Security Analysis of HMAC/NMAC by Using Fault Injection

Table 3

Recovery of (𝐾_1,0,𝐾_1,1,𝐾_1,2).

	Chaining value	Message
𝑓^∗2,3	(𝑎,𝑏,𝑐,𝑑,𝑒,𝑓,𝑔,ℎ)	𝐾1,0
	(𝑋,𝑎,𝑏,𝑐,?,𝑒,𝑓,𝑔)	𝐾1,1
	(𝑌,𝑋,𝑎,𝑏,?,?,𝑒,𝑓)	𝐾1,2
	(𝑍,𝑌,𝑋,𝑎,?,?,?,𝑒)	—
	(𝑍+𝑎,𝑌+𝑏,𝑋+𝑐,𝑎+𝑑,?,?,?,𝑒+ℎ)	feed-forward
𝑓^∗3,1	(𝑍+𝑎,𝑌+𝑏,𝑋+𝑐,𝑎+𝑑,?,?,?,𝑒+ℎ)	𝑀
	(𝑊,𝑍+𝑎,𝑌+𝑏,𝑋+𝑐,?,?,?,?)	—
	(𝑊+𝑍+𝑎,𝑌+𝑍+𝑎+𝑏,𝑋+𝑌+𝑏+𝑐,𝑋+𝑎+𝑐+𝑑,?,?,?,?)	feed-forward
𝑓^∗1,4	(𝐴,𝐵,𝐶,𝐷,𝐸,𝐹,𝐺,𝐻)	𝑊+𝑍+𝑎
	(𝛼1,𝐴,𝐵,𝐶,𝛽1,𝐸,𝐹,𝐺)	𝑌+𝑍+𝑎+𝑏
	(𝛼2,𝛼1,𝐴,𝐵,𝛽2,𝛽1,𝐸,𝐹)	𝑋+𝑌+𝑏+𝑐
	(𝛼3,𝛼2,𝛼1,𝐴,𝛽3,𝛽2,𝛽1,𝐸)	𝑋+𝑎+𝑐+𝑑
	(𝛼4,𝛼3,𝛼2,𝛼1,𝛽4,𝛽3,𝛽2,𝛽1)	—
	(𝛼4+𝐴,𝛼3+𝐵,𝛼2+𝐶,𝛼1+𝐷,𝛽4+𝐸,𝛽3+𝐹,𝛽2+𝐺,𝛽1+𝐻)	feed-forward