ARIA密码的积分故障分析

2019年2月Journal on Communications February 2019 第40卷第2期通信学报V ol.40No.2ARIA密码的积分故障分析沈煜1，李玮1,2,3,4，谷大武2，吴益鑫1，曹珊1，刘亚5，刘志强2，周志洪4（1. 东华大学计算机科学与技术学院，上海 201620；2. 上海交通大学计算机科学与工程系，上海 200240；3. 上海市可扩展计算与系统重点实验室，上海 200240；4. 上海市信息安全综合管理技术研究重点实验室，上海 200240；5. 上海理工大学计算机科学与工程系，上海 200093）摘要：ARIA算法作为韩国国家标准分组密码，为信息系统中的软硬件应用实现提供安全保障。

在ARIA算法的故障攻击研究中，故障导入的范围仅为最后两轮运算。

结合应用环境及组件的计算能力，如何扩大故障分析的攻击范围已成为目前研究的难点，为此，提出了针对ARIA算法的新型积分故障分析方法、所提方法可以将故障导入扩展到算法的倒数第三轮和第四轮，从而成功地恢复出原始密钥并破译算法。

实验结果表明，ARIA算法的内部轮运算容易受到积分故障攻击的威胁，同时也为其他分组密码标准的安全性分析提供了重要参考。

关键词：密码分析；分组密码；ARIA算法；积分故障分析中图分类号：TP309.7文献标识码：Adoi: 10.11959/j.issn.1000−436x.2019033Integral fault analysis of the ARIA cipherSHEN Yu1, LI Wei1,2,3,4, GU Dawu2, WU Yixin1, CAO Shan1, LIU Ya5, LIU Zhiqiang2, ZHOU Zhihong41. School of Computer Science and Technology, Donghua University, Shanghai 201620, China2. Department of Computer Science and Engineering, Shanghai Jiao Tong University, Shanghai 200240, China3. Shanghai Key Laboratory of Scalable Computing and Systems, Shanghai 200240, China4. Shanghai Key Laboratory of Integrate Administration Technologies for Information Security, Shanghai 200240, China5. Department of Computer Science and Engineering, University of Shanghai for Science and Technology, Shanghai 200093, ChinaAbstract: ARIA is a Korean standard block cipher, which is flexible to provide security for software and hardware im-plementation. Since its introduction, some research of fault analysis is devoted to attacking the last two rounds of ARIA.It is an open problem to know whether provoking faults at some former rounds of ARIA allowed recovering the secret key.An answer was given to solve this problem by showing a novel integral differential fault analysis on two rounds earlier of ARIA. The mathematical analysis and simulating experiments show that the attack can successfully recover its secret key by fault injections. The results in this study describe that the integral fault analysis is a strong threaten to the security of ARIA. The results are beneficial to the analysis of the same type of other block ciphers.Key words: crypt analysis, block cipher, ARIA cipher, integral fault analysis1 引言分组密码作为实现消息保密、数据完整性保护和实体认证的核心基础体制，其设计、分析与实现方法一直是密码学研究的主流，在信息系统的安全领域发挥着重要的应用。

ARIA算法是韩国国家安全研究所于2003年提出的一种符合高级加密算法征集标准的分组密码，并且被商业部、工业部和能源部确认为国家标准分组密码，保障信息系统的数据安全[1-3]。

研究表明，ARIA算法对差分分析法、收稿日期：2018−06−19；修回日期：2019−01−01通信作者：李玮，@基金项目：国家自然科学基金资助项目（No.61772129）；国家密码发展基金资助项目（No.MMJJ20180101）Foundation Items: The National Natural Science Foundation of China (No.61772129), The National Cryptography Development Fund (No.MMJJ20180101)第2期沈煜等：ARIA密码的积分故障分析·165·线性分析法、截段–高阶差分分析法、不可能差分分析法、滑动攻击法、积分攻击法等密码分析方法具有足够的安全冗余[4-8]，具有优良的软硬件实现效率，在处理器应用上具有良好的实现性能。

然而，在现实环境中，只从ARIA算法的数学模型研究其安全性已经远远不够，必须从实现角度来考虑，即使密码算法在传统密码分析方法下是安全的，如果不能在运行平台上安全地加以实现，也不能正常发挥出预期作用。

与传统的保密通信环境相比，如今的运行环境通常面临着更大的安全威胁。

譬如银行卡、手持无线设备、汽车遥控锁、交通卡、门禁卡等密码载体的持有者不仅可以是正常用户，也可以是攻击者。

攻击者借助异常时钟、微波辐射、激光照射等方式干预密码变换的正常过程，导致运算过程中发生错误，产生错误的输出结果，这种攻击方式比传统密码分析破译速度更快，有效地达到密码算法内关键数据的复制、篡改或伪造的目的，通常被称为故障分析[9-12]，由于其良好的攻击效果和潜在的发展前景，已成为密码分析和密码工程领域发展广受关注的方向之一。

故障分析在发展中逐步衍生出多种攻击方法，Biham等[13]于1997年提出的差分故障分析法是目前分析范围最广、威胁最大且发展最迅速的一种攻击技术，被广泛应用于密码芯片的安全性研究中。

之后，无效故障分析法、碰撞故障分析法、不可能故障分析法等故障攻击方法应运而生，这些方法充分结合了传统密码分析方法及软硬件实现技术，在实际运行环境中具有更加广阔的应用前景。

但是，这些故障攻击方法的故障导入范围局限于最后若干轮，攻击轮数范围有限。

积分故障分析法是利用积分关系深入密码算法内部达到最深轮数的攻击方法，易于在物联网等应用中实现，攻击者通过分析内部状态的积分关系，便可以较低的计算量和存储量推导出正确的密钥。

目前，国内外关于ARIA算法抵抗积分故障攻击的安全性尚未有公开发表的成果。

因此，本文提出了一种针对ARIA算法的新型积分故障分析方法，可以借助异常时钟、微波辐射、激光照射等方式使ARIA算法内部发生错误，达到扩大攻击范围并破译原始密钥的目的。

所提方法对提升各类高端智能卡系统的防护与破译能力，具有重要的理论和实际意义。

2研究背景1997年，Boneh等[14-15]利用随机故障法成功破译了公钥密码算法，此后故障分析法在评测密码体制安全性的方法中拥有重要地位。

随着故障注入精度及软硬件逆向技术的不断提高，对密码载体成功实施故障攻击所依赖的前提条件不断减弱，成本不断下降，故障分析环境已经可以在一定程度上被控制，这使故障分析法逐步发展为攻击主要密码体制的较为容易实施且最难防御的一种攻击技术[16-19]。

目前已有的针对ARIA算法的故障分析方法均为差分故障分析法 [20-22]。

在攻击过程中，攻击者首先将故障导入ARIA算法的最后两轮来恢复最后一轮的子密钥，然后对正确的密文进行解密，以获得最后一轮的输入，即倒数第2轮的输出，重复以上步骤来恢复最后4轮的子密钥，直至破译原始密钥为止。

国内外的最新研究结果均集中于在ARIA算法的倒数第2轮导入随机字节故障来恢复最后一轮的子密钥。

2008年，Li等[20]首次提出了针对ARIA算法的面向随机单字节故障模型的差分故障分析法。

后来，Park等[21]在相同故障模型下提出一种改进的差分故障分析法，利用线性层的差异性，实现以较少的故障来恢复最后一轮子密钥，提升了攻击效率。

Kim等[22]提出了面向多字节的差分故障方法，达到以较少故障数破译最后一轮子密钥的目的。

这些方法充分结合了传统的差分分析方法以及软硬件实现技术，提高了故障导入的效率。

然而，在物联网的应用环境中，故障可以被导入在密码算法的任意轮数，如果故障导入点可以扩展到更大的轮数范围，那么故障分析具有更强的威胁能力，因此，研究ARIA算法的新型故障分析方法是非常必要的。

Phan等[23]于2006年首次提出了针对AES （advanced encryption standard）算法的积分故障攻击法。

该方法通过选择明文攻击实现的前提条件，在AES算法运行的倒数第4轮中加入随机故障，使其执行某些错误的操作，产生错误的密文，利用中间数据的积分关系即可恢复最后一轮子密钥；然后解密密文，破译更多的子密钥，直到破译原始密钥。

虽然ARIA算法与AES算法具有相同的算法结构，但是由于ARIA算法中多轮故障路径的扩散性和混乱性更加复杂, 大大增加了攻击的难度，所以针对ARIA算法的积分故障分析，国内外还未有文献发表。