相关能量分析攻击(Correlation Power Analysis, CPA)

相关能量分析攻击(Correlation Power Analysis, CPA)

实验原理

CPA是利用密码芯片的假设模型，预测其加解密时的功耗大小，然后和实际测量的功耗大小进行相关性分析推测密钥。CPA攻击通常采用汉明重量模型，所谓汉明重量就是一个码字中1码元的总数目，汉明重量越大，芯片运算时的功耗就越大。

基础前提

AES密码芯片信息泄露特征符合汉明重量模型。明文为AES密码芯片加密的输入，泄露值为AES密码芯片加密过程中第一轮S盒输出对应的能量消耗（包括噪声）。当密钥猜测正确时，得到的相关迹与泄露值有较高的相关性。

实验步骤

pnsi.npy 分别是低、中、高噪声泄露数据文件 i = 0,1,2 ptsi.npy 分别是低、中、高噪声明文数据文件 i = 0,1,2

定义正确密钥元组以及猜测密钥列表，便于之后的恢复成功率测试

1
2
key = ('0x72', '0x2c', '0xd3')  # 各噪声下的正确密钥
keys = [[], [], []]

切换文件路径，正确读取数据文件

1
2
path = sys.path[0]  # 获得该文件的目录
os.chdir(path+'/data')  # 切换至path的data文件夹中

对 0x00~0xff 构建汉明重量模型，计算出各个值对应的汉明重量

1
HW = [bin(n).count('1') for n in range(0, 256)]

设置测试次数以及数据量

1
2
count = 100
size = [500, 700, 3000]

循环执行密钥恢复函数，对各噪声情况进行count测试次数、size数据量的测试

定义keytry(cnt, i, size)函数实现对密钥的遍历猜测恢复

在函数循环前进行数据文件读取，避免多次读取，读取到的数据是二维的(n x 1)

1
2
leakage = np.load(f'pns{i}.npy').astype(float)  # 泄露值
plain = np.load(f'pts{i}.npy')  # 明文

获取leakage的长度，便于之后随机数据的生成

1
leakage_len = len(leakage)

定义一个列表用于存放每个猜测密钥得到的相关迹与泄露值之间相关系数

1
cor_data = []

循环遍历 0x00~0xff，对密钥进行恢复

定义字节代换函数sub_bytes(plain, keyguess)，便于循环中使用

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
sbox = (0x63, 0x7c, 0x77, 0x7b, 0xf2, 0x6b, 0x6f, 0xc5,
        0x30, 0x01, 0x67, 0x2b, 0xfe, 0xd7, 0xab, 0x76,
        0xca, 0x82, 0xc9, 0x7d, 0xfa, 0x59, 0x47, 0xf0,
        0xad, 0xd4, 0xa2, 0xaf, 0x9c, 0xa4, 0x72, 0xc0,
        0xb7, 0xfd, 0x93, 0x26, 0x36, 0x3f, 0xf7, 0xcc,
        0x34, 0xa5, 0xe5, 0xf1, 0x71, 0xd8, 0x31, 0x15,
        0x04, 0xc7, 0x23, 0xc3, 0x18, 0x96, 0x05, 0x9a,
        0x07, 0x12, 0x80, 0xe2, 0xeb, 0x27, 0xb2, 0x75,
        0x09, 0x83, 0x2c, 0x1a, 0x1b, 0x6e, 0x5a, 0xa0,
        0x52, 0x3b, 0xd6, 0xb3, 0x29, 0xe3, 0x2f, 0x84,
        0x53, 0xd1, 0x00, 0xed, 0x20, 0xfc, 0xb1, 0x5b,
        0x6a, 0xcb, 0xbe, 0x39, 0x4a, 0x4c, 0x58, 0xcf,
        0xd0, 0xef, 0xaa, 0xfb, 0x43, 0x4d, 0x33, 0x85,
        0x45, 0xf9, 0x02, 0x7f, 0x50, 0x3c, 0x9f, 0xa8,
        0x51, 0xa3, 0x40, 0x8f, 0x92, 0x9d, 0x38, 0xf5,
        0xbc, 0xb6, 0xda, 0x21, 0x10, 0xff, 0xf3, 0xd2,
        0xcd, 0x0c, 0x13, 0xec, 0x5f, 0x97, 0x44, 0x17,
        0xc4, 0xa7, 0x7e, 0x3d, 0x64, 0x5d, 0x19, 0x73,
        0x60, 0x81, 0x4f, 0xdc, 0x22, 0x2a, 0x90, 0x88,
        0x46, 0xee, 0xb8, 0x14, 0xde, 0x5e, 0x0b, 0xdb,
        0xe0, 0x32, 0x3a, 0x0a, 0x49, 0x06, 0x24, 0x5c,
        0xc2, 0xd3, 0xac, 0x62, 0x91, 0x95, 0xe4, 0x79,
        0xe7, 0xc8, 0x37, 0x6d, 0x8d, 0xd5, 0x4e, 0xa9,
        0x6c, 0x56, 0xf4, 0xea, 0x65, 0x7a, 0xae, 0x08,
        0xba, 0x78, 0x25, 0x2e, 0x1c, 0xa6, 0xb4, 0xc6,
        0xe8, 0xdd, 0x74, 0x1f, 0x4b, 0xbd, 0x8b, 0x8a,
        0x70, 0x3e, 0xb5, 0x66, 0x48, 0x03, 0xf6, 0x0e,
        0x61, 0x35, 0x57, 0xb9, 0x86, 0xc1, 0x1d, 0x9e,
        0xe1, 0xf8, 0x98, 0x11, 0x69, 0xd9, 0x8e, 0x94,
        0x9b, 0x1e, 0x87, 0xe9, 0xce, 0x55, 0x28, 0xdf,
        0x8c, 0xa1, 0x89, 0x0d, 0xbf, 0xe6, 0x42, 0x68,
        0x41, 0x99, 0x2d, 0x0f, 0xb0, 0x54, 0xbb, 0x16)
def sub_bytes(plain, keyguess):
    return sbox[plain ^ keyguess]  # 先异或再查表

每次循环步骤如下：

  1. 获得不同密钥下明文对应的相关迹（需要先进行字节代换）
  2. 获得指定大小随机列表（列表中为size个 0~leakage_cnt 的不重复随机数）
  3. 通过随机列表获得对应的相关迹和泄露值
  4. 计算对应的相关迹和泄露值之间的相关性，并将其添加的cor_data中
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
for kguess in range(0, 256):
    print("%d key%d guess: 0x%02x" % (cnt, i, kguess))
    hyp = np.zeros(leakage_len)
    # 获得明文对应的相关迹
    for pj in range(0, leakage_len):
        hyp[pj] = HW[sub_bytes(plain[pj][0], kguess)]
    # 随机选取size条数据
    rls = np.random.choice(leakage_len, size, replace=False)
    # 随机数据对应的相关迹
    rhyp = list(map(lambda x: hyp[x], rls))
    # 随机数据对应的泄露值
    rleakage = list(map(lambda x: leakage[x][0], rls))
    # 计算两者的相关性
    tmp = abs(np.corrcoef(rhyp, rleakage)[0][1])
    cor_data.append(tmp)

循环结束后，cor_data中最大相关系数对应的密钥即为恢复的正确密钥

1
2
index = np.argmax(cor_data)  # 获取最大相关系数的索引
keys[i].append(hex(index))  # 索引即是对应密钥的值

计算count测试次数，size数据量下，密钥恢复成功率

1
success = [keys[i].count(key[i])/count for i in range(3)]

实验结论

噪声越高，恢复正确密钥所需的数据量就越多

  • 低噪声下 90%的成功率恢复正确密钥需要350左右的数据量 100%的成功率恢复正确密钥需要500左右的数据量

  • 中噪声下 90%的成功率恢复正确密钥需要600左右的数据量 100%的成功率恢复正确密钥需要800左右的数据量

  • 高噪声下 90%的成功率恢复正确密钥需要2000左右的数据量 100%的成功率恢复正确密钥需要2500左右的数据量

测试成功率时应将count设置为较大数，避免因为测试次数不足带来误差

测试得出结论

  • 基于汉明重量模型的相关能量分析攻击所需数据量较大，特别是在高噪声下，当数据量较少时，密钥恢复成功率十分低
  • 数据量足够大时，可以完全正确地恢复各噪声下的密钥

源代码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
import numpy as np
import sys
import os


S_box = (0x63, 0x7c, 0x77, 0x7b, 0xf2, 0x6b, 0x6f, 0xc5,
         0x30, 0x01, 0x67, 0x2b, 0xfe, 0xd7, 0xab, 0x76,
         0xca, 0x82, 0xc9, 0x7d, 0xfa, 0x59, 0x47, 0xf0,
         0xad, 0xd4, 0xa2, 0xaf, 0x9c, 0xa4, 0x72, 0xc0,
         0xb7, 0xfd, 0x93, 0x26, 0x36, 0x3f, 0xf7, 0xcc,
         0x34, 0xa5, 0xe5, 0xf1, 0x71, 0xd8, 0x31, 0x15,
         0x04, 0xc7, 0x23, 0xc3, 0x18, 0x96, 0x05, 0x9a,
         0x07, 0x12, 0x80, 0xe2, 0xeb, 0x27, 0xb2, 0x75,
         0x09, 0x83, 0x2c, 0x1a, 0x1b, 0x6e, 0x5a, 0xa0,
         0x52, 0x3b, 0xd6, 0xb3, 0x29, 0xe3, 0x2f, 0x84,
         0x53, 0xd1, 0x00, 0xed, 0x20, 0xfc, 0xb1, 0x5b,
         0x6a, 0xcb, 0xbe, 0x39, 0x4a, 0x4c, 0x58, 0xcf,
         0xd0, 0xef, 0xaa, 0xfb, 0x43, 0x4d, 0x33, 0x85,
         0x45, 0xf9, 0x02, 0x7f, 0x50, 0x3c, 0x9f, 0xa8,
         0x51, 0xa3, 0x40, 0x8f, 0x92, 0x9d, 0x38, 0xf5,
         0xbc, 0xb6, 0xda, 0x21, 0x10, 0xff, 0xf3, 0xd2,
         0xcd, 0x0c, 0x13, 0xec, 0x5f, 0x97, 0x44, 0x17,
         0xc4, 0xa7, 0x7e, 0x3d, 0x64, 0x5d, 0x19, 0x73,
         0x60, 0x81, 0x4f, 0xdc, 0x22, 0x2a, 0x90, 0x88,
         0x46, 0xee, 0xb8, 0x14, 0xde, 0x5e, 0x0b, 0xdb,
         0xe0, 0x32, 0x3a, 0x0a, 0x49, 0x06, 0x24, 0x5c,
         0xc2, 0xd3, 0xac, 0x62, 0x91, 0x95, 0xe4, 0x79,
         0xe7, 0xc8, 0x37, 0x6d, 0x8d, 0xd5, 0x4e, 0xa9,
         0x6c, 0x56, 0xf4, 0xea, 0x65, 0x7a, 0xae, 0x08,
         0xba, 0x78, 0x25, 0x2e, 0x1c, 0xa6, 0xb4, 0xc6,
         0xe8, 0xdd, 0x74, 0x1f, 0x4b, 0xbd, 0x8b, 0x8a,
         0x70, 0x3e, 0xb5, 0x66, 0x48, 0x03, 0xf6, 0x0e,
         0x61, 0x35, 0x57, 0xb9, 0x86, 0xc1, 0x1d, 0x9e,
         0xe1, 0xf8, 0x98, 0x11, 0x69, 0xd9, 0x8e, 0x94,
         0x9b, 0x1e, 0x87, 0xe9, 0xce, 0x55, 0x28, 0xdf,
         0x8c, 0xa1, 0x89, 0x0d, 0xbf, 0xe6, 0x42, 0x68,
         0x41, 0x99, 0x2d, 0x0f, 0xb0, 0x54, 0xbb, 0x16)


def sub_bytes(plain, keyguess):
    return S_box[plain ^ keyguess]  # 先异或再查表


def keytry(cnt, i, size):
    leakage_len = len(leakage)
    cor_data = []
    for kguess in range(0, 256):
        print("%d key%d guess: 0x%02x" % (cnt, i, kguess))
        hyp = np.zeros(leakage_len)
        # 获得明文对应的相关迹
        for pj in range(0, leakage_len):
            hyp[pj] = HW[sub_bytes(plain[pj][0], kguess)]
        # 随机选取size条数据
        rls = np.random.choice(leakage_len, size, replace=False)
        # 随机数据对应的相关迹
        rhyp = list(map(lambda x: hyp[x], rls))
        # 随机数据对应的泄露值
        rleakage = list(map(lambda x: leakage[x][0], rls))
        # 计算两者的相关性
        tmp = abs(np.corrcoef(rhyp, rleakage)[0][1])
        cor_data.append(tmp)
    index = np.argmax(cor_data)  # 获取最大相关系数的索引
    keys[i].append(hex(index))  # 索引即是对应密钥的值


key = ('0x72', '0x2c', '0xd3')  # 各噪声下的正确密钥
keys = [[], [], []]
path = sys.path[0]  # 获得该文件的目录
os.chdir(path+'/data')  # 切换至path的data文件夹中
HW = [bin(n).count('1') for n in range(0, 256)]
count = 1
size = [500, 800, 2500]

for i in range(3):
    # 数据文件应放于该文件目录的data文件夹下
    leakage = np.load(f'pns{i}.npy').astype(float)  # 泄露值
    plain = np.load(f'pts{i}.npy')  # 明文
    for cnt in range(count):
        keytry(cnt, i, size[i])

print(keys)
# 计算count测试次数，size数据量下，密钥恢复成功率
success = [keys[i].count(key[i])/count for i in range(3)]
print(success)