为什么AES的S盒选用GF(2^8)上的乘法逆元：非线性与差分均匀度

理解 AES（高级加密标准）算法的核心目标：在保证速度的同时，提供极强的抗攻击能力。它的S盒（Substitution Box）是算法中唯一的非线性部件，负责提供关键的混淆作用。设计S盒时，必须精心挑选一个数学函数，使其同时满足多个严苛的密码学指标。

1. 明确S盒的两大核心安全指标

要评估一个S盒函数 $f$ 的好坏，密码学家主要看两个硬指标：

为了进行严谨的分析和设计，AES将S盒的输入和输出定义在一个叫做 GF(2^8) 的有限域上。

线性函数（例如 $f(x) = ax + b$ ）极易被攻击。攻击者只需要知道少量输入输出对，就能完全推算出整个函数。

寻找高度非线性的函数。在 GF(2^8) 中，乘法逆元运算（即求倒数）是一个绝佳候选。其定义为：
$$y = f(x) = x^{-1} = x^{254} \quad \text{对于 } x \neq 0,\ \text{且 } f(0) = 0$$
这里使用了费马小定理的一个推论。
证明其非线性：可以通过计算它的Walsh谱（一种分析函数线性程度的工具）来验证。计算结果表明，乘法逆元函数的非线性度非常高，达到了可能的最大值附近，这意味着它与任何线性函数的相似性都极低。

差分攻击的核心是观察输入差分 $\Delta x = x \oplus x'$ 和输出差分 $\Delta y = f(x) \oplus f(x')$ 之间的关系。

定义差分均匀度 $\delta_f$ ：
$$\delta_f = \max_{\Delta x \neq 0, \Delta y} \left( \#\{ x \in \mathbb{F}_{2^8} : f(x \oplus \Delta x) \oplus f(x) = \Delta y \} \right)$$
这个值越小越好，最小可能值为2（对于几乎完美非线性函数）。
评估乘法逆元函数：经过严格的代数证明， $f(x) = x^{-1}$ 在 GF(2^8) 上的差分均匀度 $\delta_f = 4$ 。这是一个非常优秀的值，意味着无论攻击者如何选择输入差分，其导致输出差分的可能性分布都相对均匀且概率不高（最高为4/256），极大地增加了差分分析的难度。

直接使用乘法逆元函数虽然安全，但存在一个弱点：它在代数结构上过于“清晰”。例如， $f(0)=0$ 这个固定点，以及函数本身有简洁的代数表达式（ $x^{254}$ ），可能被利用进行插值攻击或代数攻击。

执行 AES的最终设计：在乘法逆元之后，追加一个步骤。
应用一个在 GF(2) 上的仿射变换。这个变换包含两部分：
- 一个8x8的二进制矩阵乘法。
- 一个固定的常量字节异或。
  $$S(x) = A \cdot (x^{-1}) + c$$
  其中 $A$ 是矩阵， $c$ 是常量（ $c = \texttt{0x63}$ ）。
实现多重目的：
- 消除简单的代数关系，增加代数表达式的复杂度，抵御代数攻击。
- 破坏 $f(0)=0$ 等固定点和对称性。
- 在不显著降低 原有优秀密码学属性（高非线性、低差分均匀度）的前提下，完成了从数学函数到实用密码组件的最后一跃。

基于以上原理，你可以按以下步骤理解AES S盒每个输出字节的由来：

输入一个字节（0x00到0xFF）。
计算其在 GF(2^8) 上的乘法逆元。对于输入 0x00，结果定义为 0x00。
将结果的8个比特，看作一个列向量。
与固定的8x8矩阵 $A$ 相乘（在 GF(2) 上）。
将乘积的结果向量，与固定常量向量 $c = (\texttt{0}, \texttt{1}, \texttt{1}, \texttt{0}, \texttt{0}, \texttt{0}, \texttt{1}, \texttt{1})^T$ （对应0x63）相加。
输出最终得到的8比特字节，即为S盒对该输入的查表结果。

这个“先求逆，后仿射”的复合函数，共同造就了AES S盒出色的抗线性分析和抗差分分析能力。