[发明专利]一种针对SM4密钥扩展算法的模板攻击方法

说明书

本发明提供了一种针对SM4密钥扩展算法的模板攻击方法，以密钥扩展算法中加密密钥MK异或系统参数FK的计算过程为模板攻击目标，依次攻击16个SM4密钥字节的每一个字节，在密钥扩展算法迭代运算之前的异或运算，使用ID模型作为模板的分类标准，直接对SM4密钥本身进行建模，仅使用2⁸猜测空间，就能直接得到SM4密钥。

技术领域

本发明涉及信息安全技术领域， 尤其涉及SM4密钥扩展算法的模板攻击方法技术领域。

背景技术

SM4算法采用非平衡Feistel结构，由密钥扩展和数据加密两部分组成。密钥扩展和数据加密均使用32轮非线性迭代结构，数据分组长度和密钥长度都是128比特。加解密过程采样相同的结构，只是轮密钥使用顺序不同，加密与解密计算轮密钥使用顺序刚好相反。SM4算法的非线性运算S盒固定为8入8出的置换计算，记作Sbox（.）。

SM4算法主密钥表示为MK=（MK0，MK1，MK2，MK3）,其中MKi（i=0,1,2,3）为字。系统参数为FK=（FK0，FK1，FK2，FK3），在标准中定义FK=(0x a3b1bac6, 0x56aa3350, 0x677d9197,0xb27022dc)。固定参数CK=（CK0，CK1，…，CK31），其中CKi（i=0,…,31）为字。设cki,j为CKi的第j个字节（j=0,1,2,3），则cki,j=(4i+j) ×7(mod 256)。轮密钥表示为RK=（rk0, rk1,…,rk31）,其中rki（i=0，…,31）为字。轮密钥加密主密钥与系统参数和固定参数经密钥扩展算法计算而来，用于每轮数据的加密或解密运算。SM4算法加密运算的流程如图1所示，其中，定义128比特输入明文为X=（X0，X1，X2，X3），其中Xi（i=0,1,2,3）为字。定义128比特密文输出为Y=（Y0，Y1，Y2，Y3），其中Yi（i=0,1,2,3）为字。经过每一轮运算得到Xi+4=F（Xi，Xi+1，Xi+2，Xi+3，rki），i=0,1,…,31。32轮运算完成后，跟随一次反序变换R，得到最终加密结果（Y0，Y1，Y2，Y3）=R（X32，X33，X34，X35）=（X35 ，X34 ，X33，X32）。解密时算法结构与加密完全相同，只是轮密钥使用顺序不同。加密时轮密钥顺序使用，依次为（rk0, rk1, …,rk31）；解密时轮密钥逆序使用，依次为（rk31, rk30, …,rk0）。

SM4算法的一次迭代称为一轮运算，轮运算的过程函数F如图2所示。轮函数F由输入参数的“⊕”运算和合成置换T组成，F（Xi，Xi+1，Xi+2，Xi+3，rki）= Xi ⊕T（Xi+1⊕Xi+2⊕Xi+3⊕rki）。合成置换T是→的可逆运算，包含非线性变换τ和线性变换L两个部分，即T(.)=L(τ(.))。

非线性变换τ由四个S盒并列构成，设输入为A（a0, a1, a2, a3）,输出为B(b0,b1, b2, b3)，其中ai和bi（i=0, 1, 2, 3）为字节。则(b0, b1, b2, b3)= τ（a0, a1, a2,a3）=（Sbox(a0), Sbox(a1), Sbox(a2), Sbox(a3)）。S盒可以表示为一个二维数组，ai的高四比特为二维数组的行标，ai的低四比特为二维数组的列标。线性变换L由“<<<i”和“⊕”运算构成。设输出为C属于，L的输入为τ的输出B。则C=L(B)=B⊕(B<<<2) ⊕(B<<<10) ⊕(B<<<18) ⊕(B<<<24)。