[发明专利]一种针对SM4密码线性变换输出的侧信道能量攻击方法

说明书

技术领域

本发明涉及密码算法分析检测领域，尤其涉及一种针对SM4密码算法线性变换输出的侧信道能量攻击的方法。

背景技术

随着信息和分析电路技术的发展，对硬件密码电子设备的破解不再单纯的停留在协议和算法上，而是从其处理数据的过程中泄露的信息入手，进行破解。硬件密码电子设备在处理信息的工程中存在能量、电磁、错误和时间等信息的泄露，利用这些泄露的信息对密码电子设备进行攻击，就是所谓的侧信道攻击(Side Channel Attacks)，侧信道攻击可分为能量分析攻击、电磁攻击和错误攻击等，其中能量分析攻击效率较高，成为侧信道的主要手段。

侧信道能量分析攻击是通过采集加密芯片等硬件密码电子设备在进行加、解密或签名等操作时产生的能量消耗，利用密码学和统计学原理等分析和破译密钥信息的一种攻击方式，侧信道能量分析攻击又分为简单能量分析攻击(Simple Power Analysis，SPA)、差分能量分析攻击(Differential Power Analysis，DPA)和相关性能量分析攻击(Correlation Power Analysis，CPA)。

在侧信道能量分析攻击中，CPA和DPA相比SPA具有更强的攻击性，所以能量分析攻击中比较常用的是CPA和DPA。

其中，DPA攻击的过程如下：

(1)随机选择N组不相同明文或密文M_i(i∈[1,N])进行加/解密运算，采集每组明文进行加密运算时设备产生的能量曲线T_i(t)，t∈{1,…,k}，其中k为能量轨迹的采样点数。

(2)选择密钥K_l(l∈Ω，Ω为密钥空间)，计算在K_l和M_i条件下，密码算法进行加密运算时在被攻击点产生的中间值D_i,l。

(3)根据中间值D_i,l确定选择函数F(M_i,K_l)，根据选择函数将T_i(t)分为两个子集S₀和S₁，定义式如下：

S₀＝{T_i(t)|F(M_i,K_l)＝0}

S₁＝{T_i(t)|F(M_i,K_l)＝1}

(4)计算每个采样点上两个子集的能量平均之差，如

所示，其中|S₀|和|S₁|分别表示集合S₀和S₁中元素的个数。

若K_l选择不正确，当N比较大时，两个子集均值差S将趋近于零；若K_l选择正确，在均值差S中将会出现一个最大尖峰，通过该尖峰即可确定K_l选择正确。

CPA攻击的过程如下：

(1)随机选择N组不相同明文或密文M_i(i∈[1,N])进行加/解密运算，采集每组明文进行加密运算时设备产生的能量曲线T_i(t)，t∈{1,…,k}，其中k为能量轨迹的采样点数。

(2)选择密钥K_l(l∈Ω，Ω为密钥空间)，计算在K_l和M_i条件下，密码算法进行加密运算时在被攻击点产生的中间值D_i,l。

(3)取中间值D_i,l的汉明距离或者汉明重量建立能量模型h_i,l，根据

式计算T_i和h_i,l相关性ρ_l。

(4)取相关系数最大值时对应的K_l，即为实际密钥。

SM4算法是分组长度和密钥长度均为128bit，加密算法和解密算法均为32轮的非线性迭代密码算法，其加密算法和解密算法结构相同，只是运算时轮密钥使用的顺序相反，解密轮密钥是加密轮密钥的逆序。SM4加密算法的详细流程如图1所示。