[论文解读] A Simple Power Analysis Attack on the Twofish Key Schedule

Jose Javier Gonzalez Ortiz, Kevin J. Compton|arXiv (Cornell University)|Nov 22, 2016

Cryptographic Implementations and Security参考文献 4被引用 4

一句话总结

本文提出了一种针对Twofish密钥调度的简单功耗分析（SPA）攻击，仅通过单次执行中8位操作的汉明重量测量，即可恢复出秘密密钥。该攻击对噪声具有鲁棒性，在标准差≤1.0的高斯噪声下准确率达到100%，且由于密钥调度设计中固有的数据依赖性，可扩展至32位和64位实现。

ABSTRACT

This paper introduces an SPA power attack on the 8-bit implementation of the Twofish block cipher. The attack is able to unequivocally recover the secret key even under substantial amounts of error. An initial algorithm is described using exhaustive search on error free data. An error resistant algorithm is later described. It employs several threshold preprocessing stages followed by a combined approach of least mean squares and an optimized Hamming mask search. Further analysis of 32 and 64-bit Twofish implementations reveals that they are similarly vulnerable to the described SPA attack.

研究动机与目标

• 展示尽管Twofish密钥调度结构复杂，仍易受侧信道攻击（功耗分析）影响。
• 开发一种抗错误的SPA攻击，适用于真实世界实现中存在噪声的功耗轨迹。
• 证明8位、32位和64位Twofish实现均易受此SPA技术影响，原因在于密钥调度中显式的字节级操作。
• 评估在不同噪声水平和密钥大小下，该攻击的准确率与效率。
• 证明该攻击具有实际可行性且高效，即使存在真实测量误差，运行时间也低于一秒。

提出的方法

• 通过在Twofish密钥调度计算过程中测量中间值的汉明重量，推断出秘密密钥字节。
• 初始阶段采用穷举搜索，通过将汉明重量与密钥字节候选值匹配，从无错误的功耗轨迹中恢复密钥。
• 抗错误变体在应用组合最小均方和优化汉明掩码搜索前，对噪声测量进行阈值预处理。
• 该方法利用了Twofish的S盒查找和字操作在功耗轨迹中暴露了单个8位值的特性。
• 通过观察字节级操作在查表和移位运算中依然暴露，将攻击扩展至32位和64位实现。
• 通过阈值权重（τ）和噪声建模（σ）进行统计优化，以平衡准确率与运行时间，确定τ=3为最优值。

实验结果

研究问题

• RQ1 仅通过单次执行中来自密钥调度的汉明重量测量，能否成功恢复Twofish的秘密密钥？
• RQ2 在真实测量噪声水平下，特别是高斯噪声下，该攻击的鲁棒性如何？
• RQ3 32位和64位Twofish实现是否与8位版本一样，易受相同SPA技术的影响？
• RQ4 在不同噪声和阈值参数下，攻击准确率与运行时间之间的权衡如何？
• RQ5 能否通过统计推断与错误校正技术，对攻击进行优化以处理真实世界中的功耗轨迹？

主要发现

• 该攻击仅通过密钥调度中的汉明重量轨迹，在单次执行中成功恢复了完整的秘密密钥。
• 在标准差σ ≤ 1.0的高斯噪声下，攻击准确率达到100%，尤其在使用阈值τ = 3时表现最佳。
• 当σ > 1.0时，准确率显著下降；在σ = 2.0时，大多数情况下至少会错误推断一个密钥字节。
• 优化后算法的最坏情况运行时间低于一秒，表明该攻击既高效又实用。
• 由于S盒和字操作过程中暴露了单个8位值，该攻击在8位、32位和64位Twofish实现中均有效。
• 即使存在大量噪声，该攻击依然具有鲁棒性，表明Twofish密钥调度设计泄露了足够信息，足以通过SPA实现密钥恢复。