power analysis）的原理运用于该算法，提出了区分函数的选取原则，并针对差分能量分析的假设，介绍了几种对抗这种攻击的策略。

传统的密码分析理论认为，对密码芯片的分析仅依赖于输入明文和输出密文。而在实际应用中，分析人员可以获得其它的信息。例如对于有引脚的芯片，很容易获得引脚上的电流或者电压。通过这些电流或电压的变化，可以用有别于传统的方法获得密钥的信息。

1 des加密过程

des（data encryption standard）被认为是加密技术的两大里程碑之一。在上个世纪得到了广泛的应用。这里给出其中一轮加密过程，如图1。其它如扩展置换、密钥产生等具体过程见参考文献。

在整个des加密流程中，只有s盒（s-box）是唯一的非线性函数，是整个加密算法的安全核心。图2给出了s盒的图示。

图2中的每个s盒都是一个4×16的查找表。在加密过程中，将与子密钥k异或后的48bits均分为8组，分别对应8个s盒，记每组为（a0a1a2a3a4a5）。根据这6位输入，在对应的s盒查找表中找到对应的4位数据作为输出。查找表中的对应关系如下：由（a0a5）决定对应的s盒的行，由（a1a2a3a4）决定对应的s盒的列。由这个行和列确定的数（4位二进制表示）作为该s盒的输出。

由于s盒在des加密算法中的特殊地位，使得很多攻击方法都是针对s盒的。2 dpa原理在des上的应用

differential power analysis最早由kocher et al提出，现在许多研究人员指出它对智能卡（smart card）是一种有效的攻击。其理论基础是：在加密过程中要消耗能量，而消耗的能量随处理的数据不同会有微小的变化。根据这种变化确定处理的数据是0还是1，办公而有可能猜出加密算法中所使用的密钥。

在具体讨论这种攻击前，对所用符号做如下约定：

si[j]：第i个明文在时间点j时的能量水泵抽样值；

d（·）：引入的区分函数；

s0={si[j]d(□)=0}; (1)

s1={si[j]d(□)=1}; (2)

a0[j]:集合s0中所有信号在j时刻的平均能量消耗；

a1[j]：集合s1中所有信号在j时刻的平均能量消耗；

δd[j]：两集合的平均信号能量差异。

首先，要能够测得整个加密流程中s盒的能量曲线。基于统计的理论，要求记录足够的样本点si[j]。这里隐含了一个假设：s盒中对不同比特处理时，能量消耗差异发生在一个特定的时间，而且正好在该点的±δ时间范围内进行抽样，因此能够记录下不同的能量消耗曲线。这个假设可以作为抗dpa攻击对策的一个切入点。 另外还需要让这些能量曲线反映出差于密钥的信息。这是整个dpa过程中的关键。在这儿，引入了区分函数d（·），有的地方也记为selection function。从上面的（1）和（2）式中可以看到，该函数的作用是将样本曲线映射到两个不相交的集合上。

下一步，对这两个集合中的样本在时间点j的样本值进行平均，得到时间点j时的平均能量消耗。由于si[j]包含信号和噪声这两部分的能量消耗，而根据随机过程的知识，知道其中大部分均值为0。因而这种平均可以在一定程序上降低随机噪声对信号的影响。

由上面可以看到：当δd[j]较大时，说明由区分函数划分的两个信号的能量消耗在j时刻差异较大。而这种能量消耗差异，正是由密钥和待处理数据相互作用而产生的。如果选择的区分函数合适，即在理想的情况下，d函数正好将所有的在j时刻芯片处理数据为1的si[j]选到集合s1；相应地，在j时刻，芯片处理的数据为0的所有si[j]被d函数映射到集合s0中，这时能量消耗差异很明显。

目前发表的文献中均只给出了具体的区分函数，下面给出区分函数的一般选取原则：

（1）区分函数是关于密钥的函数d（ki）；

（2）区分函数在正确的输入下应当重现加密芯片所处理的某一比特值。

如将该函数定义为：

d（p6,k1）={s-box1(p6+ki)}0 (6)

即d值等于第i个样本在第一轮非线性变换中的第一个s盒输出的4bits中的第一个比特。其中p6表示明文经过初始置换后作为第一个s盒输入的6bits，k1表示猜测的第一轮密钥中用于第一个s盒的输入部分。如果猜测的密钥正确，那么d值就一定会等于实现加密过程中第一个s盒的第一位输出。即这一时刻所有输出为1的si[j]都会被映射到集合s1，因此会使得δd[j]出现峰值。相反，如果密钥不正确，就会使得某些输出值为1的si[j]被映射到集合s0中，这时δd[j]的射值会变小。这样，就可以猜出一部分密钥了。依照这种方法，猜测全部s盒的48bit密钥所需的次数为2 6×8次，另外8比特密钥可以用穷举法求得。这个结果比单纯地应用穷举搜索有了明显的改进。

3 对策

基于dpa攻击的假设，可以提出一些对策。

假设1.攻击者能够记录能量消耗差异。一种简单的对策是引入噪声，降低信噪比snr，使得能量消耗差异减小。但这种引入噪声的方法仍会受到改进的dpa攻击。参考文献4指出，通过选择特别 区分函数，可以提高snr。前面（6）指出，通过选择特别的区分函数，可以提高snr。前面（6）式给出的d函数一次只确定一个比特的值，设改进的d函数一次确定d个比特的值，如d=4，这时d函数的值可取后者的信噪比约为前者的d倍。但在这种方法中，样本曲线被映射到3个不相交的集合上。

s0={si[j]d(□)=0d} (7)

s1={si[j]d(□)=1d}

s2={si[j]si[j]} ∈s0,s1}

第一个集合中d函数的值为d个0，第二个集合中d函数的值为d个1，第三个集合不用。其不利于之处是需要样本点数会增加。

另一种对策是在加密过程中引入随机延迟，这样，特定时刻的实际能量消耗差异就不能被准确记录。

假设2.能量消耗的差异可以反映出密钥的信息。可以通过对s盒的输入做一些随机的改变来掩饰密钥的信息。一种常用的方法是用异或这一线性运算，对s盒 的输入做随机的改变。这需要对s盒的输出也做一个相应的修正，使得最后加密的结果不受异或这一线性运算的影响。另外一种方法是在加密过程中用两个不同的处理器，它们处理的数据宽度不同，因而消耗的能量也不一样，再用一个随机序列发生器来产生选择信号，可以随机地选择不同的处理器。具体的硬件电路见参考文献[6]。其它有关fpga和asic在降低信息泄漏方面的专门研究，本文不做讨论。但如果能防止信息泄漏，这将从根本上抵抗dpa攻击。

应该注意到，笔者是把智能卡作为攻击对象，因而可能得到足够的样本点，并知道明文和密文。这在其它的密码系统上，并不是必然的事实。但目前智能卡得到了广泛的应用，因此这种攻击的潜在危害较大。以上仅以des的s盒部分说明了dpa攻击，但就dpa的基本原理，它可以被应用于其它的密码算法上，如椭圆曲线、aes（advanced encryption standard）等。对dpa的防范措施还有待进一步研究。