轻型分组密码LED代数故障攻击方法

2021 年 3 月March 2021第 47 卷 第 3 期Vol.47 No.3计算机工程Computer Engineering•网络空间安全・文章编号：1000-3428 (2021) 03-0155-05文献标志码：A中图分类号:TP391轻量级分组密码算法DoT 的模板攻击孙家异，韦永壮(桂林电子科技大学广西密码学与信息安全重点实验室,广西桂林541004)摘要：模板攻击是一种重要的侧信道分析方法，其在实际密码算法破译中具有较强的区分能力。

轻量级分组密码算法DoT 在硬件和软件实现中都表现出优秀的性能，尽管目前针对DoT 算法的传统数学攻击已经取得了一定效果，但是该算法在具体实现中是否足以抵御侧信道攻击仍有待研究。

基于DoT 算法结构及其S 盒特点，提出一种 针对DoT 算法的模板攻击方法。

基于汉明重量模型来刻画加密算法运行时的能耗特征，将S 盒输出值的具体分布作为中间状态值构造区分器，从而进行密钥恢复。

测试结果表明，该模板攻击仅需6组明文就可恢复出8 bit 密钥 信息，DoT 密码算法在该模板攻击下具有脆弱性。

关键词：DoT 密码算法；模板攻击;汉明重量；掩码；侧信道攻击开放科学(资源服务)标志码(OSID)：書|曹中文引用格式：孙家异，韦永壮.轻量级分组密码算法DoT 的模板攻击［J ］.计算机工程，2021,47(3):155-159,165.英文引用格式： SUN Jiayi , WEI Yongzhuang. Template attacks against lightweight block cipher algorithm DoT ［ J ］.Computer Engineering ， 2021 ， 47( 3)：155-159， 165.Template Attacks Against Lightweight Block Cipher Algorithm DoTSUN Jiayi ，WEI Yongzhuang(Guangxi Key Laboratory of Cryptography and Information Security, Guilin University of Electronic Technology ,Guilin , Guangxi 541004, China )[ Abstract ] As an important way of side channel analysis ， template attacks have excellent distinguishing ability in the cracking of encryption algorithms. Recently ， a lightweight block cipher algorithm called DoT performs well in both hardware and software implementation. Although some progress has been made in the traditional mathematical attacksagainst DoT ， whether DoT can resist side channel attacks in practice remains to be an unsolved problem. This paper proposes a template attack method against DoT based on the structure of the DoT algorithm and its characteristics of S- box. This attack method uses the Hamming weight model to present the energy consumption features of the runningencryption algorithms ， takes the specific distribution of S-box output as the intermediate state value to construct thedifferentiator ， and thus recovers the secret key. Experimental results show that the DoT algorithm is vulnerable to this kind of template attacks ， which require only 6 groups of plaintexts to recover 8 bit key information.[ Key words ] DoT cipher algorithm ； template attack ； Hamming weight ； mask ； side channel attackDOI ： 10. 19678/j. issn. 1000-3428. 00577240 概述2002年,CHARI 等人［I 1利用能量消耗与正在处理的数据有关这一基本事实［21,提出了模板攻击的 概念。

计算机网络攻击及解决方案一、引言计算机网络攻击已经成为当今信息时代的重要问题之一。

随着互联网的普及和依赖程度的增加，网络安全威胁也日益增长。

本文将介绍常见的计算机网络攻击类型，并提供相应的解决方案。

二、常见的计算机网络攻击类型1. 病毒和恶意软件攻击病毒和恶意软件是最常见的网络攻击方式之一。

攻击者通过将恶意软件传播到目标计算机上，从而获取或破坏目标计算机的信息。

解决方案包括定期更新杀毒软件、安装防火墙、不打开未知来源的附件等。

2. DoS和DDoS攻击拒绝服务（DoS）和分布式拒绝服务（DDoS）攻击旨在通过超载目标服务器或网络，使其无法正常工作。

解决方案包括使用入侵检测系统（IDS）和入侵防御系统（IPS）来识别和阻止攻击流量、配置网络设备以限制带宽消耗等。

3. 网络钓鱼网络钓鱼是一种通过伪装成合法机构或个人来欺骗用户提供敏感信息的攻击方式。

解决方案包括教育用户警惕钓鱼网站、使用安全浏览器插件来检测钓鱼网站等。

4. 网络入侵网络入侵是指攻击者通过利用系统或网络的漏洞，未经授权地访问或控制目标系统。

解决方案包括定期更新操作系统和应用程序、使用强密码和多因素认证等。

5. 数据泄露数据泄露是指未经授权地泄露敏感数据，可能导致个人隐私泄露和经济损失。

解决方案包括加密敏感数据、限制对敏感数据的访问权限、定期备份数据等。

三、网络攻击解决方案1. 安全意识培训提高用户的网络安全意识是预防网络攻击的重要措施。

组织定期开展网络安全培训，教育用户如何识别和应对各种网络攻击。

2. 使用安全软件和工具安装和更新杀毒软件、防火墙、入侵检测系统等安全软件和工具，及时发现和阻止网络攻击。

3. 加强网络安全管理建立完善的网络安全管理制度，包括制定网络安全策略、进行风险评估和漏洞扫描、及时修补系统漏洞等。

4. 加密和身份验证使用加密技术保护敏感数据的传输和存储，采用强密码和多因素认证来防止未授权访问。

5. 定期备份数据定期备份重要数据，以防止数据丢失或损坏，同时备份数据应存储在安全可靠的地方。

分组密码算法抗功耗攻击和故障攻击的方法摘要：为同时抵御差分功耗攻击和故障攻击，提出了一种有效的防护方法，采用流水线技术增加了正常加解密运算的噪声，比较同一输入依次进入不同级的流水线的运算结果是否一致，可以抗故障攻击。

通过仿真实验分析，该方法具有良好的抗攻击性能。

关键词：差分功耗攻击；故障攻击；流水线；防护0 引言随着计算机技术的发展、社会信息化程度的不断提高，安全问题越来越受到人们的广泛重现，因此各种形式的专用密码电路和密码算法处理器被广泛地应用于各类产品中。

分组密码算法是一种最常用的加密手段，具有速度快、易于标准化和便于软硬件实现等特点。

目前比较流行的分组密码算法有DES算法、AES算法等，其中DES[1]是目前使用非常广泛的数据加密方法，它于1977年被美国国家标准局作为第46号联邦信息处理标准而采用。

传统的密码分析方法是采用数学的分析手段。

近年来随着测量分析方法的进步，各种分析攻击方法也不断发展，差分功耗攻击和故障攻击是具有代表性且对智能卡芯片威胁性较强的两种攻击方法。

差分功耗攻击是1998年由Paul Kocher等[2]提出，它利用了密码设备运行期间泄露的侧信息与密码算法的中间值有一定的相关性，通过多次测量侧信息后进行统计分析，进而获得密钥信息。

故障攻击的基本原理是将密码芯片置于强磁场中，或者改变芯片的电源电压、工作频率、温度等，使密码芯片中的寄存器、存储器在加解密过程中产生随机错误，某些输出比特从原来的0变成1或1变成0。

通过对正确密文输出和错误密文输出的比较，经过理论分析得到芯片内部的秘密数据信息。

国内外对于差分功耗攻击和故障攻击防御方面的研究和技术方法也不断涌现，防御差分功耗攻击的方法包括：随机掩码、动态双轨电路技术、随机伪操作等，防御故障攻击的方法主要包括对相同的数据计算多次后比较运算结果是否一致。

但有的防御方法往往会增加实现代价，而计算多次比较运算结果又会降低算法运算效率。

本文以DES算法为例，提出了分组密码算法的一种有效防护方法，可以同时抵御差分功耗攻击和故障攻击。

网络安全剖析了解黑客攻击方式随着信息技术的迅猛发展，计算机网络已经成为人们日常工作和生活中必不可少的工具。

与此同时，网络安全风险也相应地加大了。

黑客攻击成为了一个重要的网络安全问题。

本文将详细介绍黑客攻击的一些主要方式，以供读者参考。

一、密码攻击密码攻击是指攻击者通过各种手段破解密码，例如字典攻击、暴力破解、社交工程学等等。

字典攻击是通过使用某些已知的密码字典，逐个尝试其中的密码来完成攻击。

暴力破解是通过不断尝试组合，逐一破解密码的方式进行攻击。

而社交工程学则是通过获取个人信息，结合潜在密码的使用习惯和心理，猜测或伪造密码的方式进行攻击。

因此，设置复杂的密码，不使用常用密码和个人信息作为密码，以及定期更换密码是很重要的。

二、钓鱼攻击钓鱼攻击是指攻击者通过虚假的信息、诱饵来欺骗用户，达到窃取用户账号和密码的目的。

钓鱼攻击常见的形式包括邮件、短信、社交网络和恶意网站等。

例如，攻击者发送一封虚假的电子邮件或短信，诈骗受害者输入账号和密码，或者下发带有恶意代码的附件，借此窃取系统中的敏感信息。

因此，要提高警觉，不轻易点击未知来源的链接和附件，定期更换密码，使用更加安全的验证方式进行账号登录。

三、拒绝服务攻击拒绝服务攻击是指攻击者通过占用系统资源、发送大量无效数据包、攻击网络基础设施等方式，让真正的用户无法合法访问，并让网络系统瘫痪的攻击行为。

拒绝服务攻击对运营重要网络系统的网站、服务器和数据库等造成极大的威胁。

因此，合理配置防火墙和入侵检测系统，增强网络攻击检测和防御能力，可以有效地避免拒绝服务攻击。

四、软件漏洞攻击软件漏洞攻击是指攻击者通过利用系统软件或其他软件的漏洞漏洞，达到窃取受害人信息或对受害人进行攻击的目的。

软件漏洞攻击主要包括SQL注入攻击、跨站脚本攻击和缓冲区溢出攻击等。

因此，保持软件更新，常用安全软件对网络系统进行检测，以及合理使用防护措施都是很重要的。

五、恶意软件攻击恶意软件指的是在不被授权的情况下，通过植入或传播危害计算机安全的软件，例如病毒、木马、蠕虫等等。

分组密码的攻击方法与实例分析快速发展的网络技术和普及了计算机的应用，已经成为现代社会的重要组成部分。

作为一种必要的措施，用信息安全技术来保护数据和系统安全受到了广泛重视。

其中，分组密码技术作为最常用的信息安全技术，被广泛地应用于网络安全、电子商务安全等领域，已经发展成为重要的数据保密手段和密码技术理论。

但是，无论是在实践中还是在理论中，由于其本身特点，分组密码技术面临着攻击方法，被攻破也是不可避免的。

首先，从定义来看，分组密码技术是通过将明文映射成一组加密码，使攻击者无法推测出原始信息，从而保证信息安全。

分组密码技术也是一种非对称加密，具有无法破解、保护信息安全等特点，可用于文本、图像、视频等的加密。

但由于其易受到统计攻击、差分攻击、伪造攻击等攻击，也严重影响了它的安全性。

首先，统计攻击是一种常见的攻击方法，可以破解分组密码技术。

统计攻击主要是通过分析给定的加密信息，从而推断出明文信息的过程。

统计攻击的执行者可以分析出加密信息中的特征，并与明文信息的特征做比较，从而推测出明文信息，实现对分组密码的破解。

其次，差分攻击也是分组密码的一种常见的攻击方法，原理是分析两个相邻密文的差分，以便破解给定的分组密码。

基本原理是：分析两个相邻的分组密文差分，推断出加密时所用的密钥流，从而实现对分组密码的破解。

此外，伪造攻击也是一种令人担忧的攻击方式，采用伪造攻击可以对分组密码产生威胁。

原理是：它可以将一个未经授权的加密信息伪装成一个由攻击者自己授权的消息，从而冒充有权用户拥有一个非法的加密信息。

伪造攻击可用于破解分组密码，实现对分组密码的攻击。

最后，编码攻击是指破解分组密码的攻击方式，它是通过攻破分组密码算法所实现的。

它在给定密钥的情况下，可以解密出明文信息，也可以破解出密钥结构，从而破解出分组密码。

以上三种攻击方式都可以对分组密码技术实施攻击，从而使信息安全受到威胁。

由此可见，尽管分组密码技术在信息安全方面有许多优势，但也必须对其进行有效的防范和攻击，才能使其真正成为信息安全的一大助力。

分组密码AES-128的差分故障攻击刘祥忠【摘要】The advanced encryption standard is short for AES. It has another name Rijndael. It is one of the most popular ciphers in the world and is widely used for both commercial and government purposes. It has three versions( AES-128, AES-192 and AES-256). Differential fault analysis assumes that an attacker can induce faults into a system and collect the correct as well as the faulty behaviors. The attacker compares the two ciphers in order to retrieve the secret key. In this paper,present differential fault attacks on the block cipher AES-128 when error injected at the beginning of round 8 and round 7. The method proposed can recover subkey through 2 and 4 faults on average. The attack has a time complexity of 234(2112) time for full key recovery for the two fault injected model correspondingly.%AES是美国数据加密标准的简称,又称Rijndael加密算法.它是当今最著名且在商业和政府部门应用最广泛的算法之一.AES有三个版本,分别是AES-128,AES-19和AES-256.AES的分析是当今密码界的一个热点,文中使用差分故障攻击方法对AES进行分析.差分故障攻击假设攻击者可以给密码系统植入错误并获得正确密文和植入故障后密文,通过对两个密文分析比对从而得到密钥.文中提出了对AES-128的两种故障攻击方法,分别是在第8轮和第7轮的开始注入故障.两个分析方法分别需要2个和4个故障对,数据复杂度分别为234(2112)次猜测密钥.【期刊名称】《计算机技术与发展》【年(卷),期】2012(022)009【总页数】4页(P221-224)【关键词】AES-128;分组密码;差分故障攻击【作者】刘祥忠【作者单位】山东师范大学第二附属中学,山东济南250014【正文语种】中文【中图分类】TP3090 引言AES［1］是美国新的高级加密标准(Advanced Encryption Standard)的缩写，又称Rijndael 加密算法，是美国联邦政府采用的一种区块加密标准。

ACADEMIC RESEARCH 学术研究一、轻量级分组密码及攻击类型（一）轻量级分组密码。

所谓轻量级分组密码，其作为一种特殊的分组算法形式，通过硬件实现、加密速度以及运行功耗等方面具有一定的优势性，该种技术与物联网技术融合时，具有较为明显的优势。

较为常见的轻量级分组密码包括DESL、PRESENT等。

研究中结合PRESENT功耗问题进行分析[1]。

（二）轻量级分组密码的攻击分类。

密码分析系统的攻击手段通常分为以下几点：第一，唯密文攻击。

对于这种攻击形式而言，攻击者只是截获一个或是多个密文信息，没有其他可利用的信息，只通过分析密文信息获取相关的内容。

第二，已知明文攻击。

攻击者可以通过密文或是一些相对应明文的分析，结合密文信息获得相关密钥信息。

第三，选择明文攻击。

攻击者在攻击之前，可以任意选择有利的明文内容，从而获得当前密钥以及与之相关的密钥密文[2]。

二、PRESENT功耗攻击（一） PRESENT功耗攻击模型。

在PRESENT芯片系统使用的过程中，通过加密处理技术的确定，PRESENT密码芯片可以进行集成电路的确定，并在负载电容中进行充放电，相关芯片电路会发生一定的损耗。

在PRESENT密码芯片中，寄存器中的1、0会发生一定的转变，其中的能耗也会发生变化，因此，在该种技术操作中，需要结合寄存器状态的变化，建立功耗模型，其功耗模型如（1）。

W=aH（D→R）+b （1）公式（1）中的W表示功耗，H为（Hamming weight），D、R分别是寄存器变化前后的状态。

A和b是运算时实际环境确定的常量。

（二） PRESENT密码算法攻击点选取。

在PRESENT密码算法分析中，存在多个S盒变转，S盒在PRESENT密码芯片中，运算消耗的功率相对较大，整个过程中，密钥及文明进行以异或运算时，会确定两个较好的位置，之后进行功耗攻击。

通常状况下，最佳功耗位置选择过程如下：首先，在明文以及密钥异或后的攻击采样点。

对 PRINCE分组密码的不可能差分攻击魏悦川;潘晓中;戎宜生;王绪安【摘要】The PRINCE is a light‐weight block cipher with the 64‐bit block size and 128‐bit key size . It is characterized by low power‐consumption and low latency . PRINCEcore is the PRINCE cipher without key‐whiting . For evaluating its security , a statistical testing on linear transformation is performed , and a statistical character matrix is given . By using the �miss‐in‐the‐middle" technique , we construct a 5‐round impossible differential characteristic . Based on the 5‐round distinguisher , a 9‐round attack on the PRINCEcore is performed . For the 9‐round attack , the data complexity , time complexity and space complexity are 261.2 , 254.3 and 217.7 , respectively . The testing result shows that the PRINCEcore reduced to 9 rounds is not immune to impossible differential attack .%PRINCE是一个具有64 bit分组长度，128 bit密钥的轻量级分组密码，具有低功耗、低延时等特点．不包含密钥白化的PRINCE密码被称为PRINCEcore ．为评估其安全性，笔者对 PRINCE密码的线性变换进行统计测试，给出了线性变换的统计特征，并利用“中间相错”的方法构造了PRINCE密码的5轮不可能差分区分器．利用该区分器，结合线性变换的性质，对9轮PRINCEcore进行不可能差分攻击，攻击的数据复杂度为261.2，计算复杂度为254.3，存储复杂度为217.7．测试结果表明，9轮PRINCEcore密码对于文中给出的攻击是不免疫的．【期刊名称】《西安电子科技大学学报（自然科学版）》【年(卷),期】2017(044)001【总页数】6页(P119-124)【关键词】分组密码;不可能差分攻击;PRINCE密码;攻击复杂度【作者】魏悦川;潘晓中;戎宜生;王绪安【作者单位】武警工程大学电子技术系，陕西西安 710086;武警工程大学电子技术系，陕西西安 710086;武警工程大学装备工程学院，陕西西安 710086;武警工程大学电子技术系，陕西西安 710086【正文语种】中文【中图分类】TN918近年来,“物联网”一词越来越多地出现在人们的视野中.物联网的发展被许多国家提上战略高度,产业规模不断扩大.由于制造成本和便携性的限制,物联网中的许多设备是计算能力较弱的微型处理设备.为了保护射频识别标签以及智能卡等设备的通信安全,同时适应资源受限环境,许多轻量级分组密码先后提出,如PRESENT,LBlock,LED,SIMON,SPECK等[1-2].文献[3]提出了一个轻量级分组密码——PRINCE,其明文分组长度为64 bit,支持128 bit密钥.PRINCE是基于FX构造的密码算法,一个有趣的性质是对轮密钥稍加改变,加密和解密将具有一致性,这使得解密开销可以忽略不计,这一性质被称为α反射特性.对于PRINCE密码的安全性分析主要是基于α反射特性进行的,文献[4]指出,若选择特定的α值,则在相关密钥模型下,可以对全轮的PRINCE密码进行相关密钥攻击.若采用设计者给出的α值,则只能对PRINCE密码攻击至6轮.文献[5]系统地分析了PRINCE密码在相关密钥模型下的安全性,其指出,在一对相关密钥下可以攻破全轮的PRINCE密码,还给出了用于攻破全轮PRINCEcore的α参数,以及6轮PRINCE密码的积分攻击结果.文献[6]在2015年欧密会中指出,包括PRINCE在内的基于FX构造的密码,其安全界低于设计者提出的界.基于中间相遇攻击的思想,文献[7]给出了PRINCE密码的10轮攻击结果.文献[8]针对侧信道模型,分析了PRINCE密码抵抗差分故障攻击的能力.不可能差分分析方法是分析分组密码安全性的有效方法之一.不同于传统的差分分析通过寻找高概率的差分来恢复密钥,不可能差分分析方法寻找的是不可能出现的差分.若某个猜测密钥能使不可能差分出现,则一定是错误密钥,从而淘汰,将错误密钥淘汰后剩下的密钥即为正确密钥.不可能差分分析经文献[9-10]独立提出之后,已经显示出了巨大的生命力,它是对当前许多流行密码算法包括Rijndael在内的最有效的攻击手段之一.笔者研究了PRINCE密码对不可能差分分析的免疫力.在研究PRINCE密码结构性质的基础上,对该密码的线性变换进行统计测试,给出了线性变换的统计特征,并利用“中间相错”的方法构造了PRINCE密码的5轮不可能差分区分器.利用该区分器,结合线性变换的性质,对PRINCE密码进行不可能差分攻击.测试结果显示,9轮PRINCEcore密码对不可能差分攻击是不免疫的.9轮攻击的数据复杂度为261.2,时间复杂度为254.3,空间复杂度为217.7.1.1 PRINCE密码简介PRINCE分组密码具有64 bit分组长度和128 bit密钥长度.密钥扩展算法首先将128 bit密钥k平均分成两部分k=(k0‖k1),然后再将k扩展成为192 bit,具体算法为k=(k0‖k1)→(k0‖k′0‖k1)=(k0‖L(k0)‖k1),其中L(x)=(x＞＞＞1)⊕(x＞＞63),‖,＞＞＞,＞＞依次代表联结,循环右移,右移符号.两个64 bit子密钥k0和k′0分别用于输入和输出的密钥白化,中间PRINCEcore 部分使用子密钥k1进行加密,PRINCEcore包括12轮轮变换,中间对合轮记为两轮,如图1所示.PRINCEcore有两种轮变换Ri和,两者互为逆变换.Ri和分别迭代6轮,中间对合变换记为两轮.其中,中间的线性变换Mmid定义为Mmid=M◦M′◦M-1=SR◦M′◦SR-1.将64 bit分组看作4×4的状态矩阵,每一个元素为4 bit(半字节),轮变换R由4个基本变换复合而成,分别为密钥加,常数加,S盒,P置换.轮变换R记为R=M◦SB◦AC◦AK.密钥加(AK):将64 bit的轮密钥用异或运算作用在64 bit的状态上.常数加(AC):将64 bit的轮常数用异或运算作用在64 bit的状态上.S盒(SB):PRINCE由16个4×4的S盒并置而成.S盒的映射取值如表1所示.P置换(M):将线性变换M作用在4×4的状态矩阵上,M=SR◦M′,SR是对矩阵的行移位,M′=diag(0,1,1,0),是一个64×64的对角型对合矩阵,它由两个16×16的列混合变换0和1构造而成,0和1均为16×16的二元矩阵,定义如下:1.2 P置换的性质容易验证,PRINCE密码的P置换中的线性变换M′是一个对角矩阵,当该对角矩阵作用在4×4的状态矩阵上时,相当于将每个子矩阵作用在状态矩阵的每一列上.进一步分析,可以得到M′的下列性质.性质1 将状态矩阵看作16列4 bit数据i=0,…,15,线性变换M′等价于16个独立的线性变换分别作用在每一列上,变换方式为[11]其中,w(·)是汉明重量,Rotni(·)是循环上移ni位.基于性质1,利用计算机程序对线性变换M′进行测试,得到性质2.性质2 令w(·)为字节汉明重量,表2为通过计算机搜索得到的nij值,则线性变换M′将具有固定位置的i个非零半字节差分变换为具有固定位置的j个非零半字节差分的概率为笔者利用“中间相错”的方法给出PRINCE密码的5轮不可能差分.为方便起见,对一些符号进行约定.令P和C分别表示明文和密文,分别表示Ri轮中S盒变换、M′线性变换、SR移位变换后的输出.用xi,col(l)来表示xi的第l列.约定PRINCE密码的状态矩阵的16个半字节按照如下顺序映射为64 bit字.定理1 若输入差分具有形式(1 000,1 000,1 000,0,0,0,0,0,0,0,0,0,0,0,0,0),则第8轮中SR-1的输出差分不可能为(0,?,0,?,0,?,0,?,?,0,?,0,?,0,?,0)的形式.其中每个半字节位置上0代表4 bit均为0差分,“?”代表差分取值任意.证明证明过程参考图2.其中●代表差分值非零的半字节.设第3轮R3中S盒变换的输出差分具有形式(1 000,1 000,1 000,0,0,0,0,0,0,0,0,0,0,0,0,0),经过线性变换M′后,差分为(1 000,0,0,0,0,0,0,0, 0,0,0,0,0,0,0,0),经过行移位变换SR不影响差分形式.在第4轮变换R4中,S盒将1个非零差分半字节映射为1个非零差分半字节,线性变换M′将1个非零差分扩展为3个,SR变换将同一列中的3个非零半字节差分变换到不同的行.第5轮的线性变换M′将3个半字节的非零差分扩展为9个.在对合变换中,经过S盒变换后,状态矩阵中仍有9个非零半字节差分.在解密方向,考虑第8轮的SR-1变换的输出,若差分具有(0,?,0,?,0,?,0,?,?,0,?,0,?,0,?,0)的形式,其中?代表任意差分,则对合变换M′的输出差分中至少有9个半字节没有差分(零差分),这与加密方向的结论:状态字节中有9个非零差分相矛盾.因此,上述差分为不可能差分.证毕.由定理1的证明过程容易得到以下推论.推论1 若输入差分具有形式(●,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0),则第8轮中SR-1的输出差分不可能为(0,?,0,?,0,?,0,?,?,0,?,0,?,0,?,0)的形式.符号意义同定理1.攻击过程是基于推论1中的不可能差分进行的.利用不可能差分攻击的思想,即任何导致不可能差分出现的密钥都是错误密钥,可以对候选密钥进行筛选,最终得到正确密钥.PRINCE密码的中间是一个对合变换,由于这种特殊结构,笔者选择的攻击路径是由对合变换向两边扩展得到的路径,即攻击第2轮至第10轮.下面给出对PRINCE密码的9轮不可能差分攻击方案.图3给出了差分传播路径以及每一步成立的概率,笔者采用的攻击步骤如下:预计算设的差分为(a,0,0,0),的差分为(0,b,0,0),的差分为(0,0,c,0),由性质2可以推出,线性变换M′只能将具有3或4个非零差分的16 bit字映射为具有1个非零差分的16 bit字.第2轮的输入对的可能数目为(16+44)3≈217.7,对于这217.7个对,分别计算1、2、3列的值,将其对应的12个半字节对的差分存储在Hash表S中. 步骤1 选择n个明文结构,该结构中除第4列为固定值外,其他列的差分为预计算列表中的任意值.因此,得到2n+17.7个明文和2n+35.4个明文对.选择明文对(P,P′),其对应的密文对为(C,C′),计算=M′S(C)和=M′S(C′),使得所选择的明文对满足对应的的差分在(1,2,6,7,8,11,12,13)这8个半字节位置上为0,满足条件的明密文对的数目为2n+35.4×2-4×8=2n+3.4.步骤2 猜测密钥k1在(0,1,2)3个半字节位置上的值,对每一次猜测,加密明文对以获得,选择差分在位置0上非零,在(1,2,3)位置上为零的对.满足这一条件的概率p31≈2-12,进而剩余对的数目为2n+3.4× p31≈2n-8.6.步骤3 设k1的(0,1,2)3个半字节为步骤2中所猜测,重新猜测k1在位置3上的值,对剩余的密文对部分解密以获得,选择差分在0位置上为非零,在(1,2,3)位置上为零的对.满足这一条件的概率p41≈2-12.5,进而剩余对的数目为2n-8.6×p41≈2n-21.1.步骤4 猜测密钥k1在位置(4,5,6,7)4个半字节位置上的值,对每一次猜测,部分解密以获得,选择差分在位置5上非零,在位置(4,6,7)上为零的对.满足这一条件的概率也为p41≈2-12.5,进而剩余对的数目为2n-21.1×p41≈2n-33.6.步骤5 用步骤2和步骤3中所猜测的k1的4个半字节部分解密以获得,判断差分是否在(0,2)位置上为0,在(1,3)位置非零.如果是,则说明猜测密钥导致了不可能差分的出现,将上述猜测密钥淘汰.根据性质2,其概率p22≈2-5.2.在笔者攻击中,一共需要猜测k1的8个半字节,分析一个明文对,错误密钥未被淘汰的概率是1-2-5.2,因此,在分析了2n-33.6个剩余对后,剩余的错误密钥数量约为232(1-2-5.2)2n-33.6,取n=43.8,可以使这一数目小于1.复杂度分析在上述攻击中,所需明文量为243.8+17.4=261.2.时间复杂度计算如下,步骤2中需要2× 212×243.8+3.4×3≈261.8次S盒计算,相当于260.2×(3/16)×(1/12)=254.2次加密运算;步骤3需要2×216× 243.8-8.6×4=254.2次S盒计算,相当于252.2×(4/16)×(1/12)=246.6次加密运算;步骤4需要2×216×216× 243.8-21.1×4=257.7次计算,相当于2×216×216×243.8-21.1×2=256.7;步骤5需要2×216×216×243.8-33.6×2=244.2次S盒运算.因此,该攻击共需要261.8+254.2+257.7+244.2≈261.9次S盒运算,相当于261.9×(1/16)× (1/12)≈254.3次加密运算.PRINCE是一个具有64 bit分组长度,128 bit密钥的轻量级分组密码.笔者分析了PRINCE密码对于不可能差分分析方法的免疫性.利用“中间相错”方法构造了PRINCE密码的5轮不可能差分区分器,对该区分器进行前后扩展,给出了对9轮PRINCEcore的攻击方案.测试结果显示,9轮攻击的数据复杂度为261.2个明文,计算复杂度为254.3次加密运算,存储复杂度为217.7个明文.对于线性变换的统计测试使得明文可以通过存储获得,同时通过计算每一步成立的概率,使得攻击复杂度更为精确,并且经过选择比较,笔者攻击中给出的差分途径可以最为有效地淘汰错误密钥.【相关文献】[1]WU W L,ZHANG L.LBlock:a Lightweight Block Cipher[C]//Lecture Notes in Computer Science:6715. Heidelberg:Springer Verlag,2011:327-344.[2]BEAULIEU R,SHORS D,SMITH J,et al.The SIMON and SPECK Lightweight BlockCiphers[C]//Proceedings of the 2015 ACM/EDAC/IEEE Design Automation Conference:2015.Piscataway:IEEE,2015:a175.[3]BORGHOFF J,CANTEAUT A,GÜNEYSU T,et al.PRINCE—a Low-latency Block Cipher for Pervasive Computing Applications[C]//Lecture Notes in ComputerScience:7658.Heidelberg:Springer Verlag,2012:208-225.[4]SOLEIMANY H,BLONDEAU C,YU X L,et al.Reflection Cryptanalysis of PRINCE-like Ciphers[C]//Lecture Notes in Computer Science:8424.Heidelberg:Springer Verlag,2014:71-91.[5]JEAN J,NIKOLIC I,PEYRIN T,et al.Security Analysis of PRINCE[C]//Lecture Notes in Computer Science:8424. Heidelberg:Springer Verlag,2014:92-111.[6]DINUR I.Cryptanalytic Time-memory-data Tradeoffs for FX-constructions with Applications to PRINCE and PRIDE [C]//Lecture Notes in ComputerScience:9056.Heidelberg:Springer Verlag,2015:231-253.[7]DERBEZ P,PERRIN L.Meet-in-the-middle Attacks and Structural Analysis of Round-reduced PRINCE[C]//Lecture Notes in Computer Science:9054.Heidelberg:Springer Verlag,2015:190-216.[8]SONG L,HU L.Differential Fault Attack on the PRINCE Block Cipher[C]//Lecture Notes in Computer Science: 8162.Heidelberg:Springer Verlag,2013:43-54.[9]KNUDSEN L R.DEAL—a 128-bit Block Cipher:Technical Report 151[R].Bergen:University of Bergen,1998.[10]BIHAM E,BIRYUKOV A,SHAMIR A.Cryptanalysis of Skipjack Reduced to 31 Rounds Using Impossible Differentials[C]//Lecture Notes in ComputerScience:1592.Heidelberg:Springer Verlag,1999:12-23.[11]CANTEAUT A,FUHR T,GILBERT H,et al.Multiple Differential Cryptanalysis of Round-reduced PRINCE[C]// Lecture Notes in Computer Science:8540.Heidelberg:Springer Verlag,2015:591-610.。

分组密码的攻击方法与实例分析分组密码是现代信息安全的重要实施技术，用于保证信息的安全性和被动安全性，因此，保护分组密码不受攻击，破解或偷取分组密码密钥是信息安全领域研究者最关注的热点话题之一。

本文将介绍分组密码的攻击方法和实例分析，并讨论如何实施安全的分组密码系统。

一、分组密码的攻击方法1.暴力攻击暴力攻击是最基本的攻击方法，介绍这种攻击方法，指尝试在有限时间内尝试最大次数，以便尝试破译密钥。

穷举攻击是最基本的暴力攻击方法，它尝试穷举出所有可能的密钥，以尝试破译分组密码。

但是，由于密钥空间太大，它很难被成功完成。

2.钥分析攻击密钥分析攻击是破解密码最常用的方法，攻击者尝试分析分组密码发送出的密文的特性，以便确定密钥的空间。

这类攻击的典型例子是Cascade Attack即攻击者尝试分析发送的每组密文，识别其结构和特征，计算出可能的密钥空间，然后在此空间内进行穷举搜索。

3.钥推理攻击密钥推理攻击是通过分析所发送的密文产生可能的密钥选项，而不是穷举搜索。

攻击者通过计算出可能的密钥空间并根据发送的密文，以便计算出概率最高的密钥或尝试确定最可能的密钥。

4.控攻击键控攻击是攻击者尝试利用他们获得的统计信息来攻击分组密码系统。

它利用发送的密文来推断发送者使用的密钥，并利用这些密钥来解密未来的密文。

二、实例分析1.举攻击穷举攻击是最常用的攻击方法，一种典型的穷举攻击是集群计算，在这种情况下，攻击者可以使用一个庞大的计算机集群，共同计算出可能的密钥，以进行穷举攻击。

2.钥分析攻击密钥分析攻击是一种攻击方法，其目的是根据发送的密文的特性来对密钥的空间进行分析，以尝试确定可能的密钥。

一个典型的例子是基于位统计的攻击，它使用发送的密文的位统计特性来计算出可能的密钥。

3.钥推理攻击密钥推理攻击是根据发送的密文来推断可能的密钥空间，而不是穷举搜索。

典型的实例是攻击者使用发送的密文来推断发送者使用的密钥，后者使用这些密钥来解密未来的密文。

安全实例:密码的破解及抗击手段密码与用户帐户的有效利用是网络安全性的最大问题之一。

在本文中，Rob Shimonski将研究密码破解：如何以及为何进行密码破解。

Rob将只说明渗透网络是多么简单，攻击者如何进入网络、他们使用的工具以及抗击它的方法。

对公司或组织的计算机系统进行的攻击有各种形式，例如电子欺骗、smurf攻击以及其它类型的拒绝服务（DoS）攻击。

这些攻击被设计成破坏或中断您的运营系统的使用。

本文讨论一种广为流传的攻击形式，称为密码破解。

密码破解是用以描述在使用或不使用工具的情况下渗透网络、系统或资源以解锁用密码保护的资源的一个术语。

本文将研究什么是密码破解、为什么攻击者会这样做、他们如何达到目的以及如何保护您自己。

我将简要研究攻击者自身：他们的习性和动机。

通过对几种方案的研究，我将描述他们部署的一些技术、帮助他们攻击的工具以及密码破解者是如何从内部和外部侵犯公司基础结构的。

最后，文章提供了一张检查表以帮助您免遭密码破解。

在研究这样做的一些方法之前，让我们首先了解攻击者的想法并研究他们为什么想访问您的网络和系统。

攻击者：他们如何以及为何进行攻击关于黑客（hacker）的定义仍然争论不休。

黑客可以是任何对基于计算机的技术有浓厚兴趣的人；它未必定义想进行伤害的人。

词汇攻击者可用来描述恶意黑客。

攻击者的另一个词汇是黑帽（black hat）。

安全分析师通常称为白帽（white hat），白帽分析是为防御目的而使用的密码破解。

攻击者的动机差别很大。

有些声明狼籍的黑客是高中生，他们在地下室里的电脑前寻找利用计算机系统的漏洞的方法。

其它攻击者是寻求报复公司的心怀不满的雇员。

还有另外一些攻击者完全出于寻求刺激性的挑战目的，想渗透保护良好的系统。

攻击方法密码破解不一定涉及复杂的工具。

它可能与找一张写有密码的贴纸一样简单，而这张纸就贴在显示器上或者藏在键盘底下。

另一种蛮力技术称为“垃圾搜寻（dumpster diving）”，它基本上就是一个攻击者把垃圾搜寻一遍以找出可能含有密码的废弃文档。

2017年11月Journal on CommunicationsNovember 2017第38卷第11期 通 信 学 报 V ol.38 No.11对轻量级分组密码I-PRESENT-80和 I-PRESENT-128的biclique 攻击崔杰，左海风，仲红（安徽大学计算机科学与技术学院，安徽 合肥 230039）摘 要：I-PRESENT 是一种适用于RFID 、无线传感节点等资源受限环境的代换——置换型分组密码。

利用中间筛选技术来构造I-PRESENT 的biclique 结构，首次对全轮I-PRESENT-80和I-PRESENT-128算法进行了biclique 攻击。

结果表明，biclique 对I-PRESENT-80和I-PRESENT-128攻击的数据复杂度分别为262和362个选择密文；攻击的时间复杂度分别为79.482和127.332次加密。

攻击在时间复杂度和数据复杂度上均优于穷举。

利用提出的I-PRESENT 的密钥相关性技术，攻击的时间复杂度可以进一步降低到78.612和126.482。

关键词：轻量级分组密码；PRESENT ；预计算匹配；biclique 攻击 中图分类号：TN918.1 文献标识码：ABiclique cryptanalysis on lightweight block ciphers I-PRESENT-80 and I- PRESENT-128CUI Jie, ZUO Hai-feng, ZHONG Hong(College of Computer Science and Technology, Anhui University, Hefei 230039, China)Abstract: I-PRESENT was a lightweight SPN block cipher for resource-constraint environments such as RFID tags and sensor networks. The biclique structures of I-PRESENT with sieve-in-the-middle technique was an constracted. The bic-lique cryptanalysis schemes on full-round I-PRESENT-80 and I-PRESENT-128 were proposed for the first time. The re-sults show that the data complexity of the biclique cryptanalysis on I-PRESENT-80 and I-PRESENT-128 is 262and 362chosen ciphertexts respectively ，and the time complexity on them is 79.482and 127.332encryptions respectively. The time and data complexity are better than that of the exhaustive attack. In addition, the time complexity on them can be reduced to 78.612and 126.482encryptions by using related-key technology of I-PRESENT.Key words: lightweight block cipher, PRESENT, matching-with-precomputations, biclique cryptanalysis1 引言随着射频识别标签(RFID tags)、物联网(Internet of Things)和无线传感节点(wireless sensor node)等低资源设备的发展，使轻量级密码技术逐渐成为一种热门研究领域，在该领域中寻找满足不同低资源设备安全目的的解决方案就显得尤为重要。