SM4算法的差分功耗以及相关功耗分析研究.pdfVIP

第29卷第1期 成都信息工程学院学报 V01．29No．1 OFINFORMATIONTECHNOLOGY Feb．2014 OFCHENGDUUNIVERSITY 2014年2月 JOURNAL 文章编号：1671—1742{2014}01-0013—06 SM4算法的差分功耗以及相关功耗分析研究 滕永平， 陈 运， 陈 俊， 黄永远， 程思鹏 (成都信息工程学院应用密码学研究所，四川成都610225) 摘要：SM4算法是中国无线局域网产品的分组密码算法。功耗分析由于代价低、攻击效率高，因此对密码算法 形成了很大的威胁。以SM4算法为研究对象，SIL-x)0C58AD微控制器为硬件仿真平台，采集相同密钥不同明文的 SM4密码算法功耗曲线，分别研究了差分功耗分析及相关功耗分析的攻击方法。实验结果表明：使用相关功耗分 析，210条功耗曲线可以恢复出第一轮的轮密钥；使用差分功耗分析，3500条功耗曲线可以恢复出第一轮的轮密 钥。 关键词：密码分析；边信道攻击；卧斛密码算法；差分功耗分析；相关功耗分析 中图分类号：TN918．91 文献标志码：A O 引言 密码设备在运行时会泄露“边信息”，如能量消耗、电磁辐射、运算时间、故障信息等，边信道攻击【1J(Side Channel Attack，SCA)就是利用这些边信息达到获取密码算法密钥的目的的一类攻击方法。根据利用的边信息， 边信道攻击分为：功耗攻击【2J(PowerAttacks，PA)、电磁攻击13』(EM At— tacks，TA)、故障攻击[5](Fault Power 注。功耗分析又分为：简单功耗分析攻击№J(Simple Power Power Analysis，DPA)和相关功耗分析攻击r7J(CorrelationAnalysis，CPA)。 SM4算法是国内官方公布的第一个商用密码算法，它是中国无线局域网产品的分组密码算法。SM4算法的 公布，推动了中国密码算法标准化的进程。同时，对SM4算法进行安全性分析也越来越具有实际意义。 1 SM4算法简介 展算法都采用32轮非线性迭代结构。解密算法与加密算法的结构相同，只是轮密钥的使用顺序相反，解密轮密 钥是加密轮密钥的逆序。下面简单介绍一下SM4算法的加、解密过程以及密钥扩展，详细的内容见文献[8—9]。 1．1加、解密算法 (i=0，l，…，31)。则SM4算法的加密变换为： 0rki)，i=0，1，…，31 2)④(B10)o(B18)o(B24)。 1．2密钥扩展算法 轮密钥为施i∈z孑，i=0，1，2，…，31．则轮密钥生成算法如下： 收稿日期：2013—12—08 基金项目：国家自然科学基金资助项目；四川省科技支撑计划重点资助项目(2012GZ0017) 14 成都信息工程学院学报 第29卷 rki=KⅢ=Ki①T’(KHl④Km④Km①CKi) 其中，T7变换与加密变换中的T变换基本相同，只是其中的线性变换L修改为以下L’： L7(B)=B 31)均为常数，其取值方法见文献[8]。 2差分功耗分析(DPA) DPA是对大量功耗曲线进行统计分析，利用密码设备功率消耗对正在处理数据的依赖性，使用合适的能量 模型和区分函数对功耗曲线进行分类，并对分类后的功耗曲线作差。 实施DPA的具体步骤【10—13J如下： (1)选择所执行密码算法的某个中间值，这个中间值必须是一个函数f(d，志)，其中d是已知的数据，志是 密钥的一部分。中间值可以选择经过S盒后的值，也可以是异或之后的值。 (2)采集大量中间值操作的功耗曲线，在采集时，密钥不变，随机改变明