一种KLEIN密码的差分故障分析

针对KLEIN密码算法提出一种可行的差分故障分析方法,研究KLEIN密码对差分故障分析的安全性。经多次分析尝试,选择分别向16个字节处各导入1比特随机故障,相当于每次引入16个随机故障。通过在KLEIN密码第12轮S盒置换操作之前对各字节引入1比特随机故障,并构造了S盒差分区分器来搜索差分值,最终恢复64比特密钥。实验结果表明,平均2.73次诱导此类故障即可恢复主密钥,同时大大降低了搜索空间。     

针对MIBS的宽度差分故障分析

MIBS分组密码主要用于RFIv轻量级密码设备实现,对其安全性研究尚无公开结果发表。首先给出了MIBS算法及故障分析原理,提出了一种针对MIBS的宽度差分故障分析方法,并通过仿真实验进行了验证。实验结果表明,由于其Feistel结构和S盒特性,MII3S易遭受宽度故障攻击,通过在第32轮和第31轮分别导入1次32位故障即可将64位主密钥降低到21. 70位,经1秒钟暴力破解恢复完整密钥。该故障分析方法也可为其它分组密码差分故障分析提供一定思路。     

AC分组密码的差分故障攻击

AC分组密码是2002年提出的一个征求公众测试的密码算法.文中采用面向比特的随机故障模型,结合差分分析技术,利用置换层对故障的扩散特性和S盒的差分分布性质,对AC算法进行了深入分析.并在普通PC机上进行了2000次模拟试验.实验结果表明:平均需要诱导195个错误就可以恢复AC密码的128比特密钥信息.结论是该算法对差分故障攻击不具有免疫力.     

基于交换等价的缩减轮AES-128的密钥恢复攻击

高级加密标准(advanced encryption standard,AES)是一种高安全性的密钥加密系统,在实际生活中受到了多方面认可及使用,自它诞生以来对于它的安全性问题的研究一直是密码学者最感兴趣的.目前对全轮的AES的攻击难度非常大,现有分析方法难以突破穷举搜索方法.朝着突破全轮AES的方向努力,近些年来研究人员十分关注对于缩减轮版本的AES攻击,并且已经涌现了许多优秀的分析方法,其中交换等价攻击——一种新的适合于类SPN分组密码设计的密码分析攻击技术广受关注.研究人员利用该技术得到了比以往更好的秘密密钥选择明文区分器和自适应选择密文区分器.使用了这一新技术,基于AES的5轮自适应选择密文区分器,在恢复密钥时利用了AES加密算法列混合变换系数矩阵的基本性质和0差分性质,提出了一种带有秘密S盒的6轮缩减轮AES-128的密钥恢复攻击,该攻击只要求251.5选择明文和257.42自适应选择密文的数据复杂度以及272时间复杂度.此外,一个小版本AES上的实验验证了提出的密钥恢复攻击.该版本AES块大小为64b,在状态中的每一个字是4b半字节,该实验结果也支持了该研究的理论.最后,当前的对6轮缩减轮AES-128密钥恢复攻击结果比已有的对缩减轮AES-128的密钥恢复攻击结果更优.     

持久故障攻击威胁性研究

持久故障攻击是一种利用持久性故障及统计方法恢复密钥信息的强大攻击技术,可应用于分组密码查表实现的密钥恢复,其最大的优势在于仅需一次故障注入即可恢复密钥信息,并且持久故障攻击可以应用于检测技术、掩码技术等经典的分组密码防护实现。虽然如此,经典的故障攻击防护技术仍然提高了持久故障攻击难度,检测、感染技术都使得提取正确密钥所需的密文数量有了常数倍的提升,这对于实际场景中的攻击会造成阻碍。对S盒进行实时的健康性检测是一种防范持久故障攻击的有效手段,一旦检测到S盒被注入故障则不再进行后续加密。持久故障攻击充分利用了S盒的双射特性,故针对S盒的双射特性进行健康性检测是一种高效的防护方法,对于一个8比特的S盒,只需进行255次异或操作即可完成对S盒双射特性的检验,远高于SHA3等通用的校验方法。此外,激光传感器等非算法层面的防护也应受到重视。     

轻量级分组密码TWINE的差分故障攻击

为了对轻量级分组密码TWINE的安全性进行研究,分析了轻量级分组密码TWINE的抗差分故障攻击特性,给出了TWINE一种差分故障分析方法,采用面向半字节的随机故障模型对TWINE算法进行攻击.实验结果表明,在35轮注入4次故障后可将密钥空间降低至约220,平均注入13.15次故障后可完全恢复80 bit密钥,最好的情况为注入12次故障完全恢复种子密钥.因此得到结论:TWINE算法易受差分故障攻击,需在使用前对设备加以保护.     

AES差分故障攻击的建模与分析

研究高级加密标准(AES)密码算法对差分故障攻击的安全性。攻击采用针对密钥扩展算法的单字节随机故障模型,通过对比正确和错误密文的差异恢复种子密钥。该攻击方法理论上仅需104个错误密文和2个末轮子密钥字节的穷举搜索就可完全恢复AES的128比特种子密钥。故障位置的不均匀分布使实际攻击所需错误密文数与理论值略有不同。     

一种针对Camellia的改进差分故障分析

查找S盒是分组密码设计中的一种重要操作,也是防御传统线性和差分分析的有效手段,但是当考虑到密码实现泄露的物理效应信息时,其却成为了密码系统最脆弱的一部分.文中对使用S盒的分组密码故障攻击进行了研究,给出了一种针对Camellia的改进差分故障分析方法.首先,将针对使用S盒的分组密码差分故障分析归结为求解S盒输入和输出差...     

AES、3D和TANGRAM分组密码算法的YoyoTricks类型安全分析

AES是目前国际上使用最广泛的分组密码, 3D是在CANS 2008上提出的三维AES型的分组密码, TANGRAM是全国密码算法设计竞赛优胜分组密码算法. Yoyo tricks是基于零差分性质分析分组密码的一种方法,其主要思想是基于原始明文对与其相关派生对在几轮加密后是否保持相同的零差分模式.本文利用yoyo tricks,通过限制密文对6轮AES进行了密钥恢复攻击,在yoyo tricks类型方法下将时间复杂度降低了2^5.6.将yoyo tricks拓展到n元组(n≥3),建立起与相关差分的关联,即任何相关差分可以表示成yoyo tricks的形式,并使用3元yoyo tricks对11轮3D进行了密钥恢复攻击.利用交换攻击,借鉴早中止技术,用2126个选择明文对25轮128比特分组长度的TANGRAM进行了区分攻击,是该算法第一个25轮区分器.     

LEX算法的相关密钥攻击

LEX算法是入选欧洲序列密码工程eSTREAM第三阶段的候选流密码算法之一,在分组密码算法AES的基础上进行设计。为此,针对LEX算法进行基于猜测决定方法的相关密钥攻击,在已知一对相关密钥各产生239.5个字节密钥流序列的条件下,借助差分分析的思想和分组密码算法AES轮变换的性质,通过穷举2个字节密钥值和中间状态的8个字节差分恢复出所有候选密钥,利用加密检验筛选出正确的密钥。分析结果表明,该密钥攻击的计算复杂度为2100.3轮AES加密、成功率为1。     

Faults, Injection Methods, and Fault Attacks

An active attacker can induce errors during the computation of the cryptographic algorithm and exploit the faulty results to extract information about the secret key in embedded systems. We call this kind of attack a fault attack. Fault attacks can break an unprotected system more quickly than any other kind of side-channel attack such as simple power analysis (SPA), differential power analysis (DPA), or electromagnetic analysis (EMA). For example, the attacker can break RSA-CRT (RSA with Chinese Remainder Theorem) with one faulty result, and Data Encryption Standard (DES) and Advanced Encryption Standard (AES) with two. Furthermore, the protection of fault attacks is more costly in terms of chip area. Here, we survey fault injection methods, types of faults, and fault attack models.     

分组密码AES-128的差分故障攻击

AES是美国数据加密标准的简称,又称Rijndael加密算法。它是当今最著名且在商业和政府部门应用最广泛的算法之一。AES有三个版本,分别是AES-128,AES-19和AES-AES的分析是当今密码界的一个热点,文中使用差分故障攻击方法对AES进行分析。差分故障攻击假设攻击者可以给密码系统植入错误并获得正确密文和植入故障后密文,通过对两个密文分析比对从而得到密钥。文中提出了对AES-128的两种故障攻击方法,分别是在第8轮和第7轮的开始注入故障。两个分析方法分别需要2个和4个故障对。数据复杂度分别为2^34（2^112）次猜测密钥。     

Differential fault analysis on Camellia

Camellia is a 128-bit block cipher published by NTT and Mitsubishi in 2000. On the basis of the byte-oriented model and the differential analysis principle, we propose a differential fault attack on the Camellia algorithm. Mathematical analysis and simulating experiments show that our attack can recover its 128-bit, 192-bit or 256-bit secret key by introducing 30 faulty ciphertexts. Thus our result in this study describes that Camellia is vulnerable to differential fault analysis. This work provides a new reference to the fault analysis of other block ciphers.     

物联网环境下LED轻量级密码算法的安全性分析

LED算法是于2011年CHES会议中提出的一种新型轻量级密码算法,用于在物联网环境下保护RFID标签以及智能卡等设备的通信安全.文中提出并讨论了一种针对LED算法的差分故障攻击方法.该方法采用面向半字节的随机故障模型,通过在LED算法中导入故障,分别仅需要3个错误密文和6个错误密文,即可恢复LED算法的64bit和128bit原始密钥.实验结果表明,针对LED算法的差分故障攻击方法不仅扩展了故障诱导的攻击范围,而且提高了故障诱导的效率,减少了错误密文数,从而为故障攻击其它轻量级密码算法提供了一种通用的分析手段.     

基于硬件木马的AES差分故障分析

针对一般差分故障分析注入的故障不确定、可控性差等特点,提出一种新的规模小、触发率低的木马设计,利用线性反馈移位寄存器生成的最大周期序列作为激活条件,以单个异或门实施可控的故障注入,并提出相应的差分故障分析方法。以FPGA芯片上实现的AES加密电路为目标,植入木马并在第八轮行移位后的中间状态的第一位注入故障,进行差分故障攻击,实验结果表明,仅需两组正确密文与错误密文即可恢复AES的全部密钥,耗时仅5?s。     

基于错误检验故障的RSA-CRT差分故障分析

原有基于模幂运算故障的RSA-CRT故障攻击算法,因添加了错误检验操作而失效。为寻找新的故障攻击方法,以BOS防御算法为攻击分析对象,针对在检错步骤产生故障的情况进行分析,建立了基于错误检验故障的攻击模型,提出了能够完整推算出RSA密钥的差分故障攻击算法。进行了推导论证和实验仿真,结果表明原有防御措施并不能有效地抵御故障攻击,新的攻击算法具有良好的可行性,在算法复杂度上,比Wagner的攻击算法需要更少的搜索空间,单个字节故障最多只需要256个样本空间。最后分析了原有防御算法的问题所在,同时给出了相应的防御建议。     

针对CLEFIA的多字节差分故障分析

研究CLEFIA分组密码对多字节差分故障分析的安全性,给出CLEFIA分组密码算法及故障分析原理。根据在第r轮、r-1轮、 r-2轮注入多字节故障的3种条件,提出一种新的针对CLEFIA的多字节故障模型及分析方法。通过仿真实验进行验证,结果表明,由于其Feistel结构和S盒特性,CLEFIA易遭受多字节故障攻击,6~8个错误密文可恢复128 bit的CLEFIA密钥。     

Differential fault analysis on the ARIA algorithm

The ARIA algorithm is a Korean Standard block cipher, which is optimized for lightweight environments. On the basis of the byte-oriented model and the differential analysis principle, we propose a differential fault attack on the ARIA algorithm. Mathematical analysis and simulating experiment show that our attack can recover its 128-bit secret key by introducing 45 faulty ciphertexts. Simultaneously, we also present a fault detection technique for protecting ARIA against this proposed analysis. We believe that our results in this study will also be beneficial to the analysis and protection of the same type of other iterated block ciphers.     

基于选择差分的Trivium猜测攻击

给出一种基于选择差分对Trivium算法进行猜测攻击的方法。通过分析Trivium密钥流生成方程,确定需要改变Trivium 288 bit内部状态中的52 bit,使用错误注入改变所确定的52 bit,并生成密钥流,与原始密钥流进行差分。该方法只需猜测45 bit即可使密钥流生成方程中的177个非线性方程成为线性方程,加上已有的66个线性方程,使用高斯消元法获得剩余的243 bit,从而攻破Trivium。