• <tr id="yyy80"></tr>
  • <sup id="yyy80"></sup>
  • <tfoot id="yyy80"><noscript id="yyy80"></noscript></tfoot>
  • 99热精品在线国产_美女午夜性视频免费_国产精品国产高清国产av_av欧美777_自拍偷自拍亚洲精品老妇_亚洲熟女精品中文字幕_www日本黄色视频网_国产精品野战在线观看 ?

    關(guān)于Trivium-型序列密碼代數(shù)次數(shù)估計的研究*

    2021-03-19 06:15:36晨,
    密碼學報 2021年1期
    關(guān)鍵詞:輪數(shù)變元代數(shù)

    劉 晨, 田 甜

    戰(zhàn)略支援部隊信息工程大學, 鄭州450001

    1 引言

    序列密碼是對稱密碼的分支之一, 用于對傳輸數(shù)據(jù)的加密. 序列密碼的加密方式為密鑰流比特與明文比特異或加, 其中密鑰流由密鑰和公開的初始化向量生成. 目前面向硬件實現(xiàn)的序列密碼都采用基于非線性反饋移位寄存器(NFSR) 的設(shè)計, 例如Trivium[1]、Grain[2]等. Trivium 是由de Cannière 和Preneel 設(shè)計的面向硬件實現(xiàn)的序列密碼, 是歐洲序列密碼征集項目eSTREAM 計劃的勝選算法之一. 并且, Trivium 已經(jīng)成為輕量級序列密碼算法的國際標準(ISO/IEC 29192-3:2012)[3]. Trivium 由一個二次非線性反饋移位寄存器和一個線性過濾函數(shù)構(gòu)成, 因其設(shè)計結(jié)構(gòu)簡單, 受到國際學者的廣泛關(guān)注. 到目前為止, Trivium 可以抵抗已有的所有攻擊方法. 受Trivium 設(shè)計的啟發(fā), 一系列Trivium-型密碼算法被提出, 主要包括Kreyvium[4]和TriviA-SC[5].

    對于Trivium-型算法, 立方攻擊(cube attacks)[6]是最有效的攻擊方法. 立方攻擊是由Dinur 和Shamir 在2009 年歐密會上提出的一種選擇IV 攻擊. 在立方攻擊中, 將輸出的密鑰流比特看成是關(guān)于密鑰變元k 和IV 變元v 的可調(diào)布爾函數(shù)f(k,v), 其核心思想是在選定的IV 取值集合上對函數(shù)f 的輸出求和從而對f 的代數(shù)正規(guī)型進行簡化, 得到低代數(shù)次數(shù)的密鑰變元方程. 自從立方攻擊思想提出以后, 得到了一系列的發(fā)展, 包括實驗立方攻擊[6–10]、相關(guān)立方攻擊[11]以及基于可分性質(zhì)的立方攻擊[12–15]等.在實驗立方攻擊中, 攻擊者主要通過隨機檢測的方法對超多項式進行線性和二次檢測. 受限于立方變量的維數(shù), 對于Trivium 算法, 實驗立方攻擊的最高輪數(shù)為802 輪[9]. 在相關(guān)立方攻擊中[11], Liu 利用超多項式和一些簡單密鑰表達式之間的相關(guān)性給出了835-輪Trivium 的密鑰恢復攻擊. 2017 年美密會上由Todo 提出基于可分性的立方攻擊, 受益于可分性和MILP 工具, 攻擊者可以使用高維數(shù)的立方集, 這也進一步提高了立方攻擊的效果. 例如, 在文[13] 中, 作者給出了891-輪Kreyvium 算法, 184-輪Grain-128a算法以及750-輪Acorn 算法的密鑰恢復攻擊.

    另一方面, 在立方攻擊中, 如果發(fā)現(xiàn)超多項式是零常值多項式, 則可以進行區(qū)分攻擊, 區(qū)分攻擊的輪數(shù)往往高于密鑰恢復攻擊. 常用的判斷零常值多項式的方法是對立方變量在f(k,v)中的代數(shù)次數(shù)進行估計.對于指標集為I 的立方變量, 若變量集{vi|i ∈I} 在f(k,v) 中的代數(shù)次數(shù)小于|I|, 則以集合{vi|i ∈I}中變量為立方變量的超多項式是零常值. 對于高輪Trivium-型算法, 目前最有效的代數(shù)次數(shù)估計方法主要有Liu 提出的基于數(shù)值映射的方法[16]和Wang 等人給出的基于可分性的方法[13]. 基于數(shù)值映射的方法中, 利用數(shù)值映射的概念, 迭代計算每一個中間狀態(tài)比特的代數(shù)次數(shù)上界. 該方法的優(yōu)點是具有線性的時間復雜度和數(shù)據(jù)復雜度, 計算速度快. Wang 等人提出的基于可分性質(zhì)的估計方法是在Todo 給出的MILP 模型[12]的基礎(chǔ)上, 通過設(shè)置目標函數(shù), 求解包含輸入變元最多的項以估計布爾函數(shù)的代數(shù)次數(shù).上述兩種估計代數(shù)次數(shù)的方法除了尋找零和區(qū)分器, 在密鑰恢復攻擊中也有重要應用. 例如, 在相關(guān)立方攻擊[11]中, 搜索基多項式主要依靠對超多項式進行代數(shù)次數(shù)估計, 基多項式是超多項式的一部分, 用來還原密鑰信息; 在還原超多項式的代數(shù)方法中[14], 利用代數(shù)次數(shù)估計篩選有效立方集, 一個有效立方集的超多項式可以用代數(shù)的方法以概率1 還原; 在基于可分性的立方攻擊中[13], 估計超多項式的代數(shù)次數(shù)可以更精確的評估立方攻擊的理論復雜度.

    針對Trivium-型算法, 本文對基于數(shù)值映射和基于可分性的兩種代數(shù)次數(shù)估計方法進行了研究. 首先, 我們給出了對這兩種方法優(yōu)缺點的分析. 數(shù)值映射的效率高,但基于可分性的估計方法準確性相對更好. 通過將這兩種方法結(jié)合, 我們給出一個改進算法: 利用可分性對Trivium-型算法低輪更新比特進行代數(shù)次數(shù)估計, 然后利用基于數(shù)值映射的方法迭代估計高輪輸出比特的代數(shù)次數(shù). 改進算法既可以基本保持數(shù)值映射的效率,也可以提高代數(shù)次數(shù)估計的準確性. 在Trivium-型的全變元條件下, 通過應用改進算法,我們將Trivium 算法未達到次數(shù)為160 的最大輪數(shù)下界從907 輪改進到了912 輪, 是目前已知的最優(yōu)結(jié)果. 此外, 關(guān)于三個Trivium-型算法, 即Trivium、Kreyvium 和TriviA-SC, 我們對隨機選擇的固定維數(shù)立方集進行了代數(shù)次數(shù)估計的實驗. 實驗表明, 與數(shù)值映射相比, 改進后的算法能夠給出更優(yōu)的代數(shù)次數(shù)估計結(jié)果, 例如, 對于一個給定的立方集, 判斷其是零和區(qū)分器的輪數(shù)可平均提高20 輪以上.

    本文剩余部分結(jié)構(gòu)安排如下: 第2 節(jié)為預備知識. 第3 節(jié)主要介紹了兩種代數(shù)次數(shù)估計方法的優(yōu)缺點, 并結(jié)合兩種方法, 給出了本文估計代數(shù)次數(shù)的具體算法. 第4 節(jié), 我們對Trivium-型算法進行了實際的估計, 并與之前的結(jié)果進行了對比. 第5 節(jié)對全文進行了總結(jié).

    2 預備知識

    2.1 Trivium-型算法介紹

    Trivium-型算法主寄存器部分為Galois 非線性反饋移位寄存器, 每個時刻有三個比特通過不同的二次反饋函數(shù)更新, 其它的中間狀態(tài)比特則通過移位更新. 具體地, 令A,B,C 分別表示長度為nA,nB,nC的移位寄存器. 當時刻t ≥0 時, At= (xt,xt+1,··· ,xt+nA?1), Bt= (yt,yt+1,··· ,yt+nB?1), Ct=(zt,zt+1,··· ,zt+nC?1) 分別為寄存器A, B, C 在第t 時刻的狀態(tài), 且記第t 時刻Trivium-型算法的中間狀態(tài)為s(t)=(At,Bt,Ct). 狀態(tài)更新函數(shù)描述如下:

    其中, lλ為線性函數(shù), 且1 ≤rλ≤nλ, λ ∈{A, B, C}. 記f 為輸出函數(shù), 經(jīng)過N 輪的初始化迭代之后,密碼算法對每一個t ≥N 計算f(s(t)), 輸出密鑰流比特.

    Trivium-型算法包含Trivium, Kreyvium 以及TriviA-SC, 且初始化輪數(shù)均為1152 輪. 其中, Trivium 支持80 比特密鑰和80 比特IV; Kreyvium 是Trivium 的128 比特版本, 支持128 比特密鑰和128比特IV; TriviA-SC 也支持128 比特密鑰和128 比特IV. Kreyvium 除了三個寄存器A,B,C 以外, 還額外采用了兩個寄存器K?和V?用來分別存儲密鑰KEY 和IV, 并以異或加的方式不斷參與到反饋運算中. 此外, Trivium 和Kreyvium 的輸出函數(shù)為線性布爾函數(shù), 而TriviA-SC 的輸出函數(shù)為二次布爾函數(shù). 具體算法見附錄B.

    2.2 代數(shù)正規(guī)型與代數(shù)次數(shù)

    其中wt(c) 為n 維向量c 的漢明重量, ac為ANF 的系數(shù).

    2.3 立方檢測

    設(shè)f ∈Bn, 給定指標集I = {i1,i2,··· ,i|I|} ?{1,2,··· ,n}, 并記tI= xi1xi2···xi|I|, 根據(jù)f 中的項是否能夠被tI整除進行分類, 可以將f 唯一地表示為

    其中q 中的每一項都不是tI的倍式, ptI稱為f 關(guān)于指標集I 的超多項式, 并稱由指標集I 確定的變元集合CI= {xi1,xi2,··· ,xi|I|} 為立方變元集, xij∈CI稱為一個立方變元. 遍歷CI中變元所有2|I|種可能取值, 對函數(shù)f(x1,x2,··· ,xn) 求和可得

    在序列密碼分析中, 函數(shù)f(x1,x2,··· ,xn) 是輸出比特關(guān)于密鑰變元和IV 變元的布爾函數(shù). 由于在初始化階段經(jīng)過了多輪非線性迭代, 函數(shù)f(x1,x2,··· ,xn) 的代數(shù)正規(guī)型是未知的, 從而超多項式的代數(shù)正規(guī)型也是未知的. 立方檢測的基本思想是選取立方指標集I, 在遍歷立方變元的所有可能取值以及非立方變元固定為常值的條件下, 對超多項式ptI的代數(shù)性質(zhì)進行檢測, 例如平衡性、代數(shù)次數(shù)、每個變元是否出現(xiàn)等, 從而能夠使輸出函數(shù)f 和隨機函數(shù)進行區(qū)分. 特別地, 通過代數(shù)次數(shù)估計的方法可以判斷零常值超多項式, 即若deg(f) < |I| 時, 則超多項式ptI一定是零常值多項式. 零常值多項式是概率1 成立的區(qū)分器, 也稱為零和立方區(qū)分器.

    2.4 基于比特的可分性與MILP 建模

    基于比特的可分性 2015 年歐密會上, Todo 首次提出分組密碼的可分性概念[17], 針對基于S 盒設(shè)計的分組密碼, 描述了可分性質(zhì)關(guān)于輪函數(shù)中一些基本運算的擴散規(guī)則, 從而由明文可分性質(zhì)可以迭代求解密文的可分性質(zhì), 獲得積分區(qū)分器. 2015 年, Todo 利用可分性質(zhì)得到MISTY1 算法6 輪積分區(qū)分器[18],并給出MISTY1 首個全輪的理論攻擊. 之后, 2016 年FSE 會議上, 針對基于比特運算設(shè)計的SIMON 算法, Todo 和Morii 進一步提出基于比特的可分性[19]. 基于比特的可分性定義如下:

    2016 年亞密會上, Xiang 等首次將混合整數(shù)線性規(guī)劃(MILP) 建模方法引入到輕量級分組密碼可分路徑的搜索[20], 大大提高了可分路徑搜索的效率.

    混合整數(shù)線性規(guī)劃問題(MILP) 混合整數(shù)線性規(guī)劃問題是通過建立整系數(shù)不等式方程組, 求解符合條件的最優(yōu)整數(shù)解問題, 其中模型M 包含模型變量M.var, 模型限制條件M.con 以及模型的目標函數(shù)M.obj. 通過求解MILP 模型, MILP 將返回最優(yōu)解或者無解; 若模型沒有目標函數(shù), 則只返回模型是否可解. 目前對于MILP 模型的求解, 主要依賴于Gurobi 和CPLEX 等求解器.

    基于比特可分性的MILP 模型 在文[20] 中, Xiang 等將可分性關(guān)于copy, xor, and 的傳播規(guī)則轉(zhuǎn)化為MILP 模型, 利用MILP 求解器對模型進行求解. 若模型可解, 則可以得到滿足條件的一條可分路徑, 若模型無解, 則可以說明不存在滿足條件的可分路徑.

    2017 年美密會上, Todo 首次將基于比特的可分性引入到了序列密碼分析中, 并給出了可分性質(zhì)在序列密碼中的傳播規(guī)則和MILP 建模, 具體參見文[12]. Todo 等人[12]給出了一個重要的引理, 見引理1.

    通過引理1 可以得到文[12] 中的命題4. 基于引理1 和命題4, Todo 首次給出了基于可分性的立方攻擊. 隨后, 文[13] 對基于比特可分性的MILP 模型進行了改進. 特別地, flag 技術(shù)的提出使得攻擊者能更準確的描述可分性的傳播. 在flag 技術(shù)中, 通過對每個狀態(tài)比特增加標識var.flag ∈{0c,1c,δ}, 分別標記狀態(tài)比特為常值0、常值1 和變量δ, 并根據(jù)狀態(tài)比特的標識修正可分性的傳播. 標識var.flag 的運算規(guī)則如下:

    記改進的比特運算分別為copyf, xorf, andf, 此時其MILP 模型描述如下.

    注1 性質(zhì)3 中的限制條件存在冗余, 但并不妨礙得到正確的結(jié)果.

    2.5 主要的代數(shù)次數(shù)估計方法

    基于數(shù)值映射的代數(shù)次數(shù)估計 針對內(nèi)部狀態(tài)更新采用NFSR 的序列密碼, 文[16] 提出了基于數(shù)值映射的代數(shù)次數(shù)估計方法, 并實際應用于Trivium-型序列密碼, 對一些立方變元集得到了比較好的估計結(jié)果. 數(shù)值映射的定義描述如下:

    定義2 (數(shù)值映射) 設(shè)f(x1,x2,··· ,xn)∈Bn為n 元布爾函數(shù), 存在如下映射, 記為DEG:

    其中D =(d1,d2,··· ,dn)∈Zn為n 維向量, 且ac為上述f 的代數(shù)正規(guī)型的系數(shù).

    記G = (g1,g2,··· ,gn) 為n 元向量布爾函數(shù), 并且令deg(G) = (deg(g1),deg (g2),··· ,deg (gn)),根據(jù)映射的性質(zhì)易知

    這表明通過數(shù)值映射估計的代數(shù)次數(shù)大于等于實際的代數(shù)次數(shù), 并且容易證明下述性質(zhì)4 成立.

    性質(zhì)4 若給定的n 維向量D =(d1,d2,··· ,dn) 滿足deg (gi)≤di, 1 ≤i ≤n, 則有

    由性質(zhì)4 可知, 利用數(shù)值映射估計的代數(shù)次數(shù)是實際代數(shù)次數(shù)的一個上界. 為了方便描述, 我們記復合函數(shù)h=f ?G 的數(shù)值映射為DEG(h)?=DEG(f,deg (G)).

    基于可分性質(zhì)的代數(shù)次數(shù)估計 Todo 等提出的基于可分性的立方攻擊, 其核心思想是選擇合適的指標集I, 在給定輪數(shù)下, 利用可分性確定輸出比特的超多項式ptI中包含的密鑰變元. 這些密鑰變元構(gòu)成集合J. 然后, 通過計算真值表恢復超多項式以建立代數(shù)方程組, 從而恢復密鑰變元. 但是在實際攻擊過程中, 該攻擊受到指標集I 和集合J 大小的限制, 當|I|+|J| ≥n 時, 該攻擊沒有意義. 因此, 為了保證攻擊的有效性, 文[12] 提出了關(guān)于立方攻擊的兩個假設(shè), 但在Trivium-型算法初始化輪數(shù)較高時并不能驗證其合理性. 為此, 在文[13] 中, Wang 等針對上述不足對基于可分性的立方攻擊進行了改進. 在提出flag技術(shù)的同時, Wang 等將文[12] 中的命題4 進行了一般化的推廣, 得到了命題1.

    根據(jù)命題1, 針對Trivium-型序列密碼, 文[13] 給出了建立帶flag 技術(shù)的MILP 模型的算法Algorithm 4. 同時, 作者給出了基于可分性的估計代數(shù)次數(shù)的算法Algorithm 2, 將可分性質(zhì)引入到了估計代數(shù)次數(shù)的問題中. 為了使Algorithm 2 能夠?qū)Ω卤忍剡M行代數(shù)次數(shù)估計, 本文將Algorithm 4 中的限制語句進行了修改. 為了敘述的簡潔, 本文約定用“可分性方法” 來簡稱“基于可分性質(zhì)的代數(shù)次數(shù)估計的方法”, 且為了本文算法描述的簡潔性, 記DegEval(I,r,flagλ) 為利用可分性方法對給定輪數(shù)r 的更新比特進行估計, 其中flagλ為更新比特的位置, I 為輸入變元的指標集.

    3 Trivium-型算法代數(shù)次數(shù)估計的改進

    在本節(jié)中, 我們首先分析了數(shù)值映射方法和可分性方法這兩種估計代數(shù)次數(shù)方法的優(yōu)缺點, 并通過具體的實例展示了兩種方法中存在的不足. 隨后針對Trivium-型算法, 通過將這兩種方法進行結(jié)合, 我們在3.2 節(jié)中給出了一個改進的估計代數(shù)次數(shù)的算法. 此外, 基于改進后的算法, 我們在3.3 節(jié)中給出了一個搜索零和區(qū)分器的算法.

    3.1 兩種代數(shù)次數(shù)估計方法的優(yōu)缺點

    針對同一加密算法, 兩種方法各有優(yōu)勢, 同時也有一定的局限性. 相比于可分性方法, 線性的時間復雜度和存儲復雜度是數(shù)值映射所具有的優(yōu)勢. 可以對給定立方集, 快速給出輸出比特的次數(shù)上界, 且沒有輪數(shù)的限制, 即使對初始化輪數(shù)較高的輸出比特也能夠快速給出估計. 但是利用數(shù)值映射對代數(shù)次數(shù)進行迭代估計時, 會產(chǎn)生以下幾個問題, 以例1 為例.

    例1 現(xiàn)設(shè)有4-bit NFSR, 其更新函數(shù)為f(x1,x2,x3,x4) = x1x2+x3x4, 記序列的初態(tài)為s(0)=(s0,s1,s2,s3), 并記第t 時刻的狀態(tài)為s(t)= (st,st+1,st+2,st+3). 根據(jù)更新函數(shù)計算可得s4= s0s1+s2s3,s5=s1s2+s2s3+s0s1s3,s6=s2s3+(s0s1+s2s3)(s1s2+s2s3+s0s1s3)=s0s1s2+s0s1s3+s1s2s3.而利用數(shù)值映射對s6進行代數(shù)次數(shù)估計的結(jié)果為5.

    通過例子可以看出, 估計結(jié)果偏高的原因為:

    (1) 不能處理兩個含有相同變元的項相乘時重復變元計數(shù)的問題. 例1 中, s4的兩個單項式分別與s5中的最高次項s0s1s3有相同的變元s0和s1, 因此在實際計算時, 并不會出現(xiàn)5 次項, 但數(shù)值映射方法并不能處理這樣的情況.

    (2) 不能解決多項式中的消項問題. 計算過程中, s6的表達式中單項式s0s1s2s3出現(xiàn)了兩次, 但數(shù)值映射方法同樣無法解決這樣的問題.

    (3) 迭代導致的估計偏差的累積. 對s7進行估計時, 利用了s6的次數(shù)估計, 顯然會使得估計結(jié)果繼續(xù)偏高.

    此外, 實際應用數(shù)值映射方法對Trivium-型算法進行代數(shù)次數(shù)估計時, 可以發(fā)現(xiàn): 由于Trivium-型算法具有反饋函數(shù)二次項是相鄰比特相乘的特點, 數(shù)值映射對于不包含相鄰變量的情形估計效果很好, 對于含有相鄰變量的情形估計效果較差, 例如在文[16] 中, 對于Trivium 算法, 作者檢測了所有37 維到40 維不相鄰的立方變量集. 而這一實驗型現(xiàn)象主要是因為數(shù)值映射不能處理兩個含有相同變元的項相乘時重復變元計數(shù)的問題.

    可分性方法可以有效解決上述第1 個和第3 個問題. 因此相比于數(shù)值映射方法, 可分性方法給出的次數(shù)上界更緊. 但是可分性的傳播規(guī)則和對MILP 模型的求解, 同樣使得可分性方法存在以下兩個問題:

    (1) 不能解決多項式中的消項問題.

    (2) 隨著初始化輪數(shù)的增加, MILP 模型中的變元和限制條件大幅增加, 當初始化輪數(shù)較高時, 普通PC 機求解MILP 模型是困難的.

    通過分析可以看出, 在初始化輪數(shù)較低時, 可分性方法能夠給出比數(shù)值映射方法更加準確的次數(shù)上界;當初始化輪數(shù)較高時, 用可分性方法估計代數(shù)次數(shù)是困難的, 但此時數(shù)值映射方法可以快速給出較為準確的次數(shù)估計. 因此, 針對Trivium-型算法, 本文通過結(jié)合兩種方法的優(yōu)勢, 能夠?qū)θ我饨o定的立方集, 在初始化輪數(shù)較高的情況下, 給出比數(shù)值映射方法更加準確的結(jié)果.

    3.2 對Trivium-型算法的代數(shù)次數(shù)估計

    對于立方攻擊以及與立方攻擊相關(guān)的分析方法, 都需要進行大量的測試才能找到合適的立方集, 所以有效的時間內(nèi)檢測立方集的數(shù)量也是攻擊成功的一個因素. 針對Trivium-型算法, 為了能夠在有效時間內(nèi)對初始化輪數(shù)較高的輸出比特進行代數(shù)次數(shù)估計, 我們主要采用數(shù)值映射方法. 在實際估計過程中, 我們采用了文[16] 中提出的針對Trivium-型算法優(yōu)化后的方法. 在該方法中, 對于i 時刻更新比特的次數(shù)上界是基于前nA+nC?3 個時刻更新比特的次數(shù)來進行估計的, 其中nA和nC分別是寄存器A 和寄存器C 的長度. 由于數(shù)值映射對估計偏差有累加的效果, 參見第3.1 節(jié)分析, 早期更新比特的代數(shù)次數(shù)上界估計越準確, 其最終的估計結(jié)果也就越準確. 值得注意的是, 基于可分性的估計方法能夠給出更緊的次數(shù)上界. 同時, 當初始化輪數(shù)較低時, 可分性方法能夠快速的給出更新比特的代數(shù)次數(shù)的上界. 因此, 為利用數(shù)值映射方法給出更緊的上界, 我們基于可分性方法對于早期的更新比特的代數(shù)次數(shù)上界進行了估計. 具體過程描述如下:

    (1) 對給定的指標集I 確定多項式的變元, 并選取合適的l 和h, 使得t = l + h, 且滿足k?=l ?(nC?2)?(nA?2)≥1;

    (2) 利用可分性方法, 對從第k 時刻到第l 時刻的更新比特進行次數(shù)估計, 并保存結(jié)果;

    (3) 將(2) 中所估計的代數(shù)次數(shù)用于數(shù)值映射的初始化, 并用數(shù)值映射方法對從l 時刻的更新比特進行估計, 最終給出輸出比特s(N)out的次數(shù)上界.

    現(xiàn)對具體的估計過程給出算法1.

    算法1 代數(shù)次數(shù)估計Input: 給定輪數(shù)N; h; 指標集I;Output: s(N)out 的代數(shù)次數(shù)估計.1 endround ←h 2 startround ←endround ?nA ?nC +3 3 for t ←startround to endround do 4 for λ ∈{A,B,C} do λ ←DegEval(I,t,flagλ);6 end 7 end 8 D(endround)←(d(endround?nA+1)5 d(t)A ,···,d(endround)A ,d(endround?nB+1)B ,···,d(endround)B ,d(endround?nC+1)C ,··· ,d(endround)C );9 for t ←endround+1 to N do 10 for λ ∈{A,B,C} do λ ←max {DegMul(g(t)λ ),DEG(lλ,D(t?1))};12 end 13 D(t) ←(d(t?nA+1)11 d(t)A ,··· ,d(t)A ,d(t?nB+1)B ,··· ,d(t)B ,d(t?nC+1)C ,··· ,d(t)C );14 end 15 return DEG(f,D(N));

    命題2 在給定指標集I, 輪數(shù)N, 參數(shù)h, 算法1 的輸出為N-輪Trivium-型算法輸出比特的一個代數(shù)次數(shù)上界.

    其中s(t)為第t 時刻的中間狀態(tài), D(t)為由dλ構(gòu)造的第t 時刻中間狀態(tài)的代數(shù)次數(shù). 又由數(shù)值映射的性質(zhì)可知, 若給定的輸入變元的代數(shù)次數(shù)大于等于實際代數(shù)次數(shù), 則估計的輸出比特的代數(shù)次數(shù)也大于等于實際次數(shù). 綜上, 算法1 給出的輸出比特的代數(shù)次數(shù)一定為實際次數(shù)的上界.

    命題2 可以保證, 算法1 能夠用來估計給定指標集I 和初始化輪數(shù)為r 的Trivium-型算法的代數(shù)次數(shù)的上界. 并且可以看出, h 越大, 數(shù)值映射方法的初始化值就越準確, 迭代的輪數(shù)也越少, 但是所需時間就越長.

    3.3 搜索給定指標集I 下的零和立方區(qū)分器

    利用算法1 給出的代數(shù)次數(shù)上界,我們可以搜索給定指標集I 下的零和立方區(qū)分器. 具體見算法2. 通過分析算法1 可知, DEG(f,D(t)) 給出的值為t 時刻輸出比特的代數(shù)次數(shù)上界. 因此, 算法2 能夠保證, 在給定指標集I 下, Trivium-型算法在第maxround 輪一定存在關(guān)于該指標集I 的零和立方區(qū)分器.

    算法2 給定指標集I 下的零和立方區(qū)分器搜索算法Input: 初始化輪數(shù)N; 輪數(shù)h; 指標集I Output: 給定指標集I 下, 能夠構(gòu)造的零和立方區(qū)分器的最大輪數(shù)maxround 1 endround ←h;2 maxround ←1;3 upperbound ←#I;4 startround ←endround ?nA ?nC +3;5 for t ←startround to endround do λ ←DegEval(I,t,flagλ);8 end 9 end 10 D(endround) ←(d(endround?nA+1)6 for λ ∈{A,B,C} do 7 d(t)A ,··· ,d(endround)A ,d(endround?nB+1)B ,··· ,d(endround)B ,d(endround?nC+1)C ,··· ,d(endround)C );11 for t ←endround+1 to N do 12 for λ ∈{A,B,C} do 13 d(t)λ ←max {DegMul(g(t)λ ),DEG(lλ,D(t?1))};14 end 15 D(t) ←(d(t?nA+1)A ,··· ,d(t)A ,d(t?nB+1)B ,··· ,d(t)B ,d(t?nC+1)C ,··· ,d(t)C );16 if DEG(f,D(t)) < upperbound then 17 maxround ←t ?1;18 end 19 end 20 return maxround;

    4 應用

    4.1 Trivium-型算法全變元的代數(shù)次數(shù)估計

    本節(jié)將IV 變元IV 和密鑰變元KEY 均作為輸入變元, 并利用本文方法對Trivium、Kreyvium和TriviA-SC 進行實驗, 檢測在全變元的條件下, Trivium-型算法在何時能夠充分混合, 達到代數(shù)次數(shù)為#IV+#KEY. 雖然對于全變元條件下的代數(shù)次數(shù)估計結(jié)果不能直接用于攻擊, 但其從代數(shù)次數(shù)的角度衡量了密鑰變元和IV 變元在初始化迭代過程中混合的速度和程度, 對于評估算法的安全性具有一定意義.

    根據(jù)文[16] 中的結(jié)果, 將Trivium 的160 比特變元作為輸入變元, 其未達到代數(shù)次數(shù)為160 的最大輪數(shù)下界為907, 這也是目前最新的結(jié)果. 我們通過實驗嘗試, 最終選擇l =601, 計算可得k =400, 即首先利用可分性方法對Trivium 的400 到601 輪的更新比特進行代數(shù)次數(shù)估計. 利用算法2, 我們給出的下界為912. 與數(shù)值映射方法給出的結(jié)果相比, 我們對代數(shù)次數(shù)的估計更精確. 算法2 在利用了可分性優(yōu)勢的同時, 保證了代數(shù)次數(shù)估計的效率. 由于所需時間太長, 可分性估計方法無法對全變元的代數(shù)次數(shù)進行估計, 目前也沒有關(guān)于可分性對全變元進行代數(shù)次數(shù)估計的公開結(jié)果.

    類似地, 我們還對Kreyvium 和TriviA-SC(v2) 進行了實驗, 現(xiàn)將實驗結(jié)果展示在表1 中.

    表1 Trivium-型算法在KEY 和IV 全變元條件下未達到代數(shù)次數(shù)為#KEY+#IV 的最大輪數(shù)下界Table 1 A lower bound for the maximum number of rounds of not achieving the algebraic degree # KEY+# IV for Trivium-like ciphers with all KEY and IV variables

    4.2 關(guān)于Trivium 代數(shù)次數(shù)估計結(jié)果

    針對Trivium 算法, 本節(jié)對算法2 和數(shù)值映射的估計結(jié)果進行了比較.

    首先, 測試了隨機選擇的100 組48 維立方集CI. 將48 比特的立方變元作為更新函數(shù)和輸出函數(shù)的輸入變元, 利用算法2, 我們在給定立方集下, 給出了零和立方區(qū)分器能夠達到的最高輪數(shù)的估計. 同時,我們對實驗結(jié)果進行統(tǒng)計, 并與數(shù)值映射方法進行了對比, 具體結(jié)果參見表2.

    表2 關(guān)于100 組48 維立方集, 算法2 與數(shù)值映射方法關(guān)于Trivium 估計結(jié)果的比較Table 2 Comparison of Algorithm 2 and numeric mapping method for Trivium under 100 cubes of dimension 48

    從表2 可以看出, 對任意給定的立方集, 算法2 對代數(shù)次數(shù)的估計更加準確, 所得零和立方區(qū)分器的輪數(shù)更高, 平均能夠提高33 輪, 最高能夠提高52 輪(具體立方集見附錄A). 在實際估計過程中, 與可分性方法相比, 本節(jié)使用的方法速度更快, 能夠?qū)Ω嗟牧⒎郊M行估計.

    其次, 測試了隨機選擇的100 組39 維的立方集, 利用算法2 對其進行實驗檢測. 同樣, 我們將所得結(jié)果與數(shù)值映射方法的結(jié)果進行了對比, 具體結(jié)果參見表3.

    表3 關(guān)于100 組39 維立方集, 算法2 相較于數(shù)值映射方法的提升效果Table 3 Comparison of Algorithm 2 and numeric mapping method for Trivium under 100 cubes of dimension 39

    從表3 可以看出, 對隨機選取的100 個39 維立方集, 算法2 同樣能夠給出更優(yōu)的零和立方區(qū)分器, 平均提高36 輪, 最多提高58 輪(見附錄A), 并且在隨機實驗中, 最高給出了821 輪的零和區(qū)分器.

    4.3 關(guān)于Kreyvium 代數(shù)次數(shù)估計結(jié)果

    針對Kreyvium 算法, 本節(jié)隨機選取了100 組72 維的立方集. 將72 比特立方變元作為更新函數(shù)和輸出函數(shù)的輸入變元, 并利用算法2, 在給定立方集下對零和區(qū)分器能夠達到的最高輪數(shù)進行估計, 并與數(shù)值映射方法進行比較. 統(tǒng)計結(jié)果如表4 所示.

    表4 算法2 與數(shù)值映射方法關(guān)于Kreyvium 估計結(jié)果的比較Table 4 Comparison of Algorithm 2 and numeric mapping method for Kreyvium

    通過實驗統(tǒng)計結(jié)果可以看出, 在給定立方集下, 對于Kreyvium, 算法2 同樣能夠給出比數(shù)值映射方法更準確的次數(shù)估計, 找到更高輪數(shù)的零和區(qū)分器. 其中, 最大輪數(shù)的零和區(qū)分器為844 輪, 平均能夠提高22 輪, 且提升輪數(shù)最高的為39 (見附錄A). 但由于Kreyvium 算法結(jié)構(gòu)的原因, 在使用可分性方法對其400 到601 輪更新比特進行代數(shù)次數(shù)估計時, 所需時間較長. 盡管如此, 所需時間依舊遠少于可分性方法.

    4.4 關(guān)于TriviA-SC 代數(shù)次數(shù)估計結(jié)果

    針對TRIVIA-SC(v2) 算法, 本文同樣隨機選取了100 組72 維的立方集, 利用算法2 估計零和區(qū)分器的最大輪數(shù), 與數(shù)值映射方法的比較見表5.

    表5 算法2 與數(shù)值映射方法關(guān)于Kreyvium 估計結(jié)果的比較Table 5 Comparison of Algorithm 2 and numeric mapping method for Kreyvium

    由表5 結(jié)果可以看出, 算法2 同樣給出了TriviA-SC(v2) 更優(yōu)的零和區(qū)分器, 在隨機情況下能夠找到的最高輪數(shù)為914, 并且與數(shù)值映射方法相比, 平均提升的輪數(shù)為20 輪, 其中提升輪數(shù)最多的為37 輪(見附錄A). 因此, 相比于數(shù)值映射方法, 算法2 搜索零和區(qū)分器的能力更強. 同時, 盡管與Kreyvium 相比,TriviA-SC(v2) 使用了更長的中間狀態(tài), 但是在同樣72 維的條件下, 利用可分性方法對TriviA-SC(v2) 前期更新比特進行代數(shù)次數(shù)估計時, 所需時間少于Kreyvium.

    5 結(jié)論

    對于Trivium-型算法的代數(shù)次數(shù)估計, 目前最有效的兩個方法分別是數(shù)值映射方法和可分性方法. 本文主要通過分析兩種估計方法的優(yōu)勢和劣勢, 對Trivium-型算法的代數(shù)次數(shù)估計方法進行了改進: 利用可分性方法對低輪數(shù)內(nèi)部狀態(tài)的代數(shù)次數(shù)進行了估計, 作為數(shù)值映射的初始化值. 在本文中, 我們對隨機選取的立方集進行了實驗. 實驗結(jié)果表明: 與數(shù)值映射方法相比, 改進后的方法給出的零和區(qū)分器輪數(shù)更高;而且與可分性相比, 改進后的方法效率更高. 因此, 改進后的方法能夠?qū)Ω嗑S數(shù)更高的立方集進行搜索,在隨機情況下, 更容易找到高輪數(shù)的零和區(qū)分器. 特別地, 對Trivium-型算法全變元的情形, 利用改進后的方法, 我們給出了優(yōu)于數(shù)值映射的新結(jié)果. 雖然本文使用的方法實際是對數(shù)值映射和可分性方法的折中,但對于在立方攻擊中提高大維數(shù)立方超多項式代數(shù)次數(shù)估計的效率仍有一定的意義.

    猜你喜歡
    輪數(shù)變元代數(shù)
    多輪反應溶液用量對微生物加固粉土的影響
    LowMC實例的差分枚舉攻擊效果分析
    兩個有趣的無窮長代數(shù)不等式鏈
    Hopf代數(shù)的二重Ore擴張
    什么是代數(shù)幾何
    科學(2020年1期)2020-08-24 08:08:06
    網(wǎng)絡安全平臺斗象科技 完成C輪數(shù)億元融資
    一類具有偏差變元的p-Laplacian Liénard型方程在吸引奇性條件下周期解的存在性
    關(guān)于部分變元強指數(shù)穩(wěn)定的幾個定理
    非自治系統(tǒng)關(guān)于部分變元的強穩(wěn)定性*
    一個非平凡的Calabi-Yau DG代數(shù)
    正在播放国产对白刺激| 精品福利观看| av欧美777| 波多野结衣一区麻豆| 久久久久久亚洲精品国产蜜桃av| 免费日韩欧美在线观看| 午夜视频精品福利| 午夜免费观看性视频| 欧美日本中文国产一区发布| 俄罗斯特黄特色一大片| 黄色片一级片一级黄色片| 欧美日韩国产mv在线观看视频| 久久精品国产a三级三级三级| 51午夜福利影视在线观看| 午夜激情久久久久久久| 不卡一级毛片| 女性生殖器流出的白浆| 777米奇影视久久| 欧美精品亚洲一区二区| 青春草亚洲视频在线观看| 日韩有码中文字幕| av在线播放精品| 少妇精品久久久久久久| 国产成+人综合+亚洲专区| 欧美大码av| 五月开心婷婷网| 亚洲国产中文字幕在线视频| 日韩 亚洲 欧美在线| 亚洲av美国av| 老司机午夜十八禁免费视频| 老熟妇乱子伦视频在线观看 | 人人妻人人澡人人爽人人夜夜| 免费不卡黄色视频| 欧美激情久久久久久爽电影 | 欧美国产精品一级二级三级| 岛国在线观看网站| 日韩三级视频一区二区三区| 99久久人妻综合| 两个人看的免费小视频| 欧美精品人与动牲交sv欧美| 国产野战对白在线观看| 亚洲va日本ⅴa欧美va伊人久久 | 成人国产av品久久久| 国产亚洲精品一区二区www | 老司机福利观看| 午夜成年电影在线免费观看| 国产精品久久久久久精品电影小说| 久久久久久久久久久久大奶| 国产av国产精品国产| 精品亚洲乱码少妇综合久久| 成人手机av| 国产精品一二三区在线看| 男女午夜视频在线观看| 精品一区二区三卡| 别揉我奶头~嗯~啊~动态视频 | 亚洲午夜精品一区,二区,三区| 五月开心婷婷网| 黄色怎么调成土黄色| 在线永久观看黄色视频| 亚洲国产成人一精品久久久| 老司机深夜福利视频在线观看 | 热99国产精品久久久久久7| 久久热在线av| 人妻久久中文字幕网| 国产精品自产拍在线观看55亚洲 | 国产亚洲精品久久久久5区| 久久影院123| 精品视频人人做人人爽| 又黄又粗又硬又大视频| 日本精品一区二区三区蜜桃| 亚洲欧洲精品一区二区精品久久久| 国产主播在线观看一区二区| 少妇人妻久久综合中文| 亚洲专区中文字幕在线| 后天国语完整版免费观看| 黑人操中国人逼视频| 老司机影院毛片| 亚洲欧美精品综合一区二区三区| 免费观看a级毛片全部| 丝袜喷水一区| 亚洲av电影在线观看一区二区三区| www.av在线官网国产| 日日爽夜夜爽网站| 亚洲男人天堂网一区| 久久久国产一区二区| 亚洲精品第二区| 啪啪无遮挡十八禁网站| 国产片内射在线| 每晚都被弄得嗷嗷叫到高潮| 啪啪无遮挡十八禁网站| 丝袜脚勾引网站| 国产精品一区二区在线观看99| 黄片播放在线免费| 少妇被粗大的猛进出69影院| 国产一区二区在线观看av| 一级a爱视频在线免费观看| 亚洲国产精品一区二区三区在线| 精品久久久精品久久久| 日韩视频一区二区在线观看| 91精品国产国语对白视频| 久久久久精品人妻al黑| 精品国内亚洲2022精品成人 | 一级黄色大片毛片| 人人妻人人澡人人爽人人夜夜| 99久久99久久久精品蜜桃| 久久毛片免费看一区二区三区| 一本色道久久久久久精品综合| 91字幕亚洲| 热99re8久久精品国产| 精品人妻1区二区| 国产欧美日韩一区二区精品| 每晚都被弄得嗷嗷叫到高潮| 欧美人与性动交α欧美精品济南到| 老司机亚洲免费影院| 最近最新中文字幕大全免费视频| 黄色毛片三级朝国网站| 欧美激情极品国产一区二区三区| 亚洲欧洲精品一区二区精品久久久| 中文字幕人妻丝袜一区二区| 动漫黄色视频在线观看| 一本综合久久免费| 18禁裸乳无遮挡动漫免费视频| 在线看a的网站| 精品乱码久久久久久99久播| 精品人妻1区二区| 777米奇影视久久| 两个人免费观看高清视频| 精品人妻1区二区| 狂野欧美激情性xxxx| 国产xxxxx性猛交| 亚洲精品国产色婷婷电影| 在线观看人妻少妇| 另类亚洲欧美激情| 国产精品影院久久| 中文字幕精品免费在线观看视频| 成人三级做爰电影| 日韩人妻精品一区2区三区| 91麻豆精品激情在线观看国产 | 国产精品一二三区在线看| 最近最新中文字幕大全免费视频| 一二三四在线观看免费中文在| 黄片大片在线免费观看| 黄色 视频免费看| 久久久国产成人免费| 亚洲精品国产av蜜桃| 欧美精品一区二区大全| 搡老岳熟女国产| av电影中文网址| 亚洲伊人久久精品综合| 女人久久www免费人成看片| 国产一级毛片在线| 黄色怎么调成土黄色| 日本av免费视频播放| 亚洲av美国av| 在线观看www视频免费| 天堂8中文在线网| 嫁个100分男人电影在线观看| 日韩欧美一区视频在线观看| 国产老妇伦熟女老妇高清| 各种免费的搞黄视频| 久久中文字幕一级| 精品人妻一区二区三区麻豆| 亚洲欧美一区二区三区久久| 菩萨蛮人人尽说江南好唐韦庄| 女人久久www免费人成看片| 18禁观看日本| 91精品国产国语对白视频| 黄色片一级片一级黄色片| 国产成人精品在线电影| 伊人久久大香线蕉亚洲五| 啦啦啦在线免费观看视频4| 美女主播在线视频| 欧美日韩中文字幕国产精品一区二区三区 | 纵有疾风起免费观看全集完整版| 午夜影院在线不卡| 色老头精品视频在线观看| 熟女少妇亚洲综合色aaa.| 亚洲av日韩在线播放| 一区福利在线观看| 欧美精品亚洲一区二区| 国产片内射在线| 十八禁人妻一区二区| 亚洲精品美女久久久久99蜜臀| 国产1区2区3区精品| 免费观看a级毛片全部| 考比视频在线观看| 91老司机精品| 美女高潮到喷水免费观看| 亚洲欧美激情在线| 国产男女内射视频| 久久免费观看电影| 国产一卡二卡三卡精品| 亚洲中文字幕日韩| 精品一区二区三区av网在线观看 | 99国产极品粉嫩在线观看| 久久精品国产综合久久久| 久久精品久久久久久噜噜老黄| 另类亚洲欧美激情| 亚洲三区欧美一区| 免费在线观看日本一区| 一进一出抽搐动态| 国产av精品麻豆| 久久亚洲精品不卡| 亚洲中文字幕日韩| 中文字幕av电影在线播放| 极品人妻少妇av视频| 狠狠婷婷综合久久久久久88av| 亚洲一卡2卡3卡4卡5卡精品中文| 黄色a级毛片大全视频| 建设人人有责人人尽责人人享有的| 国产人伦9x9x在线观看| 午夜精品久久久久久毛片777| 国产欧美日韩精品亚洲av| 国产亚洲av高清不卡| 国产高清videossex| 成人黄色视频免费在线看| 国产亚洲欧美在线一区二区| 免费黄频网站在线观看国产| 欧美精品亚洲一区二区| 午夜免费鲁丝| 日韩一卡2卡3卡4卡2021年| 脱女人内裤的视频| 国产在视频线精品| 欧美激情久久久久久爽电影 | 交换朋友夫妻互换小说| 十八禁网站网址无遮挡| 国产在线观看jvid| 亚洲欧美激情在线| 女人爽到高潮嗷嗷叫在线视频| 亚洲欧洲日产国产| 中文字幕人妻熟女乱码| 99精国产麻豆久久婷婷| 一区二区日韩欧美中文字幕| 老司机靠b影院| 久久久久网色| 中文字幕av电影在线播放| 丰满少妇做爰视频| 精品国产一区二区三区四区第35| 国产精品 国内视频| 色视频在线一区二区三区| 亚洲伊人色综图| 国产精品av久久久久免费| av又黄又爽大尺度在线免费看| 水蜜桃什么品种好| 亚洲久久久国产精品| 中文字幕人妻熟女乱码| 精品卡一卡二卡四卡免费| 少妇精品久久久久久久| 岛国毛片在线播放| 欧美人与性动交α欧美精品济南到| 亚洲综合色网址| 免费在线观看视频国产中文字幕亚洲 | 高清视频免费观看一区二区| 国产色视频综合| 一区二区三区四区激情视频| 极品少妇高潮喷水抽搐| 男女之事视频高清在线观看| 欧美黄色淫秽网站| 男男h啪啪无遮挡| 欧美日韩黄片免| 1024香蕉在线观看| 男女边摸边吃奶| 午夜成年电影在线免费观看| 水蜜桃什么品种好| 亚洲国产看品久久| 欧美在线一区亚洲| 黄色片一级片一级黄色片| 9色porny在线观看| 侵犯人妻中文字幕一二三四区| 日本91视频免费播放| 日韩欧美免费精品| 久久人人爽av亚洲精品天堂| 80岁老熟妇乱子伦牲交| 久久久久视频综合| 91成人精品电影| 视频在线观看一区二区三区| xxxhd国产人妻xxx| 婷婷成人精品国产| 亚洲精品美女久久av网站| 男人操女人黄网站| 黄片播放在线免费| 动漫黄色视频在线观看| 热99久久久久精品小说推荐| 免费高清在线观看视频在线观看| 久久青草综合色| 99热全是精品| 一本一本久久a久久精品综合妖精| 久久久久视频综合| 亚洲成人免费av在线播放| 午夜精品久久久久久毛片777| 97精品久久久久久久久久精品| 久久女婷五月综合色啪小说| 2018国产大陆天天弄谢| 伊人亚洲综合成人网| 汤姆久久久久久久影院中文字幕| 欧美另类一区| 久久人人爽人人片av| 精品人妻在线不人妻| 亚洲性夜色夜夜综合| 香蕉国产在线看| 久久热在线av| 秋霞在线观看毛片| 欧美av亚洲av综合av国产av| 国产一区二区激情短视频 | 欧美另类亚洲清纯唯美| 午夜福利影视在线免费观看| 狠狠精品人妻久久久久久综合| 99re6热这里在线精品视频| 国产一卡二卡三卡精品| 亚洲伊人久久精品综合| 丝瓜视频免费看黄片| 免费人妻精品一区二区三区视频| 99九九在线精品视频| 国产亚洲av片在线观看秒播厂| 欧美xxⅹ黑人| 老司机午夜福利在线观看视频 | 亚洲精品日韩在线中文字幕| 大片免费播放器 马上看| 99国产精品免费福利视频| 欧美精品av麻豆av| 日韩制服丝袜自拍偷拍| 精品国产一区二区三区四区第35| 新久久久久国产一级毛片| 午夜福利免费观看在线| 日本wwww免费看| 无限看片的www在线观看| 久久精品熟女亚洲av麻豆精品| 日韩制服骚丝袜av| 日本五十路高清| 一进一出抽搐动态| 久久人人97超碰香蕉20202| 麻豆国产av国片精品| 亚洲中文字幕日韩| 国产色视频综合| 亚洲专区国产一区二区| 男女免费视频国产| 亚洲国产精品成人久久小说| 性色av乱码一区二区三区2| 免费一级毛片在线播放高清视频 | 国产免费av片在线观看野外av| 在线av久久热| 搡老岳熟女国产| 首页视频小说图片口味搜索| 女人高潮潮喷娇喘18禁视频| 在线av久久热| 欧美在线黄色| 欧美中文综合在线视频| 一区二区日韩欧美中文字幕| 亚洲欧洲精品一区二区精品久久久| 国产主播在线观看一区二区| 日韩大片免费观看网站| 亚洲精品一区蜜桃| 久久精品久久久久久噜噜老黄| 精品国产超薄肉色丝袜足j| 久久精品成人免费网站| 侵犯人妻中文字幕一二三四区| 母亲3免费完整高清在线观看| 亚洲专区字幕在线| 国内毛片毛片毛片毛片毛片| 久久精品国产综合久久久| 一二三四社区在线视频社区8| 各种免费的搞黄视频| 亚洲精品中文字幕在线视频| 美女主播在线视频| av线在线观看网站| 日韩大片免费观看网站| 亚洲国产看品久久| av一本久久久久| 国产精品久久久人人做人人爽| www.熟女人妻精品国产| 深夜精品福利| 丁香六月欧美| 最近中文字幕2019免费版| 99久久综合免费| 国产亚洲欧美在线一区二区| 91九色精品人成在线观看| 亚洲av电影在线进入| 精品国产国语对白av| 99精国产麻豆久久婷婷| www日本在线高清视频| 最近最新中文字幕大全免费视频| 亚洲精品一卡2卡三卡4卡5卡 | www日本在线高清视频| 高清黄色对白视频在线免费看| 两性午夜刺激爽爽歪歪视频在线观看 | 欧美久久黑人一区二区| 久久av网站| 50天的宝宝边吃奶边哭怎么回事| 女人久久www免费人成看片| 日日摸夜夜添夜夜添小说| 亚洲精品美女久久av网站| 日日爽夜夜爽网站| 精品国产一区二区三区久久久樱花| 搡老熟女国产l中国老女人| 国产精品自产拍在线观看55亚洲 | 精品高清国产在线一区| 中文字幕另类日韩欧美亚洲嫩草| 超碰成人久久| 麻豆av在线久日| 天堂俺去俺来也www色官网| 久久性视频一级片| 每晚都被弄得嗷嗷叫到高潮| 少妇人妻久久综合中文| 欧美精品高潮呻吟av久久| 久久久精品国产亚洲av高清涩受| 亚洲国产毛片av蜜桃av| 亚洲国产欧美在线一区| 国产又色又爽无遮挡免| 精品国内亚洲2022精品成人 | 日韩中文字幕欧美一区二区| 久久精品亚洲av国产电影网| 欧美日韩亚洲高清精品| 一区二区av电影网| 免费少妇av软件| 国产亚洲午夜精品一区二区久久| 亚洲,欧美精品.| 天堂8中文在线网| 国产在线免费精品| 午夜91福利影院| 日韩欧美免费精品| 国产精品一区二区精品视频观看| 超色免费av| 欧美日韩亚洲高清精品| 桃花免费在线播放| 欧美黑人精品巨大| 50天的宝宝边吃奶边哭怎么回事| 人人妻人人澡人人爽人人夜夜| 亚洲专区字幕在线| 久久免费观看电影| 亚洲国产欧美日韩在线播放| 操美女的视频在线观看| 精品一区二区三卡| 两个人看的免费小视频| 女性生殖器流出的白浆| 久久精品亚洲熟妇少妇任你| 最新的欧美精品一区二区| 国产一级毛片在线| 女人精品久久久久毛片| 啦啦啦免费观看视频1| 99久久综合免费| 国产免费av片在线观看野外av| 一本色道久久久久久精品综合| 成人国产一区最新在线观看| 亚洲一卡2卡3卡4卡5卡精品中文| 超碰97精品在线观看| 一级片免费观看大全| 老司机深夜福利视频在线观看 | 国产成人免费无遮挡视频| 蜜桃在线观看..| 久久久久国产一级毛片高清牌| 99久久人妻综合| 制服诱惑二区| 另类精品久久| 国产色视频综合| 亚洲欧美日韩另类电影网站| av超薄肉色丝袜交足视频| 国产亚洲精品一区二区www | 超碰97精品在线观看| 久久天躁狠狠躁夜夜2o2o| 免费日韩欧美在线观看| 性色av乱码一区二区三区2| 精品卡一卡二卡四卡免费| 黄色视频不卡| 脱女人内裤的视频| 国产欧美日韩精品亚洲av| 欧美人与性动交α欧美精品济南到| 男人舔女人的私密视频| 爱豆传媒免费全集在线观看| 亚洲视频免费观看视频| 国产1区2区3区精品| 91av网站免费观看| 久久人人爽人人片av| 最黄视频免费看| 亚洲少妇的诱惑av| 黑人猛操日本美女一级片| 亚洲精品美女久久久久99蜜臀| 9191精品国产免费久久| 日韩人妻精品一区2区三区| 欧美亚洲日本最大视频资源| 成人国产av品久久久| 大香蕉久久网| 欧美精品啪啪一区二区三区 | av不卡在线播放| 中亚洲国语对白在线视频| 欧美亚洲日本最大视频资源| 国产精品亚洲av一区麻豆| 午夜福利乱码中文字幕| 亚洲色图综合在线观看| 91成年电影在线观看| 久久精品亚洲熟妇少妇任你| 国产黄频视频在线观看| 极品少妇高潮喷水抽搐| 伦理电影免费视频| 人人妻人人澡人人爽人人夜夜| 美女国产高潮福利片在线看| 国产欧美日韩一区二区精品| 国产精品麻豆人妻色哟哟久久| √禁漫天堂资源中文www| 男女床上黄色一级片免费看| av电影中文网址| 中国美女看黄片| 欧美 日韩 精品 国产| 各种免费的搞黄视频| 1024香蕉在线观看| 午夜91福利影院| 男女边摸边吃奶| 亚洲全国av大片| av又黄又爽大尺度在线免费看| 亚洲第一青青草原| 亚洲av片天天在线观看| 午夜福利在线观看吧| 91字幕亚洲| 成年女人毛片免费观看观看9 | 午夜激情av网站| 别揉我奶头~嗯~啊~动态视频 | av天堂久久9| 国产精品九九99| 日韩免费高清中文字幕av| 色精品久久人妻99蜜桃| 每晚都被弄得嗷嗷叫到高潮| 中文精品一卡2卡3卡4更新| 国产精品二区激情视频| 免费在线观看视频国产中文字幕亚洲 | 一本久久精品| 一区二区三区精品91| 男女午夜视频在线观看| 青春草亚洲视频在线观看| 成在线人永久免费视频| 日韩一区二区三区影片| 女人精品久久久久毛片| 国产伦理片在线播放av一区| 国产成+人综合+亚洲专区| 桃红色精品国产亚洲av| 丝袜喷水一区| 国产成人av激情在线播放| 精品国产一区二区三区久久久樱花| 精品少妇一区二区三区视频日本电影| 黄色片一级片一级黄色片| 亚洲精品久久成人aⅴ小说| 久久 成人 亚洲| 国产福利在线免费观看视频| 亚洲国产成人一精品久久久| 亚洲国产中文字幕在线视频| 视频区欧美日本亚洲| 亚洲欧美精品综合一区二区三区| 久久久精品国产亚洲av高清涩受| 日韩欧美一区二区三区在线观看 | 夜夜夜夜夜久久久久| 另类亚洲欧美激情| 咕卡用的链子| a在线观看视频网站| 国产亚洲av片在线观看秒播厂| 国产一区二区 视频在线| 最近中文字幕2019免费版| 日韩中文字幕欧美一区二区| 一本—道久久a久久精品蜜桃钙片| 1024香蕉在线观看| 一本大道久久a久久精品| 一区二区三区精品91| 国产一区有黄有色的免费视频| 精品国产乱子伦一区二区三区 | 丰满饥渴人妻一区二区三| 爱豆传媒免费全集在线观看| 国产一区二区三区综合在线观看| 色婷婷久久久亚洲欧美| tocl精华| 在线观看免费视频网站a站| 国产成人精品久久二区二区免费| 国产成人影院久久av| 午夜福利视频在线观看免费| 亚洲情色 制服丝袜| 51午夜福利影视在线观看| 少妇粗大呻吟视频| 欧美日韩亚洲国产一区二区在线观看 | 日韩免费高清中文字幕av| 亚洲美女黄色视频免费看| 国产真人三级小视频在线观看| 啦啦啦视频在线资源免费观看| 最近最新免费中文字幕在线| 新久久久久国产一级毛片| 50天的宝宝边吃奶边哭怎么回事| 69av精品久久久久久 | 日韩视频一区二区在线观看| 一区二区三区激情视频| 亚洲第一欧美日韩一区二区三区 | 满18在线观看网站| 男人舔女人的私密视频| 91大片在线观看| 欧美xxⅹ黑人| 亚洲专区中文字幕在线| 欧美大码av| 国产免费福利视频在线观看| 亚洲专区中文字幕在线| 搡老乐熟女国产| 中文字幕另类日韩欧美亚洲嫩草| 悠悠久久av| 国产精品免费大片| 亚洲性夜色夜夜综合| 蜜桃国产av成人99| 久久久国产一区二区| 亚洲人成77777在线视频| 动漫黄色视频在线观看| 熟女少妇亚洲综合色aaa.| 国产一区二区三区在线臀色熟女 | 色婷婷av一区二区三区视频| 中文字幕人妻丝袜一区二区| 黄色视频在线播放观看不卡| 国产一区二区在线观看av| 亚洲成av片中文字幕在线观看| 9热在线视频观看99| 夜夜夜夜夜久久久久| 在线天堂中文资源库| 99热全是精品| 成人三级做爰电影| 亚洲人成77777在线视频|