侧信道攻击与防护：密码算法物理实现的安全性实战

侧信道攻击
├── 被动攻击（Passive）
│   ├── 简单功耗分析（SPA）
│   ├── 差分功耗分析（DPA）
│   ├── 相关功耗分析（CPA）
│   ├── 电磁分析（EMA）
│   └── 缓存攻击（Cache Attack）
│       ├── Flush+Reload
│       ├── Prime+Probe
│       └── Spectre/Meltdown
└── 主动攻击（Active）
    ├── 差分故障分析（DFA）
    ├── 时钟毛刺（Clock Glitching）
    └── 电压毛刺（Voltage Glitching）

# 不安全的字符串比较（计时攻击漏洞）
def unsafe_compare(a, b):
    if len(a) != len(b):
        return False  # 长度不同立即返回，泄漏长度信息
    for i in range(len(a)):
        if a[i] != b[i]:
            return False  # 第一个不同字符就返回，泄漏匹配前缀长度
    return True

# 安全的恒定时间比较
def constant_time_compare(a, b):
    if len(a) != len(b):
        return False
    result = 0
    for i in range(len(a)):
        result |= a[i] ^ b[i]  # 始终比较所有字节
    return result == 0

步骤 1: 采集功耗迹
  → 让密码设备加密 N 个不同明文（N 通常需要 1000-10000）
  → 每次加密时用示波器采集功耗曲线（power trace）

步骤 2: 猜测密钥片段
  → 对密钥的一个片段（通常 8 位，即 256 种可能值）
  → 计算假设中间值

步骤 3: 建立功耗模型
  → 汉明重量模型: HW(x) = x 中 1 的个数
  → 汉明距离模型: HD(x, y) = HW(x ⊕ y)

步骤 4: 统计分析
  → 计算假设中间值与实际功耗的皮尔逊相关系数
  → 相关系数最高的猜测值最可能是正确密钥

侧信道防护
├── 掩码（Masking）
│   ├── 布尔掩码（Boolean Masking）
│   ├── 乘法掩码（Multiplicative Masking）
│   ├── 仿射掩码（Affine Masking）
│   └── 高阶掩码（Higher-Order Masking）
├── 隐藏（Hiding）
│   ├── 时间隐藏（随机延迟、洗牌）
│   ├── 功耗隐藏（恒定功耗逻辑）
│   └── 电磁屏蔽
└── 故障检测（Fault Detection）
    ├── 冗余计算
    ├── 一致性校验
    └── 传感器检测

import os

def masked_sbox_input(x, mask):
    """对 S 盒输入进行掩码"""
    return x ^ mask

def masked_sbox_output(y_masked, mask):
    """对 S 盒输出进行去掩码"""
    # 需要构造掩码后的 S 盒查找表
    # 对于每个可能的掩码值 m，预计算 S'(x ⊕ m) = S(x) ⊕ m'
    pass

# 完整的掩码 SM4 S 盒实现思路:
# 1. 输入掩码: x' = x ⊕ m_in
# 2. 查找预计算的掩码 S 盒: y' = S_box_masked[x'] 
# 3. 输出掩码: y = y' ⊕ m_out

import time
import random

def rsa_modexp_hide(base, exp, mod):
    """带随机延迟的模幂运算"""
    result = 1
    base = base % mod
    
    # 随机延迟起点
    time.sleep(random.uniform(0.001, 0.01))
    
    for bit in bin(exp)[2:]:
        result = (result * result) % mod
        if bit == '1':
            result = (result * base) % mod
        # 每轮增加随机延迟
        time.sleep(random.uniform(0.0001, 0.001))
    
    return result

def rsa_crt_sign_with_fault_detection(message, p, q, dp, dq, qinv):
    """带故障检测的 RSA-CRT 签名"""
    # 正常 CRT 计算
    m_p = pow(message % p, dp, p)
    m_q = pow(message % q, dq, q)
    h = (qinv * (m_p - m_q)) % p
    result = m_q + h * q
    
    # 故障检测：验证签名
    if pow(result, e, p * q) != message % (p * q):
        raise FaultInjectionDetected("签名验证失败，可能遭遇故障注入攻击")
    
    return result