49、通用侧信道区分器：改进与局限

通用侧信道区分器：改进与局限

1. 引言

自上世纪90年代末Kocher、Jaffe和Jun引入差分功耗分析以来，物理攻击已成为加密设备安全的重要问题。在学术方面，它催生了许多新攻击方法、对策以及物理安全评估（甚至是证明）模型的发展。在工业方面，针对此类攻击的安全性如今已成为加密产品获得高认证级别的必要条件。

侧信道攻击大致可分为有轮廓攻击和无轮廓攻击。有轮廓攻击通常在评估场景中很有用，攻击者可以利用已知密钥的设备构建精确的泄漏模型，如模板，进而估计评估指标，以捕捉最坏情况。而无轮廓攻击则旨在模拟实际攻击者的行为，他们对目标设备没有精确的先验特征描述。无轮廓攻击通常在数据复杂度方面表现欠佳，需通过“即时”估计泄漏概率分布（或其矩）来恢复秘密信息。

无轮廓侧信道攻击一般通过比较依赖密钥的泄漏模型与实际测量值来工作。若攻击成功，与实际测量值匹配最佳的密钥候选即为目标设备使用的密钥。评估此类区分器的性能通常可从两个方面入手：
- 效率 ：能用有限的数据（即测量值）、时间和内存恢复密钥。
- 通用性 ：适用于任何类型的设备，并且（如果可能）对不精确的泄漏模型不敏感。

以往的研究大多在这两个通常相互矛盾的目标之间进行权衡。例如，1999年的一篇开创性论文中使用简单的均值差测试进行“单比特DPA”，这种方法效率有限，因为单比特模型信噪比低，且无法利用攻击者可能掌握的目标设备的任何信息。因此，文献中提出了许多“多比特”扩展方法。其中最突出的是2004年引入的相关功耗分析（CPA），在设备根据已知线性（如汉明重量）模型泄漏的情况下，它非常高效，但也很特定，如果使用不精确的泄漏模型，