Цикличность АЭС

Известно, что AES чрезвычайно безопасен, а его высочайший стандарт (AES-256) способен защитить национальные секреты большинства правительств.Из-за характера его шагов возникает вопрос о его цикличности или о том, сколько полных шифровок с одним и тем же ключом потребуется, чтобы вернуть открытый текст, если предположить, что это вариант AES-ECB-128 NoPadding, только с одним полным блоком. открытого текста.

Широко распространено мнение, что AES в итеративном режиме, который вы описываете, ведет себя как случайное отображение. $f:\{0,1\}^n \стрелка вправо \{0,1\}^n$ с $n=128$. Такое отображение можно было бы ожидать (в среднем) ро-длина равно $$ \sqrt{\pi 2^n/2}, $$ и ожидаемый максимальная ро-длина (это происходит, если ваша отправная точка $x_0$ оказался в самый длинный ро шаблон итеративного графа $f$) $$ 2,4149 \sqrt{2^n}, $$ который является просто постоянным фактором, превышающим ожидаемое количество.

ро-длина минимальное количество итераций $N$ начиная со случайного открытого текста $x_0$ с $x_1=E_K(x_0),$ $x_2=E_K(x_1),$ и т.д., пока $x_{N-1}=E_K(x_{N-2})=x_j$ для некоторых $j\in \{0,1,\ldots,N-2\}$ куда $f(x)=E_K(x)$.

См. статью Флажолета и Одлызко, появившуюся в Eurocrypt в конце 1980-х. здесь.

Примечание. Термин «ро-длина» используется из-за общего $\ро$ форму, которую принимает итерация, прежде чем попасть в точку, которая уже была замечена.