AES的硬度保证

许多公共密钥密码系统具有某种可证明的安全性。例如，证明拉宾密码系统与分解一样困难。

我想知道对于诸如AES之类的秘密密钥密码系统是否存在这种可证明的安全性。如果不是，有什么证据证明很难破解这种密码系统？（除了抵抗试错攻击）

备注：我熟悉AES操作（AddRoundKey，SubBytes，ShiftRows和MixColumns）。AES的硬度似乎来自MixColumns操作，而后者又必须继承Galois场（以及代数）上的一些难题。实际上，我可以将问题重申为：“哪个硬代数问题可以保证AES的安全性？”

MIXCOLUMNS可以防止仅针对几个S-box的攻击，因为列的混合需要所有S-b​​ox参与加密。（Rijndael的设计者将此称为“宽径策略”。）对S形盒进行分析的原因很困难，这是因为使用了有限域求逆运算。倒置会“平滑” S-box条目的分配表，因此条目看起来（几乎）是统一的，即与没有密钥的随机分布无法区分。正是这两种功能的结合，使Rijndael能够可靠地抵御已知攻击。

顺便说一句，《The Rijndael Design》一书非常好读，并讨论了密码学的理论和哲学。

正如David所说，我们没有AES的这种减少。但是，这并不意味着Rabin或RSA密码系统比AES更安全。实际上，我相信诸如AES / DES等分组密码的安全性（至少是单向的，也可能还有伪随机数）。很难，正是因为没有代数结构，所以很难想象会有某种突破性算法。

可以直接从单向函数构造块密码，这对于大多数密码学来说是一个最小的假设，但是所产生的构造效率极低，因此无法使用。

由于可以以通用方式将任何公钥加密方案转换为私钥方案，因此您可以获得具有类似可证明的安全保证的私钥方案。

但是，这个答案是令人讨厌的：对于典型的部署分组密码，我们没有从简化到计算问题的意义上可证明的安全性分析。已经提出了降低安全性的分组密码的提议，但是促进降低安全性所需的计算负担使它们与诸如AES算法的更有效方案失去竞争力。

有趣的是，可证明的安全性团体普遍认为，以分组密码安全性（伪随机置换）为前提，然后在分析采用分组密码作为组成部分的高级协议时，将其简化为合理的做法。也就是说，与安全协议设计中的其他挑战不同，在涉及密码时，似乎足以相信密码分析家对安全性的直觉。