Булевы функции и их применение. Курс лекций

Определение. Многочлен Q называется линейным, если deg Q ≤ 1.

Определение. Функция f (x1, x2,…, xn) называется линейной по переменной xi, i = 1,n, если

f (x1, x2,…, xn) = a xi + ψ (x1,…, xi–1, xi+1,…, xn),

где a Ek\{0}, ψ – (n –1) – местная функция из Pk, а сумма и произведение вычисляются по модулю k.

Примеры замкнутых классов

1. Класс M = Pk. Пусть Ω Ek.

Определение. Класс TΩ функций из Pk называется классом функций, сохраняющих множество Ω, если

TΩ = {f (x1, x2,…, xn) Pk | f (σ1, σ2,…, σn) Ω, если (σ1, σ2,…, σn) Ω(n)}.

2. Класс TΩ замкнут, так как всякая суперпозиция функций из TΩ также принадлежит классу TΩ.

Понятие замкнутости класса может быть использовано для обоснования неполноты некоторых систем функций. Например, для обоснования неполноты системы P = { x, max(x1, x2)} рассмотрим Ω = {0, k –1}. Так как обе функции системы P принадлежат TΩ, то [P] TΩ. Так как Ω ≠ Ek при k > 2, то система P не полна.

Пусть s(x) – подстановка на множестве Ek, s–1(x) – обратная к ней подстановка.

Определение. Функция из Pk f s(x) (x1, x2,…, xn ) = s–1( f (s(x1), s(x2 ),…, s(xn ))) называется двойственной к функции f (x1, x2,…, xn)

относительно подстановки s(x).

Определение. Если функция двойственна к себе относительно s(x), то она называется самодвойственной относительно подстановки s(x).

Обозначим через Zks(x) множество функций из Pk, самодвойственных относительно s(x).

3. Класс Zks(x) является непустым (например, x Zks(x) при любой подстановке s(x)) и замкнутым, в чем можно убедиться, проверив,

– 61 –

терии полноты, использование которых достаточно удобно. Приведем ряд теорем, посвященных проблеме полноты системы функций в Pk .

Теорема Кузнецова. В Pk можно построить такую систему замкнутых попарно невложимых друг в друга классов функций M1, M2,…, Ms, что некоторая система P функций из Pk полна тогда и только тогда, когда она не содержится ни в одном из классов Mi,

i =1,s (без доказательства).

Эта теорема показывает принципиальную возможность сформулировать критерий полноты системы функций из Pk в терминах принадлежности системы специальным замкнутым классам, причем конечному числу таких классов. Однако построение таких классов трудоемко уже при небольших k. Имеются более эффективные критерии полноты для систем функций из Pk, удовлетворяющих различным ограничениям. Приведем некоторые из таких критериев.

Определение. Функция из Pk называется существенной, если она зависит существенно от двух или более переменных и принимает все значения из Ek.

Определение. Функция из Pk называется шефферовой, если она образует полную систему.

Теорема Слупецкого. Пусть система P функций из Pk, k > 2, содержит все функции одной переменной, принимающие не более k –1 значения. Тогда для полноты системы P необходимо и достаточно, чтобы P содержала существенную функцию.

Непосредственное использование данной теоремы не всегда удобно, так как необходимо установить наличие в системе P всех функций одной переменной, принимающих не более k –1 значения. Число таких функций равно kk – k!, что подразумевает значительные вычислительные трудности уже при небольших k. Поэтому представляют интерес примеры компактных систем функций, с помощью которых можно породить все функции одной переменной.

Теорема Пикара. Все функции одной переменной из Pk можно породить системой трех функций:

{(x + 1) mod k, x + j0(x), t0, 1 (x)}.

– 63 –

Теорема. О порождении функций одной переменной.

Все функции одной переменной из Pk можно породить системой из k функций:

{x + j0(x), t0,i (x), i = 1,k −1}.

Теорема. О шефферовой функции.

Функция f (x1, x2,…, xn) из Pk, k ≥ 3, является шефферовой тогда и только тогда, когда ( ) f (x1, x2,…, xn) порождает все функции одной переменной, отличные от подстановок.

Теорема Саломаа. Пусть система P функций из Pk, k > 4, содержит все подстановки из Pk. Тогда для полноты системы P необходимо и достаточно, чтобы P содержала существенную функцию.

7.5. Особенности k-значных логик

Имеется целый ряд свойств, подчеркивающих сходство двузначной и k-значной логик. Вместе с тем получено немало результатов, выявивших существенные различия классов функций P2 и Pk, k ≥ 3. Рассмотрим некоторые из них.

Теорема Яснова. Для любого k ≥ 3 в Pk существует замкнутый класс, не имеющий конечного базиса.

Теорема Мучника. Для любого k ≥ 3 в Pk существует замкнутый класс со счетным базисом.

Теорема Яблонского. Любая функция f (x1, x2,…, xn) из Pk представима многочленом по модулю k тогда и только тогда, когда ( ) k – простое число.

Доказательство. Из представления функции в виде 2-й формы следует, что представимость полиномами функций из Pk сводится к представимости полиномами функций j0(x),…, jk–1(x). В силу того, что jσ(x) = j0(x – σ) при любом σ Еk, достаточно построить полином функции j0(x).

Пусть k = p – простое число. Тогда из малой теоремы Ферма следует, что система полиномов полна в Pk, так как j0(x) = = (1 – xp–1) mod p.

– 64 –

Пусть k ≠ p. Тогда k = k1 k2, где k1, k2 > 1. Допустим, что j0(x) = (b0 + b1 x +…+ bs xs) mod k.

Тогда при x = 0 получаем b0 = 1, при x = k1 получаем

0 = (1 + b1 k1 +…+ bs (k1)s) mod k.

Отсюда следует, что

k – 1 = (b1 k1 +…+ bs (k1)s) mod k.

Из последнего равенства имеем, что k–1 делится на k1 на k1 делится и k, и k – 1, т.е. k1 = 1, что противоречит сделанному предположению. Таким образом, функция j0(x) не представима полиномом по mod k. Что и требовалось доказать.

Доказанная теорема обобщается на случай, когда множество Ek – поле характеристики p, где k = pm.

Теорема. О представимости функции полиномом над полем Галуа характеристики p.

Всякая функция в Pk представима полиномом над полем Галуа характеристики p тогда и только тогда, когда ( ) k = pm, где p – простое число.

7.6. Криптографические свойства нелинейных отображений

Нелинейность отображений информации, реализуемых криптографической схемой, является необходимым условием при построении шифра. В противном случае восстановление ключевых параметров шифра может быть осуществлено с помощью решения системы линейных уравнений.

Рассмотрим отображение ϕ:P(n) → P(m) , где P – поле порядка k, при этом ϕ задано системой {f1(x1,...,xn ),..., fm (x1,...,xn )} коорди-

натных k-значных функций.

Одно из положительных свойств отображений шифра – хорошее перемешивание входных данных или, иначе говоря, зависимость каждой координатной функции отображения от возможно большего количества переменных. В противном случае элементы ключа могут быть найдены из решения соответствующей системы уравнений.

– 65 –

Перемешивающие свойства отображения ϕ определяются системой {S( f1),...,S( fm )}, где S( f j ) – множество номеров существенных переменных функции f j (x1,...,xn ), j = 1,2,...,m. Переме-

шивающие свойства отображения удобно изучать с помощью графов или матриц смежности их вершин.

Рассмотрим двудольный орграф Γ(ϕ) со множеством вершин

отображения ϕ, к которым добавлено число n, что отличает их от номеров переменных. Пара (i, j) Uϕ тогда и только тогда, когда функция f j (x1,...,xn ) существенно зависит от переменной xi.

Определение. Граф Γ(ϕ) назовем перемешивающим графом отображения ϕ.

Определение. Матрицу М(ϕ) = (mji ) смежности вершин графа

Γ(ϕ) назовем перемешивающей матрицей отображения ϕ .

Определение. Говорят, что отображение ϕ совершенное или ϕ осуществляет полное перемешивание, если S( f j ) = {1, 2,..., n} для всех j = 1,2,..., m . Иначе говоря, двудольный граф Γ(ϕ) является полным, т.е. имеет mn дуг, или матрица М(ϕ)положительна.

Почти все отображения ϕ :P(n) → P(m) при n → ∞ и m, ограни-

ченном величиной порядка n, являются совершенными. Вместе с тем подобный вывод нельзя распространить на отображения, используемые в криптографических приложениях, так как они выбираются не случайно, а из отображений с рядом заданных свойств. Поэтому изучение перемешивающих свойств криптографических отображений является актуальной задачей.

Перемешивающие свойства композиции преобразований можно изучать, используя свойства перемешивающих графов и матриц.

– 66 –

Рассмотрим матрицы над полем действительных чисел.

Определение. Матрицу А называют положительной (неотри-

цательной), если положительны (неотрицательны) все ее элементы.

Определение. Экспонентом неотрицательной квадратной матрицы A (обозначается exp A) назовем наименьшее натуральное t (если такое t существует), при котором матрица At положительна. Если при любом натуральном t матрица At не является положительной, то считается, что exp A = ∞.

Определение. Показателем совершенности неотрицательной квадратной матрицы A (обозначается prf A) назовем наименьшее натуральное t (если такое t существует), при котором положительна матрица A(t), где A(t) = A + A2 + … + At. Если при любом натуральном t матрица A(t) не является положительной, то считается, что prf A = ∞.

Определение. Перемешивающим графом преобразования ϕ

ния ϕ сильно связный, то преобразование ϕr не является совершенным, при r < expМ(ϕ).

В развитие критерия совершенности были построены критерии качества отображения, отражающие зависимость координатных функций от переменных не только на всей области определения, но и на ее подмножествах.

– 67 –

Определение. Отображение ϕ удовлетворяет строгому лавинному критерию (СЛК), если каждая координатная функция отображения ϕ(x)− ϕ(x + ei ) является сбалансированной.

Выполнение СКЛ означает, что изменение одной координаты случайно выбранного вектора x P(n) индуцирует равномерное вероятностное распределение на множестве значений случайного вектора ϕ(x)− ϕ(x + ei ).

Если P = GF(2), то для отображения ϕ, удовлетворяющего СЛК, при всех i {1,2,..., n} выполнено векторное равенство

(ϕ(x) ϕ(x ei )) = (2n−1,...,2n−1).

x Vn

Утверждение. Если отображение ϕ удовлетворяет СЛК, то

каждая его координатная функция нелинейно зависит от каждой переменной.

В развитие СЛК было разработано семейство более жестких критериев качества криптографических отображений, получивших название критериев распространения.

Определение. Отображение ϕ удовлетворяет критерию рас-

пространения степени l, если каждая координатная функция отображения ϕ(x)− ϕ(x + а) является сбалансированной при любом

векторе a P(n) , имеющем не более l ненулевых координат,

1 ≤ l ≤ n.

Критерий распространения порядка 1 равносилен СЛК. Дальнейшее усиление критериев нашло отражение в понятии

бент-отображения.

Определение. Отображение ϕ называется бент-отображением (при m = 1 бент-функцией), если при любом ненулевом векторе a P(n) каждая координатная функция отображения ϕ(x)− ϕ(x + а)

сбалансирована.

Из определения следует, что бент-отображение удовлетворяет СЛК и критерию распространения степени n.

– 68 –

К алгебраическим характеристикам нелинейности отображения относятся характеристики системы полиномов, задающих координатные функции отображения.

Важной характеристикой функций, связанной с наличием у них аффинных приближений определенного вида, является их корреляционный иммунитет.

Определение. Функция f (x1,...,xn ), реализующая отображение

P(n) → P, называется корреляционной-иммунной порядка r, 1 ≤ r ≤ n

(обозначим через cim f = r), если функция f (x1,...,xn )− l(x1,...,xn ) сбалансирована при любой линейной функции l(x1,...,xn ), зависящей существенно от t переменных 1 ≤ t ≤ r.

– 69 –

Список литературы

[1]Гаврилов Г.П., Сапоженко А.А. Задачи и упражнения по дискретной математике. – М.: Физматлит, 2009.

[2]Колмогоров А.Н., Драгалин А.Г. Математическая логика. Введение в математическую логику. – М.: Ленанд, 2017.

[3]Колмогоров А.Н., Драгалин А.Г. Математическая логика. Дополнительные главы. – М.: Едиториал УРСС, 2020.

[4]Кудашов В.Н. Булевы функции. – СПб.: Университет ИТМО, 2018.

[5]Булевы функции в теории кодирования и криптологии // О.А. Логачев, А.А. Сальников, С.В. Смышляев, В.В. Ященко. – М.: Ленанд, 2015.

[6]Супрун В.П. Основы теории булевых функций. – М.: Ле-

нанд, 2017.

[7]Токарева Н. Нелинейные булевы функции: бент-функции и их обобщения. – LAP Lambert Academic Publishing, 2011.

[8]Фомичев В.М. Методы дискретной математики в криптологии. – М.: Диалог-МИФИ, 2010.

– 70 –