想象一座戒备森严的金库，四壁雕花、钢门厚重，世界上最机密的文件都锁在里面。密码学家就是金库的锁匠，年复一年地升级锁具；而密码分析师，则是不断研究这些锁具破绽的“盗贼”。不同的是，这些“盗贼”大多是白帽黑客与学者，他们用数学和计算机寻找规律。 盗贼们有四大绝技。第一招叫“暴力破解”：把键盘上所有可能的密码组合挨个试一遍，简单粗暴但胜在无脑。第二招叫“差分分析”：贴耳倾听密码锁转动时细微的“咔哒”声，从输入微小变化导致的输出差异中锁定齿轮规律。第三招叫“线性分析”：干脆不碰锁，窝在地下室翻查十年开锁记录，用统计逼近的方法总结出“这把锁大致遵循某条规律”。第四招叫“侧信道攻击”：不碰锁芯，而是偷看锁匠开锁时肩膀的起伏、听钥匙划过的声音、甚至测量锁芯发热的痕迹。 本文就用这座金库的故事，带你完整了解密码学攻击的武器谱系，以及防守方如何把锁设计得让盗贼们束手无策。

岗位关联

掌握攻击方法是安全工程师的“知己知彼”之道：只有知道盗贼怎么撬锁，才能设计出真正值得信赖的密码系统，这是密码工程与安全评估的核心能力。

目录
  1. 可视化演示
  2. 攻击分类总览：盗贼的作战会议
  3. 暴力破解：挨个试密码的憨憨盗贼
  4. 差分分析：听“咔哒”声的老练盗贼
  5. 线性分析：信统计的文雅盗贼
  6. AES安全评估：新一代智能保险箱
  7. 侧信道攻击：偷看肩膀的狡猾盗贼
  8. 抗攻击设计：锁匠的反击心法
  9. AI 应用场景
  10. Python 演示
  11. 常见误区
  12. 面试题

可视化演示

展示密码分析四类攻击等级、暴力破解与密钥空间、差分密码分析传播过程及侧信道攻击向量，步进式切换深入理解密码安全评估核心方法。

本节配有交互动效（进入视口后自动加载，约 3KB）。

密码分析攻击四级分类：按攻击者信息量递增 唯密文攻击：仅知密文，最难但假设最弱 选择密文攻击：可选任意密文解密，攻击力最强 COA < KPA < CPA < CCA 攻击者掌握信息越多，破译难度越低。

攻击分类总览：盗贼的作战会议

盗贼团出发前要开作战会议。今晚的行动预算有限：动手时间、人手数量、情报精度都要权衡。有的盗贼擅长夜袭，不需要太多情报；有的盗贼需要内应，得提前摸清金库守卫的作息。密码攻击也是如此——攻击者手里握着多少情报，直接决定了能采用什么战法。

按攻击者掌握的“情报资源”，密码分析攻击可以排成一条阶梯。最底层是唯密文攻击，攻击者手里只有一捆密文纸条，如同只能隔着门听锁芯转动的声音。往上一步是已知明文攻击，攻击者拿到了若干明文和对应密文的配对，好比捡到过几张金库收货单。再往上是选择明文攻击，攻击者能把特定明文送进加密机器、观察其密文，就像盗贼可以要求锁匠现场演示如何开锁。最顶端是选择密文攻击，攻击者甚至能挑特定密文让解密方解密。

这条阶梯的本质是权衡两类资源：数据与计算。

当盗贼在作战会议上画出这条阶梯，他们就知道：今晚的行动既要有足够的情报（数据），也要有足够的耐心和时间（计算）。而锁匠的职责，就是让这两个数字都大到令人绝望。

攻击总成本=数据量×计算量\displaystyle \text{攻击总成本} = \text{数据量} \times \text{计算量}
攻击总成本由数据量和计算量共同决定，任何一侧过高都会让攻击变得不切实际。
  1. 数据量攻击者能够收集的明文或密文样本数量，样本越多，情报就越充分。
    数据量=#{样本对}\displaystyle \text{数据量} = \#\{\text{样本对}\}
  2. 计算量处理每个样本所需的运算次数，代表算力与时间投入。
    计算量=每样本的运算次数\displaystyle \text{计算量} = \text{每样本的运算次数}
  3. 总成本两者相乘得到攻击的总体资源消耗，任何一侧过高都会让攻击不切实际。
    Cattack=D×T\displaystyle C_{\text{attack}} = D \times T

暴力破解：挨个试密码的憨憨盗贼

最憨憨的盗贼戴着头套，蹲在金库门口，从“0000“开始一个数字一个数字地拧密码盘。只要锁的密码空间有限，理论上总有一天能打开——问题是，这个”总有一天”究竟是明天还是宇宙毁灭之后？

暴力破解（Brute-force Attack）就是把密钥空间的所有可能取值逐个尝试。密钥长度为 n 位时，空间大小是 2^n。运气平均时，试到一半就能碰到正确密钥，期望尝试次数为：

DES 加密算法用了 56 位密钥，空间为 2^56。1998 年，电子前沿基金会用 25 万美元打造的专用机器"Deep Crack"在 56 小时内便破译了DES——56 位密钥在现代硬件面前已经形同虚设。

所以现代加密把密钥长度推到 128 位、256 位。2^126 次尝试意味着哪怕全球所有计算机并行计算，也要跑到太阳熄灭。挨个试密码这招，遇上足够长的密钥就彻底失效了——这也是为什么“密钥长度”永远是安全基线讨论的第一话题。

E[T]=2n2=2n−1\displaystyle E[T] = \frac{2^n}{2} = 2^{n-1}
  1. 密钥空间 2^nn 位密钥的所有可能取值，每增加 1 位，组合数就翻一倍。
    2n={0,1}n\displaystyle 2^n = \{0,1\}^n
  2. 除以 2运气最差要试完整个空间，运气最好第一发就中，平均恰好落在中点。
    2n2\displaystyle \frac{2^n}{2}
  3. 期望尝试次数 2^{n-1}这就是暴力破解的平均复杂度，也是衡量密钥强度的核心数字。
    E[T]=2n−1\displaystyle E[T] = 2^{n-1}

差分分析：听“咔哒”声的老练盗贼

老练的盗贼不盲试。他们把耳朵贴紧锁芯，每转一位就听一声“咔哒”。当他发现某个固定位置总发出同样的响声时，就锁定了锁芯内部一组齿轮的对应关系。差分分析正是这般功夫：不关心绝对值，只关心“差异”如何传播。

差分分析（Differential Cryptanalysis）由 Biham 与 Shamir 于 1990 年提出。它选取一对输入 X 和 X⊕ΔX，经过 S 盒后观察输出差分：

如果某个输入差分 ΔX 以异常高的概率映射到某个输出差分 ΔY，就构成高概率差分特征。DES 的 S 盒存在这类特征，攻击者据此可以恢复子密钥，将破解复杂度压到约 2^47 个选择明文——比暴力破解的 2^55 快了几百倍。

有趣的是，DES 的设计者事后承认早已知晓差分分析，并悄悄把 S 盒优化得比公开发现更强。这就像锁匠早就知道盗贼的听诊法，提前加固了齿轮——但差分分析至今仍是检验一切分组密码的标尺：一个密码如果有过高的差分特征概率，就等于把锁芯的咔哒声放给盗贼听。

ΔY=S(X)⊕S(X⊕ΔX)\displaystyle \Delta Y = S(X) \oplus S(X \oplus \Delta X)
  1. 输入差分 ΔX选一对明文，让它们只在某些位上不同，这个差异就是 ΔX。
    ΔX=X⊕X′\displaystyle \Delta X = X \oplus X'
  2. S 盒输出分别求出两个输入的 S 盒输出，再看输出端的差异。
    S(X),  S(X⊕ΔX)\displaystyle S(X),\; S(X \oplus \Delta X)
  3. 输出差分 ΔY两个输出异或的结果。如果某个 ΔX 大概率导出某个 ΔY，攻击者就找到了撬锁的“咔哒”规律。
    ΔY=S(X)⊕S(X⊕ΔX)\displaystyle \Delta Y = S(X) \oplus S(X \oplus \Delta X)

线性分析：信统计的文雅盗贼

有一种更文雅的盗贼不贴耳朵。他们躲在地下室，把十年来的开锁记录全部摊开统计：“每当密码第一位转 35 度，锁舌第三次转动的响声有七成概率异常。”这是线性规律——不精确，但统计上远强于瞎蒙。

线性密码分析由 Matsui 在 1993 年提出。它寻找输入位与输出位之间的线性逼近关系：

其中 a·X 是输入中若干比特的异或结果，b·Y 是输出中若干比特的异或结果。如果这个概率严格等于 1/2，说明输出与输入毫无线性关联；偏差 ε 越大，逼近就越有效。多轮加密时，各轮偏差按堆积引理（Piling-up Lemma）合并：

Matsui 用这种方法攻击 DES，仅需约 2^43 个已知明文即可恢复密钥，比差分分析更猛——它是第一个“已知明文就能破 DES”的手段。

这位盗贼不靠听力，靠的是大数据。只要锁芯的机械规律有一丁点线性倾向，经过多轮放大就能从海量数据中筛出密钥。它提醒我们：密码算法的“随机性”必须足够均匀，不能留下任何可被线性逼近的统计尾巴。

Pr⁡[a⋅X⊕b⋅Y=0]=12+ε\displaystyle \Pr[a \cdot X \oplus b \cdot Y = 0] = \frac{1}{2} + \varepsilon
ε1⊕2=2ε1ε2\displaystyle \varepsilon_{1 \oplus 2} = 2\varepsilon_1 \varepsilon_2
  1. 输入指纹 a·X取输入中若干比特求异或，得到 0 或 1。
    a⋅X=⨁i∈Axi\displaystyle a \cdot X = \bigoplus_{i \in A} x_i
  2. 输出指纹 b·Y同理，取输出中的若干比特求异或。
    b⋅Y=⨁j∈Byj\displaystyle b \cdot Y = \bigoplus_{j \in B} y_j
  3. 偏差 ε线性关系成立的概率与 1/2 的偏离程度，是攻击的信号强度。
    ε=∣Pr⁡[a⋅X⊕b⋅Y=0]−12∣\displaystyle \varepsilon = \left|\Pr[a \cdot X \oplus b \cdot Y = 0] - \frac{1}{2}\right|
  4. 堆积引理多轮独立近似合并时，总偏差按两倍乘积累积，微小的不均匀被层层放大。
    ε1⊕2=2ε1ε2\displaystyle \varepsilon_{1 \oplus 2} = 2\varepsilon_1 \varepsilon_2

AES安全评估：新一代智能保险箱

在见识了“听声”与“统计”两类大盗后，金库换上了全新的智能保险箱 AES。设计者把当年已知的所有攻击思路当作假想敌，反复锤炼每一处细节。二十多年过去，各路高手绞尽脑汁，也没能将它真正撬开。

AES 由 Rijndael 算法演化而来，2001 年成为标准。它的 S 盒基于有限域逆运算，差分均匀度与线性偏差都达到理论最优。迄今针对 AES-128 的最佳已知攻击（biclique 攻击）复杂度约为 2^126.1，依然无限贴近穷举：

安全裕度量化的正是“最优攻击”与“暴力穷举”之间的差距。负 1.9 bit 意味着最优攻击只比穷举快 2^1.9≈3.7 倍，在密码学中基本等于“没有本质提升”。

AES 就像一座经受全城盗贼轮番试探依然安稳的保险箱。安全裕度接近零，恰恰说明设计紧凑到没有浪费任何一位密钥。与此同时，学界也在关注量子计算的威胁：Grover 算法理论上能把穷举复杂度降到平方根水平，这推动了业界向 256 位密钥加速迁移——锁匠们永远在给保险箱换代。

安全裕度(bit)=log⁡2Cbest−log⁡2Cbrute=126.1−128=−1.9\displaystyle \text{安全裕度}(\text{bit}) = \log_2 C_{\text{best}} - \log_2 C_{\text{brute}} = 126.1 - 128 = -1.9
  1. 最优攻击复杂度 C_best迄今公开文献中最高效攻击所需运算量。
    Cbest=2126.1\displaystyle C_{\text{best}} = 2^{126.1}
  2. 穷举复杂度 C_brute暴力破解所需运算量，AES-128 即 2^128。
    Cbrute=2128\displaystyle C_{\text{brute}} = 2^{128}
  3. 对数相减把指数级别的巨大数字拉到“比特”尺度上进行直观比较。
    log⁡2Cbest−log⁡2Cbrute\displaystyle \log_2 C_{\text{best}} - \log_2 C_{\text{brute}}
  4. 结果 -1.9 bit攻击只比穷举快不到 4 倍，视为不可利用，AES 绰绰有余。
    126.1−128=−1.9\displaystyle 126.1 - 128 = -1.9

侧信道攻击：偷看肩膀的狡猾盗贼

如果锁实在无懈可击，聪明的盗贼会换思路：不碰锁，而是躲在天窗外看锁匠开锁时的动作。输入密码时键盘的敲击节奏、读卡时设备的耗时、插卡瞬间电流表的跳动，都在无意中出卖秘密。

侧信道攻击（Side-Channel Attack）利用的是密码算法在物理实现中泄露的信息。常见类型包括：时序攻击（密钥不同导致运算耗时不同）、功耗分析（芯片处理不同比特时耗电不同，分为 SPA 与 DPA）、缓存攻击（访问密钥相关地址时的缓存命中时间差异）、以及故障注入（用激光或电压扰动让计算出错，再对比错误结果）。

功耗分析是典型代表。攻击者采集设备的功耗曲线 P_i，用候选密钥计算中间值的汉明重量 L_i，然后求两者相关性：

当某个候选密钥对应的相关系数最高时，它就是真密钥——好比盗贼通过观察锁匠转锁的节奏，直接猜出了整个密码。

这类攻击不需要知道任何数学结构，只需要细心测量。所以现代安全硬件强制要求“恒定时间”实现：无论密钥是什么，运算耗时、功耗曲线都要保持一致，让侧信道攻击无米下锅。

ρ=∑i(Pi−Pˉ)(Li−Lˉ)∑i(Pi−Pˉ)2⋅∑i(Li−Lˉ)2\displaystyle \rho = \frac{\sum_{i}(P_i-\bar{P})(L_i-\bar{L})}{\sqrt{\sum_i(P_i-\bar{P})^2 \cdot \sum_i(L_i-\bar{L})^2}}
  1. 实测功耗 P_i第 i 次加密时示波器采到的电流或功耗值。
    Pi∈R\displaystyle P_i \in \mathbb{R}
  2. 假设中间值 L_i用候选密钥推出的数据依赖量，如 S 盒输出的汉明重量（翻转比特数）。
    Li=HW(S(xi⊕kguess))\displaystyle L_i = \text{HW}(S(x_i \oplus k_{\text{guess}}))
  3. 相关系数 ρ衡量 P 与 L 的线性吻合程度，最强的那一组候选密钥即为真密钥。
    ρ∈[−1,1]\displaystyle \rho \in [-1, 1]

抗攻击设计：锁匠的反击心法

经历了各路盗贼的洗礼，金库总设计师终于总结出一套“造锁心法”：齿轮之间要相互咬合、动一发而牵全身；转动时响声要均匀无规律；锁芯要多装几层冗余关卡。这套心法，对应密码学中的混淆、扩散、S 盒准则与轮数冗余。

混淆让密钥与密文的关系复杂到无法追踪，扩散让单个明文字节的改变波及密文的许多字节。衡量扩散强度的标准是雪崩效应：

输入变化 1 位，输出大约一半位翻转——如同在静止的水面投下一颗石子，涟漪均匀扩散到整个池塘。

除此之外，S 盒必须满足低差分均匀度与高非线性度；算法轮数要留足安全裕度——AES-128 共 10 轮，而当前攻击最多击穿 7 到 8 轮，多出的几轮就是冗余；工程上还要实现恒定时间代码与掩码。造锁心法的本质，是把所有攻击手法的“信号”都淹没在噪声里：差分信号被压平，线性偏差被抹匀，侧信道波形被磨平。到了这一步，盗贼们只能对着保险箱摇摇头——这正是每一代密码学家孜孜以求的目标。

AC=1n∑i=1nPr⁡[输出位i 翻转]≈12\displaystyle AC = \frac{1}{n}\sum_{i=1}^{n} \Pr[\text{输出位}_i \text{ 翻转}] \approx \frac{1}{2}
  1. 输出位翻转概率输入变化 1 位时，第 i 个输出位从 0 变 1 或从 1 变 0 的概率。
    Pr⁡[biti flips]\displaystyle \Pr[\text{bit}_i \text{ flips}]
  2. 求和与平均对所有输出位取平均，得到整体雪崩强度。
    1n∑i=1n\displaystyle \frac{1}{n}\sum_{i=1}^{n}
  3. 理想值 1/2相当于每个输出位像抛硬币一样随机翻转，攻击者完全无法预测。
    AC≈0.5\displaystyle AC \approx 0.5

AI 应用场景

企业加密系统安全评估

阶段：安全评估与合规审计

解决的问题：企业在升级加密系统时，需要验证算法选型与密钥长度是否达到安全基线。传统做法是人工对照检查表，容易漏判密钥长度背后的实际攻击风险。

具体案例：某银行核心系统准备从 3DES 迁移到 AES-256，安全团队先用暴力破解复杂度估算工具评估旧系统的实际防护强度，再用差分/线性分析的概念框架审查底层密码库的 S 盒实现是否经过公开验证，最终生成量化报告，推动迁移立项。这就像锁匠拿着攻击手册检查自家保险箱还能扛多久。

智能卡芯片抗侧信道设计

阶段：硬件安全设计

解决的问题：智能卡芯片在处理密钥时实时泄露功耗信号，攻击者用差分功耗分析（DPA）即可恢复密钥。传统开发只关注算法正确性，忽略了物理泄露。

具体案例：某支付卡芯片团队在 NIST 随机性测试之外，额外搭建功耗采集平台做相关系数分析。他们在设计中加入掩码（Masking）与恒定时间逻辑，将功耗与中间值的相关系数压到 0.1 以下，使 DPA 攻击所需的曲线数量从几千条升至百万条级别。这正是“偷看肩膀”与“反侦察”在芯片层面的攻防。

TLS 协议配置审计

阶段：安全协议审计

解决的问题：互联网服务配置 TLS 时经常误选弱密码套件（如 RC4、3DES）。传统配置检查只搜索关键字，无法量化真实攻击风险。

具体案例：DevSecOps 团队用自动化工具扫描全公司 HTTPS 端点，按“暴力破解复杂度低于 2^80”与“已知差分/线性攻击可用”两条规则标记高危套件，推动全量升级到 AES-GCM。审计报告同步附上每种攻击对应的“盗贼手法”图解，让非安全背景的研发也能看懂风险。

Python 演示

python46 行
# 差分分布表: 简化版S盒的差分密码分析演示def sbox(x):    """4位S盒(类DES思想, 双射)."""    table = [0xE, 0x4, 0xD, 0x1, 0x2, 0xF, 0xB, 0x8,             0x3, 0xA, 0x6, 0xC, 0x5, 0x9, 0x0, 0x7]    return table[x & 0x0F] def build_diff_table(sbox_fn, nbits=4):    """统计每个输入差分dx到输出差分dy的出现次数."""    size = 1 << nbits    table = [[0] * size for _ in range(size)]    for x in range(size):        for dx in range(size):            y0 = sbox_fn(x)            y1 = sbox_fn(x ^ dx)            dy = y0 ^ y1            table[dx][dy] += 1    return table def show_table(table, size=16):    print("差分分布表(每一行对应一个输入差分dx):")    print("dx\\dy" + "".join("%4d" % d for d in range(size)))    for dx in range(size):        row = "".join("%4d" % table[dx][dy] for dy in range(size))        print("%4d " % dx + row) def find_best(table, size=16):    best_dx, best_dy, best_cnt = 0, 0, 0    for dx in range(1, size):        for dy in range(size):            if table[dx][dy] > best_cnt:                best_dx, best_dy, best_cnt = dx, dy, table[dx][dy]    return best_dx, best_dy, best_cnt def main():    size = 16    table = build_diff_table(sbox)    show_table(table, size)    dx, dy, cnt = find_best(table, size)    prob_random = 1.0 / size    prob = cnt / size    print("最强差分特征: dx=%d -> dy=%d, 出现次数=%d" % (dx, dy, cnt))    print("概率=%.4f, 是随机概率的%.1f倍" % (prob, prob / prob_random)) if __name__ == "__main__":    main()
目的：构建并打印一个简化 4 位 S 盒的差分分布表，找出概率最高的差分特征——这正是差分密码分析的起点。
  1. table = [0xE, 0x4, ...]定义一个双射的 4 位 S 盒，每个输入映射到唯一输出。
  2. size = 1 << nbits容量为 16，对应 4 位输入的全部空间。
  3. table[dx][dy] += 1统计每个输入差分 dx 映射到每个输出差分 dy 的次数。
  4. for dx in range(1, size)从 1 开始遍历，跳过 dx=0 的无意义情况。
  5. prob / prob_random将最强差分概率与随机 1/16 对比，倍数越高，S 盒越不安全。

常见误区

误区只要算得够久，任何密码都会被暴力破解解开，所以加密只是拖延时间，没有本质安全。

正解理论上时间无限确实可以，但现代密钥空间大得离谱：128 位密钥有 2^128≈3.4×10^38 种组合，全球超算每秒百亿亿次也得跑亿亿年。这就像盗贼挨个试密码，如果锁有 10^38 个刻度，转一圈的功夫宇宙都终结了。安全的目标不是“绝对破不了”，而是让破解成本高到不可承受。

为何常见：人脑对指数增长缺乏直觉，以为“多一倍的锁”只多一倍的功夫，实际上每加一位密钥，难度直接翻倍。

误区差分分析成功破解了 DES，说明它是一把万能钥匙，AES 早晚也会被它撬开。

正解差分分析只对存在高概率差分特征的结构有效。AES 的 S 盒经过刻意设计，差分均匀度接近理论下限，找不到可用的高概率特征；即使强行构造，所需数据量也超过穷举。差分分析是一把标尺，不是万能钥匙。

为何常见：因为差分分析在 DES 上大放异彩，人们容易把它神话，忽略了 DES 被破恰恰因为它诞生于 80 年代的旧设计。

误区密钥越长越好，AES-256 一定比 AES-128 安全，算法细节无所谓。

正解密钥长度只决定暴力破解的门槛，算法结构弱点会让长密钥形同虚设。例如 3DES 有 168 位密钥，但存在中途相遇攻击，实际强度降到约 112 位；某些弱算法还能被差分/线性分析大幅压低攻击复杂度。锁再大，如果锁芯本身有暗伤，照样一撬就开。

为何常见：安全宣传总强调“长密钥”，让人误以为密钥是唯一防线，忽略了算法设计同等重要。

误区真实系统不会通过功耗、时间这类物理信号被攻破，这只是实验室里的花活。

正解现实中智能卡、手机安全芯片、云服务器都被侧信道攻击成功突破过：1995 年时序攻击破 RSA，1999 年 DPA 破智能卡，2017 年 Meltdown/Spectre 影响几乎所有 CPU。物理泄露真实存在且可复现，所以工业界才强制要求恒定时间实现与掩码。

为何常见：普通开发者天天面对纯软件世界，看不到示波器和探针这类硬件攻击手段，自然低估其威力。

误区两者都是看输入输出关系找规律，名称也像，应该是同一种攻击的两种叫法。

正解思路完全不同。差分分析看“一对输入”的差异如何传播，是确定性的统计枚举；线性分析看“大量样本”中某个线性关系是否偏离随机，是概率性逼近。打个比方：差分是听锁芯“咔哒”声找规律，线性是翻十年开锁记录找统计倾向。它们分别对应 DES 的 S 盒两大弱点——差分均匀度与线性偏差。

为何常见：两种攻击都涉及统计与 S 盒，名词相近，初学者在概念边界上极易混淆。

面试题

Q1. 暴力破解的平均尝试次数约为密钥空间的多少？

单选题 · easy

  • A.十分之一
  • B.一半← 正确答案
  • C.一倍
  • D.两倍

答案：B。密钥空间大小为 2^n，运气平均时大约试到中点即可命中，期望次数为 2^(n-1)，即一半。这就像挨个试密码时，最差试完全部、最好第一次就中，平均下来正好一半。

Q2. DES 算法的有效密钥长度是多少位？

单选题 · easy

  • A.32 位
  • B.56 位← 正确答案
  • C.64 位
  • D.128 位

答案：B。DES 使用 56 位密钥，另外 8 位是校验位，共 64 位分组。56 位密钥空间为 2^56，1998 年已被专用机器在 56 小时内暴力破解。

Q3. 雪崩效应的理想状态是什么？

单选题 · easy

  • A.输入变 1 位，输出只有 1 位改变
  • B.输入变 1 位，约一半输出位改变← 正确答案
  • C.输入变 1 位，输出完全不变
  • D.输入变 1 位，所有输出位都翻转

答案：B。理想雪崩效应指输入翻转 1 位时，每个输出位以约 1/2 的概率翻转，整体约半数位改变。这样攻击者无法从输入差异预测输出方向，是扩散性的核心体现。

Q4. 差分分析主要利用密码算法中哪类组件的弱点？

单选题 · mid

  • A.密钥扩展算法
  • B.S 盒的差分分布不均匀性← 正确答案
  • C.明文填充规则
  • D.分组长度

答案：B。差分分析的核心是考察输入差分 ΔX 与输出差分 ΔY 之间的映射关系。如果某个 S 盒的差分分布明显偏离均匀，就会形成高概率差分特征，攻击者据此恢复密钥。DES 的旧 S 盒正因差分均匀度不足而中招。

Q5. 哪种攻击允许攻击者挑选特定明文并观察对应密文？

单选题 · mid

  • A.唯密文攻击
  • B.已知明文攻击
  • C.选择明文攻击← 正确答案
  • D.密文不可区分攻击

答案：C。选择明文攻击中，攻击者可以把精心构造的明文送入加密设备并获取密文，从而主动制造“高价值样本”。这好比盗贼要求锁匠现场演示开锁，资源最自由、攻击力最强。唯密文攻击只拿到密文，已知明文攻击只能被动收集配对。

Q6. 以下哪些属于侧信道攻击手段？

多选题 · mid

  • A.时序攻击← 正确答案
  • B.功耗分析← 正确答案
  • C.缓存攻击← 正确答案
  • D.字典攻击

答案：ABC。时序攻击利用密钥相关的运算耗时差异，功耗分析测量芯片耗电曲线，缓存攻击观察密钥索引访问缓存的时间差，三者都通过物理环境泄露获取信息。字典攻击则是暴力破解的变体，使用常见口令列表，不属于侧信道。

Q7. AES-128 的最优已知攻击复杂度约为 2^126.1，这一结果说明什么？

单选题 · mid

  • A.AES 已被完全破解
  • B.攻击只比穷举快不到 4 倍，几乎没有优势← 正确答案
  • C.必须用量子计算机才能攻击 AES
  • D.AES 留有设计后门

答案：B。安全裕度 = 126.1 - 128 = -1.9 bit，意味着最优攻击仅比暴力穷举快 2^1.9≈3.7 倍，在实际中不可利用。这正说明 AES 设计紧致，安全裕度接近零。

Q8. 在线性密码分析中，偏差 ε 的数学含义是什么？

单选题 · hard

  • A.密钥长度与分组长度之差
  • B.线性逼近成立概率与 1/2 的偏离程度← 正确答案
  • C.密文长度的方差
  • D.明文随机性的熵值

答案：B。线性分析寻找使 P[a·X⊕b·Y=0] 明显偏离 1/2 的逼近关系，ε 就是这个偏离量。偏离越大，说明输出与输入之间存在可被利用的统计相关性，攻击信号越强。

Q9. 按照抗攻击设计准则，一个合格的 S 盒应当满足哪些要求？

多选题 · hard

  • A.低差分均匀度← 正确答案
  • B.高非线性度← 正确答案
  • C.弱代数次数以便快速计算
  • D.高差分均匀度方便回退测试

答案：AB。低差分均匀度让差分分析找不到高概率特征，高非线性度让线性逼近的偏差足够小。弱代数次数与可回退的高差分均匀度都是危险设计，会给攻击者递刀。

Q10. 若两段独立线性逼近的偏差均为 2^-6，合并后的总偏差约为多少？

单选题 · extreme

  • A.2^-12
  • B.2^-5
  • C.2^-11← 正确答案
  • D.2^-6

答案：C。根据堆积引理 ε_{1⊕2} = 2ε1ε2，代入 ε1=ε2=2^-6，得到 2 × 2^-6 × 2^-6 = 2^-11。合并后偏差比单段更小，但在多轮 DES 中正向逼近的数量可以弥补这一损失。