39、HC-128差分故障分析攻击详解

HC-128差分故障分析攻击详解

1. 引言

HC-128是一种高速流密码，采用128位密钥和128位初始化向量。它通过了ECRYPT流密码项目的三个阶段，是eSTREAM软件组合的成员。其设计适合现代超标量处理器，每次迭代产生32位密钥流输出字。该密码的内部状态较大，由两个包含512个32位字的数组P和Q组成，共32768位。

此前对HC-128的安全分析指出，其输出字的最低有效位存在小偏差，可基于2^151个输出构建区分器。并且，由于HC-128中使用的三个n位整数相加操作存在偏差，该区分器可扩展到其他位。不过，最初声称的“不存在使用少于2^64位的区分器”这一说法尚未被推翻。另外，曾有针对HC - 256的缓存定时分析攻击，但该攻击不能直接应用于HC-128。

本文将介绍一种针对HC-128的差分故障分析（DFA）攻击。与在等效故障模型下对RC4的攻击相比，此攻击所需的故障注入次数约为其一半。故障分析攻击属于依赖实现的攻击类别，包括侧信道攻击，如定时分析和功耗分析。攻击者通过施加物理影响（如电离辐射）使加密设备内部内存或计算过程出错，进而从故障结果中获取有关密钥或内部状态的信息。

2. HC-128规范与定义

在本文中，使用了以下符号：
- + 和 ⊟ ：分别表示模2^32加法和模512减法。
- ⊕ ：按位异或。
- << 和 >> ：分别为32位值的左移和右移。
- <<<