马云飞，王 韬，陈 浩，黄长阳

(军械工程学院 信息工程系，石家庄 050003) (*通信作者电子邮箱fcz1992@sina.com)

轻量级分组密码SIMON代数故障攻击

马云飞*，王 韬，陈 浩，黄长阳

(军械工程学院 信息工程系，石家庄 050003) (*通信作者电子邮箱fcz1992@sina.com)

针对SIMON现有故障攻击中存在的故障深度小、手工推导复杂等问题，给出一种代数故障攻击(AFA)方法。首先给出SIMON核心运算‘&’代数表示方法并构建全轮正确加密代数方程组；其次注入故障并将故障信息表示为代数方程，提供故障已知和故障未知两种模型，给出两种模型故障表示方法；最后利用CryptoMinisat- 2.9.6解析器求解方程组恢复密钥。实验结果表明：利用单比特故障对SIMON32/64进行攻击，故障位置选取第26轮，故障已知和未知模型仅需5个和6个故障即可恢复全轮密钥；利用n比特宽度故障对SIMON128/128进行攻击，故障位置选取第65轮，两种模型均只需2个故障即可恢复全轮密钥。此外，对比故障已知和未知模型发现，随故障数递增密钥求解时间的决定因素将由故障信息量变为方程组计算量。

SIMON;故障攻击;代数攻击;代数故障攻击;轻量级分组密码

0 引言

SIMON[1]是一类特别适合于资源受限环境的超轻量级分组密码。自2013年被美国国家安全局提出以来，SIMON受到了学者广泛关注,主要攻击方法包括：线性攻击[2]、不可能差分攻击[3-4]、代数攻击[5]、立方攻击[6]。与其他轻量级分组密码不同，绝大部分SIMON密码要求的门电路数小于1 000(轻量级分组密码要求门电路数小于2 000)，这使得SIMON在硬件和软件方面均表现出良好的性能。

故障攻击[7]是一种利用密码设备在外界干扰下(温度、电压、电磁脉冲等)[8-9]产生的故障行为或错误信息来恢复密钥的攻击方法。……