Artefatos para "Further Single-Key Recovery Attacks on Reduced-Round AES"

Código-fonte de todos os experimentos citados no artigo. Nenhuma saída de medição ou tabela pré-construída está incluída: cada programa imprime ou grava seus próprios resultados, de modo que cada número pode ser regenerado do zero.

diretório	o que é
experiments/	os dois experimentos por trás do apêndice Measured costs: a recuperação completa de chave em caixa-preta sobre SR(7,2,2,6), e as medições por entrada / por candidato do ataque real de 7 rodadas sobre AES-128
c/	programas C autônomos, um por afirmação de componente (bridge, fingerprints, caminhada DDT-Gray, caches de S-box, randomização de chave errada, piso de lookup)
python/	verificações Python de afirmações individuais e a implementação de referência pedagógica das camadas do ataque (python/a1/)
rust/	uma segunda implementação independente dos experimentos de componente (e1–e13)
figures/	scripts de plotagem que consomem os TSVs gravados pelos programas C
lean/	formalização em Lean 4 + Mathlib do limite de contagem de falsos positivos de χ★ (lean/chi-fp/, artigo §5.5)

As afirmações de recuperação de chave do artigo baseiam-se em experiments/; c/, python/ e rust/ verificam os componentes individuais (identidades, invariâncias, fatos sobre DDT, correção de cache, estatísticas de randomização) e não são ataques.

experiments/

Veja experiments/README.md.

• sr7226-e2e/ — recuperação completa de chave em caixa-preta sobre AES SR(7,2,2,6) (estado 2x2, palavras de 6 bits, chave de 24 bits) com a tabela offline completa, para três variantes sobre uma mesma base de código: a nossa, Derbez–Fouque–Jean com nossas otimizações de enumeração de tabela, e Derbez–Fouque–Jean conforme publicado.
• aes128-measured/ — o ataque real de 7 rodadas sobre AES-128 uma unidade por vez: entradas genuínas da tabela offline (tabela parcial), ciclos por candidato online para as três variantes, os denominadores do AES, as taxas de falsos positivos e de cobertura da fingerprint ordenada, e a projeção para a contagem total.

c/

Arquivo único ou autocontido por diretório; compile com gcc -O3 -march=native -fopenmp -o <bin> <file.c> -lm (adicione o diretório como -I onde um cabeçalho local for usado). O uso está documentado no comentário de cabeçalho de cada arquivo.

caminho	verifica	local no artigo
clump.c, chi_clump.c	entropia de colisão das fingerprints I_{m,n} e χ★	propriedades de fingerprint; ap. entropia de colisão
wrongkey.c	randomização de chave errada, varredura exaustiva de 2^32 sobre k_6	ap. randomização de chave errada
fp_solve.c	resolução de DDT e enumeração de bits de ramo usadas na construção da tabela	§DDT-Gray
bridge-consistency/bc_impl_{a,b}.c, bc_truehit.c	duas implementações independentes da estatística de falso aceite da consistência de bridge	Alg. BridgeConsistency
ddt-gray/ddt_gray_*.c	caminhada Gray ciente de DDT: incremental igual a recálculo a frio, custo amortizado de S-box, temporização	§DDT-Gray, ap. DDT-Gray
sb-cache/sbc_repro.c	separabilidade XOR por trás dos caches de S-box W / UU; forma fechada de c_iSB	§S-box caches
mobius-honest/honest_online.c	o lado online com |K_on| = 8: o δ-set reconstruído apenas a partir de k_{-1}, e a taxa de sobreviventes de chave errada	§component lemmas
mobius-honest/honest_rebound.c, degen_analysis.c, saes_imn.c	verificações de pipeline do rebound offline e do casamento de I_{m,n} em AES de pequena escala; atalhos de chave conhecida estão documentados em cada cabeçalho — estas são verificações de pipeline, não recuperações de chave	§component lemmas, ap. casos degenerados
floor/verify_ls_fp.c, floor/verify_incompat.c, floor/a1_floor.py	o piso de lookup para |K_on| = 8: dim LS(fp) ∈ {0,8} e T ≥ 2^88.67	ap. limite inferior

python/

Python 3. python/a1/ usa apenas a biblioteca padrão; os scripts de teste de nível superior, figures/ e experiments/aes128-measured/phi/ precisam de numpy, scipy e matplotlib (pip install -r requirements.txt, versões exatas verificadas). python/a1/README.md descreve a implementação de referência em camadas (gf256.py, aes7r.py, chi_canon.py, prop2.py, os vetores golden em test_vectors.py). Os scripts de nível superior são verificações de afirmação única: invariantes da ponte (test_invariants.py, verify_Imn.py), a ponte em traces reais de AES (test_bridge_aes.py), comportamento de borda de 0^{-1} (test_zeroinv.py), randomização com chave errada (test_wrongkey.py), entropia de agrupamento / colisão (test_clumping*.py), a inversão do key-schedule por trás de CompleteKey (keysched_solve.py) e a demonstração de falso positivo do prefixo de fingerprint (fp_concat_demo.py).

rust/

cargo build --release, depois ./target/release/repro <exp> [args]; cada execução acrescenta um bloco com timestamp em rust/results/. A lista de experimentos e o que cada um verifica está em rust/src/main.rs: e1–e13 cobrem a identidade da ponte, fatos de grupo e coset, a ponte honesta em traces reais de AES-128, randomização com chave errada, entropia de colisão, invariância de χ★, o espectro DDT, sanidade do AES, temporização por entrada e o pipeline SR(7,4,4,4).