性相對更好. 通過將這兩種方法結(jié)合, 我們給出一個改進算法: 利用可分性對Trivium-型算法低輪更新比特進行代數(shù)次數(shù)估計, 然后利用基于數(shù)值映射的方法迭代估計高輪輸出比特的代數(shù)次數(shù). 改進算法既可以基本保持數(shù)值映射的效率,也可以提高代數(shù)次數(shù)估計的準確性. 在Trivium-型的全變元條件下, 通過應用改進算法,我們將Trivium 算法未達到次數(shù)為160 的最大輪數(shù)下界從907 輪改進到了912 輪, 是目前已知的最優(yōu)結(jié)果. 此外, 關(guān)于三個Trivium-型算法, 即Trivium、Kreyvium 和TriviA-SC, 我們對隨機選擇的固定維數(shù)立方集進行了代數(shù)次數(shù)估計的實驗. 實驗表明, 與數(shù)值映射相比, 改進后的算法能夠給出更優(yōu)的代數(shù)次數(shù)估計結(jié)果, 例如, 對于一個給定的立方集, 判斷其是零和區(qū)分器的輪數(shù)可平均提高20 輪以上.

    本文剩余部分結(jié)構(gòu)安排如下: 第2 節(jié)為預備知識. 第3 節(jié)主要介紹了兩種代數(shù)次數(shù)估計方法的優(yōu)缺點, 并結(jié)合兩種方法, 給出了本文估計代數(shù)次數(shù)的具體算法. 第4 節(jié), 我們對Trivium-型算法進行了實際的估計, 并與之前的結(jié)果進行了對比. 第5 節(jié)對全文進行了總結(jié).

    2 預備知識

    2.1 Trivium-型算法介紹

    Trivium-型算法主寄存器部分為Galois 非線性反饋移位寄存器, 每個時刻有三個比特通過不同的二次反饋函數(shù)更新, 其它的中間狀態(tài)比特則通過移位更新. 具體地, 令A,B,C 分別表示長度為nA,nB,nC的移位寄存器. 當時刻t ≥0 時, At= (xt,xt+1,··· ,xt+nA?1), Bt= (yt,yt+1,··· ,yt+nB?1), Ct=(zt,zt+1,··· ,zt+nC?1) 分別為寄存器A, B, C 在第t 時刻的狀態(tài), 且記第t 時刻Trivium-型算法的中間狀態(tài)為s(t)=(At,Bt,Ct). 狀態(tài)更新函數(shù)描述如下:

    其中, lλ為線性函數(shù), 且1 ≤rλ≤nλ, λ ∈{A, B, C}. 記f 為輸出函數(shù), 經(jīng)過N 輪的初始化迭代之后,密碼算法對每一個t ≥N 計算f(s(t)), 輸出密鑰流比特.

    Trivium-型算法包含Trivium, Kreyvium 以及TriviA-SC, 且初始化輪數(shù)均為1152 輪. 其中, Trivium 支持80 比特密鑰和80 比特IV; Kreyvium 是Trivium 的128 比特版本, 支持128 比特密鑰和128比特IV; TriviA-SC 也支持128 比特密鑰和128 比特IV. Kreyvium 除了三個寄存器A,B,C 以外, 還額外采用了兩個寄存器K?和V?用來分別存儲密鑰KEY 和IV, 并以異或加的方式不斷參與到反饋運算中. 此外, Trivium 和Kreyvium 的輸出函數(shù)為線性布爾函數(shù), 而TriviA-SC 的輸出函數(shù)為二次布爾函數(shù). 具體算法見附錄B.

    2.2 代數(shù)正規(guī)型與代數(shù)次數(shù)

    其中wt(c) 為n 維向量c 的漢明重量, ac為ANF 的系數(shù).

    2.3 立方檢測

    設(shè)f ∈Bn, 給定指標集I = {i1,i2,··· ,i|I|} ?{1,2,··· ,n}, 并記tI= xi1xi2···xi|I|, 根據(jù)f 中的項是否能夠被tI整除進行分類, 可以將f 唯一地表示為

    其中q 中的每一項都不是tI的倍式, ptI稱為f 關(guān)于指標集I 的超多項式, 并稱由指標集I 確定的變元集合CI= {xi1,xi2,··· ,xi|I|} 為立方變元集, xij∈CI稱為一個立方變元. 遍歷CI中變元所有2|I|種可能取值, 對函數(shù)f(x1,x2,··· ,xn) 求和可得

    在序列密碼分析中, 函數(shù)f(x1,x2,··· ,xn) 是輸出比特關(guān)于密鑰變元和IV 變元的布爾函數(shù). 由于在初始化階段經(jīng)過了多輪非線性迭代, 函數(shù)f(x1,x2,··· ,xn) 的代數(shù)正規(guī)型是未知的, 從而超多項式的代數(shù)正規(guī)型也是未知的. 立方檢測的基本思想是選取立方指標集I, 在遍歷立方變元的所有可能取值以及非立方變元固定為常值的條件下, 對超多項式ptI的代數(shù)性質(zhì)進行檢測, 例如平衡性、代數(shù)次數(shù)、每個變元是否出現(xiàn)等, 從而能夠使輸出函數(shù)f 和隨機函數(shù)進行區(qū)分. 特別地, 通過代數(shù)次數(shù)估計的方法可以判斷零常值超多項式, 即若deg(f) < |I| 時, 則超多項式ptI一定是零常值多項式. 零常值多項式是概率1 成立的區(qū)分器, 也稱為零和立方區(qū)分器.

    2.4 基于比特的可分性與MILP 建模

    基于比特的可分性 2015 年歐密會上, Todo 首次提出分組密碼的可分性概念[17], 針對基于S 盒設(shè)計的分組密碼, 描述了可分性質(zhì)關(guān)于輪函數(shù)中一些基本運算的擴散規(guī)則, 從而由明文可分性質(zhì)可以迭代求解密文的可分性質(zhì), 獲得積分區(qū)分器. 2015 年, Todo 利用可分性質(zhì)得到MISTY1 算法6 輪積分區(qū)分器[18],并給出MISTY1 首個全輪的理論攻擊. 之后, 2016 年FSE 會議上, 針對基于比特運算設(shè)計的SIMON 算法, Todo 和Morii 進一步提出基于比特的可分性[19]. 基于比特的可分性定義如下:

    2016 年亞密會上, Xiang 等首次將混合整數(shù)線性規(guī)劃(MILP) 建模方法引入到輕量級分組密碼可分路徑的搜索[20], 大大提高了可分路徑搜索的效率.

    混合整數(shù)線性規(guī)劃問題(MILP) 混合整數(shù)線性規(guī)劃問題是通過建立整系數(shù)不等式方程組, 求解符合條件的最優(yōu)整數(shù)解問題, 其中模型M 包含模型變量M.var, 模型限制條件M.con 以及模型的目標函數(shù)M.obj. 通過求解MILP 模型, MILP 將返回最優(yōu)解或者無解; 若模型沒有目標函數(shù), 則只返回模型是否可解. 目前對于MILP 模型的求解, 主要依賴于Gurobi 和CPLEX 等求解器.

    基于比特可分性的MILP 模型 在文[20] 中, Xiang 等將可分性關(guān)于copy, xor, and 的傳播規(guī)則轉(zhuǎn)化為MILP 模型, 利用MILP 求解器對模型進行求解. 若模型可解, 則可以得到滿足條件的一條可分路徑, 若模型無解, 則可以說明不存在滿足條件的可分路徑.

    2017 年美密會上, Todo 首次將基于比特的可分性引入到了序列密碼分析中, 并給出了可分性質(zhì)在序列密碼中的傳播規(guī)則和MILP 建模, 具體參見文[12]. Todo 等人[12]給出了一個重要的引理, 見引理1.

    通過引理1 可以得到文[12] 中的命題4. 基于引理1 和命題4, Todo 首次給出了基于可分性的立方攻擊. 隨后, 文[13] 對基于比特可分性的MILP 模型進行了改進. 特別地, flag 技術(shù)的提出使得攻擊者能更準確的描述可分性的傳播. 在flag 技術(shù)中, 通過對每個狀態(tài)比特增加標識var.flag ∈{0c,1c,δ}, 分別標記狀態(tài)比特為常值0、常值1 和變量δ, 并根據(jù)狀態(tài)比特的標識修正可分性的傳播. 標識var.flag 的運算規(guī)則如下:

    記改進的比特運算分別為copyf, xorf, andf, 此時其MILP 模型描述如下.

    注1 性質(zhì)3 中的限制條件存在冗余, 但并不妨礙得到正確的結(jié)果.

    2.5 主要的代數(shù)次數(shù)估計方法

    基于數(shù)值映射的代數(shù)次數(shù)估計 針對內(nèi)部狀態(tài)更新采用NFSR 的序列密碼, 文[16] 提出了基于數(shù)值映射的代數(shù)次數(shù)估計方法, 并實際應用于Trivium-型序列密碼, 對一些立方變元集得到了比較好的估計結(jié)果. 數(shù)值映射的定義描述如下:

    定義2 (數(shù)值映射) 設(shè)f(x1,x2,··· ,xn)∈Bn為n 元布爾函數(shù), 存在如下映射, 記為DEG:

    其中D =(d1,d2,··· ,dn)∈Zn為n 維向量, 且ac為上述f 的代數(shù)正規(guī)型的系數(shù).

    記G = (g1,g2,··· ,gn) 為n 元向量布爾函數(shù), 并且令deg(G) = (deg(g1),deg (g2),··· ,deg (gn)),根據(jù)映射的性質(zhì)易知

    這表明通過數(shù)值映射估計的代數(shù)次數(shù)大于等于實際的代數(shù)次數(shù), 并且容易證明下述性質(zhì)4 成立.

    性質(zhì)4 若給定的n 維向量D =(d1,d2,··· ,dn) 滿足deg (gi)≤di, 1 ≤i ≤n, 則有

    由性質(zhì)4 可知, 利用數(shù)值映射估計的代數(shù)次數(shù)是實際代數(shù)次數(shù)的一個上界. 為了方便描述, 我們記復合函數(shù)h=f ?G 的數(shù)值映射為DEG(h)?=DEG(f,deg (G)).

    基于可分性質(zhì)的代數(shù)次數(shù)估計 Todo 等提出的基于可分性的立方攻擊, 其核心思想是選擇合適的指標集I, 在給定輪數(shù)下, 利用可分性確定輸出比特的超多項式ptI中包含的密鑰變元. 這些密鑰變元構(gòu)成集合J. 然后, 通過計算真值表恢復超多項式以建立代數(shù)方程組, 從而恢復密鑰變元. 但是在實際攻擊過程中, 該攻擊受到指標集I 和集合J 大小的限制, 當|I|+|J| ≥n 時, 該攻擊沒有意義. 因此, 為了保證攻擊的有效性, 文[12] 提出了關(guān)于立方攻擊的兩個假設(shè), 但在Trivium-型算法初始化輪數(shù)較高時并不能驗證其合理性. 為此, 在文[13] 中, Wang 等針對上述不足對基于可分性的立方攻擊進行了改進. 在提出flag技術(shù)的同時, Wang 等將文[12] 中的命題4 進行了一般化的推廣, 得到了命題1.

    根據(jù)命題1, 針對Trivium-型序列密碼, 文[13] 給出了建立帶flag 技術(shù)的MILP 模型的算法Algorithm 4. 同時, 作者給出了基于可分性的估計代數(shù)次數(shù)的算法Algorithm 2, 將可分性質(zhì)引入到了估計代數(shù)次數(shù)的問題中. 為了使Algorithm 2 能夠?qū)Ω卤忍剡M行代數(shù)次數(shù)估計, 本文將Algorithm 4 中的限制語句進行了修改. 為了敘述的簡潔, 本文約定用“可分性方法” 來簡稱“基于可分性質(zhì)的代數(shù)次數(shù)估計的方法”, 且為了本文算法描述的簡潔性, 記DegEval(I,r,flagλ) 為利用可分性方法對給定輪數(shù)r 的更新比特進行估計, 其中flagλ為更新比特的位置, I 為輸入變元的指標集.

    3 Trivium-型算法代數(shù)次數(shù)估計的改進

    在本節(jié)中, 我們首先分析了數(shù)值映射方法和可分性方法這兩種估計代數(shù)次數(shù)方法的優(yōu)缺點, 并通過具體的實例展示了兩種方法中存在的不足. 隨后針對Trivium-型算法, 通過將這兩種方法進行結(jié)合, 我們在3.2 節(jié)中給出了一個改進的估計代數(shù)次數(shù)的算法. 此外, 基于改進后的算法, 我們在3.3 節(jié)中給出了一個搜索零和區(qū)分器的算法.

    3.1 兩種代數(shù)次數(shù)估計方法的優(yōu)缺點

    針對同一加密算法, 兩種方法各有優(yōu)勢, 同時也有一定的局限性. 相比于可分性方法, 線性的時間復雜度和存儲復雜度是數(shù)值映射所具有的優(yōu)勢. 可以對給定立方集, 快速給出輸出比特的次數(shù)上界, 且沒有輪數(shù)的限制, 即使對初始化輪數(shù)較高的輸出比特也能夠快速給出估計. 但是利用數(shù)值映射對代數(shù)次數(shù)進行迭代估計時, 會產(chǎn)生以下幾個問題, 以例1 為例.

    例1 現(xiàn)設(shè)有4-bit NFSR, 其更新函數(shù)為f(x1,x2,x3,x4) = x1x2+x3x4, 記序列的初態(tài)為s(0)=(s0,s1,s2,s3), 并記第t 時刻的狀態(tài)為s(t)= (st,st+1,st+2,st+3). 根據(jù)更新函數(shù)計算可得s4= s0s1+s2s3,s5=s1s2+s2s3+s0s1s3,s6=s2s3+(s0s1+s2s3)(s1s2+s2s3+s0s1s3)=s0s1s2+s0s1s3+s1s2s3.而利用數(shù)值映射對s6進行代數(shù)次數(shù)估計的結(jié)果為5.

    通過例子可以看出, 估計結(jié)果偏高的原因為:

    (1) 不能處理兩個含有相同變元的項相乘時重復變元計數(shù)的問題. 例1 中, s4的兩個單項式分別與s5中的最高次項s0s1s3有相同的變元s0和s1, 因此在實際計算時, 并不會出現(xiàn)5 次項, 但數(shù)值映射方法并不能處理這樣的情況.

    (2) 不能解決多項式中的消項問題. 計算過程中, s6的表達式中單項式s0s1s2s3出現(xiàn)了兩次, 但數(shù)值映射方法同樣無法解決這樣的問題.

    (3) 迭代導致的估計偏差的累積. 對s7進行估計時, 利用了s6的次數(shù)估計, 顯然會使得估計結(jié)果繼續(xù)偏高.

    此外, 實際應用數(shù)值映射方法對Trivium-型算法進行代數(shù)次數(shù)估計時, 可以發(fā)現(xiàn): 由于Trivium-型算法具有反饋函數(shù)二次項是相鄰比特相乘的特點, 數(shù)值映射對于不包含相鄰變量的情形估計效果很好, 對于含有相鄰變量的情形估計效果較差, 例如在文[16] 中, 對于Trivium 算法, 作者檢測了所有37 維到40 維不相鄰的立方變量集. 而這一實驗型現(xiàn)象主要是因為數(shù)值映射不能處理兩個含有相同變元的項相乘時重復變元計數(shù)的問題.

    可分性方法可以有效解決上述第1 個和第3 個問題. 因此相比于數(shù)值映射方法, 可分性方法給出的次數(shù)上界更緊. 但是可分性的傳播規(guī)則和對MILP 模型的求解, 同樣使得可分性方法存在以下兩個問題:

    (1) 不能解決多項式中的消項問題.

    (2) 隨著初始化輪數(shù)的增加, MILP 模型中的變元和限制條件大幅增加, 當初始化輪數(shù)較高時, 普通PC 機求解MILP 模型是困難的.

    通過分析可以看出, 在初始化輪數(shù)較低時, 可分性方法能夠給出比數(shù)值映射方法更加準確的次數(shù)上界;當初始化輪數(shù)較高時, 用可分性方法估計代數(shù)次數(shù)是困難的, 但此時數(shù)值映射方法可以快速給出較為準確的次數(shù)估計. 因此, 針對Trivium-型算法, 本文通過結(jié)合兩種方法的優(yōu)勢, 能夠?qū)θ我饨o定的立方集, 在初始化輪數(shù)較高的情況下, 給出比數(shù)值映射方法更加準確的結(jié)果.

    3.2 對Trivium-型算法的代數(shù)次數(shù)估計

    對于立方攻擊以及與立方攻擊相關(guān)的分析方法, 都需要進行大量的測試才能找到合適的立方集, 所以有效的時間內(nèi)檢測立方集的數(shù)量也是攻擊成功的一個因素. 針對Trivium-型算法, 為了能夠在有效時間內(nèi)對初始化輪數(shù)較高的輸出比特進行代數(shù)次數(shù)估計, 我們主要采用數(shù)值映射方法. 在實際估計過程中, 我們采用了文[16] 中提出的針對Trivium-型算法優(yōu)化后的方法. 在該方法中, 對于i 時刻更新比特的次數(shù)上界是基于前nA+nC?3 個時刻更新比特的次數(shù)來進行估計的, 其中nA和nC分別是寄存器A 和寄存器C 的長度. 由于數(shù)值映射對估計偏差有累加的效果, 參見第3.1 節(jié)分析, 早期更新比特的代數(shù)次數(shù)上界估計越準確, 其最終的估計結(jié)果也就越準確. 值得注意的是, 基于可分性的估計方法能夠給出更緊的次數(shù)上界. 同時, 當初始化輪數(shù)較低時, 可分性方法能夠快速的給出更新比特的代數(shù)次數(shù)的上界. 因此, 為利用數(shù)值映射方法給出更緊的上界, 我們基于可分性方法對于早期的更新比特的代數(shù)次數(shù)上界進行了估計. 具體過程描述如下:

    (1) 對給定的指標集I 確定多項式的變元, 并選取合適的l 和h, 使得t = l + h, 且滿足k?=l ?(nC?2)?(nA?2)≥1;

    (2) 利用可分性方法, 對從第k 時刻到第l 時刻的更新比特進行次數(shù)估計, 并保存結(jié)果;

    (3) 將(2) 中所估計的代數(shù)次數(shù)用于數(shù)值映射的初始化, 并用數(shù)值映射方法對從l 時刻的更新比特進行估計, 最終給出輸出比特s(N)out的次數(shù)上界.

    現(xiàn)對具體的估計過程給出算法1.

    算法1 代數(shù)次數(shù)估計Input: 給定輪數(shù)N; h; 指標集I;Output: s(N)out 的代數(shù)次數(shù)估計.1 endround ←h 2 startround ←endround ?nA ?nC +3 3 for t ←startround to endround do 4 for λ ∈{A,B,C} do λ ←DegEval(I,t,flagλ);6 end 7 end 8 D(endround)←(d(endround?nA+1)5 d(t)A ,···,d(endround)A ,d(endround?nB+1)B ,···,d(endround)B ,d(endround?nC+1)C ,··· ,d(endround)C );9 for t ←endround+1 to N do 10 for λ ∈{A,B,C} do λ ←max {DegMul(g(t)λ ),DEG(lλ,D(t?1))};12 end 13 D(t) ←(d(t?nA+1)11 d(t)A ,··· ,d(t)A ,d(t?nB+1)B ,··· ,d(t)B ,d(t?nC+1)C ,··· ,d(t)C );14 end 15 return DEG(f,D(N));

    命題2 在給定指標集I, 輪數(shù)N, 參數(shù)h, 算法1 的輸出為N-輪Trivium-型算法輸出比特的一個代數(shù)次數(shù)上界.

    其中s(t)為第t 時刻的中間狀態(tài), D(t)為由dλ構(gòu)造的第t 時刻中間狀態(tài)的代數(shù)次數(shù). 又由數(shù)值映射的性質(zhì)可知, 若給定的輸入變元的代數(shù)次數(shù)大于等于實際代數(shù)次數(shù), 則估計的輸出比特的代數(shù)次數(shù)也大于等于實際次數(shù). 綜上, 算法1 給出的輸出比特的代數(shù)次數(shù)一定為實際次數(shù)的上界.

    命題2 可以保證, 算法1 能夠用來估計給定指標集I 和初始化輪數(shù)為r 的Trivium-型算法的代數(shù)次數(shù)的上界. 并且可以看出, h 越大, 數(shù)值映射方法的初始化值就越準確, 迭代的輪數(shù)也越少, 但是所需時間就越長.

    3.3 搜索給定指標集I 下的零和立方區(qū)分器

    利用算法1 給出的代數(shù)次數(shù)上界,我們可以搜索給定指標集I 下的零和立方區(qū)分器. 具體見算法2. 通過分析算法1 可知, DEG(f,D(t)) 給出的值為t 時刻輸出比特的代數(shù)次數(shù)上界. 因此, 算法2 能夠保證, 在給定指標集I 下, Trivium-型算法在第maxround 輪一定存在關(guān)于該指標集I 的零和立方區(qū)分器.

    算法2 給定指標集I 下的零和立方區(qū)分器搜索算法Input: 初始化輪數(shù)N; 輪數(shù)h; 指標集I Output: 給定指標集I 下, 能夠構(gòu)造的零和立方區(qū)分器的最大輪數(shù)maxround 1 endround ←h;2 maxround ←1;3 upperbound ←#I;4 startround ←endround ?nA ?nC +3;5 for t ←startround to endround do λ ←DegEval(I,t,flagλ);8 end 9 end 10 D(endround) ←(d(endround?nA+1)6 for λ ∈{A,B,C} do 7 d(t)A ,··· ,d(endround)A ,d(endround?nB+1)B ,··· ,d(endround)B ,d(endround?nC+1)C ,··· ,d(endround)C );11 for t ←endround+1 to N do 12 for λ ∈{A,B,C} do 13 d(t)λ ←max {DegMul(g(t)λ ),DEG(lλ,D(t?1))};14 end 15 D(t) ←(d(t?nA+1)A ,··· ,d(t)A ,d(t?nB+1)B ,··· ,d(t)B ,d(t?nC+1)C ,··· ,d(t)C );16 if DEG(f,D(t)) < upperbound then 17 maxround ←t ?1;18 end 19 end 20 return maxround;

    4 應用

    4.1 Trivium-型算法全變元的代數(shù)次數(shù)估計

    本節(jié)將IV 變元IV 和密鑰變元KEY 均作為輸入變元, 并利用本文方法對Trivium、Kreyvium和TriviA-SC 進行實驗, 檢測在全變元的條件下, Trivium-型算法在何時能夠充分混合, 達到代數(shù)次數(shù)為#IV+#KEY. 雖然對于全變元條件下的代數(shù)次數(shù)估計結(jié)果不能直接用于攻擊, 但其從代數(shù)次數(shù)的角度衡量了密鑰變元和IV 變元在初始化迭代過程中混合的速度和程度, 對于評估算法的安全性具有一定意義.

    根據(jù)文[16] 中的結(jié)果, 將Trivium 的160 比特變元作為輸入變元, 其未達到代數(shù)次數(shù)為160 的最大輪數(shù)下界為907, 這也是目前最新的結(jié)果. 我們通過實驗嘗試, 最終選擇l =601, 計算可得k =400, 即首先利用可分性方法對Trivium 的400 到601 輪的更新比特進行代數(shù)次數(shù)估計. 利用算法2, 我們給出的下界為912. 與數(shù)值映射方法給出的結(jié)果相比, 我們對代數(shù)次數(shù)的估計更精確. 算法2 在利用了可分性優(yōu)勢的同時, 保證了代數(shù)次數(shù)估計的效率. 由于所需時間太長, 可分性估計方法無法對全變元的代數(shù)次數(shù)進行估計, 目前也沒有關(guān)于可分性對全變元進行代數(shù)次數(shù)估計的公開結(jié)果.

    類似地, 我們還對Kreyvium 和TriviA-SC(v2) 進行了實驗, 現(xiàn)將實驗結(jié)果展示在表1 中.

    表1 Trivium-型算法在KEY 和IV 全變元條件下未達到代數(shù)次數(shù)為#KEY+#IV 的最大輪數(shù)下界Table 1 A lower bound for the maximum number of rounds of not achieving the algebraic degree # KEY+# IV for Trivium-like ciphers with all KEY and IV variables

    4.2 關(guān)于Trivium 代數(shù)次數(shù)估計結(jié)果

    針對Trivium 算法, 本節(jié)對算法2 和數(shù)值映射的估計結(jié)果進行了比較.

    首先, 測試了隨機選擇的100 組48 維立方集CI. 將48 比特的立方變元作為更新函數(shù)和輸出函數(shù)的輸入變元, 利用算法2, 我們在給定立方集下, 給出了零和立方區(qū)分器能夠達到的最高輪數(shù)的估計. 同時,我們對實驗結(jié)果進行統(tǒng)計, 并與數(shù)值映射方法進行了對比, 具體結(jié)果參見表2.

    表2 關(guān)于100 組48 維立方集, 算法2 與數(shù)值映射方法關(guān)于Trivium 估計結(jié)果的比較Table 2 Comparison of Algorithm 2 and numeric mapping method for Trivium under 100 cubes of dimension 48

    從表2 可以看出, 對任意給定的立方集, 算法2 對代數(shù)次數(shù)的估計更加準確, 所得零和立方區(qū)分器的輪數(shù)更高, 平均能夠提高33 輪, 最高能夠提高52 輪(具體立方集見附錄A). 在實際估計過程中, 與可分性方法相比, 本節(jié)使用的方法速度更快, 能夠?qū)Ω嗟牧⒎郊M行估計.

    其次, 測試了隨機選擇的100 組39 維的立方集, 利用算法2 對其進行實驗檢測. 同樣, 我們將所得結(jié)果與數(shù)值映射方法的結(jié)果進行了對比, 具體結(jié)果參見表3.

    表3 關(guān)于100 組39 維立方集, 算法2 相較于數(shù)值映射方法的提升效果Table 3 Comparison of Algorithm 2 and numeric mapping method for Trivium under 100 cubes of dimension 39

    從表3 可以看出, 對隨機選取的100 個39 維立方集, 算法2 同樣能夠給出更優(yōu)的零和立方區(qū)分器, 平均提高36 輪, 最多提高58 輪(見附錄A), 并且在隨機實驗中, 最高給出了821 輪的零和區(qū)分器.

    4.3 關(guān)于Kreyvium 代數(shù)次數(shù)估計結(jié)果

    針對Kreyvium 算法, 本節(jié)隨機選取了100 組72 維的立方集. 將72 比特立方變元作為更新函數(shù)和輸出函數(shù)的輸入變元, 并利用算法2, 在給定立方集下對零和區(qū)分器能夠達到的最高輪數(shù)進行估計, 并與數(shù)值映射方法進行比較. 統(tǒng)計結(jié)果如表4 所示.

    表4 算法2 與數(shù)值映射方法關(guān)于Kreyvium 估計結(jié)果的比較Table 4 Comparison of Algorithm 2 and numeric mapping method for Kreyvium

    通過實驗統(tǒng)計結(jié)果可以看出, 在給定立方集下, 對于Kreyvium, 算法2 同樣能夠給出比數(shù)值映射方法更準確的次數(shù)估計, 找到更高輪數(shù)的零和區(qū)分器. 其中, 最大輪數(shù)的零和區(qū)分器為844 輪, 平均能夠提高22 輪, 且提升輪數(shù)最高的為39 (見附錄A). 但由于Kreyvium 算法結(jié)構(gòu)的原因, 在使用可分性方法對其400 到601 輪更新比特進行代數(shù)次數(shù)估計時, 所需時間較長. 盡管如此, 所需時間依舊遠少于可分性方法.

    4.4 關(guān)于TriviA-SC 代數(shù)次數(shù)估計結(jié)果

    針對TRIVIA-SC(v2) 算法, 本文同樣隨機選取了100 組72 維的立方集, 利用算法2 估計零和區(qū)分器的最大輪數(shù), 與數(shù)值映射方法的比較見表5.

    表5 算法2 與數(shù)值映射方法關(guān)于Kreyvium 估計結(jié)果的比較Table 5 Comparison of Algorithm 2 and numeric mapping method for Kreyvium

    由表5 結(jié)果可以看出, 算法2 同樣給出了TriviA-SC(v2) 更優(yōu)的零和區(qū)分器, 在隨機情況下能夠找到的最高輪數(shù)為914, 并且與數(shù)值映射方法相比, 平均提升的輪數(shù)為20 輪, 其中提升輪數(shù)最多的為37 輪(見附錄A). 因此, 相比于數(shù)值映射方法, 算法2 搜索零和區(qū)分器的能力更強. 同時, 盡管與Kreyvium 相比,TriviA-SC(v2) 使用了更長的中間狀態(tài), 但是在同樣72 維的條件下, 利用可分性方法對TriviA-SC(v2) 前期更新比特進行代數(shù)次數(shù)估計時, 所需時間少于Kreyvium.

    5 結(jié)論

    對于Trivium-型算法的代數(shù)次數(shù)估計, 目前最有效的兩個方法分別是數(shù)值映射方法和可分性方法. 本文主要通過分析兩種估計方法的優(yōu)勢和劣勢, 對Trivium-型算法的代數(shù)次數(shù)估計方法進行了改進: 利用可分性方法對低輪數(shù)內(nèi)部狀態(tài)的代數(shù)次數(shù)進行了估計, 作為數(shù)值映射的初始化值. 在本文中, 我們對隨機選取的立方集進行了實驗. 實驗結(jié)果表明: 與數(shù)值映射方法相比, 改進后的方法給出的零和區(qū)分器輪數(shù)更高;而且與可分性相比, 改進后的方法效率更高. 因此, 改進后的方法能夠?qū)Ω嗑S數(shù)更高的立方集進行搜索,在隨機情況下, 更容易找到高輪數(shù)的零和區(qū)分器. 特別地, 對Trivium-型算法全變元的情形, 利用改進后的方法, 我們給出了優(yōu)于數(shù)值映射的新結(jié)果. 雖然本文使用的方法實際是對數(shù)值映射和可分性方法的折中,但對于在立方攻擊中提高大維數(shù)立方超多項式代數(shù)次數(shù)估計的效率仍有一定的意義.

    猜你喜歡
    輪數(shù)變元代數(shù)
    多輪反應溶液用量對微生物加固粉土的影響
    LowMC實例的差分枚舉攻擊效果分析
    兩個有趣的無窮長代數(shù)不等式鏈
    Hopf代數(shù)的二重Ore擴張
    什么是代數(shù)幾何
    科學(2020年1期)2020-08-24 08:08:06
    網(wǎng)絡安全平臺斗象科技 完成C輪數(shù)億元融資
    一類具有偏差變元的p-Laplacian Liénard型方程在吸引奇性條件下周期解的存在性
    關(guān)于部分變元強指數(shù)穩(wěn)定的幾個定理
    非自治系統(tǒng)關(guān)于部分變元的強穩(wěn)定性*
    一個非平凡的Calabi-Yau DG代數(shù)
    亚洲国产精品国产精品| 在线亚洲精品国产二区图片欧美| 欧美亚洲日本最大视频资源| 两个人免费观看高清视频| 国产成人精品在线电影| 精品一区二区三区四区五区乱码 | videosex国产| 五月伊人婷婷丁香| 亚洲欧洲精品一区二区精品久久久 | 男女啪啪激烈高潮av片| 熟女少妇亚洲综合色aaa.| 久久午夜福利片| 女人被躁到高潮嗷嗷叫费观| 国产精品不卡视频一区二区| 久久99蜜桃精品久久| 欧美中文综合在线视频| 老司机影院成人| 丝瓜视频免费看黄片| 国产一区二区三区综合在线观看| 婷婷色综合大香蕉| 亚洲成人手机| 国产在线一区二区三区精| 深夜精品福利| 欧美日韩一区二区视频在线观看视频在线| 大话2 男鬼变身卡| 丝袜人妻中文字幕| 欧美日韩一级在线毛片| 精品久久久久久电影网| 免费在线观看黄色视频的| 中文精品一卡2卡3卡4更新| 黑人欧美特级aaaaaa片| 少妇猛男粗大的猛烈进出视频| 日本爱情动作片www.在线观看| 亚洲av电影在线观看一区二区三区| 黄片播放在线免费| av一本久久久久| 激情五月婷婷亚洲| 免费观看无遮挡的男女| 黄色视频在线播放观看不卡| 日韩精品免费视频一区二区三区| 亚洲av电影在线进入| 哪个播放器可以免费观看大片| 欧美少妇被猛烈插入视频| 亚洲国产色片| 国产精品国产av在线观看| av网站免费在线观看视频| 777米奇影视久久| av不卡在线播放| 亚洲国产毛片av蜜桃av| 男女免费视频国产| 日本猛色少妇xxxxx猛交久久| 免费日韩欧美在线观看| 成人午夜精彩视频在线观看| 国产精品偷伦视频观看了| 青春草亚洲视频在线观看| 最近的中文字幕免费完整| 人妻 亚洲 视频| 电影成人av| 欧美中文综合在线视频| 久久久久久免费高清国产稀缺| 国产精品不卡视频一区二区| 哪个播放器可以免费观看大片| 啦啦啦中文免费视频观看日本| 国产精品蜜桃在线观看| 免费高清在线观看日韩| 丁香六月天网| 久久精品国产亚洲av涩爱| 国产一区二区三区av在线| 亚洲欧洲精品一区二区精品久久久 | 国产麻豆69| 一二三四中文在线观看免费高清| 天天躁狠狠躁夜夜躁狠狠躁| 久久免费观看电影| 色视频在线一区二区三区| 亚洲av综合色区一区| 欧美+日韩+精品| 午夜av观看不卡| 亚洲精品久久午夜乱码| 伊人久久国产一区二区| 国产av精品麻豆| 一级毛片 在线播放| 国产在视频线精品| 精品人妻在线不人妻| 电影成人av| 国产高清国产精品国产三级| 免费看av在线观看网站| 久久av网站| 黄片无遮挡物在线观看| 啦啦啦在线免费观看视频4| 国产爽快片一区二区三区| 成人免费观看视频高清| 少妇人妻久久综合中文| 2021少妇久久久久久久久久久| 老女人水多毛片| 欧美激情高清一区二区三区 | 一本久久精品| 精品一区二区三卡| 91aial.com中文字幕在线观看| 国产日韩一区二区三区精品不卡| 久久精品久久久久久久性| 免费在线观看完整版高清| 如日韩欧美国产精品一区二区三区| 丰满迷人的少妇在线观看| 亚洲精品在线美女| 久久久国产精品麻豆| 色婷婷av一区二区三区视频| 午夜激情av网站| 亚洲第一青青草原| 免费观看a级毛片全部| 黄色毛片三级朝国网站| 91成人精品电影| 天堂中文最新版在线下载| 高清av免费在线| 一二三四中文在线观看免费高清| 香蕉精品网在线| 国产毛片在线视频| 美女大奶头黄色视频| 男女边吃奶边做爰视频| 国产欧美日韩一区二区三区在线| 日本免费在线观看一区| 青春草亚洲视频在线观看| 欧美日韩亚洲高清精品| 亚洲av电影在线进入| 大码成人一级视频| 麻豆乱淫一区二区| 人妻 亚洲 视频| 看十八女毛片水多多多| 久久久国产精品麻豆| 国产熟女欧美一区二区| 亚洲一区二区三区欧美精品| 欧美xxⅹ黑人| 满18在线观看网站| 波多野结衣一区麻豆| 欧美日韩亚洲国产一区二区在线观看 | 国产男女超爽视频在线观看| av网站免费在线观看视频| 99香蕉大伊视频| 亚洲av男天堂| www.精华液| 久久 成人 亚洲| a级毛片黄视频| 国产无遮挡羞羞视频在线观看| av线在线观看网站| 日韩在线高清观看一区二区三区| 国产精品不卡视频一区二区| 人妻 亚洲 视频| 捣出白浆h1v1| 电影成人av| 日韩制服骚丝袜av| 亚洲国产欧美在线一区| 午夜免费鲁丝| 2021少妇久久久久久久久久久| 久久久久久免费高清国产稀缺| 亚洲av综合色区一区| 久久久久久人妻| 一级爰片在线观看| 18禁国产床啪视频网站| 老汉色av国产亚洲站长工具| 免费高清在线观看日韩| 高清黄色对白视频在线免费看| 看非洲黑人一级黄片| 极品人妻少妇av视频| 少妇的丰满在线观看| 在线观看美女被高潮喷水网站| 国产免费一区二区三区四区乱码| 韩国av在线不卡| 高清在线视频一区二区三区| 国产成人午夜福利电影在线观看| 一本一本久久a久久精品综合妖精 国产伦在线观看视频一区 | 欧美最新免费一区二区三区| 亚洲精品日韩在线中文字幕| 久久久久久伊人网av| 综合色丁香网| 久久国内精品自在自线图片| 在线免费观看不下载黄p国产| 亚洲国产成人一精品久久久| 精品国产一区二区三区四区第35| 成年人免费黄色播放视频| 亚洲一码二码三码区别大吗| 少妇人妻 视频| 国产成人精品婷婷| 国产国语露脸激情在线看| 多毛熟女@视频| 久久精品久久精品一区二区三区| av国产久精品久网站免费入址| 国产黄色视频一区二区在线观看| 久久精品久久久久久久性| 老汉色∧v一级毛片| 亚洲第一av免费看| 欧美人与善性xxx| 黄频高清免费视频| 久久久久久久久久久久大奶| 成人黄色视频免费在线看| 色吧在线观看| av天堂久久9| 两个人看的免费小视频| 成年人午夜在线观看视频| 精品亚洲成国产av| 满18在线观看网站| 日韩伦理黄色片| 多毛熟女@视频| 人妻人人澡人人爽人人| 中文字幕亚洲精品专区| 日韩视频在线欧美| 美女脱内裤让男人舔精品视频| 日韩av不卡免费在线播放| 国产男人的电影天堂91| 亚洲伊人久久精品综合| 看免费av毛片| 纯流量卡能插随身wifi吗| 久久精品国产亚洲av天美| 欧美在线黄色| 国产探花极品一区二区| 国产成人精品福利久久| 天天操日日干夜夜撸| 国产一区二区三区av在线| 国产亚洲欧美精品永久| 在线观看美女被高潮喷水网站| av不卡在线播放| av在线app专区| 久久婷婷青草| 精品少妇黑人巨大在线播放| 狠狠婷婷综合久久久久久88av| 久久精品国产亚洲av高清一级| 亚洲熟女精品中文字幕| 久久热在线av| 三级国产精品片| 免费黄网站久久成人精品| a级片在线免费高清观看视频| 美女脱内裤让男人舔精品视频| 国产一区二区三区av在线| 中文字幕最新亚洲高清| 国产成人a∨麻豆精品| 在线免费观看不下载黄p国产| 水蜜桃什么品种好| 青春草视频在线免费观看| 国产探花极品一区二区| 大香蕉久久网| 亚洲av国产av综合av卡| 国产成人免费观看mmmm| 人人妻人人添人人爽欧美一区卜| 天天躁日日躁夜夜躁夜夜| 中国国产av一级| 精品卡一卡二卡四卡免费| 久久久久久久大尺度免费视频| 国产精品香港三级国产av潘金莲 | 国产精品国产三级专区第一集| 最近最新中文字幕免费大全7| 欧美另类一区| av不卡在线播放| 另类精品久久| 巨乳人妻的诱惑在线观看| 人人妻人人爽人人添夜夜欢视频| 在线看a的网站| 街头女战士在线观看网站| 亚洲成国产人片在线观看| 亚洲欧美一区二区三区久久| 丝袜在线中文字幕| 一区福利在线观看| 成人亚洲精品一区在线观看| 久久久久精品久久久久真实原创| 午夜日韩欧美国产| 人人妻人人爽人人添夜夜欢视频| 欧美少妇被猛烈插入视频| av线在线观看网站| 男人操女人黄网站| 夜夜骑夜夜射夜夜干| 在线观看免费视频网站a站| 亚洲成色77777| 1024香蕉在线观看| 黄色配什么色好看| 日韩人妻精品一区2区三区| 久久久国产一区二区| 亚洲综合精品二区| 欧美成人精品欧美一级黄| 亚洲图色成人| 黄片小视频在线播放| a级毛片在线看网站| 国产成人精品婷婷| 色播在线永久视频| 三级国产精品片| 一区二区日韩欧美中文字幕| 熟女电影av网| 亚洲精品aⅴ在线观看| 国产亚洲最大av| 十八禁高潮呻吟视频| 汤姆久久久久久久影院中文字幕| 国产 精品1| 国产精品av久久久久免费| 看免费av毛片| 国产毛片在线视频| 美女xxoo啪啪120秒动态图| 天天影视国产精品| 日本vs欧美在线观看视频| 亚洲精品中文字幕在线视频| av在线观看视频网站免费| 在现免费观看毛片| 亚洲视频免费观看视频| 婷婷色综合大香蕉| 咕卡用的链子| 国产精品一国产av| 曰老女人黄片| 亚洲国产精品国产精品| 天堂中文最新版在线下载| 熟女少妇亚洲综合色aaa.| 成年人午夜在线观看视频| 日韩一区二区视频免费看| 国产极品天堂在线| www.精华液| 精品少妇一区二区三区视频日本电影 | 久久鲁丝午夜福利片| 免费黄频网站在线观看国产| 欧美日本中文国产一区发布| 欧美日韩成人在线一区二区| 又粗又硬又长又爽又黄的视频| www日本在线高清视频| 纯流量卡能插随身wifi吗| 黑丝袜美女国产一区| 看免费av毛片| 九草在线视频观看| 亚洲精品av麻豆狂野| 午夜福利,免费看| 国产视频首页在线观看| 少妇被粗大的猛进出69影院| 欧美国产精品一级二级三级| 久久婷婷青草| xxx大片免费视频| 国产乱人偷精品视频| 哪个播放器可以免费观看大片| 日韩一区二区三区影片| 亚洲人成电影观看| 久久久久久免费高清国产稀缺| 一级,二级,三级黄色视频| www日本在线高清视频| 肉色欧美久久久久久久蜜桃| 精品久久久精品久久久| 免费高清在线观看日韩| av国产久精品久网站免费入址| 看十八女毛片水多多多| xxxhd国产人妻xxx| 欧美日本中文国产一区发布| 黄色怎么调成土黄色| 久久亚洲国产成人精品v| 午夜久久久在线观看| 丝袜喷水一区| 成人国产av品久久久| 亚洲成人一二三区av| 欧美精品一区二区大全| a级毛片黄视频| 欧美xxⅹ黑人| 亚洲精品日本国产第一区| 男女免费视频国产| 亚洲国产精品成人久久小说| 在线看a的网站| 亚洲av免费高清在线观看| 国产高清不卡午夜福利| 午夜91福利影院| 国产免费现黄频在线看| 亚洲精品av麻豆狂野| 久久久久精品人妻al黑| 亚洲 欧美一区二区三区| 捣出白浆h1v1| 黄色毛片三级朝国网站| 亚洲经典国产精华液单| 久久午夜福利片| 美女高潮到喷水免费观看| 日本爱情动作片www.在线观看| 18禁国产床啪视频网站| 久久久久人妻精品一区果冻| 欧美黄色片欧美黄色片| 美女xxoo啪啪120秒动态图| 尾随美女入室| 我的亚洲天堂| 九草在线视频观看| 9191精品国产免费久久| 欧美激情高清一区二区三区 | 国产成人精品一,二区| 最近最新中文字幕免费大全7| 十八禁高潮呻吟视频| 国产麻豆69| 97在线人人人人妻| 亚洲成国产人片在线观看| 日本91视频免费播放| 美女国产视频在线观看| 丁香六月天网| 自拍欧美九色日韩亚洲蝌蚪91| 男人添女人高潮全过程视频| av网站在线播放免费| 亚洲精品久久成人aⅴ小说| 啦啦啦在线观看免费高清www| 欧美av亚洲av综合av国产av | 日本欧美国产在线视频| 中文天堂在线官网| 亚洲欧美精品综合一区二区三区 | 中文字幕精品免费在线观看视频| 天堂中文最新版在线下载| 2021少妇久久久久久久久久久| 国产av码专区亚洲av| 中国国产av一级| 国产乱人偷精品视频| 国产极品天堂在线| 国产精品女同一区二区软件| 国产野战对白在线观看| 国产女主播在线喷水免费视频网站| 伦理电影免费视频| 欧美成人午夜免费资源| 亚洲精品日韩在线中文字幕| 精品少妇内射三级| av在线app专区| 中文欧美无线码| 亚洲国产最新在线播放| 1024香蕉在线观看| 两性夫妻黄色片| 亚洲 欧美一区二区三区| 国产在线一区二区三区精| 波野结衣二区三区在线| 搡女人真爽免费视频火全软件| 在线观看美女被高潮喷水网站| 欧美成人午夜精品| 18+在线观看网站| 亚洲熟女精品中文字幕| 嫩草影院入口| 日韩电影二区| 免费观看a级毛片全部| 男女高潮啪啪啪动态图| 亚洲av在线观看美女高潮| 青草久久国产| 色播在线永久视频| 亚洲少妇的诱惑av| 男女边摸边吃奶| 啦啦啦视频在线资源免费观看| 精品人妻一区二区三区麻豆| 午夜av观看不卡| 国产精品熟女久久久久浪| 欧美+日韩+精品| 久久久精品国产亚洲av高清涩受| 97人妻天天添夜夜摸| 老司机影院毛片| 国产精品女同一区二区软件| 亚洲三级黄色毛片| 中国国产av一级| 久久久久精品人妻al黑| 色播在线永久视频| 纵有疾风起免费观看全集完整版| 麻豆乱淫一区二区| 欧美日韩一级在线毛片| 天天躁狠狠躁夜夜躁狠狠躁| 国产精品欧美亚洲77777| 深夜精品福利| 精品少妇内射三级| 寂寞人妻少妇视频99o| 亚洲精品第二区| 91aial.com中文字幕在线观看| 自线自在国产av| 成人国产av品久久久| 日韩欧美一区视频在线观看| 伦理电影免费视频| 免费大片黄手机在线观看| 9191精品国产免费久久| 成人毛片60女人毛片免费| 最近的中文字幕免费完整| av免费观看日本| 99久久人妻综合| 亚洲欧洲国产日韩| 欧美成人午夜免费资源| 一本—道久久a久久精品蜜桃钙片| 男女无遮挡免费网站观看| 中文字幕最新亚洲高清| 国产一区二区激情短视频 | 日韩人妻精品一区2区三区| 一区二区三区激情视频| 尾随美女入室| 久久久久久久久免费视频了| 亚洲经典国产精华液单| 下体分泌物呈黄色| 91国产中文字幕| 丝瓜视频免费看黄片| 国产精品人妻久久久影院| 少妇的逼水好多| 看免费av毛片| 欧美日韩一区二区视频在线观看视频在线| 免费黄色在线免费观看| 街头女战士在线观看网站| 熟妇人妻不卡中文字幕| 国产精品免费大片| 亚洲精品美女久久久久99蜜臀 | 天堂8中文在线网| 国产精品.久久久| 超碰成人久久| 欧美日韩成人在线一区二区| 三上悠亚av全集在线观看| 国产成人免费观看mmmm| 少妇被粗大的猛进出69影院| 午夜福利视频精品| 国产成人精品久久二区二区91 | 熟妇人妻不卡中文字幕| 欧美精品国产亚洲| 日本黄色日本黄色录像| 老司机亚洲免费影院| 国产成人精品无人区| 国产片特级美女逼逼视频| 国产精品 国内视频| 侵犯人妻中文字幕一二三四区| 女性生殖器流出的白浆| 国产精品无大码| 一级a爱视频在线免费观看| 狠狠婷婷综合久久久久久88av| 久久国内精品自在自线图片| 亚洲一码二码三码区别大吗| 久久国内精品自在自线图片| 丝袜美腿诱惑在线| 中文字幕精品免费在线观看视频| 欧美日韩一区二区视频在线观看视频在线| 亚洲欧美一区二区三区久久| 国产白丝娇喘喷水9色精品| 高清不卡的av网站| 国产精品.久久久| 精品卡一卡二卡四卡免费| www.av在线官网国产| 我的亚洲天堂| 尾随美女入室| 日韩制服骚丝袜av| 精品少妇一区二区三区视频日本电影 | 久久精品久久久久久噜噜老黄| 晚上一个人看的免费电影| 亚洲一区二区三区欧美精品| 韩国av在线不卡| 国产黄频视频在线观看| 啦啦啦啦在线视频资源| 久久99蜜桃精品久久| 国产乱来视频区| 亚洲人成电影观看| 免费黄色在线免费观看| 精品人妻偷拍中文字幕| 国产黄色视频一区二区在线观看| 交换朋友夫妻互换小说| 国产爽快片一区二区三区| 欧美日韩亚洲国产一区二区在线观看 | av国产久精品久网站免费入址| a级毛片在线看网站| 韩国精品一区二区三区| 黑人猛操日本美女一级片| 成人亚洲精品一区在线观看| 97人妻天天添夜夜摸| 欧美人与性动交α欧美精品济南到 | 日韩,欧美,国产一区二区三区| 久久精品国产综合久久久| 一级片免费观看大全| 女的被弄到高潮叫床怎么办| 高清av免费在线| 女性生殖器流出的白浆| 九色亚洲精品在线播放| 亚洲美女视频黄频| 国产精品不卡视频一区二区| 一级毛片我不卡| 只有这里有精品99| 国产亚洲av片在线观看秒播厂| 精品一区在线观看国产| 香蕉丝袜av| 热re99久久精品国产66热6| 亚洲精品乱久久久久久| 在线精品无人区一区二区三| 国产精品熟女久久久久浪| av福利片在线| 日韩电影二区| 亚洲,一卡二卡三卡| 满18在线观看网站| 纯流量卡能插随身wifi吗| 国产激情久久老熟女| 欧美激情极品国产一区二区三区| 成年人午夜在线观看视频| 哪个播放器可以免费观看大片| 国产xxxxx性猛交| 卡戴珊不雅视频在线播放| 欧美精品一区二区大全| 九九爱精品视频在线观看| √禁漫天堂资源中文www| 90打野战视频偷拍视频| 曰老女人黄片| 久久久久精品久久久久真实原创| 考比视频在线观看| 丰满少妇做爰视频| 黄片无遮挡物在线观看| 天天躁狠狠躁夜夜躁狠狠躁| 久久人人爽av亚洲精品天堂| 狠狠婷婷综合久久久久久88av| 晚上一个人看的免费电影| www.精华液| 欧美最新免费一区二区三区| 啦啦啦啦在线视频资源| 啦啦啦在线观看免费高清www| 黄色一级大片看看| 最近的中文字幕免费完整| 美女国产视频在线观看| 亚洲精品美女久久久久99蜜臀 | 高清欧美精品videossex| av免费观看日本| 一区二区日韩欧美中文字幕| 国产免费一区二区三区四区乱码| 香蕉国产在线看| 免费少妇av软件| 99久久综合免费| 国产黄频视频在线观看| 成年动漫av网址| 国产免费一区二区三区四区乱码| 如日韩欧美国产精品一区二区三区| 男人添女人高潮全过程视频| 国产精品久久久久久av不卡| 中文欧美无线码| 久久精品熟女亚洲av麻豆精品| 91精品伊人久久大香线蕉| 亚洲人成电影观看| 国产淫语在线视频| 国产免费一区二区三区四区乱码| 国产 一区精品|