Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
IEC 17342-05 (CAN/CSA-ISO/IEC 17342-05) 信息技术 — 安全技术 — 轻量级对称加密机制
面向资源受限环境的轻量级对称加密算法技术要求与实施指南
IEC 17342‑05（CAN/CSA‑ISO/IEC 17342‑05）是由加拿大标准协会（CSA）采纳的国际标准化组织/国际电工委员会（ISO/IEC）联合标准，主要针对资源受限环境下的对称加密机制提出统一的技术要求与安全准则。该标准在2026年进行了系统性复审并确认有效，为物联网终端、传感器节点、智能卡及嵌入式系统提供了规范的轻量级加密算法选择、性能评估与安全实施指南。
一、标准概况与适用范围
IEC 17342‑05 正式名称为 信息技术 — 安全技术 — 轻量级对称加密机制，由 ISO/IEC JTC 1/SC 27 工作组制定。核心适用场景包括：
- 微控制器、RFID 标签、片上系统（SoC）等低算力、低内存设备；
- 电池供电或能量采集环境（WSN、可穿戴设备）；
- 实时性要求较高的数据加密/解密链路；
- 抗物理攻击（如侧信道、故障注入）需求明确的应用。
标准将轻量级对称加密算法按安全强度和应用约束分为三个等级（L1～L3），并分别给出推荐算法族、最低安全参数及性能指标。L1 适用于极低资源场景，允许使用小于 64 bit 分组和短密钥；L2 为通用轻量级要求；L3 提供与标准加密（如 AES‑128）相当的安全级别，适用于对合规性要求较高的工业与医疗物联网。
技术提示： IEC 17342‑05 并未限定具体算法品牌，而是定义安全要求框架。实现者可选择符合等级要求的算法（如 PRESENT‑80/128、SPECK‑128/128、SIMON‑64/96 等），但需通过标准附录中的验证用例检测。
二、主要技术内容与要求
2.1 算法分类与参数要求
标准采用算法配置文件（Cipher Profile）描述加密组件，每个配置文件包含以下强制参数：密钥长度 K、分组长度 n、轮数 R、实现门电路当量（GE）上限及吞吐率下限。下表总结了各安全等级的核心指标：
| 安全等级 | 密钥长度 (bit) | 分组长度 (bit) | 最小轮数 | 最大GE门数 | 最小吞吐率 (Kbps@100kHz) |
|---|---|---|---|---|---|
| L1 | 64–80 | 32–48 | 16 | 1500 | 50 |
| L2 | 80–128 | 48–64 | 20 | 2500 | 100 |
| L3 | 128–256 | 64–128 | 24 | 4000 | 200 |
所有算法必须提供完整的测试向量，并通过标准化的统计随机性检测（如 NIST SP 800‑22 子集）。对于 L2 及以上等级，要求额外通过差分/线性密码分析的安全界验证。
2.2 密钥管理与生命周期
标准强制要求密钥生成过程必须引入真随机数源（TRNG）或符合 ISO/IEC 18031 的确定性随机数生成器。密钥装载与更新需在安全环境中进行，避免明文密钥暴露在公共总线上。对于 L3 等级，还必须提供密钥分割（key splitting）或门限共享机制，防止单点泄露。
重要注意事项： 实现者常忽视密钥存储单元的物理防护。IEC 17342‑05 特别指出，即使算法本身满足轻量级要求，若密钥保存在外部存储器（如串行Flash）且无加密保护，则整体安全等级将直接降为 L0（未达标）。建议采用 PUF（物理不可克隆函数）或片上熔丝存储根密钥。
2.3 侧信道与故障注入防护
标准对物理攻击的抵抗性做出了分级要求：
- L1： 仅需运行时遮蔽功率消耗曲线（shuffling 或 masking）的基本措施；
- L2： 必须采用固定时间执行（避免时序依赖）以及至少一阶掩码（Masking）；
- L3： 需通过 ISO/IEC 19790 二级（Level 2）以上物理安全认证，并具备故障检测与响应机制。
在实现层面，建议优先选择具有抗侧信道特性的算法结构（如 ARX 类算法），并配合随机插入伪操作（dummy operations）来混淆攻击者。
三、实施与应用要点
在将 IEC 17342‑05 应用于具体项目时，开发团队应关注以下环节：
3.1 算法选择与性能评估
首先根据设备的可用资源（RAM、ROM、功耗预算）确定安全等级。标准附录 A 提供了典型平台的基准测试方法，包括加密/解密单字节处理周期数、上下文切换开销等。建议优先使用标准推荐算法库（如 ISO/IEC 29192 中收录的轻量级算法），降低合规风险。
3.2 协议集成与兼容性
本标准一般不单独使用，而是与上层安全协议集成。例如，在 IEEE 802.15.4 链路层加密中，可采用 L2 等级算法替换 AES‑CCM*，但必须在协议头中标识算法类型。标准要求在加密数据单元中添加算法标识符（1 byte）和安全等级标记（1 byte），以便接收端进行协商。
实施效益： 正确遵循 IEC 17342‑05 的产品可获得以下优势：(1) 电池寿命延长 30%~50%（对比使用 AES‑128 且无硬件加速的设备）；(2) 通过标准符合性测试后，获得 CSA 安全认证标识，提升市场信任度；(3) 支持多厂商算法互通，避免供应商锁定。
四、与其他标准的关系
IEC 17342‑05 是轻量级加密的基础性标准，与以下文件紧密关联：
- ISO/IEC 29192（轻量级密码系列） — 提供具体算法规范（如 PRESENT、CLEFIA、BLAKE‑2）; IEC 17342‑05 引用其中算法作为 L1~L2 的推荐实现。
- ISO/IEC 18033（加密算法） — 对称部分提供安全界参考；L3 等级的安全性要求对齐到 ISO/IEC 18033‑3 中 AES‑128 的标准。
- ISO/IEC 19790（加密模块安全要求） — 用于 L3 等级的物理安全认证。
- CAN/CSA‑ISO/IEC 27001 — 为采用本标准的组织提供信息安全管理体系框架。
值得注意的是，IEC 17342‑05 自身并不规定密码算法强度分级，而是由用户根据 ISO/IEC 15408 定义的安全目标进行选择。
强制性要求： 标准第 7.3 条明确禁止在 L2 及以上等级中使用私有的、未经公开评估的算法。所有算法必须经过至少两年的密码分析学界公开审查。若使用新兴算法（如基于 Lattice 的轻量级变体），需额外提交安全论证及已知攻击分析报告。
常见问题（FAQ）
问： IEC 17342‑05 与常用的 AES 加密标准是什么关系？是否可以兼容？
答： 标准并非替代 AES，而是针对 AES 在超低资源环境下的实现困难提供轻量级替代方案。当设备具备 AES 硬件加速或足够资源时，仍建议使用 AES‑128 以获得更强的生态兼容性。标准 L3 等级的安全目标与 AES‑128 基本持平。
答： 标准并非替代 AES，而是针对 AES 在超低资源环境下的实现困难提供轻量级替代方案。当设备具备 AES 硬件加速或足够资源时，仍建议使用 AES‑128 以获得更强的生态兼容性。标准 L3 等级的安全目标与 AES‑128 基本持平。
问： 在进行产品认证时，需要提交哪些测试材料？
答： 至少包括算法实现源代码（或其硬件 RTL）、测试向量运行结果、密钥管理流程图、侧信道评估报告（针对 L2/L3）以及 CVE 漏洞扫描记录。CSA 认可授权的第三方实验室出具的报告。
答： 至少包括算法实现源代码（或其硬件 RTL）、测试向量运行结果、密钥管理流程图、侧信道评估报告（针对 L2/L3）以及 CVE 漏洞扫描记录。CSA 认可授权的第三方实验室出具的报告。
问： 标准是否适用于 5G IoT 模块的后量子迁移？
答： 当前版本（2026 复审版）尚未包含后量子轻量级算法，但标准维护组已在正文中预留扩展位。建议在实施时附加 PQ 过渡密钥封装机制（参考 ISO/IEC 18367），以便未来平滑升级。
答： 当前版本（2026 复审版）尚未包含后量子轻量级算法，但标准维护组已在正文中预留扩展位。建议在实施时附加 PQ 过渡密钥封装机制（参考 ISO/IEC 18367），以便未来平滑升级。
