Detector新功能发布：后量子密码Dilithium一阶CPA分析

数缘科技
数缘科技

数缘信安社区

2026年11月11日 07:00
北京

去阅读

NEWS

Detector新功能发布：

后量子密码Dilithium一阶CPA分析

后量子密码能够抵抗量子计算带来的特定数学攻击，但算法在芯片上运行时，仍可能通过功耗泄露秘密信息。签名算法里的一次乘法，就可能成为恢复私钥系数的线索。

数缘科技Detector侧信道分析测评软件新增Dilithium一阶CPA分析功能。该功能以公开挑战为已知明文，先定位签名过程中秘密向量参与的点乘所在的采样区间，再对目标系数的全部候选做相关能量分析并输出排名；提供实验私钥时，还可以推算系数真值用于比对。该功能面向Dilithium2（ML-DSA-44参数集）的软件实现，用于评估其秘密向量的泄露风险。

01

Dilithium算法如何完成一次签名

Dilithium是NIST后量子签名标准ML-DSA（FIPS 204）的算法来源，其安全性与模块格上问题的困难性有关。它的私钥包含两个短的秘密向量s1与s2；签名时并不直接输出私钥，而是让私钥参与一次线性运算，再把结果与盲化数据相加后发布。

具体来说，签名先采样一个盲化向量y，计算w=A·y并取出高位w1，把w1与消息一起哈希得到挑战种子c̃；c̃展开为一个稀疏的挑战多项式c，其中只有少量系数为±1，其余为0；随后计算z=y+c·s1，通过范数等若干检查后输出签名。c由公开的c̃唯一决定，而s1是私钥——两者相乘这一步，构成了“公开多项式乘秘密向量”的运算。

本功能针对Dilithium2（安全等级Level2）在STM32F429上的实现开展分析。该实现先把秘密向量s1与挑战多项式c变换到数论变换（NTT）域，再逐个系数相乘；参与相乘的两组数据与私钥直接相关，因此它们的功耗差异可以用来判断秘密向量系数的取值。

02

一次点乘的功耗如何泄露秘密系数

猜测的秘密系数和已知的挑战系数相乘后按模数q做一次取模约简，得到一个32位整数。对这段数据统计汉明重量（记为HW32），就得到一个与猜测秘密系数对应的中间值。猜测候选值不同，中间值也不同，根据中间值序列和对应的功耗波形做CPA就可以每个候选值的置信度，进而猜测出秘密系数。

挑战多项式种子随签名一起返回，所以每条波形都能根据种子算出一条与秘密运算同步变化的预测序列。把它和波形逐点求相关系数，出现峰值的位置就是兴趣点（POI），泄露区间紧随其后。软件在POI之后取一段窗口，对秘密系数的全部候选（0～8380416）逐个生成功耗预测并与波形比较，把223量级的猜测空间压缩成一张按相关系数排序的候选表。

这一过程只依赖公开挑战与能量波形。秘密系数只与私钥有关，与消息、随机数、签名重试次数都无关，因此同一把密钥的所有波形可以合并使用；反过来，如果手上有实验私钥，也可以算出秘密系数的真值，用来核对排名结果。

03

软件功能关键分析步骤

第一步：采集无拒绝签名波形

以在STM32F429上运行的Dilithium2实现为例，通过串口下发固定密钥与预定消息序列，采集点乘窗口的能量波形。示波器A通道接PC6（对应算法点乘窗口），B通道采集电磁能量，采样率250MHz，每条150000点，共采集1000条。由于签名采用拒绝采样，为避免波形与挑战错位，案例使用固定密钥与预先筛选出的无拒绝消息，并在每条签名后核对返回的挑战。

Dilithium案例波形

第二步：定位乘法窗口

在Detector中打开波形文件，菜单打开“密码→后量子算法分析→Dilithium CPA分析”。操作类型选择“POI定位”，填写波形范围、待分析系数为0:0、挑战字段的偏移与长度，POI后追加点数选择100，点击“开始”。软件输出POI采样点及其相关系数，并给出挑战多项式的相关曲线。案例中POI为7718。

POI定位结果与挑战多项式的相关系数曲线

第三步：对候选域做CPA

切换到“CPA分析”，扫描窗口取POI及其后100个点，共101个采样点；候选域是模数q的全部取值，即0～8380416，共8380417个候选，保留排名前8名。若手上有实验私钥，可在“真值比对输入”中选择私钥文件，软件会自动推算真值用于比对；不提供私钥时只输出候选排名。

CPA分析参数设置

第四步：查看排名并比对真值

案例中对101个点扫描区间、8380417候选值的CPA分析用时约2-3分钟，分析完成后，日志按真值、扫描排名、候选真值比对三段输出。案例中第一候选为3557030，与固定私钥推算的秘密系数真值一致，峰值相关系数约-0.66，出现在采样点7737。

CPA候选排名与真值比对结果

04

功能总结与意义

Dilithium一阶CPA分析把围绕一次点乘窗口的分析过程整理为四个操作：定位窗口、枚举候选、输出排名、比对真值。软件负责挑战解码、NTT与约简的位级对齐、全候选枚举与结果整理，用户只需选定目标系数与扫描窗口。

这一案例也说明，后量子密码的安全评估需要同时关注算法设计与设备实现。本次更新是数缘科技后量子算法分析功能发布的第三期。后量子算法正从标准走向芯片实现，在数学层面的安全性之外，实现过程中的功耗与电磁泄露同样需要专门的手段检测。从Kyber解码预言机到Dilithium一阶CPA分析，数缘科技在逐步完善后量子算法实现检测的能力。

后量子密码往期文章推荐

• 后量子密码系列（一）丨Detector新功能发布：Kyber明文检查预言机

• 后量子密码系列（二）丨Detector新功能发布：后量子密码HQC解码预言机

关

于

数

缘

北京数缘科技有限公司成立于2015年，地点位于北京市海淀区中关村，是专门从事密码领域技术服务与教学科研实验设备的研制、销售的国家高新技术企业。自创立开始，数缘科技始终坚持自主研发、技术创新和顶尖设计，积极推广同领域国内外先进的测评、科研与教学实验设备，为客户量身定制国际前沿技术的实验套件和技术服务。数缘科技高举“引领侧信道分析前沿，彰显密码学技术魅力”的旗帜，创办了国内影响力最大的侧信道分析培训会议、学术会议，研发了侧信道分析测评套件、故障分析测评套件等多个密码技术相关工具，广泛应用于国内外多家事业单位、高等院校、国有企业和民营企业。