SMS4密码算法的差分故障攻击

SMS4是用于WAPI的分组密码算法,是国内官方公布的第一个商用密码算法．由于公布时间不长,关于它的安全性研究尚没有公开结果发表．该文研究SMS4密码算法对差分故障攻击的安全性．攻击采用面向字节的随机故障模型,并且结合了差分分析技术．该攻击方法理论上仅需要32个错误密文就可以完全恢复出SMS4的128比特种子密钥．因为实际中故障发生的字节位置是不可能完全平均的,所以实际攻击所需错误密文数将略大于理论值;文中的实验结果也验证了这一事实,恢复SMS4的128bit种子密钥平均大约需要47个错误密文．文章结果显示SMS4对差分故障攻击是脆弱的．为了避免这类攻击,建议用户对加密设备进行保护,阻止攻击者对其进行故障诱导．     

分组密码AES-128的差分故障攻击

AES是美国数据加密标准的简称,又称Rijndael加密算法。它是当今最著名且在商业和政府部门应用最广泛的算法之一。AES有三个版本,分别是AES-128,AES-19和AES-AES的分析是当今密码界的一个热点,文中使用差分故障攻击方法对AES进行分析。差分故障攻击假设攻击者可以给密码系统植入错误并获得正确密文和植入故障后密文,通过对两个密文分析比对从而得到密钥。文中提出了对AES-128的两种故障攻击方法,分别是在第8轮和第7轮的开始注入故障。两个分析方法分别需要2个和4个故障对。数据复杂度分别为2^34（2^112）次猜测密钥。     

针对AES密钥扩展的电压故障注入攻击

针对高级加密标准(AES)算法,提出一种简单高效的故障注入攻击方法。通过瞬时降低密码芯片供电电压产生低压毛刺,使芯片在密钥扩展函数中进行密钥赋值时跳过赋值循环语句,造成密钥赋值错误,从而缩短参与运算密钥的未知字节长度。结合注入故障后输出的错误密文,可通过穷举猜测的方式恢复初始密钥未知字节。攻击测试结果表明,通过该方法执行一次有效故障注入攻击能得到4字节长度初始密钥,即对于128位AES算法,攻击者仅需猜测4×2~(32)次就能到初始密钥。     

物联网环境下LED轻量级密码算法的安全性分析

LED算法是于2011年CHES会议中提出的一种新型轻量级密码算法,用于在物联网环境下保护RFID标签以及智能卡等设备的通信安全.文中提出并讨论了一种针对LED算法的差分故障攻击方法.该方法采用面向半字节的随机故障模型,通过在LED算法中导入故障,分别仅需要3个错误密文和6个错误密文,即可恢复LED算法的64bit和128bit原始密钥.实验结果表明,针对LED算法的差分故障攻击方法不仅扩展了故障诱导的攻击范围,而且提高了故障诱导的效率,减少了错误密文数,从而为故障攻击其它轻量级密码算法提供了一种通用的分析手段.     

一种对AES-128的差分错误分析原理

描述了一种对AES-128的差分错误分析原理,给出了攻击的算法,分析了算法成功的概率。该算法可以得到AES-128的中间加密结果M9,利用M9和一组正确密文可以推出AES-128的最后一轮轮密钥,从而恢复AES-128的初始密钥。软件模拟结果表明,在物理技术达到的情况下,如果能向M9中反复随机地引入140个比特错误,那么找到初始密钥的可能性将超过90%。最后指出以密文分组链模式工作的AES可以抵抗以上提到的攻击。     

一种针对特定结构SPN密码算法的差分故障攻击

本文提出一种针对特定结构的SPN结构分组密码算法的差分故障攻击方法。该攻击方法基于单字节故障模型,对于具有特定置换层设计的SPN结构分组密码算法,仅需要少量的错误密文即可还原其所使用的密钥。文中给出了错误发生位置、置换层设计与秘密信息泄漏之间的关系分析。同时,我们还针对一些特定结构SPN结构分组密码算法实现了攻击过程。     

SHACAL-2*算法的差分故障攻击

采用基于字的随机故障模型对SHACAL-2*算法进行差分故障攻击,理论结果和实验数据都表明以超过60％的成功概率恢复512 bit的种子密钥需要160个随机故障,以超过97％的成功概率恢复512 bit的种子密钥需要204个随机故障.SHACAL-2*算法可以找到两个有效的差分故障位置,而SHACAL-2算法只有一个有效的差分故障位置.因此,从实施差分故障攻击的难易程度看,SHACAL-2*算法抵抗差分故障攻击的能力弱于SHACAL-2算法.     

轻型分组密码LED代数故障攻击方法

针对CHES 2011会议上提出的轻型分组密码LED,给出了一种代数故障攻击方法。首先利用代数攻击方法建立密码算法等效布尔代数方程组;然后基于单比特故障模型根据算法故障密文得到差分故障信息,并转换为额外的代数方程组;最后利用CryptoMiniSAT解析器求解密钥。实验结果表明,针对LED算法代数故障攻击优于传统的差分故障分析,第30轮一次故障注入即可在122 s内恢复LED 64 bit完整密钥。     

基于硬件木马的AES差分故障分析

针对一般差分故障分析注入的故障不确定、可控性差等特点,提出一种新的规模小、触发率低的木马设计,利用线性反馈移位寄存器生成的最大周期序列作为激活条件,以单个异或门实施可控的故障注入,并提出相应的差分故障分析方法。以FPGA芯片上实现的AES加密电路为目标,植入木马并在第八轮行移位后的中间状态的第一位注入故障,进行差分故障攻击,实验结果表明,仅需两组正确密文与错误密文即可恢复AES的全部密钥,耗时仅5?s。     

针对CLEFIA的多字节差分故障分析

研究CLEFIA分组密码对多字节差分故障分析的安全性,给出CLEFIA分组密码算法及故障分析原理。根据在第r轮、r-1轮、 r-2轮注入多字节故障的3种条件,提出一种新的针对CLEFIA的多字节故障模型及分析方法。通过仿真实验进行验证,结果表明,由于其Feistel结构和S盒特性,CLEFIA易遭受多字节故障攻击,6~8个错误密文可恢复128 bit的CLEFIA密钥。     

针对AES分组密码S盒的差分故障分析

研究了AES分组密码对差分故障攻击的安全性,攻击采用面向字节的随机故障模型,结合差分分析技术,通过在AES第8轮列混淆操作前导入随机单字节故障,一次故障导入可将AES密钥搜索空间由2128降低到232.3,在93.6%的概率下,两次故障导入无需暴力破解可直接恢复128位AES密钥.数学分析和实验结果表明:分组密码差分S盒取值的不完全覆盖性为差分故障分析提供了可能性,而AES密码列混淆操作良好的扩散特性极大的提高了密钥恢复效率,另外,本文提出的故障分析模型可适用于其它使用S盒的分组密码算法.     

Differential fault analysis on the ARIA algorithm

The ARIA algorithm is a Korean Standard block cipher, which is optimized for lightweight environments. On the basis of the byte-oriented model and the differential analysis principle, we propose a differential fault attack on the ARIA algorithm. Mathematical analysis and simulating experiment show that our attack can recover its 128-bit secret key by introducing 45 faulty ciphertexts. Simultaneously, we also present a fault detection technique for protecting ARIA against this proposed analysis. We believe that our results in this study will also be beneficial to the analysis and protection of the same type of other iterated block ciphers.     

Differential fault analysis on the contracting UFN structure, with application to SMS4 and MacGuffin

The contracting unbalanced Feistel networks (UFN) is a particular structure in the block ciphers, where the “left half” and the “right half” are not of equal size, and the size of the domain of one half is larger than that of the range. This paper studies the security of the contracting UFN structure against differential fault analysis (DFA). We propose two basic byte-oriented fault models and two corresponding attacking methods. Then we implement the attack on two instances of the contracting UFN structure, the block ciphers SMS4 and MacGuffin. The experiments require 20 and 4 faulty ciphertexts to recover the 128-bit secret key of SMS4 in the two fault models, respectively. Under similar hypothesis, MacGuffin is breakable with 355 and 165 faulty ciphertexts, respectively. So our work not only builds up a general model of DFA on the contracting UFN structure and ciphers, but also provides a new reference for fault analysis on other block ciphers.     

Differential fault analysis on Camellia

Camellia is a 128-bit block cipher published by NTT and Mitsubishi in 2000. On the basis of the byte-oriented model and the differential analysis principle, we propose a differential fault attack on the Camellia algorithm. Mathematical analysis and simulating experiments show that our attack can recover its 128-bit, 192-bit or 256-bit secret key by introducing 30 faulty ciphertexts. Thus our result in this study describes that Camellia is vulnerable to differential fault analysis. This work provides a new reference to the fault analysis of other block ciphers.     

DES算法DFA攻击的差分差错位置判别方法

利用DFA攻击方法的1比特差分差错模型,分析了DES算法的1比特差分差错所处的位置与密文差分之间的关系,并对分析结果进行了实验测试。利用分析结果,可以根据密文差分的特点有效地判断1比特差错所处的位置,进而顺利地进行DFA攻击。     

针对RSA算法软件应用的故障攻击研究

原有的RSA故障攻击针对的都是运行在智能卡等硬件上的算法,为研究针对RSA软件实现方式的故障攻击,剖析中国剩余定理软件实现算法,提出针对OpenSSL密码库的RSA算法软件实现的故障攻击算法,给出一种只需要一次错误签名的改进攻击方案。通过仿真实验验证算法的可行性,并给出抵御此类攻击的有效措施。