💻 computer science

Deep Learning-Assisted Improved Differential Fault Attacks on Lightweight Stream Ciphers

Diese Arbeit untersucht die Machbarkeit tiefenlerngestützter differentieller Fehlerangriffe auf die leichten Stromchiffren ACORNv3, MORUSv2 und ATOM unter einem entspannten Fehlermodell, wobei trainierte MLP-Modelle die Fehlerlokalisierung verbessern und neue Methoden zur effizienteren Geheimniswiederherstellung vorgestellt werden.

Ursprüngliche Autoren: Kok Ping Lim, Dongyang Jia, Iftekhar Salam

Veröffentlicht 2026-04-01

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Kok Ping Lim, Dongyang Jia, Iftekhar Salam

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

🕵️‍♂️ Der Krimi: Wie Hacker geheime Schlüssel knacken (und wie KI ihnen hilft)

Stellen Sie sich vor, Sie haben einen sehr cleveren, aber kleinen Tresor (einen "Lightweight Stream Cipher"), der in Millionen von kleinen Geräten wie Smart-Thermostaten oder medizinischen Sensoren eingebaut ist. Diese Tresore sind so gebaut, dass sie wenig Strom verbrauchen, aber sie sind trotzdem sicher.

Das Problem: Da diese Geräte oft im Freien oder in öffentlichen Räumen stehen, kann ein Hacker physisch an sie rankommen. Er kann den Tresor nicht nur öffnen, sondern ihn auch schlagen oder erschüttern (das nennt man einen "Fehlerangriff" oder "Fault Attack"). Wenn der Tresor erschüttert wird, macht er vielleicht einen kleinen Fehler beim Berechnen seines Geheimnisses. Aus diesem Fehler kann ein Hacker oft den gesamten Schlüssel ableiten.

Bisher war es für Hacker schwierig, genau zu wissen, wo sie den Tresor schlagen müssen, um den besten Fehler zu erzeugen. Oft mussten sie raten oder langwierige mathematische Signaturen vergleichen.

🤖 Die neue Waffe: Eine KI als Detektiv

Die Forscher aus Malaysia haben eine neue Methode entwickelt, die Künstliche Intelligenz (KI) nutzt, um diesen Angriff zu verbessern.

Stellen Sie sich die KI als einen super-scharfsinnigen Detektiv vor.

Das Training: Zuerst haben die Forscher die KI tausende Male trainiert. Sie haben dem Tresor simuliert 1.000-mal an verschiedenen Stellen geschlagen und aufgezeichnet, wie sich das Ergebnis (der "Fehler") verändert hat.
Der Einsatz: Wenn der echte Hacker nun einen Schlag ausführt, schaut der KI-Detektiv sofort auf das Ergebnis und sagt: "Aha! Der Schlag muss genau an Stelle X passiert sein!"

Das ist viel schneller und genauer als die alten Methoden, bei denen man lange Listen von Mustern durchsuchen musste.

🔍 Die drei Fälle (Die drei Verschlüsselungen)

Die Forscher haben ihre neue KI-Methode an drei verschiedenen "Tresoren" getestet: ACORNv3, MORUSv2 und ATOM.

1. ACORNv3: Der leichte Fall

Was passiert: Die KI hat hier fast perfekt gearbeitet. Sie konnte den Ort des Schlages zu 99,98 % richtig erkennen.
Das Ergebnis: Der Hacker brauchte nur etwa 21 bis 34 Schläge, um den gesamten Schlüssel zu finden. Das ist viel weniger als früher nötig war. Die KI hat den Weg so geebnet, dass der Rest der Arbeit fast mühelos war.

2. MORUSv2: Der etwas größere Tresor

Was passiert: Dieser Tresor ist größer und komplexer. Die KI war immer noch sehr gut (99,92 % Treffsicherheit), aber es brauchte mehr Schläge.
Das Ergebnis: Hier waren etwa 213 bis 248 Schläge nötig. Manchmal musste der Hacker noch ein paar kleine Vermutungen anstellen (wie ein Rätselraten mit nur 6 Möglichkeiten), aber insgesamt war es ein voller Erfolg.

3. ATOM: Der extrem robuste Tresor

Was passiert: Dieser Tresor ist besonders clever gebaut. Er nutzt einen "doppelten Schlüssel-Filter". Das ist wie ein Tresor, der zwei verschiedene Schlösser hat, die sich gegenseitig verwirren.
Das Ergebnis: Hier war die KI etwas weniger sicher (ca. 82 %). Das liegt daran, dass die Fehlermuster hier sehr chaotisch und unvorhersehbar sind.
Die Erkenntnis: Selbst mit der KI konnte der Hacker den Schlüssel nicht vollständig knacken, wenn er den Tresor nur "blind" schlagen durfte. Er brauchte eine sehr präzise Kontrolle über den Schlagort. Das zeigt: ATOM ist sehr sicher! Die Forscher haben hier zum ersten Mal überhaupt einen Angriff auf diesen Tresor simuliert und bewiesen, dass er eine hohe Sicherheitsmarge hat.

🎯 Die neue Strategie: Der "Schwellenwert"-Trick

Ein weiterer cooler Teil der Arbeit ist eine neue Taktik, die die Forscher entwickelt haben.
Stellen Sie sich vor, Sie sammeln Puzzleteile, um ein Bild zu rekonstruieren. Früher haben Hacker einfach so lange geschlagen, bis sie genug Teile hatten.
Die neuen Forscher sagen: "Wir sammeln Teile, bis wir sicher sind, dass wir das Bild lösen können."

Sie haben eine Art "Zähler" (Schwellenwert) eingeführt.
Solange die gesammelten Fehler nicht ausreichen, um die Mathematik zu lösen, schlagen sie weiter.
Sobald genug Teile da sind, versuchen sie, das Rätsel zu lösen. Wenn es klemmt, fügen sie noch ein paar mehr Teile hinzu.
Das spart Zeit und Ressourcen, weil sie nicht unnötig viele Schläge ausführen.

🏆 Das Fazit

Diese Arbeit zeigt zwei wichtige Dinge:

KI ist mächtig: Künstliche Intelligenz kann Hacker dabei unterstützen, geheime Schlüssel viel schneller und effizienter zu finden als mit alten Methoden. Sie ist wie ein Verstärker für die Angriffe.
Sicherheit ist wichtig: Gleichzeitig zeigt die Arbeit, dass bestimmte Designs (wie bei ATOM) sehr widerstandsfähig sind. Selbst mit modernster KI ist es schwer, sie zu knacken, wenn sie gut gebaut sind.

Kurz gesagt: Die Forscher haben einen neuen, KI-gestützten Weg gefunden, um digitale Tresore zu knacken. Das klingt gefährlich, ist aber eigentlich sehr gut für die Sicherheit, denn nur wenn wir wissen, wie man die Tresore knacken kann, können wir sie so bauen, dass sie unknackbar sind.

1. Problemstellung

Leichtgewichtige Kryptographie-Primitiven werden zunehmend in ressourcenbeschränkten Umgebungen wie dem Internet der Dinge (IoT) eingesetzt. Diese Geräte sind aufgrund ihrer physischen Zugänglichkeit anfällig für Hardware-Angriffe, insbesondere für Fehlerangriffe (Fault Attacks).

Herausforderung: Bei Differentialen Fehlerangriffen (DFA) ist es entscheidend, den genauen Ort des injizierten Fehlers zu kennen, um korrekte Differenzgleichungen zur Wiederherstellung des geheimen Schlüssels oder des internen Zustands zu erstellen.
Limitierung bestehender Methoden: Traditionelle Ansätze zur Fehlerlokalisierung basieren oft auf „Signaturen" (vordefinierte Muster). Diese Methoden stoßen bei komplexen Stromchiffren oder unter dem Modell „ohne Kontrolle über die Fehlerposition" (der Angreifer weiß nicht, wo der Fehler injiziert wurde) an ihre Grenzen.
Forschungslücke: Die Anwendung von Deep Learning zur Unterstützung von DFA, insbesondere bei Stromchiffren, ist bisher wenig erforscht.

2. Methodik

Die Autoren schlagen einen Rahmen für Deep-Learning-unterstützte Differentialfehlerangriffe vor, der zwei Hauptphasen umfasst:

A. Fehlerlokalisierung mittels Deep Learning

Modell: Es werden Multilayer Perceptron (MLP) Modelle trainiert, um die Fehlerposition basierend auf dem differentiellen Keystrom (XOR zwischen fehlerfreiem und fehlerbehaftetem Keystrom) vorherzusagen.
Datengenerierung: Da keine öffentlichen Datensätze existieren, generieren die Autoren eigene Daten. Für jede mögliche Fehlerposition werden zufällige Schlüssel-IV-Paare verwendet, um fehlerfreie und fehlerbehaftete Keystrome zu erzeugen.
Training: Die Modelle werden mit TensorFlow/Keras trainiert. Die Eingabe ist der differentielle Keystrom, die Ausgabe ist die vorhergesagte Fehlerposition (Klassifizierungsproblem).
Annahmen: Der Angriff erfolgt unter dem Modell eines einzelnen Bit-Flip-Fehlers an einer unbekannten Position im Anfangszustand (Known-Plaintext-Attacke).

B. Geheimniswiederherstellung (Secret Recovery)

Schwellenwert-basierte Strategie (Threshold-based Framework): Um die Anzahl der benötigten Fehlerinjektionen zu minimieren, wird ein Schwellenwert eingeführt. Der Angriff injiziert Fehler, bis eine bestimmte Anzahl von linearen und nicht-linearen Differenzgleichungen erreicht ist.
Lösung der Gleichungssysteme: Die gesammelten Gleichungen werden mit dem Gröbner-Basis-Algorithmus (in SageMath implementiert) gelöst, um den Anfangszustand oder den Schlüssel zu rekonstruieren.
Optimierung: Falls die Lösung innerhalb einer Zeitgrenze (1 Minute) nicht gefunden wird, wird der Schwellenwert erhöht, um mehr Gleichungen hinzuzufügen, und der Prozess wird wiederholt.

3. Zielchiffren und Beiträge

Die Studie wendet diesen Rahmen auf drei lightweight Stromchiffren an: ACORNv3, MORUSv2 und ATOM.

Hauptbeiträge:

MLP für Fehlerlokalisierung: Entwicklung und Training von MLP-Modellen, die die Genauigkeit traditioneller signaturbasierter Methoden signifikant übertreffen.
Optimierte Angriffsstrategie: Einführung eines schwellenwertbasierten Ansatzes, der die Komplexität reduziert und alle Gleichungen (unabhängig vom Grad) in das System einbezieht.
Erste experimentellen Ergebnisse für ATOM: Dies ist die erste bekannte Implementierung eines DFA gegen die Chiffre ATOM.

4. Ergebnisse

ACORNv3

Fehlerlokalisierung: Die MLP-Modelle erreichten eine Genauigkeit von 99,9880 % (gegenüber 99,9747 % bei der signaturbasierten Methode).
Zustandswiederherstellung: Der vollständige 293-Bit-Anfangszustand konnte mit 21 bis 34 Fehlerinjektionen wiederhergestellt werden.
Vorteil: Im Vergleich zu früheren Arbeiten (z. B. Siddhanti et al. mit 9 Fehlern, aber 20 Bit Guessing; Zhang et al. mit 26–43 Fehlern und Guess-and-Determine) bietet dieser Ansatz eine vernachlässigbare Zeitkomplexität und benötigt weniger Fehlerinjektionen als die meisten bestehenden Guess-and-Determine-Ansätze, ohne dass Bits geraten werden müssen.

MORUSv2

Fehlerlokalisierung: Die Genauigkeit lag bei 99,9231 % (signifikant besser als 95,2606 % bei der signaturbasierten Methode).
Zustandswiederherstellung: Der vollständige 640-Bit-Anfangszustand wurde erfolgreich wiederhergestellt.
Anforderungen: Es waren 213 bis 248 Fehlerinjektionen nötig. In den meisten Fällen (238 von 324 erfolgreichen Angriffen) mussten maximal 6 Bits geraten werden ( $2^6 = 64$ Kombinationen), um den vollständigen Zustand zu erhalten.
Vergleich: Dies ist die erste vollständige Implementierung eines DFA gegen MORUS unter einem schwächeren Fehlermodell (kein präziser Kontrolle über die Fehlerposition) als in theoretischen Analysen (z. B. Wong et al.).

ATOM

Fehlerlokalisierung: Die Genauigkeit betrug 82,3568 % (deutlich besser als 58,8976 % bei der signaturbasierten Methode).
Herausforderung: Aufgrund des „Double Key Filter"-Designs und der nicht-deterministischen Fehlerausbreitung war die Lokalisierung schwieriger.
Ergebnisse: Unter dem Modell „ohne Kontrolle über die Fehlerposition" konnte kein vollständiger Zustand oder Schlüssel wiederhergestellt werden, da die Fehlerrate zu hoch war.
Präzise Kontrolle: Unter einem stärkeren Modell (präzise Kontrolle über die Fehlerposition) konnten 74 von 90 Bits des NFSR (Non-linear Feedback Shift Register) wiederhergestellt werden.
Sicherheitsimplikation: Die Ergebnisse deuten darauf hin, dass ATOM einen höheren Sicherheitsrand besitzt als ACORN und MORUS, insbesondere durch die Verwendung des Double Key Filters.

5. Bedeutung und Fazit

Effizienzsteigerung: Die Integration von Deep Learning verbessert die Fehlerlokalisierung erheblich, was die Voraussetzung für erfolgreiche DFA ist.
Reduktion der Komplexität: Der vorgeschlagene Ansatz reduziert die Anzahl der benötigten Fehlerinjektionen und die Rechenkomplexität im Vergleich zu bestehenden Methoden für ACORN und MORUS.
Neue Erkenntnisse: Die Arbeit liefert die ersten experimentellen Beweise für DFA gegen ATOM und zeigt, dass bestimmte Designmerkmale (wie bei ATOM) die Angriffsfläche auch unter Deep-Learning-Unterstützung effektiv vergrößern können.
Zukunftsaussichten: Die Autoren schlagen vor, zukünftige Arbeiten auf noch relaxierte Fehlermodelle (z. B. zufällige Fehler) auszudehnen und die Grenzen der Gleichungslösung ohne Zeitbegrenzung zu untersuchen.

Zusammenfassend demonstriert das Paper, dass Deep Learning ein leistungsfähiges Werkzeug zur Verbesserung von Differentialfehlerangriffen auf moderne lightweight Stromchiffren ist, wobei die Wirksamkeit stark von der spezifischen Architektur der Chiffre abhängt.