MORUS算法的各种密码分析方法全面盘点针对MORUS算法的密码分析已有研究从多个角度进行了深入探索。这些分析主要针对全版本或简化轮数的MORUS其结论对评估算法的安全边界有重要参考价值。以下是各项攻击方法的盘点。核心发现全版本MORUS的线性偏差这是针对完整版MORUS最著名的分析结果由Ashur等人在2018年提出。核心技术利用了MORUS算法中存在的旋转不变性Rotational Invariants找到了密钥流中的线性关联。攻击效果对MORUS-1280存在一个约2-76的相关性。利用此偏差在广播broadcast场景下大约需要2152个数据块即可恢复部分明文。虽然所需数据量极大但该攻击在理论上打破了MORUS-1280声称的256-bit安全强度。对MORUS-640存在约2-73的相关性但未突破其安全界限。针对简化轮数的攻击方法大部分攻击都聚焦于MORUS的简化版本特别是大幅缩减初始化轮数后的版本以测试其安全余量。立方攻击Cube Attack早期研究Salam等人2017年将立方攻击应用于仅4步初始化的简化版MORUS能够以约210MORUS-640和29MORUS-1280的复杂度恢复密钥。该研究还给出了针对5步初始化的区分器。后续改进Li和Wang2019年结合了基于比特级可分性Bit-based Division Property的立方攻击将对MORUS-640/1280的密钥恢复攻击分别推进到了5.5步和6.5步。最新进展韦永壮等人在2018年提出新方法将对MORUS-640-128的密钥恢复攻击提升到了6步和7步并将积分区分器推进到了7步。差分分析Differential Analysis碰撞攻击针对MORUS-640-128的研究表明其具备良好的抗碰撞攻击能力。有分析给出其碰撞概率上界优于2-140。自动化搜索刘帅等人2023年利用混合整数线性规划MILP技术自动化搜索MORUS初始化阶段的最优差分链并给出了1至6步状态更新的最优结果进而发起了差分-区分攻击。错误注入攻击Fault Attack这是一种主动攻击方式通过向算法运行中注入错误如电压、时钟毛刺等比较错误输出与正确输出来获取密钥或内部状态信息。已有文献提出了针对MORUS的基于错误的密钥恢复攻击方案。其他相关分析简化版分析模型为了简化分析研究者提出了MiniMORUS单字版本的MORUS并在此模型上验证了线性攻击的有效性。Nonce重用分析有研究指出如果Nonce被重用MORUS的安全性会受到影响。例如在初始化轮数减至10步的简化版中存在Nonce滥用场景下的密钥恢复攻击。总结MORUS算法自提交至CAESAR竞赛以来经历了全面而严格的审查。目前针对完整版MORUS最著名的攻击是利用线性偏差进行的区分攻击和明文恢复攻击。虽然该攻击在理论上对MORUS-1280的安全边界构成了挑战但其所需的计算和数据资源极为庞大在实际中并不构成直接威胁。针对简化轮数版本的研究如立方攻击、差分分析则更为深入不断刷新着攻击轮数的记录。这些研究虽然没有攻破完整版的MORUS但持续为评估其安全余量提供了宝贵的参考。