"Further Single-Key Recovery Attacks on Reduced-Round AES" 的实验产物

论文中引用的每项实验的源代码。 未捆绑任何测量输出或预制表：每个程序自行打印或写入其结果，因此所有数字都可以从头重新生成。

论文的密钥恢复论断依赖于 experiments/；c/、python/ 和 rust/ 检查的是各个组件（恒等式、不变性、DDT 事实、缓存正确性、随机化统计），并非攻击。

experiments/

参见 experiments/README.md。

• sr7226-e2e/ — 在 AES SR(7,2,2,6)（2x2 状态、6 位字、24 位密钥）上使用完整离线表进行的完整黑盒密钥恢复，基于同一份代码库实现三个变体：我们的版本、带我们表枚举优化的 Derbez–Fouque–Jean 版本，以及原样发布的 Derbez–Fouque–Jean 版本。
• aes128-measured/ — 逐单元进行的真实 7 轮 AES-128 攻击：真实的离线表条目（部分表）、三个变体下每个在线候选的周期数、AES 分母、有序指纹的误报率和覆盖率，以及对完整计数的投影。

c/

每个目录内为单文件或自包含；使用 gcc -O3 -march=native -fopenmp -o <bin> <file.c> -lm 构建（若使用本地头文件，则将目录添加为 -I）。用法记录在每个文件的头部注释中。

python/

Python 3。 python/a1/ 仅使用标准库；顶层测试脚本、figures/ 和 experiments/aes128-measured/phi/ 需要 numpy、scipy 和 matplotlib（pip install -r requirements.txt，已校验精确版本）。 python/a1/README.md 描述了分层参考实现（gf256.py、aes7r.py、chi_canon.py、prop2.py、test_vectors.py 中的黄金向量）。 顶层脚本为单论断检查：桥接不变性（test_invariants.py、verify_Imn.py）、真实 AES 轨迹上的桥接（）、 边界行为（）、错误密钥随机化（）、聚簇 / 碰撞熵（）、CompleteKey 背后的密钥调度求逆（），以及指纹前缀误报演示（）。

rust/

执行 cargo build --release，然后运行 ./target/release/repro <exp> [args]；每次运行都会在 rust/results/ 下追加一个带时间戳的块。 实验列表及各实验检查的内容见 rust/src/main.rs：e1–e13 覆盖桥接恒等式、群与陪集事实、真实 AES-128 轨迹上的诚实桥接、错误密钥随机化、碰撞熵、χ★ 不变性、DDT 谱、AES 健全性、逐条目计时，以及 SR(7,4,4,4) 流水线。