💻 computer science

Partial Number Theoretic Transform Masking in Post-Quantum Cryptography (PQC) Hardware: A Security Margin Analysis

本文针对声称具有特定安全裕度的 Adams Bridge 硬件加速器，通过 RTL 分析、软分析攻击及贝叶斯推断等七项评估，揭示了其部分掩码与洗牌策略的实际熵值低于预期，并提出了通过战略性掩码中间层来有效抵御侧信道攻击的设计优化方案。

原作者： Ray Iskander, Khaled Kirah

发布于 2026-04-21

📖 1 分钟阅读☕ 轻松阅读

原作者： Ray Iskander, Khaled Kirah

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这是一篇关于后量子密码学（PQC）硬件安全的深度技术论文。为了让你轻松理解，我们可以把这篇论文的内容想象成一次对“未来银行金库”的安全审计。

🏦 核心故事：金库的“半掩门”策略

想象一下，未来的银行（也就是我们的芯片）要存放一种叫“后量子密码”的超级机密。这种密码运算非常复杂，就像在一个巨大的迷宫里做数学题。

1. 设计师的初衷（Adams Bridge 设计）：
为了省钱（节省芯片面积）和提速，设计师没有给迷宫的每一层都装上厚重的防盗门（全量“掩码”保护）。

策略： 他们只给迷宫的第一层装了防盗门（第一层掩码），剩下的 6-7 层门都不锁。
理由： 设计师说：“虽然剩下的门没锁，但我们让守卫（打乱顺序/Shuffling）随机地改变守卫巡逻的路线。攻击者就算想偷，也得猜对守卫的路线，这太难了！我们算过，攻击者需要尝试 $2^{96}$ 次甚至更多，这比宇宙寿命还长，所以是绝对安全的。”

2. 审计员的任务（本文作者）：
作者（Ray Iskander 和 Khaled Kirah）就像一群精明的安全审计员。他们拿着放大镜，仔细检查了设计师的“安全计算书”和“迷宫图纸”（代码），试图回答一个问题：“真的安全吗？还是设计师在自我安慰？”

🔍 审计员发现了什么？（三大漏洞）

审计员通过复杂的数学推导和模拟实验，发现了三个主要问题，推翻了设计师的“绝对安全”论：

🚪 漏洞一：守卫的“随机”其实很假

设计师的想象： 守卫的路线是完全随机的，就像把 64 个守卫彻底打乱重组，有天文数字般的排列组合（ $64!$ 种）。
审计员的发现： 实际上，守卫只是简单地**“换个起点”**（Random Start Index）。就像一群人围成一圈，只是随机决定从第几个人开始数，而不是重新打乱顺序。
比喻： 设计师以为你在玩“洗牌”（把整副牌彻底洗乱），实际上他们只是在玩“切牌”（只是把牌堆切了一下）。
后果： 这种“切牌”带来的安全性，比设计师声称的低了大约 290 位（从 $2^{296}$ 降到了 $2^6$ ）。这就像以为门锁有 296 个锁孔，其实只有 6 个。

🧩 漏洞二：数学题的“作弊”捷径

设计师的想象： 攻击者必须独立地破解迷宫里的每一个数学题（每一个“蝴蝶结”运算），每个题都有巨大的难度。
审计员的发现： 这些数学题之间是连通的。如果你解开了其中一个，利用数学规律（代数结构），旁边的题往往就自动解开了，或者变得非常简单。
比喻： 设计师以为攻击者要爬 100 座独立的高山。审计员发现，这些山其实是用绳子连在一起的，只要爬上第一座，顺着绳子就能滑到后面所有的山，根本不需要重新爬。
后果： 攻击者不需要逐个破解，可以利用“belief propagation”（信念传播，一种像多米诺骨牌一样的推理方法）一次性推导出大部分答案。

📡 漏洞三：噪音掩盖了真相

设计师的想象： 硬件运行时的电流噪音很大，攻击者根本听不清守卫在说什么。
审计员的发现： 虽然噪音存在，但如果攻击者收集足够多的数据（比如几千次甚至几万次），并利用超级计算机进行统计分析，依然能从噪音中把秘密“听”出来。
比喻： 就像在嘈杂的酒吧里听不清一个人说话，但如果你录下他说了 1000 遍同样的话，用电脑分析，就能把背景噪音过滤掉，听清他在说什么。

📊 审计结论：安全边际缩水了

审计员并没有直接“攻破”金库（没有真的偷到钱），但他们证明了金库的防御力被高估了。

设计师声称： 攻击难度是 $2^{132}$ （天文数字，绝对安全）。
审计员计算： 在最好的防守假设下，难度降到了 $2^{63}$ 左右；在最坏的假设下，甚至可能降到 $2^{16}$ 。
比喻： 设计师说：“这扇门有 132 层锁，没人能打开。”审计员说：“经过检查，其实只有 63 层锁，而且其中几层还是坏的。虽然普通人还是打不开，但对于顶尖黑客来说，这已经不再是‘绝对安全’了。”

关键发现：
审计员发现，如果攻击者只观察迷宫的特定几层（比如第 1、3、5、7 层），而不是连续观察，就能最高效地破解。这就像告诉黑客：“别盯着前几层看，盯着隔开的几层看，效率最高！”

💡 给未来的建议（如何修补？）

基于这些发现，作者提出了实用的修补方案：

不要只靠“切牌”： 仅仅靠打乱顺序（Shuffling）是不够的，必须给关键层加上真正的“防盗门”（掩码）。
重点保护“入口”： 审计员发现，只要把第一层（输入层）锁死，后面的数学推理链条就会彻底断裂，攻击者就完全无法推导出秘密。这是性价比最高的保护方式。
中间“挖坑”策略： 如果不想全锁，可以在中间连续锁住 3 层（比如第 3、4、5 层）。这样会在迷宫中间制造一个巨大的“断层”，让攻击者的推理链条断掉。这比全锁便宜，但比只锁一层安全得多。

🏁 总结

这篇论文就像一份**“体检报告”。它没有说这个芯片“已经坏了”，而是说“你的健康指标（安全边际）被高估了，虽然目前还没病，但如果不加强锻炼（增加保护），未来可能会生病。”**

它提醒芯片设计师和认证机构：在追求速度和成本的同时，不能为了省一点面积而牺牲了长期的安全性。对于要使用几十年的“根信任”芯片来说，这种安全上的“虚报”是极其危险的。

一句话总结： 设计师以为给金库装了“超级随机迷宫”，审计员发现其实只是“简单的切牌游戏”，并给出了如何用最少的成本把金库真正加固的建议。

这是一份关于论文《Partial Number Theoretic Transform Masking in Post-Quantum Cryptography (PQC) Hardware: A Security Margin Analysis》（后量子密码硬件中部分数论变换掩码：安全裕度分析）的详细技术总结。

1. 研究背景与问题 (Problem)

随着 FIPS 203 (ML-KEM) 和 FIPS 204 (ML-DSA) 的标准化，基于格的后量子密码（PQC）算法正被集成到安全关键的硬件根信任（如 Caliptra）中。数论变换（NTT）是这些算法中性能最关键的运算，但完全掩码（Full Masking）所有 NTT 层会带来巨大的硅片面积开销。

核心问题：
硬件设计者（如 Adams Bridge 加速器）采用了一种**部分掩码（Partial Masking）策略：仅对 NTT/INTT 的第一层和点乘操作使用布尔掩码，而对其余层（ML-KEM 为 6-7 层，ML-DSA 为 7-8 层）依赖洗牌（Shuffling）**和搜索空间论证来提供侧信道保护。
设计者声称，结合每只蝴蝶（Butterfly）的高复杂度（ML-DSA 为 $2^{46}$ ，ML-KEM 为 $2^{96}$ ）和洗牌带来的乘法级安全放大，使得侧信道攻击“完全不切实际”。

本文质疑：
这种部分掩码策略是否真的提供了足够的安全裕度？设计者关于洗牌熵（Entropy）和搜索空间复杂度的假设是否过于乐观？现有的侧信道文献（特别是代数侧信道分析 SASCA 和置信传播 BP）是否揭示了未被考虑的攻击面？

2. 方法论 (Methodology)

本文提出了一种结构化的**安全裕度审计（Security Margin Audit）**方法论，结合了 RTL 验证、文献证据评级和实验验证：

证据评级与来源追踪： 收集并评估 30 多篇已发表的侧信道文献，对每个论点进行“置信度评级”（已证明、文献支持、外推、推测）并标注来源（软件/硬件）。
RTL 逆向工程与验证： 分析 Adams Bridge 的公开 RTL 源代码，验证其声称的掩码和洗牌机制的实际实现。
场景敏感性分析： 构建从“攻击者有利”到“防御者有利”的多种假设场景，量化不同假设（如洗牌类型、格约减能力、噪声水平）对安全边界的影响。
SASCA 攻击管道构建： 开发了一个基于 RTL 模拟泄漏的软分析侧信道攻击（SASCA）管道，包含：
- 因子图构建（Factor Graph Construction）。
- 格灵敏度分析（Lattice Sensitivity）。
- 洗牌枚举模拟。
- 模板攻击桥接（Template Attack Bridging）。
- 大规模置信传播（Belief Propagation, BP）验证。
形式化验证： 使用 SMT 求解器（Z3 + CVC5）机器验证代数基础（如 Gentleman-Sande 蝴蝶的约束性）。

3. 关键贡献 (Key Contributions)

揭示洗牌机制的熵缺陷：
- 设计者假设使用全随机排列（Full Random Permutation），提供约 296 比特的熵（ $64!$ ）。
- 发现： RTL 证实 Adams Bridge 实际使用的是**随机起始索引（RSI）**洗牌。这仅产生 64 种排列（ $16 \times 4$ ），每层仅提供 6 比特熵，而非设计者声称的 296 比特。这极大地削弱了洗牌的安全放大作用。
量化安全裕度差距：
- 在“防御者有利”的假设下（Scenario B），ML-DSA 的有效安全裕度为 $2^{59}-2^{63}$ ，ML-KEM 为 $2^{61}-2^{65}$ 。
- 这比设计者隐含的估计（ML-DSA $\approx 2^{88}$ , ML-KEM $\approx 2^{132}$ ）低了 25-29 比特（ML-DSA）和 67-71 比特（ML-KEM）。
- 差距主要源于：RSI 熵不足、Gentleman-Sande 蝴蝶的代数约束减少了自由度、以及已知密文攻击（KCA）对 ML-KEM 搜索空间的缩减。
37 比特的攻击模型差距（Attack-Model Gap）：
- 设计者基于每只蝴蝶的 CPA（相关功率分析）复杂度（ $2^{46}$ ）进行论证。
- 本文通过 SASCA 管道证明，攻击者无需枚举每只蝴蝶，而是利用代数依赖关系进行联合恢复。
- 结果： 即使不考虑置信传播（BP）的增益，仅通过 MI 积累和 RSI 枚举，攻击复杂度就从 $2^{46}$ 降至 $2^9$ （512 次 RSI 运行），产生了 37 比特 的模型差距。
大规模置信传播（BP）验证与层消融分析：
- 在完整的 ML-KEM INTT 因子图（896 个因子，2048 个变量）上进行了全规模 BP 验证。
- 结果： 在 $SNR \times N = 3,000$ 时实现了 100% 系数恢复。
- 发现： BP 的收敛性取决于**观测拓扑（Observation Topology）**而非观测数量。
  - 结构障碍（NC1）： 如果未观测到第一层（L1），因子图在结构上断开，信息互信息（MI）为 0，无法恢复。
  - 策略： 4 个均匀分布的层（如 L1, L3, L5, L7）可实现 100% 恢复，而 4 个连续层（L1-L4）即使有更多信息也无法恢复（0%）。
提出分层防御策略：
- 优先级 1： 必须掩码第一层（L1），这是唯一能造成结构性信息阻断的措施。
- 优先级 2： 策略性间隙掩码（Strategic Gap Masking）。掩码任意 3 个连续中间层（如 L3-L5），迫使攻击者观测集合中出现 $\ge 3$ 的间隙。在中等迹数预算下（ $SNR \times N \le 5,000$ ），这能有效防御 BP 攻击，且成本仅为全掩码的 43%。

4. 主要结果 (Results)

安全边界重估： 部分掩码策略在现有文献支持下的安全边界远低于设计者声称。ML-KEM 的边界甚至可能低至 $2^{16}-2^{30}$ （在攻击者有利假设下）。
RSI 的脆弱性： RSI 洗牌在代数侧信道攻击面前几乎无效，其安全性远低于全随机排列，且无法像设计者假设的那样跨层乘法级放大。
BP 攻击可行性： 在模拟的 RTL 泄漏模型下，BP 攻击可以成功恢复完整密钥。虽然尚未在真实硬件上实现（这是防御方的主要论点），但 RTL 级别的验证表明攻击模型是可行的，且硬件噪声可能不足以完全阻断攻击。
37 比特差距： 这是一个独立于 BP 增益的硬性差距，表明设计者的 CPA 模型完全低估了代数攻击的潜力。

5. 意义与影响 (Significance)

对 PQC 硬件设计的警示： 本文证明了“部分掩码 + 洗牌”作为一种面积 - 安全权衡方案，其安全论证存在严重缺陷。设计者不能仅依赖搜索空间论证，必须考虑代数侧信道分析（SASCA）和置信传播攻击。
方法论创新： 提出的“安全裕度审计”框架（结合 RTL 验证、证据评级和敏感性场景）为评估任何部分掩码的 NTT 加速器提供了可复用的标准。
指导防御策略： 研究结果直接指导了更高效的防御设计。与其进行昂贵的全掩码，不如采用“第一层掩码 + 策略性间隙掩码”的组合，以 43% 的成本获得可验证的安全保障。
填补研究空白： 首次将软件层面的 SASCA/BP 分析扩展到基于公开 RTL 的硬件加速器，并量化了从软件到硬件的转换风险，指出了当前认证流程（如仅依赖 TVLA）在评估部分掩码设计时的不足。

总结：
该论文并未宣称 Adams Bridge 已被攻破，而是通过严谨的数学分析和实验模拟，揭示了其声称的安全裕度存在巨大的“认知差距”。它强调了在 PQC 硬件部署中，必须重新评估部分掩码策略的鲁棒性，并提出了基于证据的改进建议，以防止未来关键基础设施因侧信道漏洞而面临风险。