CN105553638A - 针对sm4一阶掩码算法的二阶频域能量分析攻击 - Google Patents

Abstract

本发明公开了一种针对SM4一阶掩码算法的二阶频域能量分析攻击的方法，包括以下步骤：S1：采集时域功耗曲线，建立能量消耗矩阵；S2：将S1的时域功耗转换到频域；S3：猜测轮子密钥字节，计算组合中间值，将组合中间值映射为假设能量消耗矩阵；S4：选择S盒的输入输出异或S_in_X_or_S_out作为攻击点，对功率谱矩阵进行CPA攻击；S5：重复S2、S3、S4过程分别获得一轮的4个S盒的子密钥得到轮密钥；S6：对前/后４轮进行步骤S2、S3、S4、S5操作获得4轮的子密钥，通过密钥逆扩展获得初始密钥。本发明创新提出了二阶能量分析的一种新方法，将二阶能量分析从时域分析拓展到了频域分析，能有效避免时域CPA中时间点不对齐的问题。

Description

针对SM4一阶掩码算法的二阶频域能量分析攻击

技术领域

本发明涉及密码算法分析检测领域，尤其针对具有掩码防护的SM4密码算法实现的二阶频域侧信道能量分析，特别是涉及对S盒输入输出中间掩码值相同的SM4密码算法进行的二阶频域侧信道能量分析。

背景技术

随着信息和分析电路技术的发展，对硬件密码电子设备的破解不再单纯的停留在协议和算法上，而是从其处理数据的过程中泄露的信息入手，进行破解。硬件密码电子设备在处理信息的工程中存在能量、电磁、错误和时间等信息的泄露，利用这些泄露的信息对密码电子设备进行攻击，就是所谓的侧信道攻击（SideChannelAttacks）。侧信道攻击可分为能量分析攻击、电磁攻击和错误攻击等，其中能量分析攻击因效率较高，成为侧信道攻击的主要手段。

侧信道能量分析攻击是通过采集加密芯片等硬件密码电子设备在进行加、解密或签名等操作时产生的能量消耗，利用密码学和统计学原理等，分析和破译密钥信息的一种攻击方式。侧信道能量分析攻击又分为简单能量分析攻击（SimplePowerAnalysis，SPA）、差分能量分析攻击（DifferentialPowerAnalysis，DPA）和相关性能量分析攻击（CorrelationPowerAnalysis，CPA）。

在侧信道能量分析攻击中，CPA和DPA相比SPA具有更强的攻击性，所以能量分析攻击中比较常用的是CPA和DPA。其中，DPA攻击的过程如下：

(1)随机选择N组不相同明文或密文M_i（i∈[1,N]）进行加/解密运算，采集每组明文进行加密运算时设备产生的能量曲线T_i(t)，t∈｛1,2,…,k｝，其中k为能量轨迹的采样点数；

(2)选择密钥K_ζ（ζ∈Ω，Ω为密钥空间），计算在K_ζ和M_i条件下，密码算法进行加密运算时在被攻击点产生的中间值D_i,ζ；

(3)根据中间值D_i,ζ确定选择函数F(M_i,K_ζ)，根据选择函数将T_i(t)分为两个子集S₀和S₁，定义式如下：

S₀={T_i(t)∣F(M_i,K_ζ)=0}；

S₁={T_i(t)∣F(M_i,K_ζ)=1}；

(4)计算每个采样点上两个子集的能量平均之差，如

所示，其中|S₀|和|S₁|分别表示集合S₀和S₁中元素的个数；

若K_ζ选择不正确，当N比较大时，两个子集均值差S将趋近于零；若K_ζ选择正确，在均值差S中将会出现一个最大尖峰，通过该尖峰即可确定K_ζ选择正确。

CPA攻击的过程如下：

(1)随机选择N组不相同明文或密文M_i（i∈[1,N]）进行加/解密运算，采集每组明文进行加密运算时设备产生的能量曲线T_i(t)，t∈{1,2,…,k}，其中k为能量轨迹的采样点数；

(2)选择密钥K_ζ（ζ∈Ω，Ω为密钥空间），计算在K_ζ和M_i条件下，密码算法进行加密运算时在被攻击点产生的中间值D_i,ζ；

(3)取中间值D_i,ζ的汉明距离或者汉明重量建立能量模型h_i,ζ，根据式计算T_i(t)和h_i,ζ的相关性ρ_i；

(4)取相关系数最大值时对应的K_ζ，即为实际密钥。

侧信道能量分析攻击技术的不发展对侧信道的防御技术提出了新挑战，其中掩码防御是抵抗侧信道能量分析攻击的一种重要手段。掩码防护根据掩码值是否随机又分为固定掩码和随机掩码，根据重用情况又可分为横向重用型掩码、纵向重用型掩码和非重用型掩码。根据掩码运算方式的不同又可分为乘法掩码、加法掩码，以及在布尔和算数掩码之间转换的方法等。

掩码的目标是使每一个中间值在计算过程中始终处于被掩码状态，这样可以使计算过程中难于猜测到中间值而抵抗一阶侧信道能量分析攻击。在理想的掩码算法中，需要保证每个中间值具有不同的掩码。虽然一阶掩码可以抵抗一阶能量分析，但不能抵抗二阶能量分析，而二阶掩码不能抵抗三阶能量分析，尽管理论上掩码阶数越高越好，但在实际的应用中，需要考虑掩码引入所带来的额外开销，所以目前常用的掩码为一阶掩码。常见的SM4掩码方案包括S盒输入输出中间值掩码相同/不同；每一轮4个S盒的输入中间值相同/不同；每一轮4个S盒的输出中间值相同/不同；轮输入中间值相同/不同。

高阶二阶相关性能量攻击是针对于一阶掩码防御算法的又一种攻击手段，其攻击思想为利用联合泄露，该联合泄露依赖于密码设备所处理的与同一个掩码相关的两个中间值。针对掩码为布尔异或掩码的算法，所选取的两个中间值u_m，v_m需满足：1）u_m=u⊕m且v_m=v⊕m，其中u,v均为掩码为0时的中间值，m为掩码；2）u_m，v_m中至少有一个与密钥k的一部分有关；3）两个中间值u_m，v_m的组合中间值u_m⊕v_m与掩码无关。

SM4算法是分组长度和密钥长度均为128bit，加密算法和解密算法均为32轮的非线性迭代密码算法，其加密算法和解密算法结构相同，只是运算时轮密钥使用的顺序相反，解密轮密钥是加密轮密钥的逆序。SM4加密算法的详细流程如图1所示。

在图1中X_i∈Z₂ ³²(Z₂ ^e表示e比特的向量集)，明文输入为(X₀，X₁，X₂，X₃)∈(Z₂ ³²)⁴，密文输出为(Y₀，Y₁，Y₂，Y₃)，其中X_i、X_i+1、X_i+2和X_i+3为轮迭代运算函数F的输入，rk_i∈Z₂ ³²为每轮的轮密钥，i∈{0，1，2，…，31}。

从加密的流程可以看出，轮迭代函数F包括的运算有异或、非线性变换τ和线性变换L，轮迭代函数的表达式为：X_i+4=F(X_i,X_i+1,X_i+2,X_i+3,rk_i)=X_i⊕T(X_i+1⊕X_i+2⊕X_i+3⊕rk_i)，在该表达式中，T表示合成置换，是由非线性变换τ和线性变换L复合而成，迭代函数F的详细的流程如图2所示。在整个SM4密码算法的加解密过程中，一共要执行32轮这样的轮迭代函数F。

令res_i=T(X_i+1⊕X_i+2⊕X_i+3⊕rk_i)，则：X_i+4=F(X_i,X_i+1,X_i+2,X_i+3,rk_i)=X_i⊕T(X_i+1⊕X_i+2⊕X_i+3⊕rk_i)变为：X_i+4=F(X_i,X_i+1,X_i+2,X_i+3,rk_i)=X_i⊕res_i，非线性变换τ是由4个并行S盒子构成，每个S盒子为固定的8bit输入8bit输出的置换，记为Sbox(.)。

设输入为A_i=a_i,0║a_i,1║a_i,2║a_i,3=X_i+1⊕X_i+2⊕X_i+3⊕rk_i，其中a_i,j∈Z₂ ³²，表示第i轮第j(j∈{0，1，2，3})个S盒子的输入，║表示两个数据bit的拼接，输出为B_i=b_i,0║b_i,1║b_i,2║b_i,3，b_i,j∈Z₂ ³²，b_i,j表示第i轮、第j个S盒子的输出，则非线性变换τ为：B_i=τ(A_i)=Sbox(a_i,0)║Sbox(a_i,1)║Sbox(a_i,2)║Sbox(a_i,3)。

线性变换L的描述如下所示，

C_i=L(B_i)=B_i⊕(B_i<<<2)⊕(B_i<<<10)⊕(B_i<<<18)⊕(B_i<<<24)

在该式中，C_i∈Z₂ ³²，B_i∈Z₂ ³²，C_i为线性变换L的输出，B_i为线性变换L的输入，同时也是非线性变换τ的输出。

对SM4密码算法的能量分析方法通常选取S盒的输出、L移位的输出作为攻击对象，使用汉明重量、单比特模型，利用DPA和CPA方法进行分析。这些方法仅利用了典型的分析点。

SM4的密钥扩展算法：轮密钥由加密密钥通过密钥扩展算法生成，其结构与加密变换类似。设加密密钥为MK=(MK₀，MK₁，MK₂，MK₃)，MK_i∈Z₂ ³²,i=0,1,2,3；令K_i∈Z₂ ³²,i=0,1,2,…,35，轮密钥rk_i∈Z₂ ³²,i=0,1,2,…,31，则轮密钥生成方法如下式所示：

(K₀，K₁，K₂，K₃)=(MK₀⊕FK₀，MK₁⊕FK₁，MK₂⊕FK₂，MK₃⊕FK₃)

rk_i=K_i+4=K_i⊕T^’(K_i+1⊕K_i+2⊕K_i+3⊕CK_i)

其中，T’变换与加密变换中的T变换基本相同，只是其中的线性变换L必须修改为以下L’：L’(B)=B⊕(B<<<13)⊕(B<<<23)；

系统参数FK_i(i=0,1,2,3)的取值，采用16进制表示为：

FK₀=A3B1BAC6，FK₁=56AA3350，FK₂=677D9197，FK₃=B27022DC

固定参数CK的取值方法为设ck_i,j为CK_i的第j字节(i=0,1,2,…,31；j=0,1,2,3)，即CK_i=(ck_i,0，ck_i,1，ck_i,2，ck_i,3,)∈(Z₂ ³²)，则ck_i,j=(4i+j)×7(mod256)。32个固定参数CK_i用16进制表示为：

00070e15,1c232a31,383f464d,545b6269,70777e85,8c939aa1,a8afb6bd,c4cbd2d9,

e0e7eef5,fc030a11,181f262d,343b4249,50575e65,6c737a81,888f969d,a4abb2b9,

c0c7ced5,dce3eaf1,f8ff060d,141b2229,30373e45,4c535a61,686f767d,848b9299,

a0a7aeb5,bcc3cad1,d8dfe6ed,f4fb0209,10171e25,2c333a41,484f565d,646b7279。

根据密钥扩展算法，反推出密钥的方法如下：

a、已知加密明文/解密密文：

对于已知加密明文/解密密文，攻击出前四轮的轮子密钥rk₀、rk₁、rk₂、rk₃，根据密钥扩展算法得下式：

rk₀=K₄=K₀⊕T(K₁⊕K₂⊕K₃⊕CK₀)（1）

rk₁=K₅=K₁⊕T(K₂⊕K₃⊕K₄⊕CK₁)（2）

rk₂=K₆=K₂⊕T(K₃⊕K₄⊕K₅⊕CK₂)（3）

rk₃=K₇=K₃⊕T(K₄⊕K₅⊕K₆⊕CK₃)（4）

由(1)、(2)、(3)和(4)式可得K₃，如(5)式所示：

K₃=rk₃⊕T(rk₀⊕rk₁⊕rk₂⊕CK₃)(5)

由(3)和(5)式得K₂，如(6)式所示：

K₂=rk₂⊕T(K₃⊕rk₀⊕rk₁⊕CK₂)(6)

由(2)、(5)和(6)式得K₁，如(7)式所示：

K₁=rk₁⊕T(K₂⊕K₃⊕rk₀⊕CK₁)(7)

由(2)、(5)和(6)式得K₀，如(8)式所示：

K₀=rk₀⊕T(K₁⊕K₂⊕K₃⊕CK₀)(8)

又(K₀，K₁，K₂，K₃)=(MK₀⊕FK₀，MK₁⊕FK₁，MK₂⊕FK₂，MK₃⊕FK₃)，所以可得密钥为MK₀=K₀⊕FK₀，MK₁=K₁⊕FK₁，MK₂=K₂⊕FK₂，MK₃=K₃⊕FK₃；

b、已知加密密文/解密明文：

对于已知加密密文/解密明文，攻击出后四轮的轮子密钥rk₀、rk₁、rk₂、rk₃，根据密钥扩展算法得下式：

rk₀=K₃₅=K₃₁⊕T(K₃₂⊕K₃₃⊕K₃₄⊕CK₃₁)（9）

rk₁=K₃₄=K₃₀⊕T(K₃₁⊕K₃₂⊕K₃₃⊕CK₃₀)（10）

rk₂=K₃₃=K₂₉⊕T(K₃₀⊕K₃₁⊕K₃₂⊕CK₂₉)（11）

rk₃=K₃₂=K₂₈⊕T(K₂₉⊕K₃₀⊕K₃₁⊕CK₂₈)（12）

由(9)、（10）、（11）和(12)式子，得到K₃₂、K₃₃、K₃₄和K₃₅，i取31到0，计算K_i=K_i+4⊕T(K_i+1⊕K_i+2⊕K_i+3⊕CK_i)，即可得到K₀，K₁，K₂，K₃，又(K₀，K₁，K₂，K₃)=(MK₀⊕FK₀，MK₁⊕FK₁，MK₂⊕FK₂，MK₃⊕FK₃)，所以可得密钥为MK₀=K₀⊕FK₀，MK₁=K₁⊕FK₁，MK₂=K₂⊕FK₂，MK₃=K₃⊕FK₃。

目前，也有选择轮函数的输出作为攻击对象的能量分析方法，即以轮函数输出v_i,j ^k=(L^-1(X_i+4 ^k))_j=(L^-1(X_i ^k))_j⊕τ(X_i+1,j ^k⊕X_i+2,j ^k⊕X_i+3,j ^k⊕rk_i,j)实施侧信道能量分析攻击，其中v_i,j ^k是输入第k组明文或密文时，第i轮轮密钥第j个字节的攻击对象，i∈{0,1,2,3}，j∈{0,1,2,3}，L^-1(X)是对L(X)的逆运算。而此攻击对象的计算方法：v_i,j ^k=(L^-1(X_i+4 ^k))_j=(L^-1(X_i ^k))_j⊕τ(X_i+1,j ^k⊕X_i+2,j ^k⊕X_i+3,j ^k⊕rk_i,j)，决定了在对SM4密码算法实施CPA或DPA侧信道能量分析攻击时，只能是按照字节的倍数进行攻击，而不能以轮函数输出的任意比特例如单比特进行CPA或DPA侧信道能量分析攻击。

目前，为了抵抗DPA/CPA攻击，采用掩码防护措施的SM4掩码算法应用越来越多，但是，虽然目前有针对掩码二阶分析的方法提出，但都是从时域上进行的二阶分析，目前尚未有从频域上进行二阶侧信道分析的相关方法提出，因此，提出频域上的二阶侧信道分析方法，对于二阶能量分析技术的完善和发展具有重要意义。

发明内容

本发明的目的是提供一种针对SM4一阶掩码算法的二阶频域能量分析攻击的方法，特别是针对S盒输入输出中间值掩码值相同的SM4密码算法实现了二阶频域侧信道能量分析方法。本方法首次提出了二阶能量分析的频域分析方法，频域分析较时域分析在曲线对齐问题上有较好的效果。

实现上述发明的技术方案为，一种针对SM4一阶掩码算法的二阶频域能量分析攻击的方法，具体包括以下步骤：

S1：采集功耗曲线，建立能量消耗矩阵；

S2：将S1的时域功耗转换到频域；

S3：猜测轮子密钥字节，计算组合中间值，将组合中间值映射为假设能量消耗矩阵；

S4：选择S盒的输入输出异或S_in_X_or_S_out作为攻击点，对功率谱矩阵进行CPA攻击；

S5：重复S2、S3、S4过程分别获得一轮的4个S盒的子密钥得到轮密钥；

S6：对前/后４轮进行步骤S2、S3、S4、S5操作获得4轮的子密钥，通过密钥逆扩展获得初始密钥。

S1具体包括以下步骤：

随机选择组明文（密文），通过密码设备进行加密（解密）操作，采集密码设备的能量消耗曲线，将N条功耗曲线存为矩阵，第n次加/解密，对应t时刻的能量消耗记为e_n ^t，n∈{1,2,…,N}，t∈{1,2,…,T}。

S2具体包括以下步骤：

在N条能量迹上选取包含S盒输入输出部分关键点信息的能量迹，记为，且集合{a,a+1,…,b}包含于集合{1,2,…,T}，a,b∈N⁺，Tˊ=b-a+1，对Eˊ(N*Tˊ)进行傅里叶变换将时域信号转换到频域，记为E(ω)=FFT(Eˊ(N*Tˊ))，对E(ω)求功率谱矩阵，记为。

S3具体包括以下步骤：

猜测轮子密钥字节，每一组明文/密文下针对一个S盒密钥猜测2⁸次密钥，此时S盒输入中间值矩阵为、S盒输出的中间值矩阵，组合中间值为，S_n ⁱ=SIN_n ⁱ⊕SOUT_n ⁱ。采用汉明重量模型将组合中间值矩阵S(N*2⁸)映射为假设能量消耗矩阵，所求假设能量消耗矩阵记为，h_n ⁱ=HW(S_n ⁱ)。

S4具体包括以下步骤：

选择S盒的输入输出异或S_in_X_or_S_out作为攻击点，对功率谱矩阵进行CPA攻击的步骤包括：对假设能量消耗矩阵H(N*256)的每一列hⁱ和所处理后得到的功率谱矩阵E_p的每一列Pⁱ计算皮尔逊相关系数，得到的矩阵大小为Tˊ*256的相关系数矩阵。对ρ_t ⁱ的值进行判断，找出相关系数矩阵ρ_T’*256中的最大值，最大值对应的猜测密钥即为正确密钥。

S5具体包括以下步骤：

重复S2、S3、S4过程由于一轮SM4密码运算中包含4个S盒运算，所以需要重复攻击一轮中的4个不同S盒才能够获得4个字节的轮密钥。

S6具体包括以下步骤：

对前/后４轮进行步骤S2、S3、S4、S5操作获得4轮的子密钥的方法应用于:加密/解密运算已知明文/密文攻击前4轮，已知密文/明文攻击后4轮；最后通过密钥逆扩展获得初始密钥。

本发明的技术方案具有以下优点：

当前对具有掩码防护措施的SM4密码算法没有从频域分析的具体攻击方法。本发明对对S盒输入输出中间掩码值相同的SM4密码算法创新地提出了频域的二阶能量分析方法，扩展了对SM4密码算法攻击的研究手段，使用本方法能够更高效地对SM4密码算法实现二阶能量分析；本发明提出的方法在曲线对齐问题上具有更好的对齐效果。

附图说明

图1为SM4加密算法流程图。

图2为迭代函数F的流程图。

图3为S盒输入输出掩码值相同的防御方案。

图4为S盒输入输出掩码值相同的SM4算法的攻击点。

图5为针对SM4一阶掩码算法的二阶频域相关性能量分析攻击的流程图。

具体实施方式

下面对本发明的具体实施方式进行描述，以便于本技术领域的技术人员理解本发明，但应该清楚，本发明不限于具体实施方式的范围，对本技术领域的普通技术人员来讲，只要各种变化在所附的权利要求限定和确定的本发明的精神和范围内，这些变化是显而易见的，一切利用本发明构思的发明创造均在保护之列。

针对SM4一阶掩码算法的二阶能量分析攻击的方法，适用于S盒输入输出中间值相同的SM4密码算法，但不局限于SM4密码算法S盒输入输出中间值相同的密码算法，对于具备S盒输入输出中间值相同的其他密码算法S盒具有同样的攻击效果。本实施以针对S盒输入输出中间值相同的SM4加密算法，其二阶频域攻击方法包括以下步骤：

S1：采集功耗曲线，建立能量消耗矩阵；

S2：将S1的时域功耗转换到频域；

S3：猜测轮子密钥字节，计算组合中间值，将组合中间值映射为假设能量消耗矩阵；

S4:选择S盒的输入输出异或S_in_X_or_S_out作为攻击点，对功率谱矩阵进行CPA攻击；

S5：重复S2、S3、S4过程分别获得一轮的4个S盒的子密钥得到轮密钥；

S6：对前/后４轮进行步骤S2、S3、S4、S5操作获得4轮的子密钥，通过密钥逆扩展获得初始密钥。

其中，S1具体包括以下步骤：

随机选择N组明文（密文），通过密码设备进行加密（解密）操作，采集密码设备的能量消耗曲线，将N条功耗曲线存为矩阵，第n次加/解密，对应t时刻的能量消耗记为e_n ^t，n∈{1,2,…,N}，t∈{1,2,…,T}。

S2具体包括以下步骤：

已知加密明文/解密密文情况下，选取N组能量迹上第一轮的第m个包含S盒输入和S盒输出两个关键点信息的能量迹；已知加密密文/解密明文情况下，选取N组能量迹上第32轮的第m个包含S盒输入和S盒输出两个关键点信息的能量迹，m∈{1,2,3,4}，记选取的能量迹矩阵为，且集合{a,a+1,…,b}包含于集合{1,2,…,T}，a,b∈N⁺，Tˊ=b-a+1，对Eˊ(N*Tˊ)进行傅里叶变换将时域信号转换到频域，记为E(ω)=FFT(Eˊ(N*Tˊ))，对E(ω)求功率谱矩阵，记为。

S3具体包括以下步骤：

猜测S2中所选取S盒的轮子密钥字节，每一组明文/密文下针对一个S盒密钥猜测2⁸次密钥，此时S盒输入中间值矩阵为、S盒输出的中间值矩阵，组合中间值为，S_n ⁱ=SIN_n ⁱ⊕SOUT_n ⁱ。采用汉明重量模型将组合中间值矩阵S(N*2⁸)映射为假设能量消耗矩阵，所求假设能量消耗矩阵记为，h_n ⁱ=HW(S_n ⁱ)。

S4具体包括以下步骤：

选择S盒的输入输出异或S_in_X_or_S_out作为攻击点，对功率谱矩阵进行CPA攻击的步骤包括：对假设能量消耗矩阵H(N*256)的每一列hⁱ和所处理后得到的功率谱矩阵E_p的每一列Pⁱ计算皮尔逊相关系数，得到的矩阵大小为Tˊ*256的相关系数矩阵。对ρ_t ⁱ的值进行判断，找出相关系数矩阵ρ_T’*256中的最大值，若最大值为ρ_t ^d则正确猜测密钥为d。

S5具体包括以下步骤：

已知加密明文/解密密文情况下，重复S2、S3、S4过程分析第1轮的4个S盒，即m取1到4，得到第一轮轮密钥rk₀；已知加密密文/解密明文情况下重复S2、S3、S4过程，分析第32轮的4个S盒，得到第32轮轮密钥rk₃₁。

S6具体包括以下步骤：

对于已知加密明文/解密密文的攻击前4轮，在S5中分析出第一轮轮密钥rk₀后，重复步骤S2、S3、S4、S5，依次获得rk₁，rk₂，rk₃；对于已知加密密文/解密明文的攻击后4轮，在S5中分析出第一轮轮密钥rk₃₁后，重复步骤S2、S3、S4、S5，依次获得rk₃₀，rk₂₉，rk₂₈，最后通过密钥逆扩展获得初始密钥。

Claims (7)

1.针对SM4一阶掩码算法的二阶频域能量分析攻击的方法，其特征在于，所述方法包括以下步骤：

S1：采集功耗曲线，建立能量消耗矩阵；

S2：将S1的时域功耗转换到频域；

S3：猜测轮子密钥字节，计算组合中间值，将组合中间值映射为假设能量消耗矩阵；

S4：选择S盒的输入输出异或S_in_X_or_S_out作为攻击点，对功率谱矩阵进行CPA攻击；

S5：重复S2、S3、S4过程分别获得一轮的4个S盒的子密钥得到轮密钥；

S6：对前/后4轮进行步骤S2、S3、S4、S5操作获得4轮的子密钥，通过密钥逆扩展获得初始密钥。

2.根据权利要求1所述的针对SM4一阶掩码算法的二阶频域能量分析攻击的方法，其特征在于，所述S1具体过程为：随机选择N组明文（密文），通过密码设备进行加密（解密）操作，采集密码设备的能量消耗曲线，将N条功耗曲线存为矩阵，第n次加/解密，对应t时刻的能量消耗记为e_n ^t，n∈｛1,2,…,N｝，t∈｛1,2,…,T｝。

3.根据权利要求1所述的针对SM4一阶掩码算法的二阶频域能量分析攻击的方法，其特征在于，所述S2中将S1的时域功耗转换到频域为选取一个S盒运算部分转换到频域，所述S2具体过程为：在N条能量迹上选取包含S盒输入输出部分关键点信息的能量迹，记为，且集合｛a,a+1,…,b｝包含于集合｛1,2,…,T｝，a,b∈N⁺，Tˊ=b－a＋1，对Eˊ(N*Tˊ)进行傅里叶变换将时域信号转换到频域，记为E(ω)=FFT(Eˊ(N*Tˊ))，对E(ω)求功率谱矩阵，记为。

4.根据权利要求1所述的针对SM4一阶掩码算法的二阶频域能量分析攻击的方法，其特征在于，所述S3中猜测轮子密钥字节，每一组明文/密文下针对一个S盒密钥猜测2⁸次密钥，此时S盒输入中间值矩阵为、S盒输出的中间值矩阵为，组合中间值为，S_n ⁱ=SIN_n ⁱ⊕SOUT_n ⁱ，采用汉明重量模型将组合中间值矩阵S(N*2⁸)映射为假设能量消耗矩阵，所求假设能量消耗矩阵记为，h_n ⁱ=HW(S_n ⁱ)。

5.根据权利要求1所述的针对SM4一阶掩码算法的二阶频域能量分析攻击的方法，其特征在于，所述S4选择S盒的输入输出异或S_in_X_or_S_out作为攻击点，对功率谱矩阵进行CPA攻击的步骤包括：对假设能量消耗矩阵H(N*256)的每一列hⁱ和所处理后得到的功率谱矩阵E_p的每一列Pⁱ计算皮尔逊相关系数，得到的矩阵大小为Tˊ*256的相关系数矩阵，对ρ_t ⁱ的值进行判断，找出相关系数矩阵ρ_Tˊ*256中的最大值，最大值对应的猜测密钥即为正确密钥。

6.根据权利要求1所述的针对SM4一阶掩码算法的二阶频域能量分析攻击的方法，其特征在于，所述S5重复S2、S3、S4过程，由于一轮SM4密码运算中包含4个S盒运算，所以需要重复攻击一轮中的4个不同S盒才能够获得4个字节的轮密钥。

7.根据权利要求1所述的针对SM4一阶掩码算法的二阶频域能量分析攻击的方法，其特征在于，所述S6中的对前/后４轮进行步骤S2、S3、S4、S5操作获得4轮的子密钥的方法应用于加密/解密运算已知明文/密文攻击的前4轮，已知密文/明文攻击的后4轮，最后通过密钥逆扩展获得初始密钥。