为什么做这个平台
在分组密码的差分故障分析（Differential Fault Analysis, DFA）研究中，有一个绕不开的核心环节：故障传播属性的推导与验证。
具体来说，当你对一个分组密码算法注入一个故障（比如在第 5 轮把某个字节的值改了），这个故障会在后续的每一轮运算中传播。在 SubBytes 层，S-box 的非线性会让差分值发生不可逆的变换；在 ShiftRows 层，字节位置会被置换；在 MixColumns 层，有限域乘法会让一个字节的差分扩散到整列四个字节；在 AddRoundKey 层，轮密钥会对正常路径和故障路径同时作用，在差分中抵消。
研究者需要回答一个关键问题：故障注入后，每一步运算的差分传播是否符合预期的数学属性？
如果不符合，说明推导有误或者算法实现有误。如果符合，说明你对故障传播的理解是正确的，可以继续推导后续步骤。
这个推导过程，手推的话需要：
- 对每一步逐字节（或逐 nibble、逐 32 位字）计算正常值和故障值
- 做异或得到实际差分
- 根据运算的数学性质推导期望差分
- 对比期望差分和实际差分是否一致
以 AES 的 MixColumns 步骤为例。MixColumns 对状态矩阵的每一列做一次矩阵乘法，运算在 GF(28)GF(2^8)GF(28) 有限域上进行，不可约多项式为 x8+x4+x3+x+1x^8 + x^4 + x^3 + x + 1x8+x4+x3+x+1（即十六进制 0x11B0x11B0x11B）。AES 的 MixColumns 矩阵为：
2311123111233112\]×\[s0s1s2s3\]=\[s0′s1′s2′s3′\] \\begin{bmatrix} 2 \& 3 \& 1 \& 1 \\\\ 1 \& 2 \& 3 \& 1 \\\\ 1 \& 1 \& 2 \& 3 \\\\ 3 \& 1 \& 1 \& 2 \\end{bmatrix} \\times \\begin{bmatrix} s_0 \\\\ s_1 \\\\ s_2 \\\\ s_3 \\end{bmatrix} = \\begin{bmatrix} s_0' \\\\ s_1' \\\\ s_2' \\\\ s_3' \\end{bmatrix} 2113321113211132 × s0s1s2s3 = s0′s1′s2′s3′ 每一个输出字节都是 4 次有限域乘法加 3 次异或的结果。比如第一个输出字节 s0′=2⋅s0⊕3⋅s1⊕1⋅s2⊕1⋅s3s_0' = 2 \\cdot s_0 \\oplus 3 \\cdot s_1 \\oplus 1 \\cdot s_2 \\oplus 1 \\cdot s_3s0′=2⋅s0⊕3⋅s1⊕1⋅s2⊕1⋅s3，其中 2⋅s02 \\cdot s_02⋅s0 表示在 GF(28)GF(2\^8)GF(28) 上乘以 2：先把 s0s_0s0 左移一位，如果最高位为 1 则再异或 0x1B0x1B0x1B。3⋅s13 \\cdot s_13⋅s1 则是 2⋅s1⊕s12 \\cdot s_1 \\oplus s_12⋅s1⊕s1。每一列要做 4×4=164 \\times 4 = 164×4=16 次有限域乘法和 12 次异或，AES 一轮有 4 列，共 64 次乘法和 48 次异或。AES 共 9 轮 MixColumns（第 10 轮没有），总计 576 次有限域乘法。 手推一轮 MixColumns 的差分传播，需要先算出正常输入和故障输入的差分值，再逐列乘以矩阵，再逐字节与实际差分对比------一轮就要十几分钟，9 轮下来一两个小时就没了，中间任何一步算错都要重来。LED 的 MixColumnsSerial 在 GF(24)GF(2\^4)GF(24) 上进行，矩阵系数不同，但有 32 步。SM4 的 LLL 线性变换是 32 位字上的 5 次循环移位异或，共 32 轮。三种算法全部手推一遍，至少半天，还极容易出错。 这就是做这个平台的初衷：**把故障传播的属性推导过程自动化、可视化、可验证。** ### 学术依据 本平台的方法论参考了以下论文的故障传播建模与属性挖掘思想： > X. Wang, W. Hu, S. Tang, X. Wang and H. Zhou, "An Automated Fault Attack Framework for Block Ciphers Through Property Mining and Verification," in IEEE Transactions on Circuits and Systems I: Regular Papers, vol. 72, no. 1, pp. 337-350, Jan. 2025, doi: 10.1109/TCSI.2024.3456787. 这篇论文提出了 fault propagation model generation（故障传播模型生成）、fault property mining（故障属性挖掘）和 fault correlation property（故障关联属性）的方法论。本平台的推导流程------从正常执行和故障执行出发，逐步构建差分轨迹，逐步推导并验证数学属性------正是基于这一思想构建的。 但需要特别说明：**本平台参考论文的方法论框架，但具体算法变换和推导公式均基于标准定义独立实现，而非直接复用论文中的公式。** 具体依据为： * AES：基于 FIPS 197 标准 * LED：基于原始论文定义 * SM4：基于 GB/T 32907-2016 国标 每种算法的实现都通过了内置测试向量的校验，确保加密结果与标准一致。  ### 功能总览 本平台支持 **AES-128** 、**LED-64** 、**SM4** 三种分组密码算法，提供完整的故障注入、执行轨迹记录、差分传播分析和数学属性推导功能。 用户只需指定密钥、明文和故障配置（故障轮次、位置、值、类型），系统会自动完成以下全部工作： 1. 用正常密钥和明文执行一次完整加密，记录每一步的中间状态------这是 **Normal Trace** 2. 在指定轮次注入故障后执行一次完整加密，记录每一步的中间状态------这是 **Faulty Trace** 3. 逐步对比两条轨迹，计算每一步的差分值------这是 **Diff Trace** 4. 对每一步运算，根据数学性质推导期望差分，与实际差分对比验证------这是 **Properties**  下面逐一详细说明。 ### Normal Trace：正常执行的完整轨迹 Normal Trace 是用指定的密钥和明文进行一次标准加密的完整记录。它记录了加密过程中每一轮、每一步运算的中间状态。 **AES-128 的 Normal Trace** 包含 11 条记录（第 0 轮 + 第 1-9 轮 + 第 10 轮），每条记录包含： * `round`：轮次编号（0-10） * `roundInput`：该轮的输入状态（第 0 轮为明文 ⊕\\oplus⊕ 初始轮密钥） * `afterSubBytes`：SubBytes 之后的状态（16 个字节经过 S-box 替换后的结果） * `afterShiftRows`：ShiftRows 之后的状态（行移位后的结果） * `afterMixColumns`：MixColumns 之后的状态（列混合后的结果，第 10 轮无此步骤） * `afterAddRoundKey`：AddRoundKey 之后的状态（异或轮密钥后的结果） * `roundKey`：该轮使用的轮密钥 **LED-64 的 Normal Trace** 包含 32 步，每步包含 4 个子运算的中间状态： * `afterAddConstants`：AddConstants 之后的状态（异或轮常量） * `afterSubCells`：SubCells 之后的状态（4×44 \\times 44×4 nibble 经过 S-box 替换） * `afterShiftRows`：ShiftRows 之后的状态（行移位） * `afterMixColumnsSerial`：MixColumnsSerial 之后的状态（GF(24)GF(2\^4)GF(24) 列混合） **SM4 的 Normal Trace** 包含 32 轮，每轮包含： * `x0, x1, x2, x3`：轮输入的 4 个 32 位字 * `rk`：该轮的轮密钥 * `a`：τ(A)\\tau(A)τ(A) 的输入（X1⊕X2⊕X3⊕RKX_1 \\oplus X_2 \\oplus X_3 \\oplus RKX1⊕X2⊕X3⊕RK） * `tauA`：S-box 替换后的结果 * `lb`：LLL 线性变换后的结果 * `x4`：轮输出（X0⊕L(τ(A))X_0 \\oplus L(\\tau(A))X0⊕L(τ(A))） Normal Trace 的作用是建立一个"正确"的参照基准。后续的故障分析都要和它对比。 ### Faulty Trace：故障注入后的执行轨迹 Faulty Trace 是在加密过程中注入故障后的完整执行记录。它的结构和 Normal Trace 完全相同，唯一区别是：在用户指定的轮次和位置，注入了一个故障值。 平台支持以下故障模型： | 算法 | 故障类型 | 说明 | |-----|---------|------------------| | AES | byte | 将指定字节替换为故障值 | | AES | bitflip | 将指定字节与故障值异或（位翻转） | | LED | nibble | 将指定半字节替换为故障值 | | LED | bitflip | 将指定半字节与故障值异或 | | SM4 | byte | 将指定字节替换为故障值 | | SM4 | word | 将指定 32 位字替换为故障值 | | SM4 | bitflip | 将指定字节与故障值异或 | 故障注入后，故障值会在后续每一轮的每一步中传播。Faulty Trace 记录了这个故障传播的完整过程。 举例：如果你在 AES 第 5 轮的第 0 个字节注入了一个 byte 故障（值为 0x010x010x01），那么： * 第 5 轮的 AddRoundKey 输出中，第 0 个字节会和正常值不同 * 第 5 轮之后的 SubBytes 中，这个字节经过 S-box 变换，差分值会变成另一个值 * ShiftRows 会把这个字节移动到另一个位置 * MixColumns 会让这个差分扩散到整列 4 个字节 * 后续每一轮都会继续传播 Faulty Trace 把这个传播过程中每一步的状态都记录了下来。 ### Diff Trace：逐步差分轨迹 Diff Trace 是 Normal Trace 和 Faulty Trace 逐步异或的结果。它精确展示了故障在每一步运算中的传播情况。 Diff Trace 中的每一条记录包含： * `round`：轮次 * `step`：运算步骤名（如 `afterSubBytes`、`afterShiftRows`、`afterMixColumns`、`afterAddRoundKey`） * `normalValue`：Normal Trace 中该步骤的状态值 * `faultyValue`：Faulty Trace 中该步骤的状态值 * `diffValue`：两者异或的差分值（Δ=normalValue⊕faultyValue\\Delta = \\text{normalValue} \\oplus \\text{faultyValue}Δ=normalValue⊕faultyValue） * `activePositions`：差分值中非零的字节/半字节/字位置 * `hammingWeight`：差分值的汉明重量（有多少个 bit 为 1） Diff Trace 的价值在于：你可以一眼看出故障在每一步传播到了哪些位置、扩散到了多大范围。例如： * 在 SubBytes 之后，差分可能只有 1 个字节非零（因为 S-box 是逐字节独立替换） * 经过 ShiftRows 后，这个非零字节的位置发生了移动 * 经过 MixColumns 后，1 个字节的差分扩散到了整列 4 个字节 * 经过 AddRoundKey 后，差分值不变（密钥抵消） 如果你在第 5 轮注入故障，Diff Trace 会从第 5 轮一直展示到第 10 轮结束，让你完整看到故障从注入点到密文的传播路径。  ### Properties：数学属性推导与验证  Properties 是平台的核心功能。它对 Diff Trace 中的每一步运算，自动推导期望差分，并与实际差分对比验证。 每条 Property 包含以下字段： * `id`：属性的唯一标识（如 `aes-r5-subbytes`、`led-s10-subcells`） * `algorithm`：算法名称 * `round`：轮次 * `step`：运算步骤 * `type`：属性类型（`linear` 表示线性运算，`nonlinear` 表示非线性运算） * `status`：验证结论（`satisfied` 或 `violated`） * `explanation`：人类可读的推导说明 * `formulaLatex`：数学公式（平台渲染为学术论文风格的公式） * `normalValue` / `faultyValue`：正常输入和故障输入 * `normalOutput` / `faultyOutput`：正常输出和故障输出 * `expectedDiff`：根据数学性质推导的期望差分 * `actualDiff`：从 Diff Trace 中计算的实际差分 * `involvedUnits`：参与差分传播的字节/半字节位置 * `derivationSteps`：完整的推导步骤（每一步都有解释和公式） **验证逻辑：如果 expectedDiff 和 actualDiff 一致，属性标记为 Satisfied（满足）；如果不一致，标记为 Violated（违反）。** 不同运算步骤的属性推导方式不同： #### AddRoundKey / AddConstants（线性运算） 轮密钥或常量对正常路径和故障路径相同，因此在差分中抵消。推导公式为： ΔY=(X⊕K)⊕(X′⊕K)=X⊕X′=ΔX \\Delta Y = (X \\oplus K) \\oplus (X' \\oplus K) = X \\oplus X' = \\Delta X ΔY=(X⊕K)⊕(X′⊕K)=X⊕X′=ΔX 即输出差分等于输入差分。平台会逐字节验证这一点。 #### SubBytes / SubCells（非线性运算） S-box 是非线性替换，差分传播不满足线性关系。平台对每个字节/半字节分别计算： ΔYi=S(Xi)⊕S(Xi′) \\Delta Y_i = S(X_i) \\oplus S(X_i') ΔYi=S(Xi)⊕S(Xi′) 其中 XiX_iXi 是正常输入，Xi′X_i'Xi′ 是故障输入，SSS 是 S-box 查表函数。由于 S-box 的非线性，ΔYi\\Delta Y_iΔYi 不能简单地从 ΔXi\\Delta X_iΔXi 推导------必须知道具体的 XiX_iXi 和 Xi′X_i'Xi′ 值。 平台会将 S(Xi)⊕S(Xi′)S(X_i) \\oplus S(X_i')S(Xi)⊕S(Xi′) 的结果作为 expectedDiff，与 actualDiff 逐字节对比。 #### ShiftRows（线性置换） ShiftRows 是字节位置的固定置换，差分传播遵循置换关系： ΔY=P(ΔX) \\Delta Y = P(\\Delta X) ΔY=P(ΔX) 即输出差分等于输入差分经过相同的置换。平台会验证置换后的差分是否与实际差分一致。 #### MixColumns（有限域线性变换） 这是最复杂的一步。MixColumns 对每一列的 4 个字节施加一个 4×44 \\times 44×4 矩阵乘法，运算在 GF(28)GF(2\^8)GF(28) 上进行，不可约多项式为 x8+x4+x3+x+1x\^8 + x\^4 + x\^3 + x + 1x8+x4+x3+x+1（十六进制 0x11B0x11B0x11B）。 平台逐列推导：取输入差分的 4 个字节 (Δd0,Δd1,Δd2,Δd3)(\\Delta d_0, \\Delta d_1, \\Delta d_2, \\Delta d_3)(Δd0,Δd1,Δd2,Δd3)，分别乘以 MixColumns 矩阵的 4 行系数 (2,3,1,1)(2, 3, 1, 1)(2,3,1,1)，得到期望的输出差分 (Δe0,Δe1,Δe2,Δe3)(\\Delta e_0, \\Delta e_1, \\Delta e_2, \\Delta e_3)(Δe0,Δe1,Δe2,Δe3)，然后与实际差分逐字节对比。每一个系数乘法都是在 GF(28)GF(2\^8)GF(28) 上的有限域乘法------乘以 2 就是左移一位后条件异或 0x1B0x1B0x1B，乘以 3 就是乘以 2 再异或原值。 LED 的 MixColumnsSerial 在 GF(24)GF(2\^4)GF(24) 上进行，不可约多项式为 x4+x+1x\^4 + x + 1x4+x+1，矩阵系数为： MLED=\[412286561114109221511\] M_{LED} = \\begin{bmatrix} 4 \& 1 \& 2 \& 2 \\\\ 8 \& 6 \& 5 \& 6 \\\\ 11 \& 14 \& 10 \& 9 \\\\ 2 \& 2 \& 15 \& 11 \\end{bmatrix} MLED= 481121614225101526911 推导逻辑相同但运算是逐 nibble 而非逐字节。 SM4 的 LLL 线性变换是 32 位字上的循环移位异或： L(B)=B⊕(B⋘2)⊕(B⋘10)⊕(B⋘18)⊕(B⋘24) L(B) = B \\oplus (B \\lll 2) \\oplus (B \\lll 10) \\oplus (B \\lll 18) \\oplus (B \\lll 24) L(B)=B⊕(B⋘2)⊕(B⋘10)⊕(B⋘18)⊕(B⋘24) 其中 ⋘\\lll⋘ 表示循环左移。平台会验证 L(ΔB)L(\\Delta B)L(ΔB) 是否等于 ΔL\\Delta LΔL。 #### 以 AES 第 5 轮 MixColumns 为例的完整推导流程 1. 从 Normal Trace 取第 5 轮 ShiftRows 后的状态：X=db 13 53 45 ...X = \\texttt{db 13 53 45 \\ldots}X=db 13 53 45 ... 2. 从 Faulty Trace 取第 5 轮 ShiftRows 后的状态：X′=da 13 53 45 ...X' = \\texttt{da 13 53 45 \\ldots}X′=da 13 53 45 ...（第 0 字节不同） 3. 计算输入差分：ΔX=X⊕X′=01 00 00 00 ...\\Delta X = X \\oplus X' = \\texttt{01 00 00 00 \\ldots}ΔX=X⊕X′=01 00 00 00 ... 4. 对第 0 列 (Δd0,Δd1,Δd2,Δd3)=(0x01,0x00,0x00,0x00)(\\Delta d_0, \\Delta d_1, \\Delta d_2, \\Delta d_3) = (0x01, 0x00, 0x00, 0x00)(Δd0,Δd1,Δd2,Δd3)=(0x01,0x00,0x00,0x00)，乘以 MixColumns 矩阵： \[2311123111233112\]×\[0x010x000x000x00\]=\[0x020x010x010x03\] \\begin{bmatrix} 2 \& 3 \& 1 \& 1 \\\\ 1 \& 2 \& 3 \& 1 \\\\ 1 \& 1 \& 2 \& 3 \\\\ 3 \& 1 \& 1 \& 2 \\end{bmatrix} \\times \\begin{bmatrix} 0x01 \\\\ 0x00 \\\\ 0x00 \\\\ 0x00 \\end{bmatrix} = \\begin{bmatrix} 0x02 \\\\ 0x01 \\\\ 0x01 \\\\ 0x03 \\end{bmatrix} 2113321113211132 × 0x010x000x000x00 = 0x020x010x010x03 5. 期望输出差分第 0 列 =(0x02,0x01,0x01,0x03)= (0x02, 0x01, 0x01, 0x03)=(0x02,0x01,0x01,0x03) 6. 从 Diff Trace 取实际输出差分第 0 列，与期望值逐字节对比 7. 如果一致，标记为 Satisfied；如果不一致，标记为 Violated 整个过程在平台上自动完成，每一步都有数学公式和文字解释。 ### 其他功能 #### Key Schedule 可视化 AES 的密钥编排完整展示 11 轮轮密钥（44 个 32 位字），每轮的生成公式都有数学公式展示。SM4 展示 32 个轮密钥及其生成过程。 #### 十个密码分析小工具 平台提供十个独立工具，可以脱离主推导流程单独使用： 1. **S-box / InvS-box**：AES、SM4、LED 三种算法的正向和逆向 S-box 查表，支持单个值查询和批量查询（输入一个 hex 串，自动拆分逐字节查表），附带二进制展示和验证状态 2. **XOR 运算**：支持字节模式、半字节模式（LED 专用）和 32 位字模式（SM4 专用），严格对齐或左补零 3. **GF 有限域** ：GF(28)GF(2\^8)GF(28)（AES/SM4）和 GF(24)GF(2\^4)GF(24)（LED）的乘法、求逆、xtime、幂运算，每一步都带详细计算过程 4. **AES MixColumns / InvMixColumns**：输入 4 个字节，直接输出列混合结果，正向和逆向都支持 5. **LED MixColumnsSerial** ：LED 的 GF(24)GF(2\^4)GF(24) 列混合运算 6. **SM4 L / L' 线性变换** ：SM4 的 LLL 变换和逆 L′L'L′ 变换，输入 32 位字直接出结果 7. **状态矩阵格式化** ：将 hex 串格式化为 AES 4×44 \\times 44×4 列优先矩阵、LED 4×44 \\times 44×4 nibble 矩阵或 SM4 4 字矩阵，支持两个状态的差分矩阵对比 8. **Hamming Weight / Distance**：汉明重量和汉明距离计算，拆分展示每个字节的 HW 值 9. **DDT 差分分布表**：S-box 的差分分布表查询，支持单行查询（给定输入差分，输出所有可能的输出差分及其计数）和完整表格展示 10. **位旋转与字节拆分**：ROTL / ROTR，支持 8/16/32/64 位宽度，附带字节拆分展示  #### 留言板 平台内置留言板，支持中英文用户名（包括中文字符），可以留下使用反馈、Bug 报告或学术讨论。留言会展示设备类型、操作系统和浏览器信息。 ### 怎么用 1. 打开平台，选择算法（AES / LED / SM4） 2. 输入密钥和明文（hex 格式） 3. 配置故障：选轮次、位置、故障值、故障类型 4. 点击"开始推导" 5. 等待几秒，查看四栏结果：Normal Trace / Faulty Trace / Diff Trace / Properties 6. 在 Properties 栏中，每条属性都有完整的公式推导和验证结论 如果不想自己填参数，可以点击"运行内置测试向量"，系统会用标准测试数据跑一遍，验证算法实现的正确性。AES 用 FIPS 197 测试向量，LED 用 10 组标准测试向量，SM4 用国标测试向量。 ### 访问地址 **https://crypto.hxorz.com** ### 适用场景 * 硬件安全课程的故障注入实验辅助 * 分组密码差分故障分析的属性验证 * 密码学论文复现时的中间值校验 * 密码算法教学演示 * 故障注入工具链的验证环节 ### 技术实现 * 前端：原生 HTML / CSS / JavaScript，无框架依赖 * 后端：Cloudflare Workers，全球边缘节点 * 存储：Cloudflare D1 * 公式渲染：KaTeX，学术论文风格的数学公式展示 * 安全：CSP、X-Frame-Options、反爬虫、限流、蜜罐、IP 哈希 平台的算法实现不依赖任何第三方密码学库。AES 的 SubBytes、ShiftRows、MixColumns、AddRoundKey 和密钥编排，LED 的 SubCells、ShiftRows、MixColumnsSerial 和 AddConstants，SM4 的 S-box、LLL 线性变换和密钥扩展------全部从标准定义出发独立实现，并通过内置测试向量校验。 ### 写在最后 故障传播属性推导是差分故障分析中最基础也最容易出错的环节。一个字节的 GF(28)GF(2\^8)GF(28) 乘法算错，整个推导链就废了。 这个平台的目标很简单：让你把精力放在分析上，而不是放在计算上。选好参数，点一下按钮，所有推导结果和验证结论都在屏幕上。如果某个属性标记为 Violated，你立刻知道哪一步的推导出了问题。 欢迎使用，也欢迎在留言板留下反馈。