针对RSA算法的踪迹驱动数据Cache计时攻击研究

Cache计时攻击是旁路攻击领域的研究热点.针对滑动窗口算法实现模幂运算的RSA算法,分析了RSA算法访问驱动Cache计时攻击的难点,建立了踪迹驱动数据Cache计时攻击模型.在攻击模型与原有踪迹驱动计时攻击算法的基础上,利用幂指数与操作序列的相关性、窗口大小特征和预计算表索引值与窗口值的映射关系,提出了一种改进的幂指数分析算法,并给出了利用幂指数dp和dq的部分离散位恢复出私钥d的格攻击过程.利用处理器的同步多线程能力实现了间谍进程与密码进程的同步执行,针对OpenSSL v0.9.8b中的RSA算法,在真实环境下执行攻击实验.实验结果表明:新的分析算法大约能够获取512位幂指数中的340位,比原有算法进一步降低了密钥恢复的复杂度;同时对实际攻击中的关键技术以及可能遇到的困难进行分析,给出相应的解决方案,进一步提高了攻击的可行性.     

RSA 踪迹驱动指令Cache 计时攻击研究

指令Cache 攻击是基于获取算法执行路径的一种旁路攻击方式.首先,通过分析原有RSA 指令Cache 计时攻击存在可行性不高且能够获取的幂指数位不足等局限性,建立了新的基于监视整个指令Cache 而不只是监视特定指令Cache 的踪迹驱动计时攻击模型;然后,提出了一种改进的基于SWE 算法窗口大小特征的幂指数分析算法;最后,在实际环境下,利用处理器的同步多线程能力确保间谍进程与密码进程能够同步运行.针对OpenSSLv.0.9.8f 中的RSA算法执行指令Cache 计时攻击实验,实验结果表明:新的攻击模型在实际攻击中具有更好的可操作性;改进的幂指数分析算法能够进一步缩小密钥搜索空间,提高了踪迹驱动指令Cache 计时攻击的有效性.对于一个512 位的幂指数,新的分析算法能够比原有分析算法多恢复出大约50 个比特位.     

LBlock 中间状态的代数表示及其侧信道攻击

LBlock是吴文玲和张蕾在ACNS2011上提出的轻量级分组密码,目前未见对该体制的公开的密码分析文章。用符号计算软件Mathematica7.0得到了LBlock第三轮输出的最低比特的代数表达式(以明文和主密钥比特为自变量)。该代数表达式只与8比特密钥和9比特明文有关,可以用于对LBlock在单比特泄露模型下的侧信道攻击。模拟实验表明,假设第三轮输出的最低比特泄露,则用8个已知明文,85%的概率下可以恢复6~7比特密钥。     

一种新的针对AES的访问驱动Cache攻击

Cache访问"命中"和"失效"会产生时间和能量消耗差异,这些差异信息已经成为加密系统的一种信息隐通道,密码界相继提出了计时Cache攻击、踪迹Cache攻击等Cache攻击方法.针对AES加密算法,提出一种新的Cache攻击一访问驱动Cache攻击,攻击从更细的粒度对Cache行为特征进行观察,利用间谍进程采集AES进程加密中所访问Cache行信息,通过直接分析和排除分析两种方法对采集信息进行分析,在大约20次加密样本条件下就可成功推断出128位完整密钥信息.     

分组密码Cache攻击技术研究

近年来,Cache攻击已成为微处理器上分组密码实现的最大安全威胁,相关研究是密码旁路攻击的热点问题.对分组密码Cache攻击进行了综述.阐述了Cache工作原理及Cache命中与失效旁路信息差异,分析了分组密码查表Cache访问特征及泄露信息,从攻击模型、分析方法、研究进展3个方面评述了典型的分组密码Cache攻击技术,并对Cache攻击的发展特点进行了总结,最后指出了该领域研究存在的问题,展望了未来的研究方向.     

针对RSA滑动窗口算法的Cache计时攻击

研究RSA签名算法和Cache计时攻击原理,分析OpenSSL0.9.8a中的RSA实现过程,针对RSA滑动窗口算法中的访问初始化表操作,提出一种Cache计时攻击方法.实验结果表明,该方法在1次攻击中可获得1 024 bit密钥中700 bit以上的密钥,与传统基于统计方法的计时攻击相比,所需样本更少.     

针对访问驱动cache攻击HC-256算法的改进*

高速缓存Cache具有数据访问时间不确定和多进程资源共享两大特征,流密码算法HC-256生成密钥流的过程中使用了大量查找表操作进行Cache访问,查找表索引值会影响Cache命中与否,而查找表索引值和密钥之间存在密切关系。为了使HC-256可以防御此访问驱动Cache攻击,本文对HC-256算法进行了改进,在HC-256中加入完全随机排序算法,对表P和表Q进行扰乱,这样使用变化的表代替固定的S盒,使得攻击者获得的输入和输出都是不安全的,有效地防御了此访问驱动Cache攻击。     

针对AES的Cache计时模板攻击研究

受微处理器硬件架构和操作系统的影响,分组密码查找S盒不同索引执行时间存在差异,构成了S盒索引的天然泄漏源.该文采用“面向字节、分而治之”的旁路攻击思想,对AES抗Cache计时模板攻击能力进行了研究.首先分析了分组密码访问Cache时间差异泄漏机理,直观地给出了基于碰撞和模板的两种Cache计时攻击方法;其次给出了Cache计时外部模板攻击模型,提出了基于Pearson相关性的模板匹配算法,对128位AES加密第一轮和最后一轮分别进行了攻击应用;为克服外部模板攻击需要一个模板密码服务器的限制,提出了Cache计时内部模板攻击模型,并对AES进行了攻击应用;最后,在不同环境、操作系统、加密Cache初始状态、密码库中,分别进行攻击实验,同前人工作进行了比较分析,并给出了攻击的有效防御措施.     

访问驱动下的Cache侧信道攻击研究综述

近年来,海量异构的物联网终端设备承载着核心功能,更易成为攻击者的直接目标.Cache侧信道攻击越来越多地出现在终端设备和云平台中,该攻击通过构建细粒度、高隐蔽性的Cache侧信道从目标设备中提取加密密钥等敏感数据,打破设备的隔离保护机制.在综述中,针对访问驱动下的Cache侧信道攻击技术展开研究,介绍了Cache侧信道攻击技术的基本原理和研究现状,通过理论分析和实例验证的方式重点研究了“清除+重载”攻击、“填充+探测”攻击、“刷新+重载”攻击的攻击原理、攻击过程和攻击效果.以攻击特点、攻击范围和对应的防御方案为切入点,对上述3种攻击进行对比分析,指出不同攻击的优缺点和适用场景;进一步探讨攻击过程中存在的问题,提出了攻击最后一级缓存(last-level cache, LLC)和噪声处理方面面临的挑战.最后结合万物互联时代下,从Cache层次结构的逐步转变、云平台的海量数据存储、以及终端设备上可信应用环境的广泛部署等现状,讨论了未来可能的研究方向.     

Camellia访问驱动Cache计时攻击研究

Camellia是NESSIE计划中128位分组密码的最终获胜者.现有的针对Camellia的Cache计时攻击大多基于时序驱动模型,需百万计的样本在几十分钟内完成.文中研究表明,由于频繁的查找表操作,Camellia对访问驱动Cache计时攻击也是脆弱的,攻击所需样本量比时序驱动要小.首先,基于访问驱动方式,给出了一种通用的针对对称密码S盒的分析模型,指出Camellia加密过程中的轮函数易泄露初始密钥和轮密钥的异或结果值,密钥扩展中的左移函数使得Camellia安全性大大降低.然后,给出了多例针对Camellia-128/192/256的访问驱动Cache计时攻击,实验结果表明:500和900个随机明文样本可恢复Camellia-128、Camellia-192/256密钥,文中的攻击可被扩展到针对已知密文条件下的解密过程或远程环境中进行实施,3000个随机明文可在局域网和校园网环境下恢复Camellia-128/192/256密钥.最后,分析了Camellia易遭受Cache计时攻击的原因,并为密码设计者提出了防御该攻击的一些有效措施.     

AES访问驱动Cache计时攻击

首先给出了访问驱动Cache计时攻击的模型,提出了该模型下直接分析、排除分析两种通用的AES加密泄漏Cache信息分析方法;然后建立了AES加密Cache信息泄露模型,并在此基础上对排除分析攻击所需样本量进行了定量分析,给出了攻击中可能遇到问题的解决方案;最后结合OpenSSL v.0.9.8a,v.0.9.8j中两种...     

基于Cache行为的旁路攻击

分析新型高速缓冲存储器(Cache)旁路攻击技术,给出一种Cache旁路攻击方法。针对S盒操作使用查找表处理的数据加密标准(DES)算法实现,通过获取DES加密过程中前2轮加密运算对应的Cache命中信息,结合数学分析方法,可以有效地缩小DES密钥搜索空间。对Cache存储器行为和数学分析攻击进行仿真实现的结果显示,通过26个选择明文,大约耗费230次离线DES加密时间成功地恢复了DES密钥。给出了防御Cache攻击的基本对策。     

LBlock算法的相关密钥不可能差分分析

LBlock算法是2011年提出的轻量级分组密码,适用于资源受限的环境.目前,关于LBlock最好的分析结果为基于14轮不可能差分路径和15轮的相关密钥不可能差分路径,攻击的最高轮数为22轮.为研究LBlock算法抵抗不可能差分性质,结合密钥扩展算法的特点和轮函数本身的结构,构造了新的4条15轮相关密钥不可能差分路径.将15轮差分路径向前扩展4轮、向后扩展3轮,分析了22轮LBlock算法.在已有的相关密钥不可能差分攻击的基础上,深入研究了轮函数中S盒的特点,使用2类相关密钥不可能差分路径.基于部分密钥分别猜测技术降低计算量,分析22轮LBlock所需数据量为261个明文,计算量为259.58次22轮加密.     

Rijndael-256算法的中间相遇攻击

根据Rijndael密码的算法结构,构造一个新的5轮相遇区分器：若输入状态的第一个字节可变动,而余下字节固定不变,则通过5轮加密后,算法输出的每个字节差分值均可由输入状态的第一个字节值及25个常量字节以概率2-96确定。基于该区分器,给出一种针对9轮Rijndael-256的中间相遇攻击。分析结果表明,该攻击的数据复杂度约为2128个选择明文数据量,时间复杂度约为2211.6次9轮Rijndael- 256加密。     

低轮MIBS分组密码的积分分析

分组密码算法MIBS是轻量级密码算法,其设计目标是适用于RFID和传感等资源受限的环境.对其进行了积分分析,给出了一个5轮的积分区分器,并利用高阶积分的技术将该5轮区分器向前扩展了3轮.据此对MIBS进行了8轮、9轮和10轮的攻击.8轮攻击数据复杂度为29.6,时间复杂度为235.6次加密; 9轮的攻击数据复杂度为237.6,时间复杂度为240次加密;10轮的攻击数据复杂度为261.6,时间复杂度为240次加密.同时该攻击结果适用于MIBS-64和MIBS-80两个版本.研究结果表明,这种所使用的高阶积分技术对于Feistel-SP结构的分组密码普遍适用.     

ARIA分组密码算法的不可能差分攻击

ARIA密码是2003年由韩国学者提出,并在2004年被选为韩国分组密码标准的新的分组密码算法.为了使用不可能差分方法对ARIA密码算法进行安全性分析,首先,根据ARIA密码的结构特征,构造一条4轮不可能差分路径,通过在不可能差分路径前面增加2轮、后面增加1轮的方式,对7轮ARIA密码算法进行不可能差分攻击.研究结果表明：7轮攻击共需要2\\+\\{119\\}选择明文和大约2\\+\\{218\\}次7轮加密运算.与已有结果相比较,该次攻击进一步降低了数据复杂度和时间复杂度.同时,在4轮不可能差分路径基础上,通过前面增加2轮、后面增加2轮的方式,首次提出了对ARIA密码算法的8轮不可能差分的新攻击.研究结果表明：8轮不可能差分攻击共需要2\\+\\{207\\}选择明文和大约2\\+\\{346\\}次8轮加密运算,已超过穷举搜索的攻击复杂度,故可认为在该路径下的8轮不可能差分攻击中ARIA密码算法是安全的.