A Security Analysis of IoT Encryption: Side-channel Cube Attack on Simeck32/64

Simeck, a lightweight block cipher has been proposed to be one of the encryption that can be employed in the Internet of Things (IoT) applications. Therefore, this paper presents the security of the Simeck32/64 block cipher against side-channel cube attack. We exhibit our attack against Simeck32/64 using the Hamming weight leakage assumption to extract linearly independent equations in key bits. We have been able to find 32 linearly independent equations in 32 key variables by only considering the second bit from the LSB of the Hamming weight leakage of the internal state on the fourth round of the cipher. This enables our attack to improve previous attacks on Simeck32/64 within side-channel attack model with better time and data complexity of 2^35 and 2^11.29 respectively.Comment: 12 pages, 6 figures, 4 tables, International Journal of Computer Networks & Communication

Comparison of cube attacks over different vector spaces

We generalise the cube attack of Dinur and Shamir (and the similar AIDA attack of Vielhaber) to a more general higher order differentiation attack, by summing over an arbitrary subspace of the space of initialisation vectors. The Moebius transform can be used for efficiently examining all the subspaces of a big space, similar to the method used by Fouque and Vannet for the usual cube attack. Secondly we propose replacing the Generalised Linearity Test proposed by Dinur and Shamir with a test based on higher order differentiation/Moebius transform. We show that the proposed test provides all the information provided by the Generalised Linearity Test, at the same computational cost. In addition, for functions that do not pass the linearity test it also provides, at no extra cost, an estimate of the degree of the function. This is useful for guiding the heuristics for the cube/AIDA attacks

Cube Testers and Key Recovery Attacks On Reduced-Round MD6 and Trivium

CRYPTO 2008 saw the introduction of the hash function MD6 and of cube attacks, a type of algebraic attack applicable to cryptographic functions having a low-degree algebraic normal form over GF(2). This paper applies cube attacks to reduced round MD6, finding the full 128-bit key of a 14-round MD6 with complexity 2^22 (which takes less than a minute on a single PC). This is the best key recovery attack announced so far for MD6. We then introduce a new class of attacks called cube testers, based on efficient property-testing algorithms, and apply them to MD6 and to the stream cipher Trivium. Unlike the standard cube attacks, cube testers detect nonrandom behavior rather than performing key extraction, but they can also attack cryptographic schemes described by nonrandom polynomials of relatively high degree. Applied to MD6, cube testers detect nonrandomness over 18 rounds in 2^17 complexity; applied to a slightly modified version of the MD6 compression function, they can distinguish 66 rounds from random in 2^24 complexity. Cube testers give distinguishers on Trivium reduced to 790 rounds from random with 2^30 complexity and detect nonrandomness over 885 rounds in 2^27, improving on the original 767-round cube attack

Improved Side Channel Cube Attacks on PRESENT

The paper presents several improved side channel cube attacks on PRESENT based on single bit leakage model. Compared with the previous study of Yang et al in CANS 2009 [30], based on the same model of single bit leakage in the 3rd round, we show that: if the PRESENT cipher structure is unknown, for the leakage bit 0, 32-bit key can be recovered within $2^{7.17}$ chosen plaintexts; if the cipher structure is known, for the leakage bit 4,8,12, 48-bit key can be extracted by $2^{11.92}$ chosen plaintexts, which is less than $2^{15}$ in [30]; then, we extend the single bit leakage model to the 4th round, based on the two level “divide and conquer” analysis strategy, we propose a sliding window side channel cube attack on PRESENT, for the leakage bit 0, about $2^{15.14}$ chosen plaintexts can obtain 60-bit key; in order to obtain more key bits, we propose an iterated side channel cube attack on PRESENT, about $2^{8.15}$ chosen plaintexts can obtain extra 12 equivalent key bits, so overall $2^{15.154}$ chosen plaintexts can reduce the PRESENT-80 key searching space to $2^{8}$; finally, we extend the attack to PRESENT-128, about $2^{15.156}$ chosen plaintexts can extract 85 bits key, and reduce the PRESENT-128 key searching space to $2^{43}$. Compared with the previous study of Abdul-Latip et al in ASIACCS 2011 [31] based on the Hamming weight leakage model, which can extract 64-bit key of PRESENT-80/128 by $2^{13}$ chosen plaintexts, our attacks can extract more key bits, and have certain advantages over [31]

Исследование кубических атак с малыми степенями макстермов

Кубічні атаки – один з нових перспективних методів криптоаналізу, який нині успішно застосовується до різних типів сучасних криптосистем, таких як потокові і блокові системи шифрування та хеш-функції. Кубічні атаки є різновидом алгебраїчних атак, де кожен біт вихідної послідовності шифру інтерпретується як значення деякої булевої функції (поліному) f, що залежить від бітів секретного ключа та деяких відкритих змінних (бітів відкритого тексту, вектора ініціалізації тощо). Ключовими поняттями для кубічної атаки є поняття макcтерму та суперполіному. Макстерм – така підмножина множини відкритих змінних функції f, що просумувавши виходи даної функції по всіх значеннях змінних, які входять у макстерм (по двійковому кубу), можна отримати лінійний поліном від секретних змінних. Цей поліном в такому випадку називається суперполіномом. На заключній стадії атаки розв’язується система лінійних рівнянь, отриманих на основі знайдених на попередній стадії лінійно незалежних суперполіномів. Праві частини рівнянь системи отримуються як сума виходів функції за всіма значеннями змінних, що входять у відповідний макстерм. Перебір макстермів (кубів) для перевірки відповідних суперполіномів на лінійність є тривалою операцією і тому потребує ефективних підходів для її здійснення. Одним із таких підходів є обмеження степеня макстермів, що беруться до розгляду. Таке обмеження можна робити як знизу, так і зверху, джерелом обмежень може виступати просто уявлення про можливий степінь функції, що описує вихід шифру, або, при більш строгому підході, знаходження степеня нелінійної функції за допомогою відповідних тестів, які, однак, є досить складними і важкими для реалізації. Тому використання макстермів невеликого степеня значно підвищило б ефективність атаки. Проте при цьому постає питання ймовірності успіху, тобто ймовірності знайти необхідну кількість лінійно незалежних суперполіномів. У роботі розглядається питання застосовності кубічних атак за умови використання лише макстермів малого степеня і, як пеший крок у цьому напрямі, – лише макстермів першого степеня. Вводиться поняття сприятливої функції – функції, до якої можливе успішне застосування кубічної атаки з макстермами тільки першого степеня. В результаті досліджень отримано математичний вираз для кількості сприятливих функцій залежно від кількості відкритих і секретних змінних. Розраховані за цими формулами значення перевірено шляхом порівняння із результатами безпосереднього комп’ютерного перебору для невеликих значень кількості аргументів функції f. Також розраховані імовірності успіху кубічної атаки з макстермами першого степеня для різних комбінацій кількостей відкритих і секретних змінних. При цьому всі булеві функції з заданою кількістю аргументів вважаються рівноймовірними, що є природним припущенням з огляду на складність функцій, які описують криптографічні системи. Звісно, за умови використання макстермів малих степенів імовірність успішної атаки є дуже малою за реальних значень кількості відкритих та секретних змінних. Проте, знаючи величину цієї імовірності, можна оцінити максимальний степінь макстермів, що забезпечує прийнятний рівень імовірності успіху кубічної атаки. Подальший розвиток досліджень можливий у різних напрямках, пов’язаних як із розглядом більших степенів макстермів, так і узагальненням поняття суперполінома (наприклад, пошук суперполіномів другого степеня). Слід зазначити, що розглядувана задача також представляє самостійний інтерес з точки зору теорії булевих функцій та комбінаторики.Cube attack is one of new promising cryptanalysis methods, which is now successfully applied to various types of modern cryptosystems, such as stream, block ciphers and hash functions. Cube attack is a kind of algebraic attack, where every bit of the cipher output sequence is interpreted as a value of some Boolean function (polynomial) f , that depends on bits of secret key and some public variables (bits of plaintext or initialization vector etc.). Key notions for the Cube attack are notion of maxterm and superpoly. Maxterm is such subset of the function f public variables set, that sum of f output values over all possible values of variables that belong to maxterm (over a binary “cube”) can result in a linear polynomial of secret variables. This polynomial in such case is called superpoly. On the final stage of the attack, system of linear equations is solved. This system is based on the linearly independent superpolies acquired on the previous attack stage. Right parts of equations can be calculated by summing function output values over all variables presented in a corresponding maxterm. Maxterm (cube) search for the linearity checking of corresponding superpolies is a time-consuming operation, so it requires effective implementation approach. One of such approaches is a degree limitation of maxterms under consideration. This limitation can be both upper and lower. As a limitation source, possible function degree assumption can be used. Alternatively, in more strict approach, function degree can be acquired using some appropriate tests, which are, however, more complex and hard to implement. Therefore, usage of low degree maxterms can significantly increase attack effectiveness. However, in such case a question of attack success rate can be raised, i.e. the probability of getting required quantity of linearly independent superpolies. In this paper, we consider question of Cube attack applicability using only low degree maxterms and, as a first step, only maxterms of degree 1. We introduce a notion of auspicious function – function, to which Cube attack can be applied successfully, using maxterms of degree 1 only. As a result of our research, we acquired a mathematical expression (formula) for the number of auspicious functions. It depends on the number of public and secret variables of the function. Values calculated using this formula were verified by comparison with the results of direct computer exhaustive search for some small numbers of arguments of function f . Additionally, success rates for the Cube attack with maxterms of degree 1 were calculated for various combinations of numbers of public and secret variables. Here all Boolean functions with specified numbers of arguments were considered equally probable, which is a natural assumption, taking into account complexity of functions representing real cryptographic systems. Of course, given that we used only low degree maxterms, attack success rate is very low for real numbers of public and secret variables. However, knowing this probability, one can evaluate maximal degree of maxterms that provides acceptable Cube attack success rate. Further development of our research is possible in lots of directions, related to consideration of bigger maxterm degrees, as well as to generalization of the superpoly notion (e.g. search of quadratic superpolies). It should be noted that studied problem is also of independent interest from the Boolean functions theory and combinatorics point of view.Кубические атаки – один из новых перспективных методов криптоанализа, ныне успешно применяемый к разным типам современных криптосистем, таким как поточные и блочные системы шифрования и хешфункции. Кубические атаки являются разновидностью алгебраических атак, где каждый бит выходной последовательности шифра интерпретируется как значение некоторой булевой функции (полинома) f, который зависит от битов секретного ключа и некоторых открытых переменных (битов открытого текста, вектора инициализации и т. п.). Ключевыми понятиями для кубической атаки являются понятия макстерма и суперполинома. Макстерм – такое подмножество множества открытых переменных функции f, что просуммировав выходы данной функции по всем значениям переменных, которые входят в макстерм (по двоичному «кубу»), можно получить линейный полином от секретных переменных. Этот полином в таком случае называется суперполиномом. На заключительной стадии атаки решается система линейных уравнений, полученных на основе найденных на предыдущей стадии линейно независимых суперполиномов. Правые части уравнений системы получаются как сумма выходов функции по всем значениям переменных, которые входят в соответствующий макстерм. Перебор макстермов (кубов) для проверки соответствующих суперполиномов на линейность является длительной операцией и посему требует эффективных подходов для её выполнения. Один из таких подходов – ограничение степени рассматриваемых макстермов. Такое ограничение можно делать как снизу, так и сверху, источником ограничений может выступать просто представление о возможной степени функции, описывающей выход шифра, либо, при более строгом подходе, нахождение степени нелинейной функции с помощью соответствующих тестов, которые, однако, являются очень сложными и трудными в реализации. Поэтому использование макстермов небольшой степени значительно повысило бы эффективность атаки. Однако при этом возникает вопрос вероятности успеха, то есть вероятности найти необходимое количество линейно независимых суперполиномов. В работе рассматривается вопрос применимости кубических атак при условии использования только макстермов малой степени и, как первый шаг в этом направлении, – только макстермов первой степени. Вводится понятие благоприятной функции – функции, к которой возможно успешное применение кубической атаки с макстермами только первой степени. В результате исследований получено математическое выражение для количества благоприятных функций в зависимости от количества открытых и секретных переменных. Рассчитанные по этим формулам значения проверены путем сравнения с результатами непосредственного компьютерного перебора для небольших значений количества аргументов функции f. Также были рассчитаны вероятности успеха кубической атаки с макстермами первой степени для разных комбинаций количеств открытых и секретных переменных. При этом все булевы функции с заданным количеством аргументов считались равновероятными, что является естественным допущением, учитывая сложность функций, описывающих криптографические системы. Разумеется, при условии использования макстермов малых степеней вероятность успешной атаки очень мала при реальных значениях количества открытых и секретных переменных. Однако, зная величину этой вероятности, можно оценить максимальную степень макстермов, обеспечивающую приемлемый уровень вероятности успеха кубической атаки. Дальнейшее развитие исследований возможно в разных направлениях, связанных как с рассмотрением больших степеней макстермов, так и с обобщением понятия суперполинома (например, поиск суперполиномов второй степени). Следует отметить, что рассматриваемая задача также представляет самостоятельный интерес с точки зрения теории булевых функций и комбинаторики

Алгоритм установления общего секретного значения, основанный на эллиптических кривых

Конфіденційність повідомлення забезпечується шифруванням повідомлення за допомогою алгоритму шифрування даних. При великому розмірі документа таким алгоритмом може бути тільки алгоритм симетричного шифрування. Використання симетричного алгоритму шифрування пов’язано з необхідністю вирішення проблеми розподілу секретних ключів шифрування. Одним з можливих рішень є використання алгоритму асиметричного шифрування, яким шифрується разовий ключ симетричного шифрування, однак в системах передачі даних в реальному часі потрібне інше рішення, яке дозволить швидко з’єднатися з будь яким абонентом, встановити спільний секретний ключ та за певним розкладом або у разі потреби сформувати новий спільний ключ та перейти на використання нового спільного ключа. Під час встановлення спільного секретного ключа обов’язково повинна забезпечуватися автентичність сторін інформаційного обміну. Алгоритми цього типу є необхідною складовою частиною основних на цей час методів захисту трафіку в мережі Інтернет, а саме протоколів SSL/TSL та IPSec. Найбільше поширення як алгоритм встановлення спільного секретного значення мають алгоритми, що базуються на алгоритмі Діффі-Хеллмана. В своєму стандартному вигляді цей алгоритм не забезпечує автентифікації сторін і тому не може протистояти засобам криптоаналізу, що використовують можливість порушення автентичності. Алгоритм встановлення спільного секретного значення має також гарантувати стійкість обчисленого спільного секретного значення, не меншу за стійкість симетричного алгоритму шифрування даних. Реально це можливо тільки за умови застосування криптографічних перетворень у групі точок належно обраних еліптичних кривих. З практичної точки зору важливо уніфікувати обчислювальні засоби, що використовуються для реалізації криптографічних перетворень різного типу. В роботі пропонується алгоритм встановлення спільного секретного значення з використанням криптографічного перетворення, визначеного національним стандартом України ДСТУ 4145-2002 «Інформаційні технології. Криптографічний захист інформації. Цифровий підпис, заснований на еліптичних кривих. Формування і перевіряння» та криптографічних стандартів, що діють в Україні. Цей алгоритм забезпечує автентичність сторін інформаційного обміну. Алгоритм призначено для обчислення в режимі реального часу двома учасниками інформаційного обміну спільного секретного значення, розмір якого визначається функцією гешування, що використовується. Це секретне значення використовується для ініціалізації алгоритму симетричного шифрування але не визначає його спосіб ініціалізації та спосіб шифрування потоку даних. Алгоритм встановлення спільного секретного значення можна використовувати для захисту даних в інформаційних системах загального призначення.To ensure confidentiality a document is usually encrypted by a symmetric key encryption algorithm. The use of a symmetric key encryption algorithm makes it necessary to distribute the used common encryption/decryption key. A possible decision is to use an asymmetric encryption algorithm to hide a session symmetric encryption key. However in many cases another decision is more appropriate consisting in the establishment of a shared secret key as needed by performing a set of cryptographic operations in a dialogue. A secure establishment of a shared secret key requires a mutual authentication of communicating parties. Algorithms of this type are basic components of network security tools including Internet protocols Ssl/tsl and Ipsec. Most shared key establishment algorithms are based on the Diffie-Hellmann algorithm. In its original design this algorithm does not provide the authentication of parties and thus is vulnerable to cryptanalytic attacks using the violation of authenticity. The shared key establishment algorithm should also guarantee the strength exceeding that of the symmetric encryption algorithm in use. A natural approach is to design such an algorithm on cryptographic transformations in the group of points of the properly chosen elliptic curves. The presented algorithm of shared secret key establishment is based on the cryptographic transformation defined in the national standard of Ukraine DSTU 4145-2002 «Information technology. Cryptographic techniques. Digital signatures based on elliptic curves. Generation and verification», and cryptographic standards which operate in Ukraine. This algorithm provides the mutual authenticity of information exchange parties and fits smoothly within the framework of the PKI developed for DSTU 4145 digital signature. The algorithm is intended for a real time computation of a shared secret key by two parties of information exchange the size of which is determined the hash function in use. The computed secret key is used to initialize an algorithm of symmetric encryption.Конфиденциальность сообщения обеспечивается шифрованием сообщения с помощью алгоритма шифрования данных. При большом размере документа таким алгоритмом может быть только алгоритм симметричного шифрования. Использование симметричного алгоритма шифрования связано с необходимостью решения проблемы распределения секретных ключей шифрования. Одним из возможных решений есть использование алгоритма асимметричного шифрования, которым шифруется разовый ключ симметричного шифрования, однако в системах передачи данных в реальном времени нужно другое решение, которое позволит быстро соединиться с любым абонентом, установить общий секретный ключ и по определенному расписанию или в случае необходимости сформировать новый общий ключ и перейти на использование нового общего ключа. Во время установления общего секретного ключа обязательно должна обеспечиваться подлинность сторон информационного обмена. Алгоритмы этого типа являются необходимой составной частью основных на это время методов защиты траффика в сети Интернет, а именно протоколов Ssl/tsl и Ipsec. Наибольшее распространение как алгоритм установления общего секретного значения имеют алгоритмы, которые базируются на алгоритме Диффи-Хеллмана. В своем стандартном виде этот алгоритм не обеспечивает аутентификации сторон и потому не может противостоять средствам криптоанализа, которые используют возможность нарушения подлинности. Алгоритм установления общего секретного значения должен также гарантировать стойкость вычисленного общего секретного значения, не меньше стойкости симметричного алгоритма шифрования данных. Реально это возможно только при условии применения криптографических преобразований в группе точек должным образом выбранных эллиптических кривых. С практической точки зрения важно унифицировать вычислительные средства, которые используются для реализации криптографических преобразований разного типа. В работе предлагается алгоритм установления общего секретного значения с использованием криптографического преобразования, определенного национальным стандартом Украины ДСТУ 4145-2002 «Информационные технологии. Криптографическая защита информации. Цифровая подпись, основанная на эллиптических кривых. Формирование и проверка», и криптографических стандартов, которые действуют в Украине. Этот алгоритм обеспечивает подлинность сторон информационного обмена. Алгоритм предназначен для вычисления в режиме реального времени двумя участниками информационного обмена общего секретного значения, размер которого определяется используемой функцией хеширования. Это секретное значение используется для инициализации алгоритма симметричного шифрования но не определяет его способ инициализации и способ шифрования потока данных. Алгоритм установления общего секретного значения можно использовать для защиты данных в информационных системах общего назначения

A New Framework for Finding Nonlinear Superpolies in Cube Attacks against Trivium-Like Ciphers

In this paper, we study experimental cube attacks against Trivium-like ciphers and we focus on improving nonlinear superpolies recovery. We first present a general framework in cube attacks to test nonlinear superpolies, by exploiting a kind of linearization technique. It worth noting that, in the new framework, the complexities of testing and recovering nonlinear superpolies are almost the same as those of testing and recovering linear superpolies. To demonstrate the effectiveness of our new attack framework, we do extensive experiments on Trivium, Kreyvium, and TriviA-SC-v2 respectively. We obtain several linear and quadratic superpolies for the 802-round Trivium, which is the best experimental results against Trivium regarding the number of initialization rounds. For Kreyvium, it is shown that the probability of finding a quadratic superpoly using the new framework is twice as large as finding a linear superpoly. Hopefully, this new framework would provide some new insights on cube attacks against NFSR-based ciphers, and in particular make nonlinear superpolies potentially useful in the future cube attacks

Comparison of cube attacks over different vector spaces

We generalise the cube attack of Dinur and Shamir (and the similar AIDA attack of Vielhaber) to a more general higher order differentiation attack, by summing over an arbitrary subspace of the space of initialisation vectors. The Moebius transform can be used for efficiently examining all the subspaces of a big space, similar to the method used by Fouque and Vannet for the usual cube attack. Secondly we propose replacing the Generalised Linearity Test proposed by Dinur and Shamir with a test based on higher order differentiation/ Moebius transform. We show that the proposed test provides all the information provided by the Generalised Linearity Test, at the same computational cost. In addition, for functions that do not pass the linearity test it also provides, at no extra cost, an estimate of the degree of the function. This is useful for guiding the heuristics for the cube/AIDA attacks. Finally we implement our ideas and test them on the stream cipher Trivium

Cube attacks on cryptographic hash functions

Cryptographic hash functions are a vital part of our current computer sys- tems. They are a core component of digital signatures, message authentica- tion codes, file checksums, and many other protocols and security schemes. Recent attacks against well-established hash functions have led NIST to start an international competition to develop a new hashing standard to be named SHA-3. In this thesis, we provide cryptanalysis of some of the SHA-3 candidates. We do this using a new cryptanalytical technique introduced a few months ago called cube attacks. In addition to summarizing the technique, we build on it by providing a framework for estimating its potential effectiveness for cases too computationally expensive to test. We then show that cube at- tacks can not only be applied to keyed cryptosystems but also to hash func- tions by way of a partial preimage attack. We successfully apply this attack to reduced-round variants of the ESSENCE and Keccak SHA-3 candidates and provide a detailed analysis of how and why the cube attacks succeeded. We also discuss the limits of theoretically extending these attacks to higher rounds. Finally, we provide some preliminary results of applying cube attacks to other SHA-3 candidates