CN109257160B - 一种基于决策树的侧信道模板攻击方法 - Google Patents

Abstract

本发明公开了一种基于决策树的侧信道模板攻击方法，首先采集能量迹，建立能量消耗矩阵U，构建决策树模型，选择从根节点至叶节点出现的特征，然后根据选择的特征对能量消耗矩阵U进行抽取，建立能量消耗矩阵T，再根据对应明文与密钥，选择密码算法关键点的函数建立汉明重量列向量H，以能量消耗矩阵T为输入、汉明重量列向量H为输出，构建模板，从而很好地提取了特征，最后，采集随机明文、固定密钥的能量迹，引入映射的匹配策略，得到密钥，从而提高了模板匹配效果，进而提高了攻击成功率。

Description

一种基于决策树的侧信道模板攻击方法

技术领域

本发明属于密码算法分析检测技术领域，更为具体地讲，涉及一种基于决策树的侧信道模板攻击方法。

背景技术

侧信道模板攻击是一种非常强有力的侧信道攻击方式。侧信道模板攻击分为两个阶段：模板构建和模板匹配。其中，模板构建阶段最重要的是特征提取。目前常见的特征提取方法有相关系数法、SOSD(Sum Of Squared pairwise Difference)、主成分分析(PCA)。其中，相关系数法是基于汉明重量的大小与能量消耗呈相关性，但提取出的特征存在很大冗余性，很多点相关系数很大，但这些点自身的线性相关容易造成模板攻击中矩阵的数值问题；SOSD通过把不同汉明重量的点分类，计算差的平方和来提取差异大的点，缺点与相关系数法类似；PCA能够压缩能量迹，同时保留重要的点，但缺点是特征点与能量消耗的相关性会减弱。

发明内容

本发明的目的在于克服现有技术的不足，提出一种基于决策树的侧信道模板攻击方法，以很好地提取特征，同时，提高模板匹配效果，从而提高攻击成功率。

为实现上述发明目的，本发明基于决策树的侧信道模板攻击方法，其特征在于，包括以下步骤：

(1)、模板构建

1.1)、在微控制器上运行AES密码算法，每发送一个随机明文、随机密钥，便采集一条对应的能量迹，每条能量迹有T'个采样点；

发送N次，共采集N条能量迹，采样点的采样值按行放置，从而构建N×T'大小的能量消耗矩阵U₁；

1.2)、对每条能量迹，计算该能量迹对应的明文与密钥的汉明重量

汉明重量的取值范围为0～8，其中d_n和k_n分别为第n个随机明文、随机密钥的第一轮第一字节明文和密钥，从而构建N维汉明重量列向量H；

1.3)、从能量消耗矩阵U₁选出特征点

1.3.1)、对于第t列N个采样值d_n,t，n＝1,2,...,N，根据其所在行，在N维汉明重量列向量H中对应行找到汉明重量作为其汉明重量，统计每一汉明重量w对应的采样值个数c_t,w，w＝0,1,2,...,8，然后得到每一汉明重量的取值概率：

1.3.2)、计算第t列N个采样值d_n,t的信息熵h_t：

1.3.3)、在第t列N个采样值d_n,t中找到最小值和最大值，然后在最小值到最大值等间隔确定K个采样值，并记为d'_k,t，k＝1,2,...,K；

对于等间隔确定的第k个采样值d'_k,t，将N个采样值d_n,t中小于等于采样值d'_k,t划分为一个集合D_{k,t_1}，剩余的划分为一个D_{k,t_2}，然后计算第k个采样值d'_k,t的信息增益g_t,k：

其中，c'_{t,k_b}，b＝1,2为集合D_{k,t_b}的采样值个数，h_{t,k_i}为集合D_{k,t_b}的信息熵(按照步骤1.3.1、1.3.2的计算方式进行)；

1.3.4)、在K个信息增益g_t,k，k＝1,2,...,K中选出最大的信息增益，并作为第t列的信息增益g_t，其对应的采样值所在行为第t列的特征点；

对于能量消耗矩阵U₁的T'列最大的信息增益g_{t_max}，t＝1,2,...,T'，再选取最大的列的特征点作为特征点s₁，其对应采样值为特征值e₁；

1.4)、生成决策树：

1.4.1)、根据特征点s₁所在列，该列采样值小于等于特征值e₁的采样点所在行从能量消耗矩阵U₁选出，并组成一个能量消耗矩阵U₂，能量消耗矩阵U₁中剩余的行组成能量消耗矩阵U₃；

按照步骤1.3)的方法，从能量消耗矩阵U₂选出特征点s₂、特征值e₂，从能量消耗矩阵U₃选出特征点s₃、特征值e₃，将特征点s₁作为根节点，特征点s₂、特征点s₃分别作为特征点s₁的叶节点，生成一层决策树；

1.4.2)、能量消耗矩阵U₂、能量消耗矩阵U₃按照1.4.1)的方法再次分别划分为能量消耗矩阵U₄、U₅以及能量消耗矩阵U₆、U₇，然后选出特征点s₄和特征值e₄、特征点s₅和特征值e₅以及特征点s₆和特征值e₆、特征点s₇和特征值e₇，将特征点s₂作为根节点，特征点s₄、特征点s₅分别作为特征点s₂的叶节点，将特征点s₃作为根节点，特征点s₆、特征点s₇分别作为特征点s₃的叶节点再生成一层决策树；

这样不断对能量消耗矩阵进行划分，选出特征点，生成决策树层，当达到设定的层数时，终止划分和生成，得到最终生成的决策树；

1.5)、对最终生成的决策树，从根节点到叶节点层次遍历方式，提取每次划分的特征点；

1.6)、根据提取的特征点所在列，对能量消耗矩阵U₁的列进行抽取，得到矩阵T，矩阵T大小为N×P，其中，P为提取的特征点的个数；

1.7)、依据汉明重量列向量H，则把矩阵T中对应的行加入子矩阵T_w，w＝0,1,2,...,8由此划分得到9个子矩阵；

1.8)、对每个子矩阵T_w，w＝0,1,2,...,8，分别计算样本均值

和协方差矩阵/>

其中，n_w表示子矩阵T_w的行数，

表示子矩阵T_w中第i行、第j列的采样值，/>

表示子矩阵T_w中第l行、第i列的采样值，/>

表示子矩阵T_w中第l行、第j列的采样值；

1.9)、根据样本均值向量M_w和协方差矩阵C_w，w＝0,1,2,...,8，得到9种汉明重量的模板；

其中，p(M|w)表示待攻击能量迹特征点向量M属于汉明重量w的概率；

(2)、模板匹配

2.1)、对被攻击的运行AES密码算法的微控制器，如步骤1.1)采集随机明文、固定密钥的Q条能量迹；

2.2)、根据步骤1.5)提取的特征点所在列，对Q条能量迹根据提取的特征点所在列进行抽取，得到Q个待攻击能量迹特征点向量

2.3)、将待攻击能量迹特征点向量MS_q作为M代入步骤1.9)得到的9种汉明重量的模板，得到属于汉明重量w的概率p(M|w)，w＝0,1,2,...,8，选取最大概率对应的汉明重量作为第q待攻击能量迹的汉明重量HW(q)；

2.4)、汉明重量HW(q)进行映射，若汉明重量HW(q)>4，则映射为1，若HW(q)<4，则映射为-1，若HW(q)＝4，则则映射为0；

2.5)、对于第1条待攻击能量迹，若其汉明重量HW(1)映射后的值不为0，则遍历密钥空间K'，计算假设汉明重量

若假设汉明重量映射后的值为0或与汉明重量HW(1)映射后的值一致，则保留该密钥k'，否则排除该密钥k'，更新密钥空间K'；若映射后的值为0，则不予处理，其中，d'₁为第1待攻击能量迹对应第一轮第一字节明文；

2.6)、选择第2条待攻击能量迹，重复步骤2.5)，再进行密钥筛选，然后选择第3条待攻击能量迹进行密钥筛选，这样不断选取待攻击能量迹对密钥进行筛选，直到密钥空间K'大小为1，则该密钥为所求密钥即步骤2.1)的固定密钥。

本发明的目的是这样实现的。

本发明基于决策树的侧信道模板攻击方法，首先采集能量迹，建立能量消耗矩阵U，构建决策树模型，选择从根节点至叶节点出现的特征，然后根据选择的特征对能量消耗矩阵U进行抽取，建立能量消耗矩阵T，再根据对应明文与密钥，选择密码算法关键点的函数建立汉明重量列向量H，以能量消耗矩阵T为输入、汉明重量列向量H为输出，构建模板，从而很好地提取了特征，最后，采集随机明文、固定密钥的能量迹，引入映射的匹配策略，得到密钥，从而提高了模板匹配效果，进而提高了攻击成功率。

本发明在模板构建中，采用基于决策树的特征提取方法，可以通过每次选取信息增益最大的采样点来提取特征。由于具有相似的采样点其每次集合划分效果类似，在决策树的生长过程中，特征点的冗余会大大减小，同时已选取的划分点具有最大的信息增益，因此能取得很好的特征提取效果。

附图说明

图1是本发明基于决策树的侧信道模板攻击方法一种具体实施方式的流程图；

图2是采集的一条能量迹的曲线图；

图3是能量消耗矩阵U₁的信息增益曲线图；

图4是生成的决策树图。

具体实施方式

下面结合附图对本发明的具体实施方式进行描述，以便本领域的技术人员更好地理解本发明。需要特别提醒注意的是，在以下的描述中，当已知功能和设计的详细描述也许会淡化本发明的主要内容时，这些描述在这里将被忽略。

图1是本发明基于决策树的侧信道模板攻击方法一种具体实施方式的流程图。

在本实施例中，如图1所示，本发明基于决策树的侧信道模板攻击方法，其特征在于，包括以下步骤：

步骤S1：模板构建

步骤S1.1：采集用于构建匹配模板的能量迹

在一款AVR XMEGA微控制器上运行AES密码算法，每发送一个随机明文、随机密钥，便采集一条对应的能量迹，每条能量迹有T'个采样点；

发送N次，共采集N条能量迹，采样点的采样值按行放置，从而构建N×T'大小的能量消耗矩阵U₁。

本发明应用于攻击者与被攻击者拥有相同或类似的密码运行微处理器，并在上面运行AES密码算法。

首先发送N条随机明文与随机密钥，采集采样点数为T'的功耗曲线作为能量迹，N次采集，能量消耗矩阵U₁，其中一条能量迹如图2所示，采样点数为T'＝5000。

步骤S1.2：计算能量迹对应的明文与密钥的汉明重量

对每条能量迹，计算该能量迹对应的明文与密钥的汉明重量

汉明重量的取值范围为0～8，其中d_n和k_n分别为第n个随机明文、随机密钥的第一轮第一字节明文和密钥，从而构建N维汉明重量列向量H。

步骤S1.3：从能量消耗矩阵U₁选出特征点

步骤S1.3.1：对于第t列N个采样值d_n,t，n＝1,2,...,N，根据其所在行，在N维汉明重量列向量H中对应行找到汉明重量作为其汉明重量，统计每一汉明重量w对应的采样值个数c_t,w，w＝0,1,2,...,8，然后得到每一汉明重量的取值概率：

步骤S1.3.2：计算第t列N个采样值d_n,t的信息熵h_t：

步骤S1.3.3：在第t列N个采样值d_n,t中找到最小值和最大值，然后在最小值到最大值等间隔确定K个采样值，并记为d'_k,t，k＝1,2,...,K；

对于等间隔确定的第k个采样值d'_k,t，将N个采样值d_n,t中小于等于采样值d'_k,t划分为一个集合D_{k,t_1}，剩余的划分为一个D_{k,t_2}，然后计算第k个采样值d'_k,t的信息增益g_t,k：

其中，c'_{t,k_b}，b＝1,2为集合D_{k,t_b}的采样值个数，h_{t,k_i}为集合D_{k,t_b}的信息熵(按照步骤1.3.1、1.3.2的计算方式进行)；

步骤S1.3.4：在K个信息增益g_t,k，k＝1,2,...,K中选出最大的信息增益g_t,k，并作为第t列的信息增益g_t，其对应的采样值所在行为第t列的特征点；

对于能量消耗矩阵U₁的T'列最大的信息增益g_{t_max}，t＝1,2,...,T'，再选取最大的列的特征点作为特征点s₁，其对应采样值为特征值e₁。

在本实施例中，能量消耗矩阵U₁的T'列信息增益g_t，t＝1,2,...,T'，构成的信息增益曲线如图3所示

步骤S1.4：生成决策树

步骤S1.4.1：根据特征点s₁所在列，该列采样值小于等于特征值e₁的采样点所在行从能量消耗矩阵U₁选出，并组成一个能量消耗矩阵U₂，能量消耗矩阵U₁中剩余的行组成能量消耗矩阵U₃；

按照步骤S1.3的方法，从能量消耗矩阵U₂选出特征点s₂、特征值e₂，从能量消耗矩阵U₃选出特征点s₃、特征值e₃，将特征点s₁作为根节点，特征点s₂、特征点s₃分别作为特征点s₁的叶节点，生成一层决策树；

步骤S1.4.2：能量消耗矩阵U₂、能量消耗矩阵U₃按照步骤S1.4.1的方法再次分别划分为能量消耗矩阵U₄、U₅以及能量消耗矩阵U₆、U₇，然后选出特征点s₄和特征值e₄、特征点s₅和特征值e₅以及特征点s₆和特征值e₆、特征点s₇和特征值e₇，将特征点s₂作为根节点，特征点s₄、特征点s₅分别作为特征点s₂的叶节点，将特征点s₃作为根节点，特征点s₆、特征点s₇分别作为特征点s₃的叶节点再生成一层决策树；

这样不断对能量消耗矩阵进行划分，选出特征点，生成决策树层，当达到设定的层数时，终止划分和生成，得到最终生成的决策树，如图4所示。

步骤S1.5：提取特征点

对最终生成的决策树，从根节点到叶节点层次遍历方式，提取每次划分的特征点，即特征点s₁、s₂、s₃...。

步骤S1.6：能量消耗矩阵U₁的列进行抽取，得到矩阵T

根据提取的特征点所在列，对能量消耗矩阵U₁的列进行抽取，得到矩阵T，矩阵T大小为N×P，其中，P为提取的特征点的个数。

步骤S1.7：依据汉明重量列向量H，把矩阵T划分为9个子矩阵

依据汉明重量列向量H，则把矩阵T中对应的行加入子矩阵T_w，w＝0,1,2,...,8由此划分得到9个子矩阵。

步骤S1.8：对每个子矩阵分别计算样本均值和协方差矩阵

对每个子矩阵T_w，w＝0,1,2,...,8，分别计算样本均值

和协方差矩阵/>

其中，n_w表示子矩阵T_w的行数，

表示子矩阵T_w中第i行、第j列的采样值，/>

表示子矩阵T_w中第l行、第i列的采样值，/>

表示子矩阵T_w中第l行、第j列的采样值；

步骤S1.9：构建9种汉明重量的模板

根据样本均值向量M_w和协方差矩阵C_w，w＝0,1,2,...,8，得到9种汉明重量的模板；

其中，p(M|w)表示待攻击能量迹特征点向量M属于汉明重量w的概率；

步骤S2：模板匹配

步骤S2.1：采集待攻击的能量迹

对被攻击的运行AES密码算法的微控制器，如步骤S1.1采集随机明文、固定密钥的Q条能量迹。

步骤S2.2：提取特征点，构建待攻击能量迹特征点向量

根据步骤S1.5提取的特征点所在列，对Q条能量迹根据提取的特征点所在列进行抽取，得到Q个待攻击能量迹特征点向量

步骤S2.3：代入9种汉明重量的模板，选取最大概率对应的汉明重量

将待攻击能量迹特征点向量MS_q作为M代入步骤步骤S1.9得到的9种汉明重量的模板，得到属于汉明重量w的概率p(M|w)，w＝0,1,2,...,8，选取最大概率对应的汉明重量作为第q待攻击能量迹的汉明重量HW(q)。

步骤S2.4：汉明重量映射

汉明重量HW(q)进行映射，若汉明重量HW(q)>4，则映射为1，若HW(q)<4，则映射为-1，若HW(q)＝4，则则映射为0。

在本实施例中，为验证模板构建的准确性，发送随机明文与密钥，并采集5000条功耗曲线，对每条曲线，提取相应的特征点，并匹配9种模板，计算后验概率，选取其中的最大值作为汉明重量。匹配得到的汉明重量与真实汉明重量的关系如表1所示。表1中的数值表示条件概率P，即匹配得到的汉明重量为真实汉明重量的概率，其中行为，列为真实汉明重量。

表1

分析表1的结果，由对角线的概率可知，各种汉明重量匹配的准确率在60％左右，模板匹配准确率不是很高。分析原因，可能由于在采集能量迹的时候，各条能量迹由于噪声的存在，无法准确区分开9种汉明重量。为了验证是否存在这样的可能，选取其中二维的特征以及随机的200条曲线，绘出特征点的汉明重量分布图，不同汉明重量的点确实交错在一起，很难在二维情况下分开。

然而，进一步对汉明重量进行0-1映射：HW(q)<4映射为-1，HW(q)>4映射为1，HW(q)＝4映射为0，观察其在二维空间的分布，发现HW(q)＝4的样本与HW(q)<4和HW(q)>4的样本重合度非常高，难以区分开来，计算映射后的条件概率如表2所示。

表2

观察表2对角线，结论与二维空间分别一致，由于HW(q)＝4的存在，对攻击的准确率影响较大。然而由第一行和第三行可知，在匹配映射值为-1的条件下，真实映射值为-1与真映射实值为0的概率之和约为99.82％，在匹配映射值为1的条件下，真实映射值为1与真实映射值为0的概率之和约为99.09％。

因此，结合AES密码算法S盒的特性(平衡性、非线性性、差分均匀性和扩散性)。即固定明文时，遍历密钥空间，那么S盒的输出也将遍历输出空间，且满足上述特性。由此得出一个攻击(匹配)策略：

步骤S2.5：根据映射后的值筛选密钥，并更新密钥空间

对于第1条待攻击能量迹，若其汉明重量HW(1)映射后的值不为0，则遍历密钥空间K'，计算假设汉明重量

若假设汉明重量映射后的值为0或与汉明重量HW(1)映射后的值一致，则保留该密钥k'，否则排除该密钥k'，更新密钥空间K'；若映射后的值为0，则不予处理，其中，d'₁为第1待攻击能量迹对应第一轮第一字节明文；

步骤S2.6：不断重复进行密钥筛选，得到固定密钥

选择第2条待攻击能量迹，重复步骤S2.5，再进行密钥筛选，然后选择第3条待攻击能量迹进行密钥筛选，这样不断选取待攻击能量迹对密钥进行筛选，直到密钥空间K'大小为1，则该密钥为所求密钥即步骤S2.2)的固定密钥。

下面验证上述算法的正确性。若固定密钥，遍历256种明文空间，则汉明重量等于4的中间值数量为

(约27.34％)，汉明重量小于4的中间值数量为93(约36.33％)，汉明重量大于4的中间值数量为93(约36.33％)。当选取匹配映射值为-1的明文(真实值为-1或0的概率为99.82％)，遍历密钥空间，由S盒的特性，存在36.33％的密钥，使得假设汉明重量映射后的值为1(汉明重量小于4)，从而可以排除这部分密钥。这样每选取一个满足条件的明文都可以使密钥空间减少36.33％。由公式(63.66％)¹³×256≈0.72可知，在平均水平下，最多13次明文选择就可以使密钥空间缩短到1个，而满足真实映射值为1的明文数目存在93个。最终密钥破解的成功率为(99.82％)¹³≈97.69％。当提升单次预测的准确率，或提高每次密钥空间减少量时，都可以使最终破解成功率显著提升。

下面以密钥0x3a651e2637abd2a6abf7358d09c42f5ec为例，攻击破解第一字节的密钥，其他字节类似，且整个过程中明文数目可共用，结果如下所示：

第一个明文匹配后密钥空间K'：

00 02 03 04 06 07 08 0a 0b 0c 0d 0e 12 17 19 1a 1d 1e 1f 22 23 29 2a2c 2d 2f 30 33 34 35 37 39 3a 3b 3d 3f 44 45 49 4a 4b 4e 50 51 54 55 56 58 595a 5b 5c 5d 5f 61 62 63 66 69 6a 6b 6e 6f 70 71 73 75 67 77 78 79 7a 7b 7c 7d7e 81 83 85 87 8b 8c 8d 8e 8f 90 91 92 94 95 96 97 99 9a 9b 9c 9d a0 a2 a3 a4a5 a6 a7 a8 a9 ab ac ae b0 b1 b2 b3 b4 b5 b6 b7 ba bb bc bd be bf c1 c3 c5 c7c8 c9 ca cd ce cf d1 d2 d3 d5 d6 d9 db dd de e0 e3 e5 e6 e7 e8 e9 ea eb ef f4f5 f6 f9 fa fb fd fe。

第二个明文匹配后密钥空间K'：

02 04 06 07 08 09 0a 0b 0c 0d 12 1a 1d 1e 23 2a 2d 30 34 37 39 3a 3b3d 3f 44 45 49 4b 50 54 56 58 59 5a 5b 5d 5f 61 63 66 6a 6b 6e 6f 71 75 76 787a 7b 7b 7c 7e 81 83 85 8b 8c 8d 8e 94 95 97 9b 9b 9c a2 a4 a5 a6 a7 a8 a9 abac ae b0 b1 b2 b3 b4 b5 bb be bf c1 c7 c8 ca cd ce d3 db dd de e0 e3 e7 e8 eaf4 f6 f9 fa fb fe。

第三个明文匹配后密钥空间K'：

04 07 09 0a 0c 0d 1a 1d 1e 23 2a 30 34 37 39 3a 3b 3d 3f 49 58 5b 5f61 66 6e 6f 71 75 78 7a 7b 7c 7e 81 85 8b 8d 95 9b a2 a5 a6 a8 a9 ab b1 b3 b4b5 bb be bf c7 c8 ce de e0 e3 e7 ea f4 f6 fa fb fe。

第四个明文匹配后密钥空间K'：

07 09 0d 1d 1e 39 3a 3b 3d 58 5b 5f 66 6f 71 75 78 7a 7c 7e 81 8b 959b a2 a6 b1 b3 b4 b5 be c7 e0 e3 ea f6 fa。

第五个明文匹配后密钥空间K'：

07 09 0d 1d 1e 39 3a 3b 3d 5b 5f 66 6f 71 78 7c 81 9b b3 b4 b5 e3 eaf6 fa。

第六个明文匹配后密钥空间K'：

07 09 0d 1e 39 3a 3d 71 78 7c 9b b3 b4 a3 ea f6 fa。

第七个明文匹配后密钥空间K'：

07 0d 39 3a 71 78 9b b3 b4 f6。

第八个明文匹配后密钥空间K'：

07 39 3a 71 78 9b f6。

第九个明文匹配后密钥空间K'：

07 3a 71 9b f6。

第十个明文匹配后密钥空间K'：

07 3a 9b f6。

第十一个明文匹配后密钥空间K'：

3a 9b f6

第十二个明文匹配后密钥空间K'：

3a

最终，在本实施例中，在VS2015环境下，使用12个明文成功破解出第一字节的密钥0x3a。

尽管上面对本发明说明性的具体实施方式进行了描述，以便于本技术领域的技术人员理解本发明，但应该清楚，本发明不限于具体实施方式的范围，对本技术领域的普通技术人员来讲，只要各种变化在所附的权利要求限定和确定的本发明的精神和范围内，这些变化是显而易见的，一切利用本发明构思的发明创造均在保护之列。

Claims (1)

1.一种基于决策树的侧信道模板攻击方法，用于密码算法分析检测，其特征在于，包括以下步骤：

(1)、模板构建

1.1)、在微控制器上运行AES密码算法，每发送一个随机明文及一个随机密钥，便采集一条对应的能量迹，每条能量迹有T'个采样点；

发送N次，共采集N条能量迹，采样点的采样值按行放置，从而构建N×T'大小的能量消耗矩阵U₁；

1.2)、对每条能量迹，计算该能量迹对应的明文与密钥的汉明重量

汉明重量的取值范围为0～8，其中d_n和k_n分别为第n个随机明文、随机密钥的第一轮第一字节明文和密钥，从而构建N维汉明重量列向量H；

1.3)、从能量消耗矩阵U₁选出特征点

1.3.1)、对于第t列N个采样值d_n,t，n＝1,2,...,N，根据其所在行，在N维汉明重量列向量H中对应行找到汉明重量作为其汉明重量，统计每一汉明重量w对应的采样值个数c_t,w，w＝0,1,2,...,8，然后得到每一汉明重量的取值概率：

1.3.2)、计算第t列N个采样值d_n,t的信息熵h_t：

1.3.3)、在第t列N个采样值d_n,t中找到最小值和最大值，然后在最小值到最大值之间等间隔确定K个采样值，并记为d'_k,t，k＝1,2,...,K；

对于等间隔确定的第k个采样值d'_k,t，将N个采样值d_n,t中小于等于采样值d'_k,t的采样值划分为一个集合D_{k,t_1}，剩余的划分为一个集合D_{k,t_2}，然后计算第k个采样值d'_k,t的信息增益g_t,k：

其中，c'_{t,k_b}为集合D_{k,t_b}的采样值个数，b＝1,2，h_{t,k_b}为集合D_{k,t_b}的信息熵，按照步骤1.3.1、1.3.2的计算方式得到；

1.3.4)、在K个信息增益g_t,k，k＝1,2,...,K中选出最大的信息增益，并作为第t列的信息增益g_t，其对应的采样值所在行为第t列的特征点；

对于能量消耗矩阵U₁的T'列最大的信息增益g_{t_max}，t＝1,2,...,T'，再选取最大的列的特征点作为特征点s₁，其对应采样值为特征值e₁；

1.4)、生成决策树：

1.4.1)、找到特征点s₁所在列，该列采样值小于等于特征值e₁的采样点所在行从能量消耗矩阵U₁选出，并组成一个能量消耗矩阵U₂，能量消耗矩阵U₁中剩余的行组成能量消耗矩阵U₃；

按照步骤1.3)的方法，从能量消耗矩阵U₂选出特征点s₂、特征值e₂，从能量消耗矩阵U₃选出特征点s₃、特征值e₃，将特征点s₁作为根节点，特征点s₂、特征点s₃分别作为特征点s₁的叶节点，生成一层决策树；

1.4.2)、能量消耗矩阵U₂、能量消耗矩阵U₃按照1.4.1)的方法再次分别划分为能量消耗矩阵U₄、U₅以及能量消耗矩阵U₆、U₇，然后选出特征点s₄和特征值e₄、特征点s₅和特征值e₅以及特征点s₆和特征值e₆、特征点s₇和特征值e₇，将特征点s₂作为根节点，特征点s₄、特征点s₅分别作为特征点s₂的叶节点，将特征点s₃作为根节点，特征点s₆、特征点s₇分别作为特征点s₃的叶节点再生成一层决策树；

这样不断对能量消耗矩阵进行划分，选出特征点，生成决策树层，当达到设定的层数时，终止划分和生成，得到最终生成的决策树；

1.5)、对最终生成的决策树，从根节点到叶节点层次遍历方式，提取每次划分的特征点；

1.6)、根据提取的特征点所在列，对能量消耗矩阵U₁的列进行抽取，得到矩阵T，矩阵T大小为N×P，其中，P为提取的特征点的个数；

1.7)、依据汉明重量列向量H，则把矩阵T中对应的行加入子矩阵T_w，w＝0,1,2,...,8，由此得到9个子矩阵；

1.8)、对每个子矩阵T_w，w＝0,1,2,...,8，分别计算样本均值

和协方差矩阵/>

其中，n_w表示子矩阵T_w的行数，

表示子矩阵T_w中第l行、第i列的采样值，/>

表示子矩阵T_w中第l行、第j列的采样值；

1.9)、根据样本均值向量M_w和协方差矩阵C_w，w＝0,1,2,...,8，得到9种汉明重量的模板；

其中，p(M|w)表示待攻击能量迹特征点向量M属于汉明重量w的概率；

(2)、模板匹配

2.1)、对被攻击的运行AES密码算法的微控制器，采集随机明文、固定密钥的Q条能量迹；

2.2)、根据步骤1.5)提取的特征点所在列，对Q条能量迹根据提取的特征点所在列进行抽取，得到Q个待攻击能量迹特征点向量

q＝0,1,2,...,Q；

2.3)、将待攻击能量迹特征点向量MS_q作为M代入步骤1.9)得到的9种汉明重量的模板，得到属于汉明重量w的概率p(M|w)，w＝0,1,2,...,8，选取最大概率对应的汉明重量作为第q待攻击能量迹的汉明重量HW(q)；

2.4)、汉明重量HW(q)进行映射，若汉明重量HW(q)>4，则映射为1，若HW(q)<4，则映射为-1，若HW(q)＝4，则映射为0；

2.5)、对于第1条待攻击能量迹，若其汉明重量HW(1)映射后的值不为0，则遍历密钥空间K'，计算假设汉明重量

若假设汉明重量映射后的值为0或与汉明重量HW(1)映射后的值一致，则保留该密钥k'，否则排除该密钥k'，更新密钥空间K'；若映射后的值为0，则不予处理，其中，d'₁为第1待攻击能量迹对应第一轮第一字节明文；

2.6)、选择第2条待攻击能量迹，重复步骤2.5)，再进行密钥筛选，然后选择第3条待攻击能量迹进行密钥筛选，这样不断选取待攻击能量迹对密钥进行筛选，直到密钥空间K'大小为1，则该密钥为所求密钥即步骤2.1)的固定密钥。

Images