一种针对掩码Dilithium的高效符号感知CILWE分析

《Computer Networks》：An efficient sign-aware CILWE analysis on masked Dilithium

　　

侧信道分析对受掩码保护的后量子密码算法构成了持续的威胁。针对ILWE/CILWE侧信道攻击在强噪声和高掩蔽率条件下对掩码CRYSTALS-Dilithium实现信息利用效率有限的不足，本文从信息利用的角度系统改进了现有方法。首先，我们提出了一种残差引导的三通道混合神经网络，联合利用联合中间变量和布尔份额的泄漏信息。通过显式建模高阶相关性并在logit空间执行自适应残差融合，所提出的模型显著提高了噪声符号分类的准确性和稳定性。其次，在求解阶段，我们引入了符号感知的Cauchy回归模型，将噪声符号信息显式地纳入残差建模过程。这种设计使得正负样本能够均匀地纳入优化，从而克服了传统CILWE攻击中采用的过于保守的样本筛选策略。在第一阶掩码Dilithium实现上的实验结果表明，在固定签名预算下，所提出的方法显著提高了NIST安全级别2、3和5下的符号分类准确性和密钥恢复成功率，同时大幅减少了完整密钥恢复所需的签名数量。

引言：传统数字签名标准，如RSA和ECDSA [1], [2]，构成了当今互联网安全协议的基础，并被广泛部署于网络环境中，包括安全通信、认证以及软件和固件更新。然而，在配备了量子计算能力并能够执行Shor算法的攻击者面前，基于整数分解除素和离散对数问题的密码方案不再安全。为应对这一新兴威胁，美国国家标准与技术研究院（NIST）于2016年启动了后量子密码学（PQC）标准化进程，旨在选择能够抵抗量子攻击且适用于实际部署的公钥加密、密钥封装和数字签名方案。在NIST PQC标准化工作中，基于格的数字签名方案由于其强大的安全基础和良好的实现效率而引起了广泛关注。其中，CRYSTALS-Dilithium [3] 被普遍认为是最具代表性和前景的基于格签名方案之一。

基于学习带误差（LWE）问题困难的格签名方案构成了后量子密码学的核心组成部分。其中，Fiat–Shamir中止范式因其效率和实现简单而被广泛采用。作为该范式的代表性实例，Dilithium在签名过程中构建了形如zi=〈ci,s〉+yi的整数学习带误差（ILWE）样本，并将其与拒绝采样机制相结合，从而确保输出样本在信息论意义上满足零知识特性 [4]。在此理想化模型下，密钥无法从签名中恢复。

然而，在实际物理实现中，这种零知识保证可能会因侧信道泄漏而受到削弱。在未受保护（未掩码）的Dilithium实现中，大量先前研究表明，签名过程中与随机噪声或中间变量相关的敏感信息可能会通过侧信道部分泄漏 [5], [6], [7]。一旦攻击者获取了此类泄漏相关的中间信息，观测到的签名字符串将偏离理想分布，并可用于发动有效的密钥恢复攻击。早期研究通常将此问题建模为线性关系下的参数估计任务，并使用普通最小二乘法（OLS）及相关技术求解 [8]。

随着实现安全需求的增加，研究重点逐渐转向针对掩码Dilithium实现的侧信道攻击。针对掩码实现的现有攻击可大致分为几类。Hermelink等人 [9] 对随机多项式y的多个份额泄漏进行了高阶统计建模，并结合信念传播（BP）求解器，对掩码ML-DSA实现发动了实用的基于模板的功耗侧信道攻击。他们的工作首次实验验证了掩码实现在真实硬件上的实际可攻击性。Qiao等人 [10] 提出了一种非轮廓公共模板攻击（PTA），通过模板匹配和滤波利用临时多项式y的位级泄漏，并证明即使在掩码Dilithium实现中，密钥（最终密钥）仍然可以高成功率恢复。Bronchain等人 [11] 将y和x=cs1上的侧信道或故障泄漏建模为噪声约束系统，并利用信念传播融合异质泄漏信息，即使在强噪声条件下也能恢复密钥。

在上述掩码攻击场景中，密钥恢复阶段通常依赖于将侧信道观测转化为可解的回归或优化问题。然而，由于分类错误、掩码残余和测量噪声的综合作用，所得样本往往存在许多异常值，导致基于OLS的方法在高隐藏率和强噪声条件下表现不佳。为解决此限制，Damm等人 [12] 提出了掩蔽整数学习带误差（CILWE）攻击模型，并采用鲁棒回归技术，最著名的是Cauchy回归 [13]，以抑制异常残差的影响并在高隐藏率设置中实现更稳定的密钥恢复。在CILWE框架内，采用了一种保守但鲁棒的策略：仅保留分类器输出的高置信度正样本，并将误差项建模为单边有界噪声。随后应用Cauchy回归以缓解异常样本的影响，并在高隐藏率下实现稳定的密钥恢复。

然而，这种保守设计付出了明显的代价。通过在优化过程中丢弃大量低置信度或负标记样本，许多潜在包含密钥相关信息的观测值被排除在求解过程之外。从信息利用的角度来看，这种保守策略实际上将许多潜在有用的观测值视为不可用样本。因此，侧信道信息利用的整体效率显著降低，导致成功密钥恢复所需的签名数量增加。

为克服此限制，本文提出了由两个核心原则指导的新攻击方法。首先，利用深度学习技术联合利用多个泄漏源的特征，实现更全面的噪声相关信息提取。其次，在求解阶段，尽可能纳入所有可用样本，以提高样本效率和攻击成功率。我们的主要贡献总结如下：

• 我们提出了一种残差引导的三通道泄漏分析框架，联合利用重建中间值和布尔份额的泄漏信息。通过结合一阶和高阶泄漏信息，所提出的模型改进了从掩码Dilithium实现中提取符号相关信息的性能。

• 我们提出了用于CILWE攻击的符号感知优化框架。通过将符号信息显式地纳入回归阶段，所提出的方法使正负观测值都能为密钥恢复做出贡献，从而提高信息利用效率。

• 第一阶掩码Dilithium实现上的实验结果表明，所提出的框架在提高固定攻击预算下恢复准确率的同时，显著减少了成功密钥恢复所需的签名数量。

掩码Dilithium：Dilithium签名方案建立在Fiat–Shamir中止框架 [14] 之上，其安全性依赖于模块学习带误差（MLWE）[15] 和模块短整数解（MSIS）问题的计算困难性。所有操作均在多项式环Rq=Zq[X]/(Xn+1)上执行。密钥由两个小范数多项式向量s1∈Rq?和s2∈Rqk组成，其系数从有界集合{?η,…,η}中均匀随机采样。相应的

用于三通道SCA的残差引导混合网络：本阶段的目标不仅仅是提高分类准确率，而是最大化可用于后续CILWE求解阶段的符号相关信息量。在原始CILWE攻击中，符号预测错误直接转化为被丢弃的观测值，从而降低了信息利用的整体效率。因此，提高符号提取的可靠性尤为重要，因为即使分类准确率略有提高也

用于CILWE的符号感知Cauchy回归：在基于侧信道分析的ILWE攻击中，观测到的样本通常受到分类器误判、残余掩码效应和测量噪声的影响。在这种条件下，传统最小二乘回归不够鲁棒，在实际密钥恢复场景中往往表现不佳。为解决此问题，先前研究通常依赖于基于M估计的鲁棒回归技术。其中，Cauchy回归已被证明在CILWE中特别有效

实验设置：本工作从利用侧信道信息效率的角度重新审视了针对掩码Dilithium实现的ILWE攻击。为系统评估所提出方法的有效性，实验流程分为两个独立阶段：硬件侧信道数据采集阶段和主机端离线分析与建模阶段。这两个阶段在物理平台和计算任务上均相互解耦。在

结论：本工作从侧信道信息利用的角度重新审视了针对掩码Dilithium实现的ILWE攻击。基于现有CILWE攻击严重依赖工程层面保守样本筛选的观察，我们提出了一个明确设计为改进可用泄漏信息利用的新攻击框架。在泄漏建模阶段，所提出的框架引入了一种残差引导的三通道混合神经网络。通过

CRediT作者贡献声明：Yanbin Li：写作 – 审阅与编辑，软件，方法论，经费获取。Yifan Zhao：写作 – 审阅与编辑，写作 – 初稿撰写，方法论，形式化分析。Yan Li：形式化分析，数据整理。Chunpeng Ge：可视化，监督，经费获取。Bin Hu：监督，资源。

利益冲突声明：作者声明，他们不存在可能影响本文报告工作的已知财务利益或个人关系。

致谢：本工作得到了山东省泰山学者青年专家计划（NO. tsqn202408026）、国家自然科学基金（Grants No. 62472259, 62572285）和山东省自然科学基金（ZR2024QF098）的支持。

Yanbin Li获得了武汉大学网络空间安全学院博士学位。他目前是山东济南山东大学软件学院副教授。他荣获了山东省泰山学者青年专家称号。他的研究兴趣包括侧信道分析、密码实现、硬件安全和应用密码学。

Yanbin Li|Yifan Zhao|Yan Li|Chunpeng Ge|Bin Hu