CC BY
169
2009 Теоретические основы прикладной дискретной математики №1(3)
УДК 519.7
БЕНТ-ФУНКЦИИ: РЕЗУЛЬТАТЫ И ПРИЛОЖЕНИЯ. ОБЗОР РАБОТ1
Н. Н. Токарева
Институт математики им. С. Л. Соболева СО РАН, г. Новосибирск
E-mail: tokareva@math.nsc.ru
Приводится краткий обзор основных результатов в области бент-функций. Рассматриваются их теоретические и практические приложения.
Ключевые слова: булева функция, АНФ, преобразование Уолша—Адамара, нелинейность, бент-функция.
Введение
Данный обзор посвящен результатам в области бент-функций и их приложениям. Логическим продолжением этой работы следует считать обзор [16], в котором будут рассмотрены различные обобщения бент-функций и история их возникновения.
Мера нелинейности является важной характеристикой булевой функции. Линейность часто свидетельствует о простой (в определенном смысле) структуре этой функции и, как правило, представляет собой богатый источник информации о многих других ее свойствах. Задача построения булевых функций, обладающих нелинейными свойствами, естественным образом возникает во многих областях дискретной математики. И часто (что является типичной ситуацией в математике) наибольший интерес вызывают те функции, для которых эти свойства экстремальны. Такие булевы функции называются максимально нелинейными или бент-функциями.
Первой работой, посвященной бент-функциям, принято считать статью О. Ротхауса 1976 г. [110], хотя эти специальные булевы функции были введены им еще в 60-х годах XX века [109]. В настоящее время можно говорить уже о теории бент-функций. Приведем ряд определений и обозначений. Пусть ® — сложение по модулю 2 (или XOR); n — натуральное число; v = (vi,. . . , vn) — двоичный вектор;
Zn — множество всех двоичных векторов длины n;
(u, v) = uivi ф ... ф unvn — скалярное произведение векторов; f : Zn ^ Z2 — булева функция от n переменных;
f — вектор значений длины 2n функции f. Будем считать, что аргументы функции (т. е. векторы длины n) перебираются в лексикографическом порядке;
dist(f, g) — расстояние Хэмминга между функциями f и g, т. е. число позиций, в которых различаются векторы f и g.
Известно, что каждая булева функция однозначно может быть задана своей алгебраической нормальной формой (АНФ), а именно представлена в виде
(n
® ® a
fc=i il ,...,ik
1 Исследование выполнено при финансовой поддержке интеграционного проекта СО РАН № 35 «Древовидный каталог математических интернет-ресурсов mathtree.ru», РФФИ (проекты 07-01-00248, 08-01-00671, 09-01-00528-а) и Фонда содействия отечественной науке.
*i,
Ф ао,
*k v*i
где при каждом k индексы ii,... , ik различны и в совокупности пробегают все k-элементные подмножества множества {1,...,n}. Коэффициенты ail,..,ik, а0 принимают значения 0 или 1. В русскоязычной литературе АНФ также называют полиномом Же-галкина. Напомним, что степень нелинейности deg(f ) булевой функции f — это число переменных в самом длинном слагаемом ее АНФ. Функция называется аффинной, квадратичной, кубической и т. д., если ее степень равна соответственно 1, 2, 3 и т. д. Каждая аффинная функция от n переменных vi,... , vn имеет вид {u, v) ф а для подходящих вектора u и константы а.
Максимально нелинейной называется булева функция от n переменных (n любое) такая, что расстояние Хэмминга N f от данной функции до множества всех аффинных функций является максимально возможным. Величину N f называют нелинейностью булевой функции. В случае четного n максимально возможное значение нелинейности равно 2n-i — 2(n/2)-i. В случае нечетного n точное значение максимального расстояния неизвестно (поиск этого значения или его оценок представляет весьма любопытную и сложную комбинаторную задачу [89, 78]). Термин «максимально нелинейная функция» принят в русскоязычной литературе, тогда как в англоязычной широкое распространение получил термин «бент-функция» (от англ. bent — изогнутый, наклоненный). Аналогия между терминами не полная. При четном числе переменных n бент-функции и максимально нелинейные функции совпадают, а при нечетном n бент-функции (в отличие от максимально нелинейных) не существуют.
Преобразованием Уолша—Адамара булевой функции f от n переменных называется целочисленная функция Wf, заданная на множестве Zn равенством
Wf(v) = ^ (—1)<u,v>®f(u).
Справедливо равенство Парсеваля, (Wf(v))2 = 22n. Поскольку число всех коэффициентов Wf (v) равно 2n, из равенства следует, что максимум модуля коэффициента Уолша—Адамара не может быть меньше величины 2n/2.
Нелинейность Nf произвольной функции f тесно связана с ее коэффициентами Уолша—Адамара, а именно Nf = 2n-i — 1 max |Wf (v)|. Очевидно, что чем меньше
2 veZJ
максимум модуля коэффициента Wf (v), тем выше нелинейность функции f.
Бент-функцией называется булева функция от n переменных (n четно) такая, что модуль каждого коэффициента Уолша—Адамара этой функции равен 2n/2. Другими словами, f — бент-функция, если максимум модуля Wf (v) достигает своего минимального возможного значения. В силу равенства Парсеваля это имеет место, только если модули всех коэффициентов Уолша—Адамара этой функции совпадают и равны
2n/2. Таким образом, эквивалентность определению максимально нелинейной функции (при четном n) становится очевидной.
1. Приложения
Впечатляют масштабы исследования бент-функций. В настоящее время несколько сотен математиков и инженеров по всему миру регулярно публикуют свои статьи по этой тематике. Результаты обсуждаются на таких международных конференциях, как EUROCRYPT, CRYPTO, ASIACRYPT, INDOCRYPT, SETA, FSE, AAECC, ISIT, ITW, BFCA, ACCT, SIBECRYPT, МаБИТ и многих других. Счет общего числа публикаций
о бент-функциях (и близких вопросах) идет на тысячи. К сожалению, публикаций на русском языке известно не так уж много — всего несколько десятков.
Актуальность исследования бент-функций подтверждается их многочисленными теоретическими и практическими приложениями в комбинаторике, алгебре, теории кодирования, теории информации, теории символьных последовательностей, криптографии и криптоанализе. Приведем (далеко не полную) серию таких примеров.
Классическая комбинаторная задача построения матриц Адамара порядка N, известная с 1893 г., в случае N = 2n (n четно) при некоторых ограничениях сводится к задаче построения бент-функций от n переменных [110] (см. далее теорему 1).
В теории конечных групп построение элементарных адамаровых разностных множеств специального вида эквивалентно построению максимально нелинейных булевых функций (см. [8] и теорему 5).
В теории кодирования широко известна задача определения радиуса покрытия произвольного кода Рида—Маллера, которая эквивалентна (в случае кодов первого порядка) поиску наиболее нелинейных булевых функций [78, 89]. В теории оптимальных кодов специальные семейства квадратичных бент-функций определяют класс кодов Кердока [79], обладающих исключительным свойством: вместе с растущим кодовым расстоянием (при увеличении длины кода) каждый код Кердока имеет максимально возможную мощность (см. [13, 59]). Этим свойством коды Кердока «обязаны» экстремальной нелинейности бент-функций. Отметим, что задача построения таких семейств бент-функций, задающих код Кердока, несложно переводится в задачу поиска ортогональных расщеплений (orthogonal spreads) в конечном векторном пространстве [77], что представляется элегантным примером связи бент-функций с экстремальными геометрическими объектами. Другим примером из теории кодирования служат так называемые бент-коды — линейные двоичные коды, каждый из которых определенным образом строится из некоторой бент-функции [40]. В принципе, тем же способом можно строить линейные коды из любых булевых функций, но только бент-коды имеют максимально возможные кодовые размерности.
Семейства бент-последовательностей из элементов +1 и -1, построенные на основе бент-функций, имеют предельно низкие значения как взаимной корреляции, так и автокорреляции (достигают нижней границы Велча) [99]. Поэтому такие семейства успешно применяются в коммуникационных системах коллективного доступа [102]. Генераторы бент-последовательностей легко инициализируются случайным образом и могут быстро перестраиваться с одной последовательности на другую. Этот факт используется в работе со стандартом CDMA — Code Division Multiple Access (множественный доступ с кодовым разделением каналов) — одним из двух стандартов для цифровых сетей сотовой связи в США. Отметим здесь же, что в системах CDMA для предельного снижения отношения пиковой и средней мощностей сигнала (peak-to-average power ratio) используются так называемые коды постоянной амплитуды (constant-amplitude codes). И например, четверичные такие коды можно построить с помощью обобщенных булевых бент-функций [111]. Не обходится без бент-функций или их аналогов и в квантовой теории информации (см., например, [106]).
Бент-функцию можно определить как функцию, которая крайне плохо аппроксимируется аффинными функциями. Это базовое свойство бент-функций используется в криптографии. В блочных и поточных шифрах бент-функции и их векторные аналоги способствуют предельному повышению стойкости этих шифров к линейному [90] и дифференциальному [28] методам криптоанализа. Стойкость достигается за счет использования сильно нелинейных булевых функций в S-блоках (важнейших компонентах современных шифров) [21, 96] (см., например, шифр CAST [49]). Бент-функции
и их обобщения находят свое применение также в схемах аутентификации [45], хэш-функциях и псевдослучайных генераторах [10].
Широко исследуются различные обобщения, подклассы и надклассы бент-функ-ций, такие, как платовидные функции [S], частично бент-функции [S], частично определенные бент-функции [S], q-значные бент-функции [2, S3], обобщенные булевы бент-функции [111], полу-бент-функции [53], бент-функции на конечной абелевой группе [б, 14, 44], однородные бент-функции [105], гипер-бент-функции [114], Z-бент-функции [6s], нега-бент-функции [101], k-бент-функции [15] и др. С одной стороны, эти исследования мотивированы высокой сложностью задачи описания бент-функций и являются попытками перехода к более общим (или более частным) ее постановкам
— в надежде на частичное решение основной проблемы. С другой стороны, интерес к обобщениям постоянно стимулируется новыми запросами со стороны приложений.
Обзоры некоторых результатов о бент-функциях можно найти в замечательной российской монографии 2004 г. О. А. Логачева, А. А. Сальникова и В. В. Ященко [S], статье немецких криптографов Х. Доббертина и Г. Леандера [67] 2004 г., главах [40, 41] французского математика и криптографа К. Карле, написанных для готовящейся к печати книги «Boolean Methods and Models» (200S г.). См. также более ранние работы Ю. В. Кузнецова и С. А. Шкарина [4] 1996 г., Дж. Ф. Диллона [62] 1972 г. и др. Обобщениям бент-функций будет посвящен отдельный обзор автора [16].
Однако любой обзор в этой области очень быстро устаревает и a priori неполон.
2. Результаты
Бент-функции, как уже упоминалось выше, были введены О. Ротхаусом еще в 60-х годах XX века. В работе [110] были установлены базовые свойства таких функций и предложены их простейшие конструкции. Дж. Диллон [62] и Р. Л. МакФарланд [91] рассматривали бент-функции в связи с разностными множествами. В настоящее время известны серии конструкций бент-функций, но тем не менее класс всех бент-функций от n переменных (обозначим его через Bn) до сих пор не описан, для мощности этого класса не найдена асимптотика и не установлено даже приемлемых нижних и верхних оценок. Известным результатам и открытым вопросам в области бент-функций посвящен этот раздел.
2.1. К р и т е р и и и с в о й с т в а
Всюду далее n предполагается четным числом.
Напомним, что матрицей Адамара называется квадратная k x k-матрица A с элементами ±1, такая, что AAT = kE, где E — единичная матрица. Строки и столбцы матрицы размера 2n x 2n занумеруем векторами u, v длины n. Справедлива [110]
Теорема 1. Следующие утверждения эквивалентны:
(i) булева функция f от n переменных является бент-функцией;
(ii) матрица A = (au,v), где au,v = W/(u Ф v), является матрицей Адамара;
(iii) матрица D = (du,v), где du,v = (—1)/(u®v), является матрицей Адамара;
(iv) для любого ненулевого вектора u функция f (v) ф f (v ф u) сбалансирована, т. е. принимает значения О и 1 одинаково часто.
Пункт (iv) теоремы носит название критерия распространения PC(n) порядка n. В качестве важного свойства бент-функций можно отметить следующий факт [110], согласно [5] полученный В. А. Елисеевым и О. П. Степченковым еще в 19б2 г.
Теорема 2. Степень нелинейности deg(f ) любой бент-функции f от n ^ 4 переменных не превосходит числа n/2.
Аффинная функция, как нетрудно видеть, не может быть бент-функцией. Сразу отметим, что бент-функции любой другой возможной степени существуют. Например, квадратичной бент-функцией при любом четном п является функция
f (уЬ ...,Уп) = ^2 0 У3У4 0 ... 0 Уп-1Уп (1)
Интересно, что любую другую квадратичную бент-функцию д можно получить из f аффинным преобразованием. Приведем необходимое определение. Булевы функции f и д от п переменных аффинно эквивалентны, если существуют невырожденная п х п матрица А, векторы Ь, с длины п и константа Л Е Ж2, такие, что
д(и) = f (Аи 0 Ь) 0 (с, V) 0 Л.
Согласно [52] (см. [9, 62]), выполняется
Теорема 3. Любая квадратичная бент-функция от п переменных аффинно эквивалентна функции (1).
Для бент-функций степени 3 и выше подобных результатов нет. Справедлива
Теорема 4. Класс Вп бент-функций замкнут относительно
(I) любого невырожденного аффинного преобразования переменных;
(II) прибавления любой аффинной функции.
В силу теоремы 4 имеет смысл вопрос об аффинной классификации бент-функций, который для функций степени ^ 3 пока остается открытым. Подробнее о методах аффинной и линейной классификации булевых функций можно прочитать в [18].
Часто с бент-функцией f связывают так называемую дуальную булеву функцию f от п переменных, которая определяется равенством Ж/(V) = 2п/2(-1)/'(^). Определение корректно, поскольку Ж/(V) = ±2п/2 для каждого вектора V. Несложно доказать, что
булева функция f является бент-функцией. Справедливо / = f. Отметим, что если deg(f) = п/2, то степень f также максимальна: deg(/) = п/2. Самодуальные бент-функции, т. е. такие, что f = /, изучались в [43].
Дуальные бент-функции потребуются далее в теореме 14.
2.2. Характеризации бент-функций
Рассмотрим ряд попыток найти бент-функциям комбинаторные или алгебраические «эквиваленты».
С самого начала бент-функции изучались в связи с разностными множествами [62]. Пусть конечная абелева группа О имеет порядок у и дана в аддитивной записи. Подмножество Д С О мощности к называется разностным множеством с параметрами (у, к, Л), если каждый ненулевой элемент д Е О можно представить в виде д = Ь — d ровно Л способами, где Ь, d — элементы множества Д. Справедлива [62]
Теорема 5. Булева функция f от п переменных является бент-функцией, если и только если множество Д = { (V, f (V)) | V Е Ж?} является разностным множеством с параметрами (2п+1, 2п, 2п-1) в аддитивной группе ЖП+1.
Разностные множества с приведенными в теореме 5 параметрами называются элементарными адамаровыми. Примеры таких множеств были известны еще до появления бент-функций [62].
Известно [17], что разностные множества тесно связаны с блок-схемами. Напомним, что блок-схемой с параметрами (у, к, Л) называется система к-элементных подмножеств (или блоков) у-элементного множества, такая, что каждая пара различных
элементов содержится ровно в Л блоках. Блок-схема симметрична, если число блоков равно числу элементов, т. е. равно у. Теорема 5 имеет следующий эквивалентный вид.
Теорема 6. Булева функция f от п переменных является бент-функцией, если и только если система множеств = Д 0 2, где вектор 2 пробегает Жп+1, является симметричной блок-схемой с параметрами (2п+1, 2п, 2п-1).
В. В. Ященко [19] в 1997 г. предложил следующее описание класса бент-функций. В его основе лежит тот факт, что любая булева функция f от п переменных может быть представлена в виде линейного разветвления
f (и',и'') = (и', к(и'')) 0 д(и''), где и'' е Ж2,и'' е Ж (2)
для подходящих чисел г и к таких, что п = г + к, отображения к : ^ Ж2 и булевой
функции д от к переменных. Максимально возможное значение г в таком представлении называется индексом линейности булевой функции f.
Подмножество М пространства Жп называется бент-множеством, если его мощность равна 22^ при некотором £ и для любого ненулевого вектора 2 Е Жп множество М П (2 0 М) либо пусто, либо имеет четную мощность.
Пара (д; М), где д — булева функция от к переменных, М — бент-множество, называется частичной бент-функцией, если для любого V1 Е Ж и ненулевого V1' Е Ж функция д(и'') 0 д(и'' 0 V'') сбалансирована на множестве (V', V'') 0 М.
Теорема 7. Булева функция f вида (2) является бент-функцией тогда и только тогда, когда п > 2г и для любого вектора и' Е выполняются условия:
(I) мощность множества к-1 (и') равна 2п-2г;
(II) множество к-1 (и') является бент-множеством;
(III) пара (д; к-1 (и')) является частичной бент-функцией.
Позднее в 2004 г. К. Карле независимо предложил конструкцию бент-функций, представляющую собой частный случай данного описания (см. далее теорему 17).
Приведем геометрическое описание класса бент-функций, которое предложили в 1998 г. К. Карле и Ф. Гуилло [47] (см. также более раннюю работу [46]).
Пусть f — булева функция от п переменных. Пусть 1^# : Жп ^ Ж2 — характеристическая функция подмножества Б С Жп, т. е. 1^# принимает значение 1 на элементах из Б и значение 0 на остальных элементах.
Теорема 8. Функция f является бент-функцией тогда и только тогда, когда существуют подпространства Е1,... , размерности п/2 или (п/2) + 1 пространства Жп и ненулевые целые числа т1,... , тк, такие, что для любого V Е Жп выполняется
к
^ (V) = ±2(п/2)-1Ш{о}^) + f (V).
г=1
Авторы [47] вводят ограничения на способ выбора пространств Е1,... , Ек, при которых такой выбор становится единственным для каждой бент-функции. Таким образом, можно говорить об однозначности такого представления.
Другой подход предложили в 1999 г. А. Бернаскони и Б. Коденотти [26], затем к ним присоединился и Дж. Ван-дер-Кам [27].
Пусть f — булева функция от п переменных. Через вирр^) обозначим ее носитель, т. е. множество всех двоичных векторов длины п, на которых функция f принимает
значение 1. Рассмотрим граф Кэли G/ = G(Z£, supp(f )) булевой функции f. Вершинами графа являются все векторы длины n. Две вершины u, v соединяются ребром, если вектор u Ф v принадлежит множеству supp(f ).
Граф G называется сильно регулярным (strongly regular), если существуют неотрицательные целые числа Л, ß такие, что для любых двух вершин x, y общее число смежных им вершин равно Л или ß в зависимости от того, соединены вершины X, y ребром или нет. В работе [27] доказана
Теорема 9. Булева функция f является бент-функцией тогда и только тогда, когда граф G/ является сильно регулярным, причем Л = ß.
С. В. Агиевич в 2000 г. [22] установил биекцию между множеством всех бент-функций от n переменных и множеством бент-прямоугольников.
Пусть f — булева функция от n переменных, n = r + k. Вектор W/ коэффициентов Уолша—Адамара назовем спектральным вектором функции f. Представим двоичный вектор f в виде f = (f (1),. .. , f (2r)), где каждый вектор f (i) имеет длину 2k. Пусть f(i) — булева функция от k переменных, для которой f (i) является вектором значений,
i = 1,..., 2r. Свяжем с функцией f матрицу М/ размера 2r x 2k, строками которой являются спектральные векторы W /(!) ,..., W /(2Г ) .
Матрица размера 2r x 2k называется бент-прямоугольником, если каждая ее строка и каждый столбец, домноженный на 2r-(n/2), являются спектральными векторами для подходящих булевых функций. Согласно [22], выполняется
Теорема 10. Булева функция f является бент-функцией тогда и только тогда, когда матрица M/ является бент-прямоугольником.
Данный подход позволил [22] дать описание всех бент-функций от шести переменных (см. далее) и получить алгоритм построения специального класса бент-функций от произвольного числа переменных n. В работе [24] С. В. Агиевич исследует соответствие между бент-прямоугольниками и регулярными q-значными бент-функциями [83], описывает аффинные трансформации первых и переводит на язык бент-прямоугольников основные конструкции бент-функций. Дальнейшее развитие этого подхода представляется весьма перспективным.
Здесь перечислены лишь некоторые возможные характеризации бент-функций.
2.3. Бент-функции от малого числа переменных
Задача описания всех бент-функций от n переменных решена лишь при малых значениях n. Приведем эти результаты.
n = 2. Функция v1 v2 является представителем единственного класса аффинной эквивалентности. Класс В2 состоит из восьми функций. Это все функции, векторы значений которых содержат нечетное число единиц.
n = 4. Множество В4 состоит из 896 булевых функций, причем каждая функция является квадратичной. Все бент-функции от четырех переменных аффинно эквивалентны функции v1v2фv3v4. Множество В4 можно разделить на 28 классов по 32 функции. Алгебраические нормальные формы функций из каждого класса обладают одинаковой квадратичной частью, произвольной линейной частью и любым свободным членом. Если рассмотреть граф на множестве переменных, а ребрами соединить те вершины, которые образуют слагаемое в квадратичной части АНФ функции, то эти
28 типов можно задать следующим образом:
"ПИК
(3) (12) (12) (1)
Под каждым графом указано число типов, которые он определяет. Например, имеется
3 типа квадратичной части, состоящей из двух слагаемых: у1у2 0 у3у4, у1у3 0 у2у4, у1у4 0 у2уз, и только один тип из шести слагаемых.
п = 6. Аффинная классификация бент-функций от 6 переменных была получена еще в работе О. Ротхауса [110]: множество В6 состоит из четырех классов аффинной эквивалентности, представителями которых являются следующие функции: у^2 0 узу4 0 у5у6, у^уз 0 у1у4 0 у2у5 0 узу6,
у^уЗ 0 у2у4у5 0 у1у2 0 у^4 0 у2у6 0 узу5 0 у4у5,
у1у2уЗ 0 у2у4у5 0 узу4у6 0 у1у4 0 у2у6 0 узу4 0 узу5 0 узу6 0 у4у5 0 у4у6.
В работе [113] приводится подобная алгебраическая классификация. Пусть (26) =
= {0,1,а,а2,... , а62}, где а — корень многочлена х6 + х +1. Пусть булева функция отождествляется с функцией f (V) : (26) ^ (2), где V рассматривается
как элемент поля (26). Тогда в качестве представителей классов аффинной эк-
вивалентности множества В6 можно выбрать функции: ^^3 + а^5), ^(а^7 + V9), tr(аv3 + а^7 + а60v13), tr(v7 + аv9 + V21), где ^ — функция следа из (26) в (2).
Дж. Диллоном [62] (см. также [30]) было показано, что любая бент-функция от шести переменных аффинно эквивалентна функции из класса Мэйорана—МакФарланда (см. далее теорему 16).
Класс В6 содержит 5 425 430 528 ~ 232,3 функций. Описание было дано С. В. Аги-евичем [22] с использованием бент-квадратов, т. е. бент-прямоугольников при г = к (см. теорему 10). Скажем, что две бент-функции квадратно-эквивалентны, если бент-квадрат одной из них может быть получен из бент-квадрата второй изменением знаков элементов и перестановкой строк и столбцов. Пусть г = к = 3. Все функции класса В6 разбиваются на восемь классов квадратной эквивалентности. Ниже приводятся соответствующие бент-квадраты размера 23 х 23 и количество функций в каждом классе.
8 0 0 0 0 0 0 0 -4 4 4 4 0 0 0 0 -4 4 4 4 0 0 0 0 -4 4 4 4 0 0 0 0
0 8 0 0 0 0 0 0 4 -4 4 4 0 0 0 0 4 -4 4 4 0 0 0 0 4 -4 0 0 4 4 0 0
0 0 8 0 0 0 0 0 4 4 -4 4 0 0 0 0 0 0 -4 4 4 4 0 0 4 0 -4 0 4 0 4 0
0 0 0 8 0 0 0 0 4 4 4 -4 0 0 0 0 0 0 4 -4 4 4 0 0 4 0 0 -4 0 4 4 0
0 0 0 0 8 0 0 0 0 0 0 0 8 0 0 0 4 4 0 0 -4 4 0 0 0 4 4 0 0 4 -4 0
0 0 0 0 0 8 0 0 0 0 0 0 0 8 0 0 4 4 0 0 4 -4 0 0 0 4 0 4 -4 0 4 0
0 0 0 0 0 0 8 0 0 0 0 0 0 0 8 0 0 0 0 0 0 0 8 0 0 0 4 4 4 -4 0 0
0 0 0 0 0 0 0 8 0 0 0 0 0 0 0 8 0 0 0 0 0 0 0 8 0 0 0 0 0 0 0 8
(215 ■ 32 ■ 5 ■ 7) (2 ,18 ■ 3 ■ 72) (2 21 ■ 3 ■ 72 ) (225 ■ 3 ■ 7)
-4 4 4 4 0 0 0 0 -4 4 4 4 0 0 0 0 -4 4 4 4 0 0 0 0 -6 2 2 2 2 2 2 2
4- -4 4 4 0 0 0 0 4 -4 4 4 0 0 0 0 4 -4 0 0 4 4 0 0 2 -6 2 2 2 2 2 2
4 4 -4 4 0 0 0 0 0 0 -4 4 4 4 0 0 4 0 -4 0 4 0 4 0 2 2 -6 2 2 2 2 2
4 4 4 -4 0 0 0 0 0 0 4 -4 4 4 0 0 4 0 0 -4 0 4 4 0 2 2 2 -6 2 2 2 2
0 0 0 0 -4 4 4 4 0 0 0 0 -4 4 4 4 0 4 4 0 -4 0 0 4 2 2 2 2 -6 2 2 2
0 0 0 0 4 -4 4 4 0 0 0 0 4 -4 4 4 0 4 0 4 0 -4 0 4 2 2 2 2 2 -6 2 2
0 0 0 0 4 4 -4 4 4 4 0 0 0 0 -4 4 0 0 4 4 0 0 -4 4 2 2 2 2 2 2 -6 2
0 0 0 0 4 4 4 -4 4 4 0 0 0 0 4 -4 0 0 0 0 4 4 4 -4 2 2 2 2 2 2 2 -6
(219 ■ 72)
(220 ■ 32 ■ 72)
(223 ■ 3 ■ 72)
(223 ■ 32 ■ 5 ■ 7)
Отметим, что мощность В6 была найдена раньше в диссертации Б. Пренела [104]. В 2004 г. авторы [92] перечислили функции класса В6 способом, отличным от приведенного в [22].
п = 8. Аффинная классификация бент-функций от восьми переменных степени не выше 3 была получена в работах [30, 74] (см. также работу [23], посвященную кубическим бент-функциям специального вида). Бент-функции от восьми переменных степени не выше 3 делятся на 10 классов аффинной эквивалентности, представителями которых являются:
у1у2 0 узу4 0 у5у6 0 у7у8,
у1у2уЗ 0 у1у4 0 у2у5 0 узу6 0 у7у8,
у1у2уЗ 0 у2у4у5 0 узу4 0 у2у6 0 у1у7 0 у5у8,
у1у2уЗ 0 у2у4у5 0 у^З 0 у1у5 0 у2у6 0 узу4 0 у7у8,
у1у2уЗ 0 у2у4у5 0 узу4у6 0 узу5 0 у2у6 0 у2у5 0 у^7 0 у4у8,
у1у2уЗ 0 у2у4у5 0 узу4у6 0 узу5 0 у1уЗ 0 у1у4 0 у2у7 0 у6у8,
у1у2уЗ 0 у2у4у5 0 узу4у6 0 узу5 0 у2у6 0 у2у5 0 у^2 0 у1уЗ 0 у^4 0 у7у8,
у1у2уЗ 0 у2у4у5 0 узу4у6 0 узу5 0 у1у6 0 у2у7 0 у4у8,
у1у2у7 0 узу4у7 0 у5у6у7 0 у1у4 0 узу6 0 у2у5 0 у4у5 0 у7у8,
у1у2уЗ 0 у2у4у5 0 узу4у6 0 у1у4у7 0 узу5 0 у2у7 0 у1у5 0 у^6 0 у4у8.
В диссертации [30] также показано, что все эти функции аффинно эквивалентны функциям из класса Мэйорана—МакФарланда.
Нижняя 270,4 и верхняя 2129,2 оценки числа всех функций в классе В8 были получены соответственно в [22] и [86]. Некоторые результаты по частичному описанию класса В8 на основе исследования групп автоморфизмов бент-функций приводит У. Демп-вольф в работах [60, 61]. М. Янг, К. Менг и Х. Жанг [113] показали, что множество В8 состоит не менее чем из 129 классов аффинной эквивалентности. Предста-
вители всех найденных ими классов приводятся в их работе. Это 53 функции вида ^(а*^1 + а-7'Vй2 + акVй3) и 76 функций вида ^(а*^1 + а-7'Vй2 + акVй3 + а^^4), где ^ (28) ^ (2) — функция следа. Авторы [72] показали, что множество В8 ПР£
содержит функции из не менее чем шести классов аффинной эквивалентности, где
— класс бент-функций, полученных методом частичного расщепления (см. далее теорему 18).
По последним данным (2009) аффинная классификация бент-функций от восьми переменных четвертой степени завершена [84]. Описаны все 536 возможных вариантов для части четвертой степени2 АНФ бент-функции от восьми переменных. Установлено точное число всех бент-функций от восьми переменных [84]. Оно равно
29 х 193 887869 660 028 067003 488 010 240 ~ 2106,29.
При п ^ 10 класс Вп не описан, его мощность неизвестна. В работе [113] построено большое число бент-функций от десяти переменных; установлено, что среди них содержится как минимум несколько сотен попарно аффинно неэквивалентных функций. Некоторую информацию о классах В10, В12 можно найти на сайте [61].
2.4. Оценки числа бент-функций Информации об оценках числа бент-функций от п переменных немного. Приведем нижнюю оценку этого числа, которую дает конструкция Мэйорана—МакФарланда (см. далее теорему 16).
Теорема 11. Справедливо |Вп| ^ 22"/2(2п/2)!.
2Под частью степени г АНФ функции понимаем набор всех тех слагаемых ее АНФ, степень ко-
торых равна г.
Асимптотически, эта оценка имеет вид (2( /£)+ )2"72\/2("/2)+1п, или, если совсем гру-
бо, 22"/2. Следует отметить, что в работе [22] приводится уточнение оценки теоремы 11, являющееся на данный момент лучшим. Однако охарактеризовать асимптотическое поведение оценки [22] достаточно трудно.
Тривиальная верхняя оценка следует из того факта, что, согласно теореме 2, степень бент-функции не превышает n/2. Имеем
|B| ^ 21+^ " ^ 2 )+"'+( "/2 ) = 22"-1+1 ( n/2 )
К. Карле и А. Клаппер в 2002 г. [48] немного улучшили эту оценку:
Теорема 12. Пусть n ^ 6 и выполняется е = O(J2n7n). Тогда
|®„| « 22”-1+2( "’/2 )-2"72+("/2)+1(1+е} + 22"-1-2( ""2 ).
Однако по-прежнему верхняя оценка близка к тривиальной 22". Верхняя оценка обсуждается также в работе [112].
Кажется интересным, что аналогичная проблема сильного разрыва между нижней и верхней оценками наблюдается и для числа других комбинаторных объектов.
Например, для совершенных двоичных кодов длины n = 2s — 1 с расстоянием 3 (см. определение в [9]). Нижнюю оценку вида 22"72 дает конструкция Ю. Л. Васильева 1962 г. [3], и с ней схожа, на мой взгляд, конструкция Мэйорана—МакФарланда для бент-функций; схожа по своей простоте и изяществу, и той роли основного, базового класса, которую играет в множестве бент-функций. А тип верхней оценки числа совершенных кодов по-прежнему остается тривиальным: 22". Небольшие улучшения нижней и верхней оценок приводятся соответственно в [82] и [1].
2.5. Конструкции бент-функций
Очень сложно не только классифицировать бент-функции, но и предложить отдельные способы их построения. В этом разделе мы следуем в основном работе [40] К. Карле, в которой всевозможные конструкции бент-функций представлены наиболее полно. Конструкции принято делить на первичные (primary) и вторичные (secondary). К первой группе относят те, с помощью которых бент-функции строятся напрямую, ко второй группе — конструкции, опирающиеся на уже известные бент-функции (например, от меньшего числа переменных).
Ко вторичным конструкциям относится простая итеративная конструкция [110].
Теорема 13. Функция f (u/, u") = g(u') Ф h(u/x}, где векторы u/, u" имеют четные длины r, k соответственно, является бент-функцией тогда и только тогда, когда функции g, h — бент-функции.
Конструкция легко может быть описана в терминах бент-прямоугольников [24]. Приведем следующее обобщение этой простой конструкции, полученное в [37].
Теорема 14. Пусть n = r + k, где r и k четны, f — булева функция от n переменных. Пусть ux, u" пробегают Z2 и соответственно. Предположим, что функции
fu" К) = f к, u")
являются бент-функциями при любых u/x. Определим gu> (u/x) = fu" (ux ) . Тогда f — бент-функция, если и только если gu — бент-функция для любого ux.
Заметим, что теорема 13 следует из теоремы 14. Итеративный способ построения бент-функций от n + 2 переменных из бент-функций от n переменных приводится в [56]. В качестве упражнения можно доказать следующий факт (см. [75]).
Теорема 15. Пусть f — булева функция от n переменных, h — перестановка на Z". Обозначим через h1,... , hn булевы функции такие, что h(v) = (h1(v),... , hn(v)). Функция f о h-1 является бент-функцией, если для каждого u выполняется
"
dist(f, 0 Uihi) = 2"-1 ± 2("/2)-1.
i=1
К первичным конструкциям принадлежит простая и богатая конструкция Мэйо-рана—МакФарланда 1973 г. [63, 91].
Теорема 16. Пусть h — любая перестановка на Z"/2, пусть g — произвольная булева функция от n/2 переменных. Тогда функция f (u', u") = (u', h(ux/)) ® g(u/x) является бент-функцией от n переменных.
Основной идеей конструкции служит, по выражению К. Карле [40], «конкатенация аффинных функций». Действительно, при каждом фиксированном значении переменных из второй половины функция f является аффинной от n/2 первых переменных. С другой стороны, аффинные функции возникают и при рассмотрении соответствующих бент-квадратов. А именно, бент-функция принадлежит классу Мэйорана—МакФар-ланда, если и только если строки и столбцы ее бент-квадрата являются спектральными векторами аффинных булевых функций [22].
Из теоремы легко следует, что существуют бент-функции с любой степенью нелинейности d, такой, что 2 ^ d ^ n/2. Итак, в теореме 16 переменные функции f разбиваются пополам. В 2004 г. К. Карле [39] (см. также [40]) обобщил идею Мэйорана— МакФарланда, рассмотрев разбиение переменных на неравные части.
Теорема 17. Пусть n = r + k. Пусть h : Z| ^ Z2 — любое отображение, такое, что для каждого вектора u длины r множество h-1(u) образует подпространство в Z^ размерности n — 2r. Пусть g — булева функция от k переменных, сужение которой на h-1(u) для каждого u является бент-функцией при n > 2r. Тогда булева функция f (ux, u/x) = (ux, h(u/x)) ® g(u/x) является бент-функцией от n переменных.
Отметим, что конструкция К. Карле имеет сильные сходства с методом описания бент-функций, предложенным В. В. Ященко [19] еще в 1997 г. (см. выше теорему 7).
Теорема 16 представляет собой частный случай теоремы 17 при r = k = n/2.
Следующая первичная конструкция Дж. Диллона [63] 1974 г. опирается на специальные семейства подпространств n-мерного пространства и носит название частичного расщепления (Partial Spreads).
Пусть Inds : Z" ^ Z2 — характеристическая функция подмножества S С Z".
Теорема 18. Пусть число q равно 2("/2)-1 или 2("/2)-1 + 1. Пус ть ¿1, . . . , Lq — линейные подпространства размерности n/2 пространства Z" такие, что любые два
q
из них пересекаются лишь по нулевому вектору. Тогда функция f (v) = ф Ind^4 (v)
i=1 "
является бент-функцией.
Случай q = 2("/2)-1 определяет класс бент-функций PS-.
Случай q = 2("/2)-1 + 1 задает класс бент-функций PS+.
Вместе VS~ и VS+ составляют класс VS.
Более общие геометрические конструкции можно найти, например, в работе [36].
Приведем несколько алгебраических конструкций.
Первая серия конструкций называется степенные или мономиальные бент-функции (power/monomial bent functions). Пусть векторное пространство Z" отождествляется с полем Галуа GF(2"). Булевы функции от n переменных можно рассматривать как функции из GF(2") в GF(2), сопоставляя каждому вектору v соответствующий элемент поля GF(2"), который будем обозначать тем же символом. Пусть tr : GF(2") ^ GF(2) — функция следа, т. е. tr(v) = v + v2 + ■ ■ ■ + v2" 1. Бент-функции, имеющие вид
f (v) = tr(avd),
где a E GF*(2") — некоторый параметр, называются степенными или мономиальными, а целое число d называется бент-показателем. Здесь GF*(2") — множество ненулевых элементов поля. Бент-функции такого вида интересны в первую очередь для криптографических приложений в силу своей простой вычислимости. Хотя криптографы до сих пор не определились: считать простоту вычислимости бент-функции ее достоинством или скорее недостатком [40].
Пусть gcd(-, ■) — наибольший общий делитель двух чисел.
Теорема 19. Следующие значения d являются бент-показателями:
d = 2"/2 — 1 (Диллон о, 1974, [63]);
d = 2i + 1, где gcd"" i) четно (показатель Голда j);
d = 22k — 2k + 1, где gcd(k, n) = 1 (показатель Касами);
d = (2k + 1)2, где n = 4k, k нечетно (Канто—Леандер j, 2004, [87]);
d = 22k + 2k + 1, где n = 6k (Канто—Шарпин—Карегян j, 2006, [35]).
Известно, что три типа степенных бент-функций (в теореме их показатели помечены знаком j) можно описать с помощью конструкции Мэйорана—МакФарланда, а один тип (помечен знаком о) содержится в классе PS-. Существуют ли степенные бент-функции с другими показателями? Можно ли для степенных бент-функций найти простое комбинаторное описание? Ответов на эти вопросы пока нет.
Вторая серия бент-функций состоит из функций вида
f (v) = tr(a1vdl + a2vd2) (3)
для подходящих элементов a1,a2 E GF(2") и показателей d1,d2. Известны примеры таких функций со специальными степенными показателями — так называемыми показателями Нихо вида d = 2i mod (2"/2 — 1). Без ограничения общности [67] пусть первый показатель равен d1 = (2("/2) — 1) 1 + 1. Справедлива [69]
Теорема 20. Если выполняется d2 = (2("/2) — 1)А + 1, где А равно 1/6, 1/4 или 3, то существуют элементы a1,a2 E GF(2") такие, что (3) является бент-функцией.
Алгоритмические вопросы построения функций такого вида разбираются в [113].
("-1)/2 .
Бент-функции вида f (v) = ci tr(v1+2") изучались в [51, 76, 80, 81, 113, 115].
i=1
Следует отметить, что алгебраические конструкции бент-функций носят весьма случайный характер: каждый раз исследуются функции лишь некого специального вида. Общий алгебраический подход к описанию бент-функций мог бы основываться на том, что любая булева функция f : GF(2") ^ GF(2) может быть представлена
с помощью следа (в так называемой trace form), т. е. в виде
f (v) = tr ( ^ a^ ] = ^ tr(advd) (4)
VdeCS J deCS
для подходящих элементов ad E GF(2"), где CS — множество представителей цик-
лотомических классов по модулю 2" — 1. Эволюционный алгоритм на основе такого представления был предложен М. Янгом, К. Менгом и Х. Жангом [113]. Эта работа уже упоминалась нами в связи с классификацией бент-функций от 6 и 8 переменных. На основе многочисленных компьютерных исследований авторы делают в этой работе некоторые предположения относительно общего алгебраического вида бент-функций. В частности, они предполагают, что бент-функцию — представителя класса аффинной эквивалентности — можно представить в виде (4) с участием небольшого числа мономов. Причем более вероятными ненулевыми коэффициентами ad в этом представлении авторы [113] считают те, для которых d является бент-показателем (см. теорему 19).
Но общего подхода к алгебраическому описанию бент-функций пока нет.
Более полно (с доказательствами) конструкции бент-функций представлены в обзорах [8, 40, 67], см. также другие конструкции в работах [37, 64].
2.6. Г е н е р а ц и я б е н т - ф у н к ц и й
Серия работ посвящена алгоритмическим методам построения бент-функций. Каждый метод основывается, как правило, на одном из возможных представлений булевой функции и использует те его особенности, которые проявляются в случае, когда булева функция оказывается бент-функцией. К таким базовым представлениям относятся: таблица истинности [92, 93], АНФ [70, 71], спектральный вектор булевой функции [55], представление с помощью следа [113] и др.
В диссертации Дж. Е. Фаллер [70] подробно разбираются эвристические методы построения бент-функций. Их основная идея заключается в постепенном изменении начальной булевой функции с улучшением тех или иных ее криптографических свойств, включающих нелинейность. Так, для построения бент-функций применяются: генетический алгоритм [94], алгоритмы случайного поиска [95, 70], алгоритм имитации отжига [54]. В диссертации [70] предлагается достаточно быстрый алгоритм построения псевдослучайных бент-функций степени не выше некоторой заданной: функции строятся из случайной квадратичной бент-функции g путем итеративного добавления к АНФ^) слагаемых более высоких степеней. При этом основная трудность — «отбраковка» большей части слагаемых — преодолевается за счет существенного использования комбинаторных свойств бент-функций.
В 2004 г. К. Менг с соавторами предложили алгоритм [92], позволяющий (теоретически) построить все бент-функции от любого числа переменных n. По сравнению с полным перебором сложность данного алгоритма ниже за счет использования соотношений между отдельными коэффициентами Уолша—Адамара произвольной булевой функции и спектральными векторами ее подфункций, а также за счет оперирования свойствами бент-функций, приведенными в теореме 4. Практически, данный алгоритм и его модификации оказались применимы пока только для генерации всех бент-функций от 6 переменных, всех однородных [105] бент-функций степени 3 от 8 переменных и доказательства несуществования однородных бент-функций степени 4 от 10 переменных.
С. В. Агиевичем [22] приводится алгоритм порождения достаточно большого числа бент-функций, основанный на использовании бент-прямоугольников (см. теорему 10). Данный алгоритм позволил установить лучшую на данный момент нижнюю оценку числа бент-функций от n переменных. Эволюционный алгоритм на основе представления булевых функций с помощью следа предложен в [113]. Подробнее о применении эволюционных вычислений для генерации бент-функций см. также в [55, 71, 93]. Отдельные аспекты порождения случайных бент-функций обсуждаются в работе [73].
2.7. Другие результаты
В 1998 г. Д. Оледжар и М. Станек [98] исследовали криптографические свойства случайной булевой функции от n переменных. В частности, ими была доказана
Теорема 21. Существует константа с такая, что при достаточно больших n почти для каждой булевой функции f от n переменных выполняется Nf ^ 2n-1 — c\jn 2n/2.
Позднее в 2002 г. этот факт был независимо получен К. Карле [38].
Выражение «почти для каждой» следует понимать как «с вероятностью, стремящейся к 1».
Пусть нелинейность произвольной булевой функции g от n переменных имеет вид Ng = 2n-1 — S (g), где S (g) — некоторая функция. В 2006 г. Ф. Родье [107] установил асимптотическое значение нелинейности булевой функции. Пусть Vœ — множество бесконечных двоичных последовательностей, почти все элементы которых равны нулю. Пусть f : Vœ ^ Z2. Обозначим через fn сужение функции f на множество Zn (см. подробнее [107]).
Теорема 22. Почти для каждой функции f : Vœ ^ Z2 верно
lim JfL = ^2b2.
2n/2^/ñ
Т. е. с ростом n нелинейность случайной булевой функции от n переменных становится достаточно высокой, и даже сопоставимой с нелинейностью бент-функции!
Для криптографических приложений булева функция кроме нелинейности должна обладать целым рядом других свойств. Можно сказать, что теорема 22 «гарантирует» возможность выбора функции с высокой нелинейностью не в ущерб этим свойствам. Но хотя нелинейность почти всех булевых функций высока, это не означает, что такие функции легко построить. Подобные «парадоксы» уже возникали для булевых функций, например при исследовании их сложностных характеристик3. В данном случае асимптотическая оценка теоремы 22 задает некий уровень нелинейности, с которым имеет смысл сравнивать нелинейность той или иной криптографической булевой функции [108].
В 2006 г. У. Демпвольф [60] предпринял попытку исследования групп автоморфизмов бент-функций. Более точно — групп автоморфизмов соответствующих элементарных адамаровых разностных множеств (см. теорему 5). У. Демпвольф показал, что каждое такое разностное множество, при наличии определенного свойства у его группы автоморфизмов, относится к одному из пяти указанных им специальных классов.
В целом группы автоморфизмов бент-функций исследованы пока крайне мало.
3К. Шенноном было доказано, что почти все булевы функции имеют очень большую сложность реализации, асимптотически равную сложности «самой сложной» функции [11], но ни одну такую функцию построить пока не удалось.
2.8. Векторные бент-функции
С 90-х годов XX века стали исследоваться функции f : Z! ^ Zm, получившие название векторных булевых функций, или (n, т)-функций. Интерес к ним вызван тем, что нелинейные такие функции имеют непосредственные криптографические приложения. Например, в шифрах они используются в качестве S-блоков.
Рассмотрим нелинейные свойства векторных функций.
Преобразованием Уолша—Адамара (n, т)-функции f называется отображение WJect : Zn х Zm ^ Z, заданное равенством
W/ect(a, b) = ^ (_!)<-,v>e<bJ(v)> для любых а е Z£, b е Zm
Нелинейностью (n, т)-функции f называется минимальная из нелинейностей булевых функций fb от n переменных, где fb(v) = (b, f (v)) при различных значениях b G Zm, b = 0. Справедливо
Nf = min dist(fb, An) = 2n-1 _ - max |WVect(a, b)|.
f be(Zm)* 2 aeZn,be(Zm)^ f
Здесь через (Zm)* обозначено множество ненулевых двоичных векторов длины т. Для нелинейности векторной булевой функции имеется та же самая верхняя оценка, что и в случае обычной булевой функции:
N ^ 2n-1 _ 2(n/2)-1. (5)
Векторная (n, т)-функция называется бент-функцией, если параметр Nf достигает своего максимального возможного значения, т. е. если каждая булева функция fb, где b G (Zm)*, является бент-функцией. Справедлива
Теорема 23. Векторная (n, т)-функция f является бент-функцией тогда и только тогда, когда для любого ненулевого вектора u функция f (v) ф f (v ф u) сбалансирована, т. е. принимает каждое из 2m возможных значений ровно 2n-m раз.
Следующий важный факт о существовании векторных бент-функций получила К. Ньюберг [96] в 1991 г.
Теорема 24. Бент (n, т)-функции существуют тогда и только тогда, когда n четно и т ^ n/2.
Легко построить примеры таких функций, например, применяя конструкцию Мэйорана—МакФарланда в новой, векторной, форме, предложенной К. Ньюберг [96]. Отождествим пространство Z!^2 с полем Галуа GF(2n/2), а пространство Zn — с прямым произведением GF(2n/2) х GF(2n/2). Пусть n четно, т ^ n/2. Справедлива
Теорема 25. Пусть h : GF(2n/2) ^ GF(2n/2) — любое взаимно однозначное отображение, g — произвольная (n/2, т)-функция. Пусть L : GF(2n/2) ^ Z!!/2 — любое линейное или аффинное отображение «на». Тогда векторная (n, т)-функция f (и', и") = L(u' ■ h(u")) ф g(u'') является бент-функцией.
Конструкция Мэйорана—МакФарланда является не единственной, которая переносится на векторный случай (см. подробнее [41]).
Поскольку бент (n, т)-функций не существует при т > n/2, то оценка (5) в этом случае не точна. В 1971г. В. М. Сидельников [12] и независимо в 1994 г. Ф. Шабат, С. Ваденай [50] установили следующий факт.
Теорема 26. Пусть m ^ n — 1. Для любой (n, m)-функции f выполняется
,n-1 1./o, о„Л о o(2" — 1)(2П-1 — 1)
Nf ^ 2n-1 — -л 3(2n) — 2 — 2
2 V 2m — 1
При n/2 <m<n — 1 оценки, улучшающей (5), пока не известно.
Случай n = m выделяется особо. В этом случае оценка (6) имеет вид
^ 2n-1 — 2(n-1)/2.
Векторная (n, п)-Функция f называется почти бент-функцией (AB function — almost bent function), если параметр Nf достигает своего максимального возможного значения, Nf = 2n-1 — 2(n-1)/2. Следует отметить, что по смыслу слово «почти» здесь совершенно лишнее, поскольку речь идет о максимальном значении Nf. Но термин в таком виде уже устоялся. AB-функции существуют, только если n нечетно. К. Карле, П. Шарпин и В. Зиновьев [42] доказали, что степень нелинейности любой такой функции не превышает величины (n + 1)/2.
Более широким является класс APN-функций.
Эти векторные (n, п)-Функции стала рассматривать в 1993 г. К. Ньюберг [97] при исследовании устойчивости шифров к дифференциальному криптоанализу [28]. Стойкость S-блока, заданного векторной функцией f, к дифференциальному криптоанализу тем выше, чем меньше значение if = max if a ъ, где через if a ъ обозначено
ае(Щ)*, beZJ
число решений уравнения f (v) ф f (v ф a) = b. Параметр if и его связи с другими нелинейными характеристиками исследовались в работах [7, 20, 33]. Наименьшее возможное значение параметра if равно двум4. Векторная (n, п)-Функция, для которой этот минимум достигается, называется почти совершенно нелинейной (APN function
— almost perfectly nonlinear function). И снова, по иронии, слово «почти» здесь абсолютно ни при чем. Эквивалентно, APN-функция может быть определена как функция, сужение которой на любое двумерное аффинное подпространство пространства Zn является неаффинной функцией. При нечетном n APN-функции существуют. А вот существуют ли они при четном n? — пока открытый вопрос.
AB- и APN- функции тесно связаны (см. обзор результатов в [41]).
Теорема 27. Каждая AB-функция является APN-функцией.
Теорема 28. Квадратичная APN-функция является AB-функцией.
Приведем одно определение для обычных булевых функций. Булева функция f называется платовидной (plateaued function), если существует положительное целое число M такое, что любой коэффициент Уолша—Адамара Wf (v) равен 0 или ±М. Из равенства Парсеваля следует, что M = 2е, и показатель в может принимать целые значения от n/2 до n. Число 2(n — в) называют порядком платовидной функции f. Бент-функции и аффинные функции являются крайними частными случаями платовидных функций (порядков m и 0 соответственно). Справедлива
Теорема 29. Векторная функция f является AB-функцией тогда и только тогда, когда она APN-функция и все булевы функции fb при b = 0 являются платовидными, причем одного порядка.
4Интересно, что при рассмотрении q-значных векторных функций, q = 2, возможно и Sf = 1.
Более общим понятием по отношению к понятию APN-функции является следующее. Векторная (n, п)-Функция f называется дифференциально i-равномерной (differential i-uniform), i — целое число, если уравнение f (v) ф f (v ф a) = b при любых a Е (Zn)*, b E Zn имеет не более i решений, т. е., другими словами, if = i. APN-функции представляют собой частный случай таких функций при i = 2. Дифференциально 4-равномерные функции (см., например, [29]) используются в S-блоках симметричного алгоритма блочного шифрования AES (или Rijndael), являющегося с 26 мая 2002 г. американским стандартом шифрования.
AB, APN, i-равномерные функции и вопросы их эквивалентности широко исследуются. В частности [32], уже выдвинута гипотеза, что все степенные AB- и APN-функции найдены (Х. Доббертин [65]) и обозначена проблема существования новых комбинаторных конструкций таких функций (см. подробнее [31, 41]). При n ^ 25 для APN-функций и при n ^ 33 для AB-функций гипотеза Доббертина уже подтвердилась [66, 88].
За пределами обзора остались скрюченные функции (crooked functions) — специальный подкласс APN-функций, введенный в 1998 г. Т. Бендингом и Д. Г. Фон-дер-Флаассом [25]. С помощью таких функций оказалось возможно строить новые дистанционно регулярные графы, симметричные схемы отношений и равномерно упакованные коды типа БЧХ и Препараты [57, 58] (см. также на эту тему работу [34]).
В данном обзоре остались незатронутыми и многие другие интересные темы.
Выражаю свою искреннюю признательность С. В. Агиевичу (Минск, Белоруссия) и Франсуа Родье (Марсель, Франция) за ценные замечания и полезные обсуждения. С большим удовольствием благодарю Лилию Будагян из университета Бергена (Норвегия) за консультации по векторным бент-функциям.
ЛИТЕРАТУРА
1. Августинович С. В. Об одном свойстве совершенных двоичных кодов // Дискрет. анализ и исслед. операций. 1995. Т. 2. № 1. С. 4-6.
2. Амбросимов А. С. Свойства бент-функций q-значной логики над конечными полями // Дискретная математика. 1994. Т. 6. № 3. С. 50-60.
3. Васильев Ю. Л. О негрупповых плотно упакованных кодах // Проблемы кибернетики. 1962. Вып. 8. С. 337-339.
4. Кузнецов Ю. В., Шкарин С. А. Коды Рида—Маллера (обзор публикаций) // Математические вопросы кибернетики. 1996. Вып. 6. С. 5-50.
5. Кузьмин А. С., Марков В. Т., Нечаев А. А. и др. Бент-функции и гипербент-функции над полем из 21 элементов // Проблемы передачи информации. 2008. Т. 44. Вып. 1.
С. 15-37.
6. Логачев О. А., Сальников А. А., Ященко В. В. Бент-функции на конечной абелевой группе // Дискретная математика. 1997. Т. 9. № 4. С. 3-20.
7. Логачев О. А., Сальников А. А., Ященко В. В. Некоторые характеристики «нелинейности» групповых отображений // Дискрет. анализ и исслед. операций. Сер. 1. 2001. Т. 8. № 1. С. 40-54.
8. Логачев О. А., Сальников А. А., Ященко В. В. Булевы функции в теории кодирования и криптологии. М.: Московский центр непрерывного математического образования, 2004. 470 с.
9. Мак-Вильямс Ф. Дж., Слоэн Н. Дж. А. Теория кодов, исправляющих ошибки. М.: Связь, 1979. 745 с.
10. Молдовян А. А., Молдовян Н. А., Еремеев М. А. Криптография: от примитивов к синтезу алгоритмов. СПб.: БХВ-Петербург, 2004.
11. Нигматуллин Р. Г. Сложность булевых функций. М.: Наука, 1991. 240 с.
12. Сидельников В. М. О взаимной корреляции последовательностей Проблемы кибернетики. 1971. Т. 24. С. 15-42.
13. Сидельников В. М. Об экстремальных многочленах, используемых при оценках мощности кода / / Проблемы передачи информации. 1980. Т. 14. Вып. 3. С. 17-30.
14. Солодовников В. И. Бент-функции из конечной абелевой группы в конечную абелеву группу // Дискретная математика. 2002. Т. 14. № 1. С. 99-113.
15. Токарева Н. Н. Бент-функции с более сильными свойствами нелинейности: k-бент-функции // Дискрет. анализ и исслед. операций. Сер. 1. 2007. Т. 14. № 4. С. 76-102.
16. Токарева Н. Н. Обобщения бент-функций. Обзор // Дискрет. анализ и исслед. операций. 2009. Т. 16 (готовится к печати). Доступен на www.math.nsc.ru/~tokareva.
17. Холл М. Комбинаторика. М.: Мир, 1970. 424 с.
18. Черемушкин А. В. Методы аффинной и линейной классификации булевых функций // Труды по дискретной математике. М.: Физматлит, 2001. Т. 4. С. 273-314.
19. Ященко В. В. О критерии распространения для булевых функций и о бент-функциях // Пробл. передачи информации. 1997. Т. 33. Вып. 1. С. 75-86.
20. Ященко В. В. О двух характеристиках нелинейности булевых отображений // Дискрет. анализ и исслед. операций. Сер. 1. 1998. Т. 5. № 2. С. 90-96.
21. Adams C. On immunity against Biham and Shamir’s «differential cryptanalysis» // Information Processing Letters. 1992. V. 41. P. 77-80.
22. Agievich S. V. On the representation of bent functions by bent rectangles // Fifth
Int. Petrozavodsk conf. on probabilistic methods in discrete mathematics (Petrozavodsk, Russia, June 1-6, 2000). Proc. Boston: VSP, 2000. P. 121-135. Available at
http://arxiv.org/abs/math/0502087.
23. Agievich S. V. On the affine classification of cubic bent functions // Cryptology ePrint Archive, Report 2005/044, available at http://eprint.iacr.org/.
24. Agievich S. V. Bent rectangles // NATO Advanced Study Institute on Boolean Functions in Cryptology and Information Security (Zvenigorod, Russia. September 8-18, 2007). Proc: Netherlands, IOS Press, 2008. P. 3-22. Available at http://arxiv.org/abs/0804.0209.
25. Bending T. D., Fon-Der-Flaass D. G. Crooked Functions, Bent Functions and Distance Regular Graphs // Electronic J. Combinatorics. 1998. No. 5 (R34).
26. Bernasconi A., Codenotti B. Spectral analysis of Boolean functions as a graph eigenvalue problem // IEEE Trans. Computers. 1999. V. 48. No. 3. P. 345-351.
27. Bernasconi A., Codenotti B., VanderKam J. M. A characterization of bent functions in terms of strongly regular graphs // IEEE Trans. Computers. 2001. V. 50. No. 9. P. 984-985.
28. Biham E., Shamir A. Differential cryptanalysis of DES-like cryptosystems // J. Cryptology. 1991. V. 4. No. 1. P. 3-72.
29. Bracken C., Leander G. New families of functions with differential uniformity of 4 // Fourth International Conference BFCA — Boolean Functions: Cryptography and Applications (Copenhagen, Denmark, May 19-21, 2008). Proc. to appear. P. 190-194.
30. Braeken A. Cryptographic properties of Boolean functions and S-boxes // Ph. D. Thesis, Katholieke Univ. Leuven, 2006. Available at http://www.cosic.esat.kuleuven.be/publications/thesis-129.pdf.
31. Budaghyan L., Carlet C., Leander G. On inequivalence between known power APN functions // Fourth International Conference BFCA — Boolean Functions: Cryptography and Applications (Copenhagen, Denmark, May 19-21, 2008). Proc. to appear. P. 3-15.
32. Budaghyan L. Private Communication. 2008.
33. Budaghyan L., Pott A. On differential uniformity and nonlinearity of functions // Discrete Mathematics. 2009. V. 309. No. 1. P. 371-384.
34. Byrne E., McGuire G. On the non-existence of crooked functions on finite fields // WCC
— International Workshop on Coding and Cryptography (Bergen, Norway, March 14-18, 2005). Proc. 2005. P. 316-324.
35. Canteaut A., Charpin P., Kuyreghyan G. A new class of monomial bent functions // Finite Fields and Applications. 2008. V. 14. No. 1. P. 221-241.
36. Carlet C. Generalized Partial Spreads // IEEE Trans. Inform. Theory. 1995. V. 41. No. 5.
P. 1482-1487.
37. Carlet C. A construction of bent functions // Finite Fields and Applications, London mathematical society. 1996. Lecture series 233. P. 47-58.
38. Carlet C. On cryptographic complexity of Boolean functions // Proc. of the Sixth Conference
on Finite Fields with Applications to Coding Theory, Cryptography and Related Areas.
Springer, G. L. Mullen, H. Stichtenoth and H. Tapia-Recillas Eds. 2002. P. 53-69.
39. Carlet C. On the confusion and diffusion properties of Maiorana—McFarland’s and extended Maiorana—McFarland’s functions // Special Issue «Complexity Issues in Coding Theory and Cryptography» dedicated to Prof. Harald Niederreiter on the occasion of his 60th birthday, J. Complexity. 2004. V. 20. P. 182-204.
40. Carlet C. Boolean Functions for Cryptography and Error Correcting Codes //
Chapter of the monograph «Boolean Methods and Models», Cambridge Univ. Press (P. Hammer, Y. Crama eds.), to appear. Prelim. version is available at www-rocq.inria.fr/secret/Claude.Carlet/chap-fcts-Bool.pdf.
41. Carlet C. Vectorial Boolean Functions for Cryptography // Chapter of
the monograph «Boolean Methods and Models», Cambridge Univ. Press (P. Hammer, Y. Crama eds.), to appear. Prelim. version is available at
www-rocq.inria.fr/secret/Claude.Carlet/chap-vectorial-fcts.pdf.
42. Carlet C., Charpin P., Zinoviev V. Codes, bent functions and permutations suitable for DES-like cryptosystems // Designs, Codes and Cryptography. 1998. V. 15. No. 2. P. 125156.
43. Carlet C., Danielsen L.-E., Parker M. G., Sole P. Self Dual Bent Functions // Fourth
International Conference BFCA — Boolean Functions: Cryptography and Applications (Copenhagen, Denmark, May 19-21, 2008). Proc. to appear. P. 39-52.
44. Carlet C., Ding C. Highly nonlinear mappings // J. Complexity. 2004. V. 20. No. 2-3. P. 205-244.
45. Carlet C., Ding C., Niederreiter H. Authentication schemes from highly nonlinear functions // Designs, Codes and Cryptography. 2006. V. 40. No. 1. P. 71-79.
46. Carlet C., Guillot P. A characterization of binary bent functions // J. Combin. Theory. Ser. A. 1996. V. 76. No. 2. P. 328-335.
47. Carlet C., Guillot P. An alternate characterization of the bentness of binary functions, with uniqueness // Designs, Codes and Cryptography. 1998. V. 14. P. 133-140.
48. Carlet C., Klapper A. Upper bounds on the numbers of resilient functions and of bent functions // 23rd Symposium on Information Theory (Benelux, Belgium. May, 2002).
Proc. 2002. P. 307-314. The full version will appear in Lecture Notes dedicated to Philippe Delsarte. Available at http://www.cs.engr.uky.edu/~klapper/ps/bent.ps.
49. http://www.faqs.org/rfcs/rfc2144.html — CAST-128. Rfc 2144 — the cast-128
encryption algorithm—1997.
50. Chabaud F., Vaudenay S. Links between Differential and Linear Cryptanalysis / / Advances in Cryptology — EUROCRYPT ’94, International Conference on the Theory and Application of Cryptographic Techniques. (Perugia, Italy. May 9-12, 1994) Proc. Springer, 1995. P. 356365 (Lecture Notes in Comput. Sci. V. 950).
51. Charpin P., Pasalic E., Tavernier C. On bent and semi-bent quadratic Boolean functions // IEEE Trans. Inform. Theory. 2005. V. 51. No. 12. P. 4286-4298.
52. Chase P. J., Dillon J. F., Lerche K. D. Bent functions and difference sets // NSA R41 Technical Paper. September, 1970.
53. Chee S., Lee S., Kim K. Semi-bent Functions // Advances in Cryptology — ASIACRYPT ’94 — 4th International Conference on the Theory and Applications of Cryptology. (Wollongong, Australia. November 28 - December 1, 1994). Proc. Berlin: Springer, 1995. P. 107-118 (Lecture Notes in Comput. Sci. V. 917).
54. Clark J. A., Jacob J. L. Two-stage optimisation in the design of Boolean functions // 5th Australian Conference on Information Security and Privacy. (Brisbane, Australia, July 10-
12, 2000). Proc. Springer-Verlag, 2000. P. 242-254 (Lecture Notes in Comput. Sci. V. 1841).
55. Clark J. A., Jacob J. L., Maitra S., Stanica P. Almost Boolean Functions: the Design of Boolean Functions by Spectral Inversion. // Computational Intelligence. Special Issue on Evolutionary Computing in Cryptography and Security. 2004. V. 20. No. 3. P. 450-462.
56. Climent J.-J., Garcia F. J., Requena V. On the construction of bent functions of n + 2 variables from bent functions of n variables. // Advances in Math. of Communications. 2008. V. 2. No. 4. P. 421-431.
57. Van Dam E. R., Fon-Der-Flaass D. G. Uniformly Packed Codes and More Distance Regular Graphs from Crooked Functions // J. Algebraic Combinatorics. 2000. V. 12. No. 2. P. 115-121.
58. Van Dam E. R., Fon-Der-Flaass D. G. Codes, graphs, and schemes from nonlinear functions // European J. Combinatorics, 2003. V. 24. No. 1. P. 85-98.
59. Delsarte P. An algebraic approach to the association schemes of coding theory // Ph. D. Thesis, Univ. Catholique de Louvain, 1973.
60. Dempwolff U. Automorphisms and equivalence of bent functions and of difference sets in elementary Abelian 2-groups // Communications in Algebra. 2006. V. 34. No. 3. P. 10771131.
61. http://www.mathematik.uni-kl.de/~dempw/ — Homepage of U. Dempwolff. See the section «Bent Functions in Dimensions 8,10,12». 2009.
62. Dillon J. F. A survey of bent functions // The NSA Technical J. 1972. Special Issue. P. 191-215.
63. Dillon J. F. Elementary Hadamard Difference sets // Ph. D. Thesis. Univ. of Maryland, 1974.
64. Dobbertin H. Construction of bent functions and balanced Boolean functions with high nonlinearity // Fast Software Encryption, Second International Workshop — FSE’95. (Leuven, Belgium, December 14-16, 1994) Proc. Berlin: Springer, 1995. P. 61-74 (Lecture Notes in Comput. Sci. V. 1008).
65. Dobbertin H. Almost perfect nonlinear power functions over GF(2n): the Niho case // Inform. and Comput. 1999. V. 151. No. 1-2. P. 57-72.
66. Dobbertin H. Almost perfect nonlinear power functions over GF(2n): a new case for n divisible by 5 // Finite Fields and Applications FQ5 (Augsburg, Germany, August 2-6, 2000). Proc. Springer / Eds. D. Jungnickel, H. Niederreiter. 2000. P. 113-121.
67. Dobbertin H., Leander G. A survey of some recent results on bent functions // Sequences and their applications. - SETA 2004. Third Int. conference (Seoul, Korea, October 24-28, 2004). Revised selected papers. Berlin: Springer, 2005. P. 1-29 (Lecture Notes in Comput. Sci. V. 3486).
68. Dobbertin H., Leander G. Cryptographer’s Toolkit for Construction of 8-Bit Bent Functions // Cryptology ePrint Archive, Report 2005/089, available at http://eprint.iacr.org/.
69. Dobbertin H., Leander G., Canteaut A., et al. Construction of Bent Functions via Niho Power Functions // J. Combin. Theory. Ser. A. 2006. V. 113. No. 5. P. 779-798. Available at http://www-rocq.inria.fr/secret/Anne.Canteaut/Publications/index-pub.html.
70. Fuller J. E. Analysis of affine equivalent Boolean functions for cryptography // Ph. D. thesis, Queensland University of Technology. Brisbane, Australia. 2003. Available at http://eprints.qut.edu.au/15828/.
71. Fuller J. E., Dawson E., Millan W. Evolutionary generation of bent functions for cryptography // The 2003 Congress on Evolutionary Computation. 2003. CEC apos;03. V. 3. P. 1655-1661.
72. Gangopadhyay S., SharmaD., Sarkar S., Maitra S. On Affine (Non) Equivalence
of Bent Functions // CECC’08 — Central European Conference on Cryptography (Graz, Austria, July 2-4, 2008). Proc. 2008. Available at
http://www.math.tugraz.at/~cecc08/abstracts/cecc08_abstract_25.pdf.
73. Grocholewska-Czurylo A. A study of differences between bent functions
constructed using Rothaus method and randomly generated bent functions //
J. Telecommunications and Information Technology. 2003. No. 4. P. 19-24. Available at http://www.itl.waw.pl/czasopisma/JTIT/2003/4/19.pdf.
74. Hou X.-D. Cubic bent functions // Discrete Mathematics. 1998. V. 189. P. 149-161.
75. Hou X.-D., Langevin P. Results on bent functions // J. Comb. Theory, Series A. 1997. V. 80. P. 232-246.
76. Hu H., Feng D. On quadratic bent functions in polynomial forms // IEEE Trans. Inform. Theory 2007. V. 53. No. 7. P. 2610-2615.
77. Kantor W. M. Codes, Quadratic Forms and Finite Geometries // Proceedings
of Symposia in Applied Math. 1995. V. 50. P. 153-177. Available at
http://darkwing.uoregon.edu/~kantor/.
78. Kavut S., Maitra S., Yucel M. D. Search for Boolean functions with excellent profiles in the rotation symmetric class // IEEE Trans. Inform. Theory. 2007. V. 53. No. 5. P. 1743-1751.
79. Kerdock A. M. A class of low-rate non-linear binary codes // Inform. Control. 1972. V. 20. No. 2. P. 182-187.
80. Khoo K., Gong G., Stinson D. R. A new family of Gold-like sequences // ISIT — IEEE Int. Symposium on Information Theory (Lausanne, Switzerland, June 30-July 5, 2002). Proc. 2002. P. 181.
81. Khoo K., Gong G., Stinson D. R. A new characterization of semi-bent and bent functions on
finite fields // Designs, Codes and Cryptography. 2006. V. 38. No. 2. P. 279-295.
82. Krotov D. S., Avgustinovich S. V. On the Number of 1-Perfect Binary Codes: A Lower Bound // IEEE Trans. Inform. Theory. 2008. V. 54. No. 4. P. 1760-1765.
83. Kumar P. V., Scholtz R. A., Welch L. R. Generalized bent functions and their properties // J. Combin. Theory. Ser. A. 1985. V. 40. No. 1. P. 90-107.
84. http://langevin.univ-tln.fr/project/quartics/ — Classification of Boolean Quartics Forms in eight Variables (Langevin P.). 2008.
85. Langevin P., Leander G. Monomial bent functions and Stickelberger’s theorem / / Finite Fields and Applications. 2008. V. 14. P. 727-742.
86. Langevin P., Rabizzoni P., Véron P., Zanotti J.-P. On the number of bent functions with 8 variables // Second International Conference BFCA — Boolean Functions: Cryptography and Applications (Rouen, France, March 13-15, 2006). Proc. 2006. P. 125-135.
87. Leander N. G. Monomial bent functions // IEEE Trans. Inform. Theory. 2006. V. 52. No. 2. P. 738-743.
88. Leander N. G., Langevin P. On exponents with highly divisible Fourier coefficients and conjectures of Niho and Dobbertin // Algebraic Geometry and its applications (France, May 7-11, 2007) Proc. 2008. P. 410-418.
89. Maitra S., Sarkar P. Maximum Nonlinearity of Symmetric Boolean Functions on Odd Number of Variables // IEEE Trans. Inform. Theory. 2002. V. 48. No. 9. P. 2626-2630.
90. Matsui M. Linear cryptanalysis method for DES cipher // Advances in Cryptology — EUROCRYPT’93. Workshop on the theory and application of cryptographic techniques (Lofthus, Norway, May 23-27, 1993). Proc. Berlin: Springer, 1994. P. 386-397 (Lecture Notes in Comput. Sci. V. 765).
91. McFarland R. L. A family of difference sets in non-cyclic groups // J. Combin. Theory. Ser. A. 1973. V. 15. No. 1. P. 1-10.
92. Meng Q., Yang M. C., Zhang H., CuiJ.-S. A novel algorithm enumerating bent functions // Cryptology ePrint Archive, Report 2004/274, available at http://eprint.iacr.org/.
93. Meng Q., Zhang H., Wang Z. Designing bent functions using evolving computing // Acta Electronica Sinica. 2004. No. 11. P. 1901-1903.
94. Millan W., Clark A., Dawson E. An effective genetic algorithm for finding highly nonlinear Boolean functions // First Int. conference on Information and Communications Security — ICICS’97. (Beijing, China, November 11-14, 1997). Proc. Springer Verlag, 1997. P. 149-158 (Lecture Notes in Comput. Sci. V. 1334).
95. Millan W., Clark A., Dawson E. Smart hill climbing finds better Boolean functions // Workshop on Selected Areas in Cryptology. 1997. Workshop record. P. 50-63.
96. Nyberg K. Perfect nonlinear S-boxes // Advances in cryptology — EUROCRYPT’1991. Int. conference on the theory and application of cryptographic techniques (Brighton, UK, April 8-11, 1991). Proc. Berlin: Springer, 1991. P. 378-386 (Lecture Notes in Comput. Sci. V. 547).
97. Nyberg K. Differentially uniform mappings for cryptography // Advances in cryptology
— EUROCRYPT’1993. Int. conference on the theory and application of cryptographic techniques (Lofthus, Norway. May 23-27, 1993). Proc. Berlin: Springer, 1994. P. 55-64 (Lecture Notes in Comput. Sci. V. 765).
98. Olejar D., StanekM. On cryptographic properties of random Boolean functions // J. Universal Computer Science. 1998. V. 4. No. 8. P. 705-717.
99. Olsen J. D., ScholtzR.A., Welch L.R. Bent-function sequences // IEEE Trans. Inform. Theory. 1982. V. 28. No. 6. P. 858-864.
100. Parker M. G. The constabent properties of Golay-Davis-Jedwab sequences // IEEE International Symposium on Information Theory — ISIT’2000. (Sorrento, Italy, June 25-
30, 2000). Proc. 2000. P. 302.
101. Parker M. G., Pott A. On Boolean functions which are bent and negabent // Sequences, Subsequences, and Consequences — SSC 2007 — International Workshop. (Los Angeles,
CA, USA, May 31 - June 2, 2007). Proc. Berlin: Springer, 2007. P. 9-23 (Lecture Notes in Comput. Sci. V. 4893).
102. Paterson K. G. Sequences For OFDM and Multi-code CDMA: two problems in algebraic Coding Theory // Sequences and their applications. - Seta 2001. Second Int. Conference (Bergen, Norway, May 13-17, 2001). Proc. Berlin: Springer, 2002. P. 46-71.
103. Preneel B., Van Leekwijck W., Van Linden L., Govaerts R., Vandevalle J. Propogation characteristics of Boolean functions // Advances in cryptology — EUROCRYPT’1990. Int. conference on the theory and application of cryptographic techniques (Aarhus, Denmark, May 21-24, 1990). Proc. Berlin: Springer, 1991. P. 161-173 (Lecture Notes in Comput. Sci. V. 473).
104. Preneel B. Analysis and design of cryptographic hash functions //Ph. D. thesis, Katholieke Universiteit Leuven, 3001 Leuven, Belgium. 1993.
105. Qu C., Seberry J., Pieprzyk J. Homogeneous bent functions // Discrete Appl. Math. 2000. V. 102. No. 1-2. P. 133-139.
106. Riera C., Parker M. G. Generalised Bent Criteria for Boolean Functions (I) // IEEE Trans. Inform. Theory 2006. V. 52. No. 9. P. 4142-4159.
107. Rodier F. Asymptotic nonlinearity of Boolean functions // Designs, Codes and Cryptography. 2006. V. 40. No. 1. P. 59-70. Preprint is available at http://iml.univ-mrs.fr/editions/preprint2003/files/RodierFoncBool.pdf
108. Rodier F. Private Communication. 2008.
109. Rothaus O. On bent functions // IDA CRD W.P. No. 169. 1966.
110. Rothaus O. On bent functions // J. Combin. Theory. Ser. A. 1976. V. 20. No. 3. P. 300-305.
111. Schmidt K-U. Quaternary Constant-Amplitude Codes for Multicode CDMA // Available at http://arxiv.org/abs/cs.IT/0611162.
112. Wang L., Zhang J. A best possible computable upper bound on bent functions // J. West of China. 2004. V. 33. No. 2. P. 113-115.
113. Yang M., Meng Q., Zhang H. Evolutionary design of trace form bent functions // Cryptology ePrint Archive, Report 2005/322, available at http://eprint.iacr.org/.
114. Youssef A., Gong G. Hyper-bent functions // Advances in cryptology — EUROCRYPT’2001. Int. conference on the theory and application of cryptographic techniques (Innsbruk, Austria, May 6-10, 2001). Proc. Berlin: Springer, 2001. P. 406-419 (Lecture Notes in Comput. Sci. V. 2045).
115. Yu N. Y., Gong G. Constructions of quadratic bent functions in polynomial forms // IEEE Trans. Inform. Theory 2006. V. 52. No. 7. P. 3291-3299.
