ASCON算法的各种密码分析方法全面盘点

ASCON算法的各种密码分析方法全面盘点

ASCON作为NIST选定的轻量级密码标准，自问世以来经历了广泛而深入的密码分析。根据现有研究，其安全性已得到充分评估。以下是对其各种密码分析方法的全面盘点。

---

一、基于数学结构的攻击

这类攻击直接针对ASCON的算法结构，旨在发现其数学上的弱点。

• 差分与线性分析：这是评估分组密码和置换安全性的基础方法。大量研究分析了ASCON置换对差分和线性密码分析的抵抗能力。
  • 理论界限：研究者使用混合整数线性规划等自动化工具来寻找差分特征概率的下界。
  • 实际区分器：针对ASCON置换，已存在多种缩减轮数的区分器。例如，针对5轮置换存在2193复杂度的差分区分器和2189复杂度的线性区分器；针对4轮置换则有复杂度更低的2107和2101的区分器。值得注意的是，一项研究通过GPU实验验证指出，部分理论上宣称的4.5轮概率为1的截断差分和6轮不可能差分区分器在实际中可能并不成立。
• 代数攻击与立方攻击：这类攻击试图通过建立并求解代数方程组来恢复密钥。
  • 立方/类立方攻击：在ASCON的认证加密模式中，一个典型成果是针对7轮初始化阶段的密钥恢复攻击，其时间复杂度为2104。
  • 代数策略：有研究提出了改进的代数方法，对2轮的Ascon-XOF-128进行了原像攻击，复杂度为297。此外，还利用S盒逆的线性化技术，对3轮、4轮和5轮的Ascon-HASH发起了自由起始碰撞攻击。
• 积分与零和区分器：这些是更高级的统计攻击方法。
  • 积分分析：针对ASCON置换，已存在对11轮（复杂度2315）和7轮（复杂度265）的积分区分器。
  • 零和区分器：设计者最初就提出了针对完整12轮置换的零和区分器，复杂度为2130。
• 中间相遇攻击：主要用于攻击哈希函数。一项研究通过将模型从MILP转化为SAT，优化了对ASCON-HASH的中间相遇原像攻击，将4轮攻击的内存复杂度从254显著降低至234，并证明了该方法无法扩展到5轮。

二、侧信道与故障攻击

这类攻击不直接攻击算法本身，而是利用其物理实现（如硬件）泄露的信息（如功耗、时间）或通过注入故障来获取秘密。

• 故障攻击：这是针对ASCON实现的最主要威胁之一，形式多样。
  • 统计无效故障分析：通过在最后一轮S盒中注入“无效”故障（不影响计算结果），并分析大量正确的标签值来获取密钥信息。后续研究进一步发展了统计有效故障分析和统计混合故障分析，在特定条件下，仅需34次故障注入就能以99%的成功率恢复128位密钥。
  • 故障强度映射分析：作为SIFA的改进，该方法将所需故障注入次数减少了50%。
  • 持久性故障分析：攻击者通过RowHammer等技术注入一个持久性故障，该故障在加密阶段持续存在，最终可成功恢复128位密钥。
• 功耗分析：作为主要的侧信道攻击手段，针对ASCON的功耗分析研究广泛。
  • 差分功耗分析与相关功耗分析：早期研究已对ASCON的简化版本实施了此类攻击。
  • 逐比特CPA攻击：针对ASCON的比特切片结构，有研究提出了更高效的逐比特相关功耗分析方法，其理论攻击复杂度可降低至传统字节切片结构的1/2048。
• 基于机器学习的侧信道分析：最新的研究引入了机器学习，特别是基于强化学习的侧信道分析，来提升攻击的智能化水平。

三、自动化工具辅助分析

由于ASCON的状态规模较大（320比特），人工分析变得困难，自动化工具因此被广泛采用。

• SAT/MILP/SMT求解器：研究者将寻找最优攻击路径或证明安全界限的问题，转化为可满足性、混合整数线性规划或可满足性模理论问题，然后利用相应的求解器自动求解。
• GPU并行验证：有研究利用GPU的并行计算能力，对大量理论上提出的攻击进行实验性验证，揭示了理论与实践之间可能存在的差距。

总结

下表总结了ASCON面临的主要密码分析方法及其典型成果：

攻击类别	具体方法	目标与典型成果
数学攻击	差分/线性分析	存在针对4-5轮置换的区分器
立方/类立方攻击	针对7轮初始化的密钥恢复攻击
代数攻击	针对2-5轮哈希函数的原像/碰撞攻击
积分/零和区分器	存在针对完整12轮置换的零和区分器
中间相遇攻击	针对4轮ASCON-HASH的原像攻击， 内存复杂度优化至234
物理攻击	故障攻击	多种变体（SIFA, DFA, PFA）， 可恢复完整ASCON的密钥
功耗分析	针对比特切片结构的逐比特CPA攻击， 效率极高
机器学习侧信道	引入强化学习等新技术进行侧信道分析
自动化分析	SAT/MILP/SMT	用于搜索最优攻击路径和证明安全界限
GPU并行验证	用于实验验证理论攻击结果的有效性

整体来看，尽管存在针对缩减轮数版本的有效攻击，ASCON的完整轮数版本（如12轮）在所有已知的经典密码分析（如差分、线性、代数攻击）面前均保持了良好的安全性。然而，其物理实现（如未加防护的硬件）对侧信道与故障攻击表现出明显的脆弱性，这构成了实际部署中需要重点防范的风险。