針對RSA密碼算法M-ary實現(xiàn)的側(cè)信道攻擊方法
【技術(shù)領(lǐng)域】
[0001] 本發(fā)明涉及密碼算法分析檢測領(lǐng)域，尤其涉及一種針對RSA密碼算法中冪剩余計 算M-ary實現(xiàn)時乘法輸出的側(cè)信道能量分析攻擊的方法。
【背景技術(shù)】
[0002] 隨著信息和分析電路技術(shù)的發(fā)展，對硬件密碼電子設(shè)備的破解不再單純的停留在 協(xié)議和算法上，而是從其處理數(shù)據(jù)的過程中泄露的信息入手、進行破解。硬件密碼電子設(shè)備 在處理信息的工程中存在能量、電磁、錯誤和時間等信息的泄露，利用這些泄露的信息對密 碼電子設(shè)備進行攻擊，就是所謂的側(cè)信道攻擊（Side Channel Attacks)，側(cè)信道攻擊可分 為能量分析攻擊、電磁攻擊和錯誤攻擊等，其中能量分析攻擊因效率較高，成為側(cè)信道的主 要手段。 側(cè)信道能量分析攻擊是通過采集加密芯片等硬件密碼電子設(shè)備在進行加、解密或簽名 等操作時產(chǎn)生的能量消耗，利用密碼學(xué)和統(tǒng)計學(xué)原理等，分析和破譯密鑰信息的一種攻擊 方式，側(cè)信道能量分析攻擊又分為簡單能量分析攻擊（Simple Power Analysis，SPA)、差分 能量分析攻擊（Differential Power Analysis，DPA)和相關(guān)性能量分析攻擊（Correlation Power Analysis，CPA)〇 在側(cè)信道能量分析攻擊中，CPA和DPA相比SPA具有更強的攻擊性，所以能量分析攻擊 中比較常用的是CPA和DPA。 其中，DPA攻擊的過程如下： (1) 隨機選擇N組不相同明文或密文Mi ( i e [1，N])進行加/解密運算，采集每組明 文進行加密運算時設(shè)備產(chǎn)生的能量曲線Ti (t)，te {1，…，k}，其中k為能量軌跡的采樣 點數(shù)。 (2) 選擇密鑰K1Q e Ω，Ω為密鑰空間），計算在KjP Mi條件下，密碼算法進行加密 運算時在被攻擊點產(chǎn)生的中間值Dia。 (3) 根據(jù)中間值Du確定選擇函數(shù)F(Mi，K1),根據(jù)選擇函數(shù)將凡⑴分為兩個子集Stl 和S1，定義式如下： S0= ITi (t) IF (Mi, K1) =0} S1= ITi (t) IF (Mi, K1Ml (4) 計算每個采樣點上兩個子集的能量平均之差，如
【主權(quán)項】
1. 針對RSA密碼算法中幕剩余計算M-ary實現(xiàn)時乘法輸出的側(cè)信道能量分析攻擊的方 法，其特征在于，對使用M-air實現(xiàn)的RSA密碼算法實施側(cè)信道能量分析過程中，攻擊對象 為乘法輸出值。
2. 根據(jù)權(quán)利要求1所述的選擇乘法輸出值為攻擊對象進行RSA密碼算法幕剩余計算 M-ary實現(xiàn)側(cè)信道能量分析的方法，其特征在于，對幕剩余計算M-ary實現(xiàn)的每輪攻擊時， 選擇乘法輸出（輪輸出）作為攻擊點，即。=。*R/ (mod腳的返回值作為攻擊對象，該里 的乘法輸出值。是當(dāng)?shù)趇輪時，輪輸入值為C1_1，輪指數(shù)K/長度為Mbit時對應(yīng)的攻擊對 象，有Ci=(Cw)非'*R/ (m〇d腳。
3. 根據(jù)權(quán)利要求1或2所述的選擇乘法輸出值為攻擊對象進行RSA密碼算法幕剩余 計算M-ary實現(xiàn)的側(cè)信道能量分析的方法，其特征在于，選擇每輪乘法輸出值為對象對RSA 密碼算法的CPA側(cè)信道能量分析。
4. 根據(jù)權(quán)利要求3所述的選擇乘法輸出值為攻擊對象進行RSA密碼算法幕剩余計算 M-ary實現(xiàn)的側(cè)信道能量分析的方法，其特征在于，選擇每輪乘法輸出值為對象對RSA密碼 算法的CPA側(cè)信道能量分析步驟如下： (1) 每次輸入一個底數(shù)Pi，1G{〇, 1，…，A-1}，共輸入A組；用密鑰（K，N)進行RSA密 碼運算，采集能量軌跡，即采集測量時間對應(yīng)的能量樣本信息，建立采樣能量消耗矩陣； (2) 選擇乘法輸出值作為攻擊對象； (3) 確定能量消耗相關(guān)性模型； (4) 確定攻擊對象和模型后，從第一輪開始，依次猜測每輪M比特長的指數(shù)，計算輪運 算中乘法輸出值，確定中間值矩陣； (5) 利用（4)的中間值和中間值矩陣，根據(jù)相關(guān)性模型，求出仿真能量消耗值和仿真能 量消耗矩陣； (6) 計算仿真能量消耗矩陣與采樣能量消耗矩陣的線性相關(guān)系數(shù)，得到正確的猜測輪 指數(shù)； (7) 從第1輪到第S輪，重復(fù)步驟（4)至（6)，攻擊得到所有輪的輪指數(shù)，再按二進制比 特位從左到右串接起來，就得到完整的指數(shù)密鑰。
5. 根據(jù)權(quán)利要求4選擇乘法輸出值為攻擊對象進行RSA密碼算法幕剩余計算M-ary實 現(xiàn)的側(cè)信道能量分析的方法，其特征在于，利用CPA進行步驟（4)的具體步驟如下： (1)猜測第i輪M比特的指數(shù)值ku=j，jG{0，1，…，2M-U; 似用Pi計算R/=化)J(mod腳j=0,…，2"-1 ; 做用R/=(Pi)嘴第i-1輪的輸出CH，對2"個指數(shù)猜測值分別進行第i輪運算，確定 2M個猜測值對應(yīng)的乘法輸出C1^1，其中
對A組底數(shù)P進行幕剩余操作時，依次計算ku對應(yīng)的乘法輸出值，得到中間值矩陣
6. 根據(jù)權(quán)利要求4選擇乘法輸出值為攻擊對象進行RSA密碼算法幕剩余計算M-ary實 現(xiàn)的側(cè)信道能量分析的方法，其特征在于，利用CPA進行步驟（5)的具體步驟如下： (1) 利用能量消耗相關(guān)性模型，可將步驟（4)中所計算出的乘法輸出值C^i所對應(yīng)的 仿真能量消耗為；hui=H(Cui)，即第1組底數(shù)第i輪第j個猜測輪指數(shù)值K/對應(yīng)的仿真能 量功耗；H(x)是漢明重量模型，即計算X中比特位值為1的個數(shù)； (2) 對A組底數(shù)進行RSA密碼運算，確定共2"個輪指數(shù)猜測值對應(yīng)的仿真能量消耗矩 陣為：
7. 根據(jù)權(quán)利要求4選擇乘法輸出值為攻擊對象進行RSA密碼算法幕剩余計算M-ary實 現(xiàn)的側(cè)信道能量分析的方法，其特征在于，利用CPA進行步驟（6)的具體步驟如下： 對步驟（1)的采樣能量消耗矩構(gòu)
巧步驟巧）的仿真能量消 耗矩陣H分別計算前者第j列和后者第t列的相關(guān)系數(shù)：
;其中Wfi表示為第1個底數(shù)、第t個時間的對應(yīng)的采樣能量消耗值，T為能量軌跡中的采樣 時間點個數(shù)，為矩陣H第j列的平均值，為矩陣W中第t列的平均值，Pit表示第1 個猜測密鑰對應(yīng)的仿真能量消耗與第t個時間點采樣能量消耗之間的線性相關(guān)系數(shù)。
8. 計算所有列與列之間的相關(guān)系數(shù)，則得到了仿真能量消耗和實際采樣能量消耗間的 相關(guān)矩陣
，選取R中的最大值r。，v=maxh,t)，r。，對應(yīng) 的第i輪猜測輪指數(shù)IC為正確輪指數(shù)。
【專利摘要】本發(fā)明公開了一種針對RSA密碼算法中冪剩余計算M-ary實現(xiàn)時乘法輸出的側(cè)信道能量分析攻擊的方法，其核心在于冪剩余計算用M-ary實現(xiàn)時，以乘法輸出作為攻擊對象實施CPA攻擊。包括以下步驟：（1）采集信號，建立采樣矩陣；（2）選擇乘法輸出作為攻擊對象；（3）確定相關(guān)性模型；（4）猜測輪指數(shù)值，計算出中間值矩陣；（5）計算仿真能量消耗矩陣；（6）計算（1）和（5）所確定矩陣之間的線性相關(guān)系數(shù)，攻擊出正確的輪指數(shù)。（7）重復(fù)（4）至（6），攻擊得到所有正確的輪指數(shù)，串接后得到完整指數(shù)。本發(fā)明的方法給出了一種新的M-ary側(cè)信道攻擊方法，增強了RSA密碼算法分析攻擊的靈活性、有效性和成功率。
【IPC分類】H04L9-06
【公開號】CN104796250
【申請?zhí)枴緾N201510168212
【發(fā)明人】吳震, 杜之波, 饒金濤, 王敏, 李大為, 羅鵬, 鄭曉光, 劉劍峰
【申請人】成都信息工程學(xué)院, 成都芯安尤里卡信息科技有限公司, 國家密碼管理局商用密碼檢測中心, 北京中電華大電子設(shè)計有限責(zé)任公司
【公開日】2015年7月22日
【申請日】2015年4月11日