白盒密碼研究.pdf

1、傳統(tǒng)密碼方案的主要目標(biāo)是在黑盒攻擊下保證機(jī)密信息的安全性，例如秘密密鑰。在黑盒攻擊模式下，攻擊者只能對密碼方案不同的輸入輸出具有訪問權(quán)限。相反，白盒攻擊模式則假設(shè)密碼方案運(yùn)行在一個不可信任的終端上，攻擊者對算法的內(nèi)部運(yùn)行細(xì)節(jié)具有完全的控制能力。因此，傳統(tǒng)意義下的密碼方案在白盒攻擊下已無法為機(jī)密信息提供保障。白盒密碼學(xué)致力于研究在不可信任終端密碼算法的安全實現(xiàn)，構(gòu)造出在白盒攻擊環(huán)境下能夠順利完成其加密、解密、認(rèn)證等功能的密碼算法。白盒密碼

2、的出現(xiàn)將現(xiàn)代密碼學(xué)的安全理念向前推進(jìn)了一大步，受到了越來越多的關(guān)注。目前白盒密碼的基礎(chǔ)理論還未形成一套完整的體系，同時對已知的白盒密碼方案也陸續(xù)出現(xiàn)了許多攻擊方法，因而還未有得到公認(rèn)安全的白盒密碼方案，所以白盒密碼還有許多值得進(jìn)一步研究的內(nèi)容。
　　本論文對白盒密碼進(jìn)行研究，在基礎(chǔ)理論方面，我們對白盒密碼的安全性基礎(chǔ)進(jìn)行了兩點討論并得出一些新的結(jié)論；在方案分析方面，我們對兩種SMS4的白盒實現(xiàn)進(jìn)行了攻擊，在有效的時間復(fù)雜度內(nèi)恢復(fù)出

3、了密鑰；最后，在方案構(gòu)造方面，我們提出了兩種不同的白盒密碼方案，并在安全性和效率上對它們進(jìn)行了詳細(xì)的分析。我們的主要成果如下：
　　1.針對Saxena等人在白盒密碼基礎(chǔ)理論上的一個重要進(jìn)展：基于“白盒性”的否定結(jié)論和肯定結(jié)論，我們進(jìn)行了兩點討論并得出了一些新的結(jié)論。我們的討論說明，否定結(jié)論的成立與使用了不滿足“具有輔助輸入的虛擬黑盒性”的混淆器有關(guān)，因此我們得出不夠安全的混淆器無法實現(xiàn)理想的白盒方案的結(jié)論以及白盒性與具有輔助輸入

4、的虛擬黑盒性在某種意義上是等價的結(jié)論；而肯定結(jié)論的成立則是誤用了兩種不同攻擊模式下的安全概念，我們得出黑盒攻擊模式下的安全概念不能直接使用在白盒攻擊環(huán)境下的結(jié)論。
　　2.我們?nèi)诤狭硕喾N方法，對一個SMS4的白盒實現(xiàn)方案構(gòu)造了一種攻擊，能在低于O(247)的時間復(fù)雜度內(nèi)恢復(fù)出輪密鑰。在我們的攻擊中，我們使用了合成相鄰兩輪的某些步驟、消去內(nèi)部的網(wǎng)絡(luò)化編碼、構(gòu)造仿射變換的代數(shù)式、求解方程、差分分析等方法，將SMS4的白盒實現(xiàn)中插入的隨

5、機(jī)變換逐個求出，從而求出輪密鑰。
　　3.我們基于Biryukov等人提出的仿射等價算法，對一個輕量級的白盒對稱加密算法構(gòu)造了一種攻擊。首先我們將Biryukov等人的仿射等價算法增加了一些步驟，得到了一個調(diào)整后的仿射等價算法；再將輕量級的白盒對稱加密算法的一些查找表合并，構(gòu)造出仿射等價問題；最后使用調(diào)整后的仿射等價算法對我們的仿射等價問題進(jìn)行求解。我們的攻擊可以在低于O(249)的時間復(fù)雜度內(nèi)提取出密鑰。我們的攻擊經(jīng)過C++實現(xiàn)

6、，多次的試驗結(jié)果表明我們可以在很短的時間內(nèi)恢復(fù)密鑰。此外，我們提出了一種針對該白盒對稱加密方案的改進(jìn)建議，將方案中T-box兩兩合并，增加查找表的輸入大小，從而使得攻擊復(fù)雜度增加到O(292)。
　　4.我們提出了一種基于SMS4架構(gòu)的白盒密碼方案，它采用了SMS4的基本結(jié)構(gòu)，并將SMS4分割為若干個步驟，并在每一步添加了隨機(jī)選取的雙射對輸入輸出進(jìn)行編碼，最后以查找表的形式來完成整個加密過程。我們并沒有使用網(wǎng)絡(luò)化編碼，因而插入的隨

7、機(jī)項最后并不會抵消，所以我們的白盒密碼方案與SMS4功能上并不是等價的，它不是SMS4的白盒實現(xiàn)，而是一個新的密碼方案。我們的方案能夠防止“方案提取”和“重組”兩種攻擊，并且只需占用少量的內(nèi)存空間，具有更高的效率。
　　5.基于非平衡的Feistel網(wǎng)絡(luò)和ASASASA結(jié)構(gòu)，我們構(gòu)造了一種新的白盒加密方案。我們的方案不是已存在密碼算法的白盒實現(xiàn)，而是一種全新的密碼算法。由于使用了非平衡的Feistel網(wǎng)絡(luò)，我們方案的分組長度是可變

8、的，而同時占用空間需求卻只隨整個分組長度的增長呈線性增長的趨勢。我們在ASASASA結(jié)構(gòu)中將查找表大小固定為16比特，表中的仿射層和非線性層的大小一致，從而避免了針對ASASASA結(jié)構(gòu)的攻擊。而由于我們的方案不是已存在密碼算法的實現(xiàn)，所以也避免了針對恢復(fù)已存在密碼算法密鑰的白盒攻擊。同時，我們在修改弱白盒安全的基礎(chǔ)上，提出了一種稱為“關(guān)于等價密鑰的白盒安全性”。經(jīng)過分析可知，我們的方案在滿足基本安全需求、抵抗已知攻擊、滿足我們的安全定義