Persistent Fault Analysis Against sm4 Implementations in Libraries Crypto++ and gmssl

1-rasm. SM4 shifrining tuzilishi.


A. ASOSIY JADVAL
MK bilan belgilangan shifrlash kaliti ham to'rtta so'zga bo'lingan (MK 0, MK 1, MK 2, MK 3) va to'rtta 32 bitli konstantalar (FK0, FK1, FK 2, FK 3) bilan XORed, ya'ni,
(K0, K1, K2, K3) = (MK 0 ⊕ FK 0, MK 1 ⊕ FK 1,
MK 2 ⊕ FK 2, MK 3 ⊕ FK 3) .
Keyinchalik, har bir 32-bitli dumaloq kalit RKi (i ∈ {0, 1, . . , 31}) quyidagicha chiqariladi:
RKi = Ki+4 = Ki ⊕ Fr(Ki+1 ⊕ Ki+2 ⊕ Ki+3 ⊕ CKi),
i 0, 1, . . . , 31, bu erda (CK 0, CK 1, . . , CK 31) 32 con-
doimiy parametrlar. Aralash transformatsiyasi r, shuningdek, chiziqli bo'lmagan transformatsiya t va soddalashtirilgan chiziqli transformatsiya Lr dan iborat, ya'ni,
quyidagicha ifodalanadi:
Salom+1 = F (Ai+1) = [T (Ai+1 va 0xff ) 24]
⊕ [T ((Ai+1 8) va 0xff ) 16]
⊕ [T ((Ai+1 16) va 0xff ) 8]
⊕T [Ai+1 24].
I. QAYTA KO'RIB KO'RILANGAN DOIMIY NOTOLARNI TAHLIL
Ushbu bo'lim qayta ko'rib chiqilgan PFAni batafsil tushuntiradi. Dastlab, biz xato modelini va PFAning asosiy g'oyasini tanishtiramiz. Ikkinchidan, biz SM4 S-box bilan amalga oshirilgan deb taxmin qilamiz va aniq hujum bosqichlarini tasvirlaymiz.

A. NOLOQLAR MODELI

Bizning PFA taxminlari quyidagicha sanab o'tilgan:
1) Raqib shifrlash tizimini bir necha marta qayta ishga tushirishi mumkin.
2) Raqib tasodifiy bir baytli xatoni qidirish jadvaliga kiritishi mumkin (ya'ni, S-box yoki T-jadval). Fp ( 0, 1, . . . , 255 ) qidiruv jadvalidagi noto'g'ri baytning indeksi bo'lsin.
3) AOK qilingan xato doimiydir, ya'ni shifrlash tizimi qayta ishga tushirilmasa, ta'sirlangan yozuv noto'g'ri bo'lib qoladi.
4) Raqib tanlangan ochiq matnlarni shifrlash moduliga kiritishi va tegishli (noto'g'ri yoki oddiy) shifrlangan matnlarni olishi mumkin.
5) Shifrlash kaliti majburan o'zgartirilmasa, o'zgarishsiz qoladi.

B. ASOSIY G'OYA

Birinchidan, shifrlangan matnning to'rtta so'zi o'rtasidagi munosabat
(X35, X34, X33, X32) va ichki holatlar (X31, X30, X29, X28)
Bri+1
= t (Ki+1 ⊕ Ki+2 ⊕ Ki+3 ⊕ CKi),
Oxirgi to'rtta turda ishtirok etganlar quyidagilar:
Hir+1 = Lr Bir+1 = Bir+1 ⊕ (Bir+1 ≪ 13) ⊕ (Bri+1 ≪ 23).
Ushbu maqolada raqib oxirgi to'rtta aylanma kalitni (RK 31, RK 30, RK 29, RK 28) tiklaydi va shifrlash kalitini teskari kalitlar jadvali yordamida quyidagicha hisoblaydi: (RK 31, RK 30, RK 29, RK 28). ) = (K35, K34, K33, K32) ,
K35−i−4 = Fr (K35−i−3 ⊕ K35−i−2 ⊕ K35−i−1 ⊕ CK 31−i)
⊕K35−i, i = 0, 1, . . . , 31,
X35 = X31 ⊕ F (X32 ⊕ X33 ⊕ X34 ⊕ RK 31) ,
X34 = X30 ⊕ F (X31 ⊕ X32 ⊕ X33 ⊕ RK 30) , X33 = X29 ⊕ F (X30 ⊕ X31 ⊕ X32 ⊕ RK 33) , X32 = X28 ⊕ X32 ⊕ X (X28 ⊕ ⊕ 1. ⊕ 3)
2-rasmda ko'rsatilganidek, agar 32-raundda xatolik yuzaga kelsa, X35 normal shifrlangan C va noto'g'ri Cr shifrlangan matnning birinchi so'zlari farqlanadi, ya'ni X35 /=
MK = (MK , MK , MK , MK )
X3r 5, X34 = X3r 4, X33 = X3r 3, X32 = X3r 2.
= (K0 ⊕ FK 0, K 1 ⊕ FK 1, K2 ⊕ FK 2, K3 ⊕ FK 3) .
C. T-JADVALNI AMALGA OLISH
Lang va boshqalar. [18] T0, T1, T2, T3 bilan belgilangan to'rtta alohida T-jadvalga mos keladigan to'rtta qidirish amaliyotiga t va chiziqli transformatsiyani L ni birlashtiradigan SM4 ning tezkor dasturiy ta'minotini taklif qildi. Har bir jadval Tj(j 0, 1, 2, 3) 28 ta yozuvdan iborat va har bir yozuvning qiymati 32 bitli butun sondir. GMSSL [17] da F transformatsiyasi T bilan belgilangan bir xil T-jadvalni qidirish orqali yanada optimallashtiriladi. Natijada, transformatsiya F
32-raund, ya'ni A32 X32 X33 X34 RK 31 ichki holatining 1-bayti S-qutidagi AOK qilingan xatoga tegsa, ichki holatning i-bayti nosozlik indeksiga (ya'ni, fp) teng degan xulosaga kelishimiz mumkin. ), ya'ni a32,i [X32 X33 X34 RK31]i fp. Binobarin, oxirgi tur kalitining i-bayti rk31,i [X32 X33 X34]i fp ni qondiradi. Bundan tashqari, men A32 ning to'rt bayt pozitsiyasini qamrab olganimda, biz butun RK 31 dumaloq kalitini hisoblashimiz mumkin.
Agar xato 31-turda paydo bo'lsa, shifrlangan matn juftligi (C, Cr) ikki so'zda farqlanadi - X34 va X35. Biz birinchi navbatda teskari konvertatsiyani va bir turni amalga oshiramiz