💻 computer science

Deep Learning-Assisted Improved Differential Fault Attacks on Lightweight Stream Ciphers

本文提出了一种利用深度学习辅助的改进差分故障攻击方法，成功在放宽的故障模型下对 ACORNv3、MORUSv2 和 ATOM 三种轻量级流密码进行了故障定位与密钥恢复实验，显著降低了攻击复杂度并首次实现了对 ATOM 的差分故障攻击。

原作者： Kok Ping Lim, Dongyang Jia, Iftekhar Salam

发布于 2026-04-01

📖 1 分钟阅读☕ 轻松阅读

原作者： Kok Ping Lim, Dongyang Jia, Iftekhar Salam

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文讲述了一个关于**“用人工智能（AI）来破解轻量级加密锁”**的故事。

想象一下，现在的物联网设备（比如智能灯泡、智能门锁、传感器）就像一个个住在拥挤社区里的“小房子”。为了省电和省钱，这些房子用的“锁”（加密算法）比较轻便，不像银行金库的锁那么厚重。虽然轻便，但它们更容易被坏人从物理上破坏。

这篇论文就是研究坏人如何利用**“搞破坏”（故障攻击）和“超级大脑”**（深度学习）来撬开这些锁。

1. 核心概念：什么是“故障攻击”？

想象你有一把复杂的机械锁，里面有很多齿轮（状态位）。

正常情况：你转动钥匙，齿轮有序转动，输出正确的密码。
故障攻击：坏人趁你不注意，用一根针突然戳了一下某个齿轮，让它卡住或转错方向（这就是“注入故障”）。
结果：锁输出的密码就错了。

坏人通过对比“正常密码”和“错误密码”之间的差异，就能反推出锁内部齿轮原本的位置，从而破解密码。

难点在于：坏人不知道针到底戳了哪个齿轮（故障位置未知）。如果猜错了位置，分析出来的线索就是错的，就像在迷宫里走错了方向。

2. 论文的创新点：用 AI 当“侦探”

以前的破解方法，坏人得靠死记硬背的“特征表”（Signature-based）来猜针戳在哪。这就像拿着旧地图找路，有时候地图不准，或者迷宫变了，就找不到了。

这篇论文的作者是**“AI 侦探”。他们训练了一个名为MLP（多层感知机）**的神经网络模型。

训练过程：作者让 AI 看了成千上万次“针戳不同位置后产生的错误密码”样本。
学会的本领：AI 学会了观察错误密码的“指纹”，能极其精准地判断出：“哦，这次针是戳在第 5 号齿轮上的！”

比喻：以前的方法像是一个老侦探，靠经验猜；现在的 AI 侦探像是一个拥有超级视觉的机器，看一眼错误密码的波形，就能瞬间定位故障点，准确率高达 99% 以上。

3. 他们测试了哪三把“锁”？

作者把这套"AI 侦探 + 搞破坏”的方法，用在了三种流行的轻量级加密算法上：

A. ACORNv3（像一把结构清晰的挂锁）

结果：AI 侦探表现完美，准确率接近 100%。
破解效率：只需要破坏 21 到 34 次，就能把锁的初始状态完全复原。
对比：比以前的方法更省力，而且不需要像以前那样去“猜”很多额外的数字。

B. MORUSv2（像一把结构复杂、齿轮互相咬合的精密锁）

结果：AI 侦探依然很强，准确率也很高。
破解效率：因为锁太复杂，需要破坏 213 到 248 次。
小插曲：有时候 AI 会看走眼（猜错位置），但即使猜错，只要猜对大部分，还是能破解掉 99% 的齿轮。剩下的几颗齿轮，坏人只需要猜几个数字（最多猜 6 次）就能搞定。
意义：这是人类历史上第一次成功用差分故障攻击破解 MORUS。

C. ATOM（像一把带有“双重保险”的超级锁）

结果：这把锁设计得很狡猾，它用了“双重密钥过滤器”。
AI 的表现：AI 侦探在这里有点吃力，准确率降到了 82% 左右。因为这把锁的故障传播规律太随机、太混乱，AI 很难学会。
破解情况：在“不知道针戳哪”的宽松条件下，完全破译失败。
结论：这反而证明了 ATOM 设计得很安全！只有在坏人能精准控制针戳哪里（比如拿着显微镜操作）的极端条件下，才能破解它的大部分齿轮。这说明 ATOM 的“安全余量”很高。

4. 他们的“新战术”：阈值策略

除了用 AI 找位置，作者还发明了一个**“集邮策略”**（阈值法）：

以前：收集到一定数量的错误线索就急着去解方程。
现在：设定一个“门槛”（Threshold）。如果收集到的有效线索不够多，或者方程太难解，就继续破坏，直到凑齐足够的线索再动手。
好处：这样能确保解方程时成功率更高，避免做无用功。

5. 总结与启示

这篇论文告诉我们两件事：

AI 是双刃剑：深度学习不仅能用来防御，现在也能用来辅助攻击。它能让破解过程更自动化、更精准，甚至能破解以前觉得很难的算法。
设计很重要：
- ACORN 和 MORUS 被成功破解，说明它们在面对这种新型攻击时，安全余量不足。
- ATOM 虽然难破，但也暴露了它在“完全失控”攻击下的弱点。
- ATM 的“双重密钥”设计被证明是非常有效的防御手段，大大增加了攻击难度。

一句话总结：
作者给黑客装上了"AI 眼镜”，让他们能更轻松地找到锁的弱点。虽然他们成功撬开了两把锁，但也证明了第三把锁（ATOM）因为设计得足够聪明，暂时还能扛得住这种“盲猜”式的攻击。这提醒未来的锁匠（密码学家），在设计轻量级锁具时，必须考虑到这种"AI 辅助破坏”的威胁。

这是一份关于论文《Deep Learning-Assisted Improved Differential Fault Attacks on Lightweight Stream Ciphers》（深度学习辅助的轻量级流密码改进差分故障攻击）的详细技术总结。

1. 研究背景与问题 (Problem)

背景：轻量级密码原语（如 ACORNv3, MORUSv2, ATOM）广泛应用于资源受限的物联网（IoT）设备。由于这些设备通常部署在物理可访问的环境中，极易受到物理攻击，特别是故障攻击（Fault Attacks）。
现有挑战：
- 传统的差分故障攻击（DFA）通常依赖**基于签名的方法（Signature-based methods）**来定位故障注入点。这种方法在故障传播模式复杂或不可控时，识别准确率有限。
- 现有的深度学习辅助密码分析主要集中在分组密码或密钥预测，在流密码的故障攻击领域应用较少。
- 在**无故障位置控制（No control over fault location）**的宽松模型下（即攻击者不知道故障具体注入在哪个比特位），如何高效定位故障并恢复密钥是一个难点。
核心问题：如何利用深度学习技术提高在未知故障位置下的流密码差分故障攻击的效率和成功率，并降低攻击复杂度。

2. 方法论 (Methodology)

作者提出了一种深度学习辅助的差分故障攻击框架，主要包含两个阶段：

2.1 故障位置识别 (Fault Location Identification)

模型选择：使用**多层感知机（MLP）**模型。
输入数据：差分密钥流（Differential Keystream），即正常密钥流与故障密钥流的异或结果（ $\Delta Z = Z \oplus Z'$ ）。
输出：故障注入的具体位置（状态比特的索引）。
数据生成：
- 针对每个可能的故障位置，生成随机密钥和 IV。
- 分别获取无故障密钥流和注入单比特翻转故障后的故障密钥流。
- 计算差分密钥流，构建训练集、测试集和验证集（训练:测试 = 80:20）。
训练策略：使用 Keras/TensorFlow，采用 Adam 优化器，通过早停（Early Stopping）和超参数搜索（隐藏层数量、神经元数、Dropout 率等）优化模型。

2.2 秘密恢复 (Secret Recovery)

阈值策略（Threshold-based Method）：
- 引入一个阈值 $T$ ，用于决定收集多少条差分方程才进行求解。
- 如果方程数量少于阈值，继续注入故障；如果超过阈值，则尝试求解。
- 若求解超时（使用 SageMath 的 Gröbner 基），则增加阈值（+5）并重复注入过程，以获取更多方程信息。
方程构建：
- 利用识别出的故障位置，构建无故障和故障状态下的代数规范形式（ANF）方程。
- 通过异或操作生成差分方程。
- 创新点：不仅收集线性方程，还收集二次方程（Quadratic equations），从而在不使用“猜测 - 确定（Guess-and-Determine）”策略的情况下恢复完整状态。
求解：使用 Gröbner 基算法求解方程组以恢复初始状态或密钥。

3. 主要贡献 (Key Contributions)

提出了基于 MLP 的故障定位框架：首次将 MLP 应用于 ACORNv3、MORUSv2 和 ATOM 三种轻量级流密码的故障位置识别，在无故障位置控制的模型下显著优于传统基于签名的方法。
引入了阈值优化策略：提出了一种基于阈值的攻击框架，通过动态调整所需方程数量来优化故障注入次数，并尝试求解包含高次项的方程组，避免了复杂的猜测步骤。
首次对 ATOM 进行差分故障攻击实验：填补了 ATOM 密码算法在差分故障攻击领域的实验空白。
全面评估与对比：在三种不同的密码算法上进行了广泛的实验，验证了深度学习在捕捉复杂故障传播模式方面的有效性。

4. 实验结果 (Results)

4.1 故障位置识别准确率

密码算法	方法	密钥流长度	准确率	对比传统方法
ACORNv3	MLP (本文)	152 bits	99.9880%	优于 Set-based (99.9774%) 和 Signature-based (99.9747%)
MORUSv2	MLP (本文)	384 bits	99.9231%	显著优于 Signature-based (95.2606%)
ATOM	MLP (本文)	56 bits	82.3568%	显著优于 Signature-based (58.8976%)

注：ATOM 的准确率较低（约 82%），主要是因为其双密钥过滤器（Double Key Filter）和 LFSR 状态依赖的 cnt 机制导致故障传播高度非确定性，增加了学习难度。

4.2 秘密恢复效果

ACORNv3：
- 成功恢复完整的 293 位初始状态。
- 故障次数：21 到 34 次（平均 27 次）。
- 复杂度：可忽略不计（Negligible），无需猜测状态位。
- 对比：相比现有工作（如 Zhang et al. [29] 需要 26-43 次且需猜测，或 Siddhanti et al. [22] 需猜测 20 位），本文方法在故障次数和计算复杂度上均有显著降低。
MORUSv2：
- 成功恢复完整的 640 位初始状态。
- 故障次数：213 到 248 次（平均 231 次）。
- 猜测需求：在 324 次成功实验中，部分攻击需要猜测最多 6 位（ $2^6=64$ 种组合）即可恢复完整状态。
- 对比：这是首个在无位置控制模型下对 MORUS 进行完整状态恢复的实现（此前 Wong et al. 仅在精确控制下实现了部分恢复）。
ATOM：
- 无控制模型：由于故障识别错误率高，无法在 400 次实验中成功恢复完整状态或密钥。
- 精确控制模型：在假设攻击者能精确控制故障位置的情况下，成功恢复了 NFSR 中 74/90 的状态位。
- 结论：ATOM 的双密钥过滤器设计提供了较高的安全裕度，使得在宽松模型下难以实施攻击。

5. 意义与结论 (Significance & Conclusion)

技术突破：证明了深度学习（MLP）在处理流密码中复杂的、非线性的故障传播模式方面，比传统的基于签名的方法更具优势，特别是在故障位置未知的情况下。
安全性评估：
- ACORNv3 和 MORUSv2 在单比特翻转故障模型下存在严重的安全隐患，攻击复杂度大幅降低。
- ATOM 表现出更强的抗故障攻击能力，其双密钥过滤机制有效增加了故障传播的不确定性，提高了安全裕度。
未来方向：
- 探索在更宽松的随机故障模型下的攻击可行性。
- 研究如何处理故障识别错误的情况（即利用部分正确识别的故障位进行恢复）。
- 优化方程求解过程，减少对定时器的依赖。

总结：该论文通过结合深度学习与差分故障攻击，显著提升了针对轻量级流密码的攻击效率，揭示了现有轻量级密码在物理安全层面的潜在弱点，并为未来的密码设计提供了重要的安全参考。