MTSLBC：一种面向IoMT传感器的具有动态密钥调度的低功耗轻量级分组密码

《Integration》：MTSLBC: A low-energy lightweight block cipher with dynamic key schedule for IoMT sensors

　　

• •
  动态密钥调度：一种基于多模线性同余方程的轮相关密钥调度，生成伪随机子密钥，打破各轮之间的线性相关性，增强对关联密钥攻击和滑动攻击的抵抗能力。
• •
  低功耗对合S盒：通过子集空间搜索获得一个4位对合S盒，无不动点，差分均匀性为4，非线度为4，仅消耗0.30 fJ能量，相比2015年ASIACRYPT会议上发布的低功耗密码Midori中的两个标准S盒，能耗分别降低56.52%和46.43%。
• •
  TSP结构与ASIC实现：三分支替换-置换（TSP）结构结合X-Weave扩散机制，在统一加密/解密（ED）电路中实现低功耗，并在第五轮达到完全雪崩效应。在0.18 $\mathrm{\mu }$m CMOS工艺下综合，MTSLBC仅占用1970个门当量，达到8.31 pJ/bit，在能效方面优于Midori和SKINNY等主流密码，同时保持稳健的安全余量。此外，其在资源受限的IoMT传感器实时加密中的实际可行性通过在呼吸气体数据采集仿真平台上得到验证。

引言

IoMT系统通过传感器网络、通信技术和智能算法的深度融合来改善人类生活条件[1]。全球已部署超过2亿个IoMT可穿戴传感器，每个传感器每隔几秒持续采集和传输患者生命体征，每年产生PB级数据[2]。然而，IoMT系统的大规模部署不可避免地扩大了攻击面，增加了安全风险。作为感知层的核心组件，传感器在网络中高度暴露[3]，容易受到窃听、节点克隆、固件或密钥窃取、以及功耗耗尽拒绝服务攻击等各种攻击[4]。这些威胁可能导致巨大的经济损失。造成这种脆弱性的一个主要原因是，与传统计算设备不同，IoMT设备通常受到存储容量、能源预算、计算能力等资源相关需求的限制[5]。为在有限资源下保护感知数据在采集和传输过程中的机密性，轻量级分组密码因其开销低且可预测、易于集成到嵌入式系统中而被广泛采用[6]，如Shadow[7]、SAND-2[8]和HDLBC[9]等。然而，IoMT传感器通常需要支持长期持续在线感知和连续数据报告，而大多数现有的轻量级分组密码并未针对由此产生的长期安全和能效需求进行设计。

在严格的能源约束下，需要在实现开销和安全强度之间做出权衡。一方面，为减少硬件面积和功耗，一些密码采用过度简化的密钥调度和算法结构，这会增加轮密钥相关性并导致缓慢扩散，从而削弱对差分、线性、关联密钥等攻击的抵抗能力。另一方面，以更高安全性为目标的密码通常会增加轮数或采用更复杂的结构以增强扩散，从而增加功耗和实现成本。因此，面向部署的电池供电IoMT传感器评估在同时实现能效和安全方面仍有改进空间。

针对IoMT传感器面临的这些挑战，我们提出了MTSLBC，一种旨在降低每比特能耗同时保持足够安全余量的低功耗轻量级分组密码。此外，我们构建了呼吸气体数据采集仿真平台，并在感知层中实现了MTSLBC以保护传输中的数据。本文的主要贡献总结如下：

(1) 提出了一种新颖的低功耗轻量级分组密码MTSLBC，面向电池供电的IoMT传感器，目标是平衡能效与安全，而非追求绝对最低能耗。该密码整合了TSP结构、对合S盒和动态密钥调度，共同优化实现效率、扩散能力和轮密钥多样性。ASIC实现和安全评估表明，在考虑的模型下具有竞争力的能效和合理的安全余量。

(2) 设计了一种动态密钥调度方法以增强安全性。该设计将轮计数器与多模线性同余方程相结合，并在素数轮次注入伪随机扰动。这些操作增加了推导密钥关系的复杂性，打破了滑动攻击所利用的规律性模式，从而增强了抵抗能力。

(3) 为MTSLBC的非线性层构造了一个低功耗对合S盒。具体来说，通过针对MTSLBC的子集空间搜索获得，搜索限制在排除高能耗XOR/XNOR门的基础门集合上，得到差分均匀性为4、非线度为4的4位对合S盒。在Nangate 45 nm开源单元库（OCL）中综合，所选S盒仅消耗0.30 fJ，能效优于Midori的两个S盒。

(4) 提出了一种新颖的TSP结构，以平衡快速扩散与低功耗。它具有高度一致的加密和解密结构。采用类Feistel迭代使解密高度复用加密结构，同时结合X-Weave机制的TSP结构加速扩散。

本文的结构如下。第2节介绍相关工作。第3节介绍MTSLBC的规范。第4节通过详述其组件描述MTSLBC的设计原理。第5节使用多种分析方法评估其安全性。第6节介绍实现结果和应用演示。第7节总结全文。

章节概述

相关工作

轻量级分组密码是IoMT设备中一类重要的对称密码原语。其设计通常涉及安全性、实现面积和处理速度之间的权衡，不同的加密密码针对不同的应用场景进行优化以实现不同目标。目前，已提出了各种轻量级分组密码，如CRAFT（具有高效差分故障分析攻击防护能力）[10]、WARP[11]和Shadow[7]等

MTSLBC的规范

本节概述MTSLBC结构，并说明各组件的设计和实现。

MTSLBC的结构

能耗$E$通常与电路面积$A$和轮数$RD$相关（$E\propto A?RD$）。因此，高效的低功耗设计倾向于支持统一ED电路的结构（以减少$A$）同时实现高扩散（以减少$RD$）。在现有的轻量级结构中，硬件效率和安全强度之间存在根本性的权衡。经典Feistel有利于统一ED效率，但每轮中仅部分状态进行非线性更新，这会减缓

安全分析

我们根据轻量级分组密码设计中的几个标准准则评估MTSLBC。雪崩效应和随机性测试作为扩散和统计行为的辅助指标报告，主要安全结论基于差分、线性、关联密钥、积分、中间相遇和滑动攻击。

软件性能

为评估IoMT级MCU上的软件效率，我们在240 MHz的ESP32-S3上对MTSLBC进行了基准测试。测量使用轻量级密码基准测试（LCB）框架[44]，该框架在标准化方法下提供设备级精确的周期结果。

在相同设置下（64位分组，128位密钥），表12比较了MTSLBC与其他轻量级分组密码在加密和解密周期、延迟/吞吐量以及Flash/RAM方面的表现。在ESP32-S3上，MTSLBC加密需要4664个周期

结论

MTSLBC是面向电池供电IoMT传感器的低功耗轻量级分组密码，在安全性和能效之间取得了实用的平衡。其安全性通过增强轮密钥多样性和关联密钥攻击抵抗力的动态密钥调度得以加强。其能效得益于TSP结构、对合组件和专为统一ED电路设计的低功耗S盒。这使得加密和解密具有高度一致性且解密开销低

利益冲突声明

作者声明他们没有已知的竞争性财务利益或个人关系可能会影响本文报告的工作。

致谢

本研究由衡阳师范学院网络空间安全技术及应用工程研究中心开放基金（编号2025HSKFJJ031）、湖南省高校人工智能应用与系统安全重点实验室（湘家通[2025]233号）、"十四五"规划湖南省重点学科和应用型特色学科"（湘家通[2022]351号）、湖南省科技创新计划

崔佳辰|李朗|严柳 Yan