CN104202145B

CN104202145B - 针对sm4密码算法轮函数输出的选择明文或密文侧信道能量分析攻击的方法

Info

Publication number: CN104202145B
Application number: CN201410446072.9A
Authority: CN
Inventors: 杜之波; 吴震; 饶金涛; 王敏; 李大为; 罗鹏
Original assignee: Chengdu Xinan Youlika Information Technology Co Ltd; State Cryptography Administration Commercial Code Testing Center; Chengdu Information Technology Co Ltd of CAS
Current assignee: Chengdu Xinan Youlika Information Technology Co Ltd; State Cryptography Administration Commercial Code Testing Center; Chengdu Information Technology Co Ltd of CAS
Priority date: 2014-09-04
Filing date: 2014-09-04
Publication date: 2018-07-03
Anticipated expiration: 2034-09-04
Also published as: CN104202145A

Abstract

本发明公开了一种针对SM4密码算法轮函数输出的选择明文或密文侧信道能量分析攻击的方法，包括以下步骤：S1：通过选择明文或密文输入X_i+0、X_i+1、X_i+2和X_i+3，并使其满足X_i+1、X_i+2和X_i+3三者的异或结果为定值，同时保证X_i+0的随机性，采用侧信道能量攻击方法攻击出前四轮轮函数每轮线性变换L的输出C_i，再由所述输出C_i反推出加密运算或者解密运算的前四轮轮函数的轮子密钥rk_i；S2：根据所述前四轮轮函数的轮子密钥rk₀、rk₁、rk₂和rk₃，通过密钥扩展算法，逆向计算出初始密钥。采用上述分析方法可以实现经过多次攻击的方式进行能量分析攻击，可以根据实际的计算能力，选择合适长度的比特进行攻击。从而增强了分析的灵活性、有效性和成功率。

Description

针对SM4密码算法轮函数输出的选择明文或密文侧信道能量分析攻击的方法

技术领域

本发明涉及密码算法分析检测领域，尤其涉及一种针对SM4密码算法轮函数输出的选择明文或密文侧信道能量分析攻击的方法。

背景技术

随着信息和分析电路技术的发展，对硬件密码电子设备的破解不再单纯的停留在协议和算法上，而是从其处理数据的过程中泄露的信息入手，进行破解。硬件密码电子设备在处理信息的工程中存在能量、电磁、错误和时间等信息的泄露，利用这些泄露的信息对密码电子设备进行攻击，就是所谓的侧信道攻击(Side Channel Attacks)，侧信道攻击可分为能量分析攻击、电磁攻击和错误攻击等，其中能量分析攻击因效率较高，成为侧信道的主要手段。

侧信道能量分析攻击是通过采集加密芯片等硬件密码电子设备在进行加、解密或签名等操作时产生的能量消耗，利用密码学和统计学原理等，分析和破译密钥信息的一种攻击方式，侧信道能量分析攻击又分为简单能量分析攻击(Simple Power Analysis，SPA)、差分能量分析攻击(Differential Power Analysis，DPA)和相关性能量分析攻击(Correlation Power Analysis，CPA)。

在侧信道能量分析攻击中，CPA和DPA相比SPA具有更强的攻击性，所以能量分析攻击中比较常用的是CPA和DPA。

其中，DPA攻击的过程如下：

(1)随机选择N组不相同明文或密文M_i(i∈[1，N])进行加/解密运算，采集每组明文进行加密运算时设备产生的能量曲线T_i(t)，t∈{1，…，k}，其中k为能量轨迹的采样点数。

(2)选择密钥K_l(l∈Ω，Ω为密钥空间)，计算在K_l和M_i条件下，密码算法进行加密运算时在被攻击点产生的中间值D_i，l。

(3)根据中间值D_i，l确定选择函数F(M_i，K_l)，根据选择函数将T_i(t)分为两个子集S₀和S₁，定义式如下：

S₀＝{T_i(t)|F(M_i，K_l)＝0}

S₁＝{T_i(t)|F(M_i，K_l)＝1}

(4)计算每个采样点上两个子集的能量平均之差，如

所示，其中|S₀|和|S₁|分别表示集合S_o和S₁中元素的个数。

若K_l选择不正确，当N比较大时，两个子集均值差S将趋近于零；若K_l选择正确，在均值差S中将会出现一个最大尖峰，通过该尖峰即可确定K_l选择正确。

CPA攻击的过程如下：

(1)随机选择N组不相同明文或密文M_i(i∈[1，N])进行加/解密运算，采集每组明文进行加密运算时设备产生的能量曲线T_i(t)，t∈{1，...，k}，其中k为能量轨迹的采样点数。

(3)取中间值D_i，l的汉明距离或者汉明重量建立能量模型h_i，l，根据式计算T_i和h_i，l相关性ρ_l。

(4)取相关系数最大值时对应的K_l，即为实际密钥。

SM4算法是分组长度和密钥长度均为128bit，加密算法和解密算法均为32轮的非线性迭代密码算法，其加密算法和解密算法结构相同，只是运算时轮密钥使用的顺序相反，解密轮密钥是加密轮密钥的逆序。SM4加密算法的详细流程如图1所示。

在图1中(表示ebit的向量集)，明文输入为(X0，X1，X2，)⁴密文输出为(Y0，Y1，Y2，Y3)，其中X_i、X_i+1、X_i+2和X_i+3为轮迭代运算函数F的输入，为每轮的轮密钥，i∈{0，1，2，…，31}。

从加密的流程可以看出，轮迭代函数F包括的运算有异或、非线性变换和线性变换L，轮迭代函数的表达式为：在改表达式中，T表示合成置换，是由非线性变换和线性变换L复合而成，迭代函数F的详细的流程如图2所示，在整个SM4密码算法的加解密过程中，一共要执行32轮这样的轮迭代函数F。

令则：

变为：

非线性变换是由4个并行S盒子构成，每个S盒子为固定的8bit输入8bit输出的置换，记为Sbox(.)。

设输入为其中表示第i轮第j(j∈{0，1，2，3})个S盒子的输入，||表示两个数据bit的拼接，输出为B_i＝b_i，0||b_i，1||b_i，2||b_i，3，b_i，j表示第i轮、第j个S盒子的输出，则非线性变换为：

线性变换L的描述如下所示，

在该式中，C_i为线性变换L的输出，B_i为线性变换L的输入，同时也是非线性变换的输出。

对SM4密码算法的能量分析方法通常选取S盒的输出、L移位的输出作为攻击对象，使用汉明重量、单比特模型，利用DPA和CPA方法进行分析。这些方法仅利用了典型的分析点。

SM4的密钥扩展算法：轮密钥由加密密钥通过密钥扩展算法生成，其结构与加密变换类似。设加密密钥为MK＝(MK₀，MK₁，MK₂，MK₃)，i＝0，1，2，3。令i＝0，1，...，35，轮密钥i＝0，1，...，31，则轮密钥生成方法如下式所示：

其中，T′变换与加密变换中的T变换基本相同，只是其中的线性变换L必须修改为以下L′：

系统参数FK_i(i＝1，2，3)的取值，采用16进制表示为：

FK₀＝A381BAC6，FK₁＝56AA3350，FK₂＝677D9197，FK₃＝B27022DC

固定参数CK的取值方法为：设ck_ij为CK_i的第j字节(i＝0，1，...，31；j＝0，1，2，3)，即则ck_i，j＝(4i+j)*7(mod256)。32个固定参数CK_i用16进制表示为：

00070e15，1c232a31，383f464d，545b6269，

70777e85，8c939aa1，a8afb6bd，c4cbd2d9，

e0e7eef5，fc030a11，181f262d，343b4249，

50575e65，6c737a81，888f969d，a4abb2b9，

c0c7ced5，dce3eaf1，f8ff060d，141b2229，

30373e45，4c535a61，686f767d，848b9299，

a0a7aeb5，bcc3cad1，d8dfe6ed，f4fb0209，

10171e25，2c333a41，484f565d，646b7279

根据密钥扩展算法，反推出密钥的方法如下：

a、加密运算：

对于加密运算，攻击出前四轮的轮子密钥rk₀，rk₁，rk₂和rk₃，根据密钥扩展算法得下式：

由(1)、(2)、(3)和(4)式可得K₃，如(5)式所示。

由(3)和(5)式得K₂，如(6)式所示。

由(2)、(5)和(6)式得K₁，如(7)式所示。

由(2)、(5)和(6)式得K₀，如(8)式所示。

又所以可得密钥为

b、解密运算：

对于解密运算，攻击出前四轮的轮子密钥rk₀，rk₁，rk₂和rk₃，根据密钥扩展算法得下式：

由(9)、(10)、(11)和(12)式子，得到K₃₂、K₃₃、K₃₄和K₃₅，i取31到0，计算即可得到K₀，K₁，K₂，K₃，又所以可得密钥为

目前，也有选择轮函数的输出作为攻击对象的能量分析方法，即以轮函数输出实施侧信道能量分析攻击，其中是输入第k组明文或密文时，第i轮轮密钥第j个字节的攻击对象，i∈{0，1，2，3}，j∈{0，1，2，3}，L^-1(X）是对L(X）的逆运算。而此攻击对象的计算方法：决定了在对SM4密码算法实施CPA或DPA侧信道能量分析攻击时，只能是按照字节的倍数进行攻击，而不能以轮函数输出的任意比特例如单比特进行CPA或DPA侧信道能量分析攻击。

发明内容

本发明的目的是提供一种针对SM4密码算法轮函数输出的选择明文或密文侧信道能量分析攻击的方法，以解决现有SM4密码算法的能量分析方法不能以轮函数输出的任意比特进行CPA或DPA侧信道能量分析攻击的问题，可以根据实际的计算能力，选择合适长度的比特进行攻击，从而增强了分析灵活性、有效性和成功率。

为解决上述技术问题，本发明提供一种针对SM4密码算法轮函数输出的选择明文或密文侧信道能量分析攻击的方法，具体包括以下步骤：

S1：通过选择明文或密文输入值X_i+0、X_i+1、X_i+2和X_i+3，并使其满足X_i+1、X_i+2和X_i+3三者的异或结果为固定数，同时保证X_i+0的随机性，采用侧信道能量攻击方法攻击出前四轮轮函数的线性变换L的输出C_i，再由所述输出C_i反推出加密运算或者解密运算的前四轮轮函数的轮子密钥rk_i，其中，i＝0，1，2，3；

S2：根据攻击出的前四轮的轮子密钥，通过密钥扩展算法，反推出初始密钥。

进一步地，S1具体包括以下步骤：

S11：攻击加/解密的第一轮，初始化i＝0；

S12：选择明文或密文输入值X_i+0、X_i+1、X_i+2和X_i+3，使X_i+1、X_i+2和X_i+3三者的异或结果为固定数，用D来表示，为同时保证X_i+0的随机性；

S13：采用侧信道能量攻击方法攻击出第i轮轮函数的线性变换L的输出C_i；所述侧信道能量攻击方法采用CPA法或DPA法；

S14：根据所述输出C_i由线性变换的逆变换反推出对应的输入B_i，再根据S盒子的输入输出关系由B_i反推出唯一的S盒子输入A_i，再利用得出rk_i；

S15：使i自增1，返回步骤S12继续攻击下一轮，直到得出加密运算或者解密运算的前四轮的轮子密钥rk₀、rk₁、rk₂和rk₃。

进一步地，S13中采用的侧信道能量攻击方法为CPA法，所述CPA法包括以下步骤：

S1311：采集SM4密码设备上加/解密时的能量曲线表示为T_n(t)；

S1312：获取的所有可能值，表示为c∈[0，2^l-1]，根据c和第n条曲线对应的明文或密文输入，计算SM4第i轮轮函数的输出将轮函数的输出为攻击的中间数据，如果攻击时选择汉明重量模型，则计算的汉明重量，表示为)；如果攻击时选择汉明距离模型，则计算的汉明距离，表示为)；

S1313：根据计算T_n(t)和h_n，c的相关性ρ_t，c；

S1314：取相关系数最大值时对应的c，即为对应的实际数据；

S1315：使j＝j+l，如果j+l-1≥32，取l＝32-j+1，否则l保持不变，跳转到步骤S1312继续攻击C_i剩余的比特数据，直到C_i的所有比特被攻击完为止。

进一步地，S13中采用的侧信道能量攻击方法为DPA法，所述DPA法包括以下步骤：

S1321：采集SM4密码设备上加/解密时的能量曲线表示为T_n(t)；

S1322：获取的所有可值，表示为c∈[0，2^l-1]，根据c和第n条曲线对应的明文或密文输入，计算SM4第i轮轮函数的输出将轮函数的输出作为攻击的中间数据，如果攻击时选择汉明重量模型，则计算的汉明重量，表示为如果攻击时选择汉明距离模型，则计算的汉明距离，表示为)；

S1323：如果l＝1，确定DPA选择函数如果l不为1，确定DPA选择函数为：

S1324：根据选择函数将T_n(t)分为两个子集S₀和S₁，S₀和S₁定义式如下所示：

S₀＝{T_i(t)|F(M_i，K_l)＝0}，

S₁＝{T_i(t)|F(M_i，K_l)＝1}；

S1325：根据计算每个采样点上两个子集的能量平均之差，在均值差S中出现一个最大尖峰时对应的c，即为对应的实际数据；

S1326：使j＝j+l，如果j+l-1≥32，取l＝32-j+1，否则l保持不变，跳转到步骤S1322继续攻击C_i剩余的比特数据，直到C_i的所有比特被攻击完为止。

本发明的有益效果为：针对SM4密码算法轮函数输出的侧信道能量分析攻击的方法，创造性地选择具有一定约束关系的明文或明文输入，以每轮线性变换L的输出作为攻击目标，以SM4密码算法轮函数输出作为能量分析攻击的中间数据。先利用侧信道能量分析攻击出线性变换L的输出，再由线性变换L的输出反推出轮子密钥rk_i。在能量分析攻击出线性变换L的输出时，可以根据实际的运算能力选择一次攻击任意l比特，通过多次攻击的方式实现针对SM4密码算法的能量分析攻击，使针对SM4密码算法的能量分析攻击具有更实际的应用性。从而增强了分析的灵活性、有效性和成功率。

附图说明

图1为SM4加密算法流程图；

图2为迭代函数F的流程图；

图3为针对SM4密码算法轮函数输出的选择明文或密文的CPA法的流程图；

图4为针对SM4密码算法轮函数输出的选择明文或密文的DPA法的流程图。

具体实施方式

下面对本发明的具体实施方式进行描述，以便于本技术领域的技术人员理解本发明，但应该清楚，本发明不限于具体实施方式的范围，对本技术领域的普通技术人员来讲，只要各种变化在所附的权利要求限定和确定的本发明的精神和范围内，这些变化是显而易见的，一切利用本发明构思的发明创造均在保护之列。

针对SM4密码算法轮函数输出的选择明文或密文侧信道能量分析攻击的方法，具体包括以下步骤：

S1：通过选择明文或密文输入值X_i+0、X_i+1、X_i+2和X_i+3，使X_i+1、X_i+2和X_i+3三者的异或结果为固定数，采用侧信道能量攻击方法攻击出前四轮轮函数的每轮线性变换L的输出C_i，再由所述输出C_i反推出加密运算或者解密运算的前四轮轮函数的轮子密钥rk_i，其中，i＝0，1，2，3；

S2：根据所述前四轮轮函数的轮子密钥rk₀、rk₁、rk₂和rk₃，通过密钥扩展算法，逆向计算出初始密钥。

其中，S1具体包括以下步骤：

S11：首先攻击加/解密的第一轮，此时初始化i＝0。

S12：选择明文或密文输入X_i+0、X_i+1、X_i+2和X_i+3，使其满足X_i+1、X_i+2和X_i+3三者的异或结果为固定数，用D来表示，则X_i+1、X_i+2和X_i+3满足的约束条件如(1)式所示，同时保证X_i的随机性。

S14：根据攻击出的C_i，采用线性变换的逆变换反推出对应的的输入B_i；线性变换L还可以用复合域中的矩阵运算来表示，即如(2)式所示，(2)式的逆运算如(3)式所示，在(2)和(3)式中，矩阵T和T′的值如(4)和(5)所示。

C_i＝B_i*T (2)

B_i＝T′*C_i (3)

由(4)式，可反推出对应的B_i；由于S盒子为8输入8输出，且S盒子内容不重复，故可由S盒子输出B_i唯一的反推出S盒子输入A_i，方法是在S盒子中确定B_i所在的行a_r和列a_l，则A_i＝a_r||a_l；又由于所以

S15：使i自增1，返回步骤S12继续攻击下一轮，直到攻击得出加密运算或者解密运算的前四轮的轮子密钥rk₀、rlk₁、rk₂和rk₃。

进一步地，S13中采用的侧信道能量攻击方法为CPA法，CPA法包括以下步骤：

S1311：采集N组不同的特殊输入X_i+0、X_i+1、X_i+2和X_i+3在SMS4密码设备上加/解密时的能量曲线表示为T_n(t)，t∈{1，...，k}，其中k为能量轨迹的采样点数。

选择要攻击线性变换L的输出C_i的比特长度为l，l≤32，当前攻击的位置为j＝1，被攻击数据表示为

S1312：获取的所有可值，表示为c∈[0，2^l-1]，根据c和第n条曲线对应的明文或密文输入，计算SM4第i轮轮函数的输出将轮函数的输出作为攻击的中间数据，如果攻击时选择汉明重量模型，则计算的汉明重量，表示为如果攻击时选择汉明距离模型，则计算的汉明距离，表示为

S1313：根据(6)式计算T_n(t)和h_n，c的相关性ρ_t，c。

S1314：取相关系数最大值时对应的c，即为对应的实际数据。

S1315：使j＝j+l，如果j+l-1≥32，取l＝32-j+1，否则l保持不变，跳转到S1312继续攻击C_i剩余的比特数据，直到C_i的所有比特被攻击完为止。

S13中采用的侧信道能量攻击方法为DPA法，DPA法包括以下步骤：

S1321：采集N组不同的特殊输入X_i+0、X_i+1、X_i+2和X_i+3在SMS4密码设备上加/解密时的能量曲线表示为T_n(t)，t∈{1，...，k}，其中k为能量轨迹的采样点数。

S1322：获取的所有可值，表示为c∈[0，2^l-1]，根据c和第n条曲线对应的明文或密文输入，计算SM4第i轮轮函数的输出将轮函数的输出作为攻击的中间数据，如果攻击时选择汉明重量模型，则计算的汉明重量，表示为如果攻击时选择汉明距离模型，则计算的汉明距离，表示为

根据选择函数将T_n(t)分为两个子集S₀和S₁，如(7)和(8)式所示。

S₀＝{T_i(t)|F(X_i，c，h_n，c)＝0}，(7)

S₁＝{T_i(t)|F(X_i，c，h_n，c)＝1}；(8)

S1324：根据计算每个采样点上两个子集的能量平均之差，在均值差S中出现一个最大尖峰时对应的c，即为对应的实际数据。

S1325：使j＝j+l，如果j+l-1≥32，取l＝32-j+1，否则l保持不变，跳转到步骤S1322继续攻击C_i剩余的比特数据，直到C_i的所有比特被攻击完为止。

S1326：攻击出C_i后，由(4)式B_i＝T′*C_i，计算出B_i；由于S盒子为8输入8输出，且S盒子内容不重复，故可由S盒子输出B_i唯一的反推出S盒子输入A_i，方法是在S盒子中确定B_i所在的行a_r和列a_l，则A_i＝a_r||a_l；又由于所以

由于攻击表达式的唯一运算为异或运算，异或运算的输入比特和输出比特之间是一一对应的线性关系。所以，可以根据实际的运算能力选择一次攻击线性变换L的输出的任意长比特，以和该比特数据对应的轮函数输出的比特数据作为侧信道能量分析攻击的中间数据，针对SM4密码算法轮函数输出的选择明文或密文的能量分析攻击，经过多次攻击的方式实现针对SM4密码算法的侧信道能量分析攻击。

通过选择明文或密文，使4个S盒子的输入为固定常数，即线性变换L的输出也为固定常数，通过这种选择，创造性的改变了侧信道能量分析攻击直接攻击rki的思路，本方法而是通过侧信道能量分析攻击先攻击出线性变换L的输出C_i，再由C_i反推出对应的rk_i，创造性的将线性变换的输出作为侧信道能量分析直接攻击目标，间接得实现了将SM4轮输出作为攻击中间数据的侧信道能量分析攻击；创新的用复合域中的矩阵运算来表示线性变换L，即C_i＝B_i*T，和其反变换，即B_i＝T′*C_i，并给出矩阵T和T′的值；选择特殊的明文，使4个S盒子的输入为固定常数，即线性变换L的输出也为固定常数，针对SM4的侧信道能量分析攻击。

选择的明文或密文使线性变换L的输出也为固定常数，此时的攻击表达式其攻击目标为c，异或运算的输入比特和输出比特之间是一一对应的线性关系，可以根据实际的运算能力选择一次攻击线性变换L的输出的任意长比特，即可以任意长比特的进行侧信道能量分析攻击。

Claims

1.针对SM4密码算法轮函数输出的选择明文或密文侧信道能量分析攻击的方法，其特征在于，所述方法包括以下步骤：

S1：通过选择明文或密文输入X_i+0、X_i+1、X_i+2和X_i+3，并使其满足X_i+1、X_i+2和X_i+3三者的异或结果为定值，同时保证X_i+0的随机性；采用侧信道能量攻击方法攻击出前四轮轮函数每轮线性变换L的输出C_i；再由所述输出C_i反推出加密运算或者解密运算的前四轮轮函数的轮子密钥rk_i，其中，i＝0，1，2，3；

S2：根据所述前四轮轮函数的轮子密钥rk₀、rk₁、rk₂和rk₃，通过密钥扩展算法，反推出初始密钥；

所述S1具体包括以下步骤：

S11：攻击加/解密的第一轮，初始化i＝0；

S12：选择明文或密文输入值X_i+0、X_i+1、X_i+2和X_i+3，使其满足X_i+1、X_i+2和X_i+3三者的异或结果为固定数，用D来表示，为同时保证X_i+0的随机性；

S14：根据所述输出C_i由线性变换的逆变换反推出对应的输入B_i，再根据S盒子的输入输出关系由B_i反推出唯一的S盒子输入A_i，再利用A_i＝得出rk_i；

S15：使i自增1，返回步骤S12继续攻击下一轮，直到得出加密运算或者解密运算的前四轮的轮子密钥rk₀、rk₁、rk₂和rk₃；

所述S13中采用的侧信道能量攻击方法为CPA法，所述CPA法包括以下步骤：

S1311：采集SM4密码设备上加/解密时的能量曲线表示为T_n(t)；

S1312：获取的所有可能值，表示为c∈[0，2^l-1]，根据c和第n条曲线对应的明文或密文输入，计算SM4第i轮轮函数的输出将轮函数的输出为攻击的中间数据，如果攻击时选择汉明重量模型，则计算的汉明重量，表示为如果攻击时选择汉明距离模型，则计算的汉明距离，表示为

S1313：根据计算T_n(t)和h_n，c的相关性ρ_t，c；

S1314：取相关系数最大值时对应的c，即为对应的实际数据；

S1315：使j＝j+l，如果j+l-1≥32，取l＝32-j+1，否则l保持不变，跳转到步骤S1312继续攻击C_i剩余的比特数据，直到C_i的所有比特被攻击完为止；

j为二进制数据的比特位置索引，l为二进制数据的比特位数，N为总曲线的条数，表示h_n，c的均值。

2.根据权利要求1所述的针对SM4密码算法轮函数输出的选择明文或密文侧信道能量分析攻击的方法，其特征在于，所述S13中采用的侧信道能量攻击方法为DPA法，所述DPA法包括以下步骤：

S1321：采集SM4密码设备上加/解密时的能量曲线表示为T_n(t)；

S₀＝{T_i(t)|F(M_i，K_l)＝0}，

S₁＝{T_i(t)|F(M_i，K_l)＝1}；

S1326：使j＝+l，如果j+l-1≥32，取l＝32-j+1，否则l保持不变，跳转到步骤S1322继续攻击C_i剩余的比特数据，直到C_i的所有比特被攻击完为止；

j为二进制数据的比特位置索引，l为二进制数据的比特位数，T_n(t)为能量曲线，F(Mi，kl)为选择函数，即F(X_i，c，h_n，c)。