DE102004016412A1

DE102004016412A1 - Multiplication of two very large numbers for cryptographic purposes, whereby a brackets multiplication method is used based on reduction to a prime element and use of a successive look ahead mechanism

Info

Publication number: DE102004016412A1
Application number: DE200410016412
Authority: DE
Inventors: Rainer Dr. Blümel
Original assignee: CV CRYPTOVISION GmbH
Current assignee: CV CRYPTOVISION GmbH
Priority date: 2004-03-30
Filing date: 2004-03-30
Publication date: 2005-10-27

Abstract

Method for modular multiplication of long numbers of fixed bit-length spread across several bytes, whereby calculation of mixed terms is undertaken using bracket multiplication based on reduction to a prime element and use of a successive look ahead mechanism so that the bytes for the calculation are available at the correct time and with sufficient accuracy. The invention also relates to a corresponding device for method implementation.

Description

Für kryptographische Berechnungen, insbesondere für asymmetrische kryptographische Verfahren wie RSA, ECC (Kryptographie auf Basis elliptischer Kurven) und HECC (Kryptographie auf Basis hyperelliptischer Kurven), sind umfangreiche Berechnungen in einem endlichen Körper notwendig. Die Elemente im endlichen Körper werden dabei im Computer typischerweise als Bitfeld gespeichert, häufig gruppiert in Datenwörter einer zum Beispiel durch die Hardware vorgegebenen Länge (z.B. 8 oder 32 Bit). Die wesentlichen notwendigen Berechnungen sind modulare Multiplikationen der Werte, welche durch das Bitfeld repräsentiert wird. In der Praxis werden solche Berechnungen sowohl durch Umsetzungen geeigneter Verfahren in Software auf Universal-Mikroprozessoren als auch durch entsprechende, speziell für diesen Einsatzzweck optimierte Vorrichtungen wie kryptographische Koprozessoren durchgeführt [ DE 697 03 085 , DE 102 19 158 ]. Für übliche Anwendungen ist der Rechenaufwand für solche Multiplikationen entscheidend.For cryptographic computations, in particular for asymmetric cryptographic methods such as RSA, ECC (Elliptic Curve Cryptography) and HECC (Hyper Elliptic Curve Cryptography), extensive calculations in a finite field are necessary. The elements in the finite field are typically stored in the computer as a bit field, often grouped into data words of a length predetermined by the hardware, for example, 8 or 32 bits. The essential calculations required are modular multiplications of the values represented by the bit field. In practice, such calculations are carried out both by implementing suitable methods in software on general-purpose microprocessors and by means of suitable devices, such as cryptographic coprocessors, which have been optimized especially for this purpose [ DE 697 03 085 . DE 102 19 158 ]. For common applications, the computational cost of such multiplications is crucial.

Die Erfindung betrifft ein Verfahren zur Beschleunigung der modularen Multiplikation zweier Werte sowie eine Vorrichtung zur Durchführung dieses Verfahrens. Dieses Verfahren und entsprechende Vorrichtungen weisen in einer spezifischen Ausgestaltung insbesondere eine Resistenz gegen Seitenkanalangriffe auf, die für den praktischen Einsatz in kryptographischen Anwendungen von wesentlicher Bedeutung ist.The The invention relates to a method for accelerating the modular Multiplication of two values and a device for performing this Process. This method and corresponding devices have in a specific embodiment in particular a resistance against side channel attacks, which are for practical use in cryptographic applications is essential.

Die typischen Bitlängen der Werte für Berechnungen bei asymmetrischen kryptographischen Verfahren schwanken von der Größenordnung her meist in etwa zwischen 100 Bit und 2000 Bit. Für die modularen Multiplikationen können dabei entweder die Berechnungen in Multiplikation und Reduktion aufgespalten werden, oder man führt beide Operationen ineinander geschachtelt durch. In jedem Fall wird die Reduktion auf eine Multiplikation sowie einigen zusätzlichen Operationen zurückgeführt. Lediglich bei besonders strukturierten Primelementen als Modulus besteht die Reduktion nicht im Wesentlichen aus einer Multiplikation.The typical bit lengths the values for Calculations in asymmetric cryptographic methods vary of the order of magnitude mostly between 100 and 2000 bits. For the modular multiplications can doing either the calculations in multiplication and reduction be split or you lead both operations nested in one another. In any case, will the reduction to a multiplication as well as some additional ones Returned operations. Only in the case of particularly structured prime elements as modulus, the Reduction not essentially from a multiplication.

Im folgenden wird davon ausgegangen, dass die Werte durch Datenwörter repräsentiert werden. Ein 192 Bit langer Wert besteht dann zum Beispiel aus 6 Datenwörtern mit je 32 Bit oder auch aus 24 Datenwörtern mit je 8 Bit. Alle Berechnungen werden dann typischerweise auf Operationen zwischen Datenwörtern zurückgeführt.in the The following assumes that the values are represented by data words become. For example, a 192-bit value is 6 data words each with 32 bits or even 24 data words with 8 bits each. All calculations are then typically returned to operations between data words.

Im weiteren Text werden die zu multiplizierenden Werte allgemein als Langzahlen bezeichnet. Es handelt sich dabei immer um mathematische Elemente eines geeigneten endlichen Körpers, welche durch eine entsprechende Bitdarstellung repräsentiert wird. Wie allgemein üblich werden alle Operationen im mathematischen Körper durch entsprechende Berechnungen zwischen Datenwörtern realisiert.in the In further text, the values to be multiplied are generally considered Long numbers. These are always mathematical Elements of a suitable finite body, which by a corresponding Bit representation represents becomes. As usual All operations in the mathematical body are performed by appropriate calculations between data words realized.

Bestehen beide Multiplikanden aus jeweils n Datenwörtern, so beträgt der Rechenaufwand für eine Multiplikation bei den meisten etablierten Verfahren n² Multiplikationen zwischen Datenwörtern. Für sehr große Langzahlen gibt es zwar Verfahren mit deutlich besseren asymptotischen Verhalten, jedoch haben sie einen recht großen zusätzlichen Berechnungsaufwand (Overhead) und werden daher für Multiplikationen bis zu einigen tausend Bit nur selten verwendet. Die einzige Ausnahme hiervon ist die Karatsuba-Multiplikation [Knuth1997].If both multiplicands each consist of n data words, the computational effort for a multiplication in most established methods is n ² multiplications between data words. For very large numbers, although there are methods with much better asymptotic behavior, but they have quite a large additional computational effort (overhead) and are therefore rarely used for multiplications up to several thousand bits. The only exception to this is the Karatsuba multiplication [Knuth1997].

Das bei Bitlängen von etwa 100 bis 2000 Bit am häufigsten eingesetzte Verfahren für modulare Multiplikation ist die Montgomery-Multiplikation. Bei diesem Verfahren greifen Multiplikation und Reduktion eng ineinander, was die Anzahl der notwendigen Zugriffe auf Datenwörter klein hält. Zusätzlich ist die Montgomery-Multiplikation mit einem relativ geringen Verwaltungs-Overhead realisierbar. Ein Nachteil ist, dass theoretisch mögliche Vereinfachungen bei der Quadrierung zweier Langzahlen nicht ausgenutzt werden.The at bit lengths from about 100 to 2000 bits most often used methods for modular multiplication is the Montgomery multiplication. In this Methods interlock multiplication and reduction closely, which keeps the number of necessary accesses to data words small. In addition is Montgomery multiplication with a relatively low overhead of administration realizable. A disadvantage is that theoretically possible simplifications not be exploited in the squaring of two long numbers.

Eine Alternative ist die Standardmethode [Menezes1997] und eine anschließende Reduktion, etwa nach Barrett [Menezes1997]. Der Rechenaufwand entspricht recht genau dem der Montgomery-Multiplikation, die Montgomery-Multiplikation ist jedoch in den meisten Fällen einfacher zu realisieren.A Alternative is the standard method [Menezes1997] and a subsequent reduction, for example, according to Barrett [Menezes1997]. The computational effort is right just like the Montgomery multiplication, the Montgomery multiplication is, however, in most cases easier to realize.

Eine weitere Alternative besteht darin, eine Karatsuba-Multiplikation mit einer anschließenden Reduktion zu kombinieren. Die Karatsuba-Multipikation ist ein rekursives Verfahren; der asymptotische Aufwand beträgt etwa n^1,58. Im Wesentlichen beruht das Verfahren darauf, die Multiplikation zweier aus 2 Datenwörtern bestehender Zahlen durch 3 Multiplikationen zwischen Datenwörtern zu realisieren. Bedeutendste Nachteile der Karatsuba-Multiplikation sind ein erhöhter Verwaltungsaufwand und eine Festlegung der Bitlängen derart, dass die Anzahl der Datenwörter eine Zweierpotenz sein muss.Another alternative is to combine a Karatsuba multiplication with a subsequent reduction. Karatsuba Multipoint is a recursive method; the asymptotic effort is about n ^1.58 . Essentially, the method relies on realizing the multiplication of two numbers consisting of two data words by three multiplications between data words. The most significant disadvantages of the Karatsuba multiplication are an increased administrative effort and a determination of the bit lengths such that the number of data words must be a power of two.

Neben der Karatsuba-Multiplikation gibt es das sogenannte Multi-Segment-Karatsuba-Verfahren [Ernst2002]. Der Vorteil ist, dass man die Anzahl der Datenwörter nicht eine Zweierpotenz sein muss, also die Bitlängen nicht immer gleich verdoppelt werden müssen. Dafür ist das asymptotische Verhalten geringfügig schlechter. Für relativ kurze Bitlängen kann man beim Multi-Segment-Karatsuba-Verfahren auf die rekursive Struktur verzichten. Dann hat man zwar – im Vergleich zur Standardmethode – asymptotisch keinen Gewinn mehr, spart aber trotzdem fast die Hälfte der benötigten Multiplikationen.Next Karatsuba multiplication involves the so-called multi-segment Karatsuba method [Ernst2002]. The advantage is that the number of data words is not a power of two must be, so the bit lengths do not always have to be doubled. That's the asymptotic behavior slightly worse. For relative short bit lengths One can use the multi-segment Karatsuba method on the recursive structure without. Then you have though - im Comparison to the standard method - asymptotic no more profit, but still saves almost half of the required Multiplications.

Sowohl bei der Karatsuba-Multiplikation als auch beim Multi-Segment-Karatsuba-Verfahren können die Vorteile nur bei der eigentlichen Multiplikation und nicht bei der Reduktion genutzt werden. Des weiteren ist ein effizientes Zusammenspiel von Multiplikation und Reduktion, etwa um die Anzahl der notwendigen Zugriffe auf die verwendeten Datenwörter zu verringern, kaum möglich.Either in the Karatsuba multiplication as well as the multi-segment Karatsuba method can they Advantages only with the actual multiplication and not with the Reduction can be used. Furthermore, it is an efficient interaction of multiplication and reduction, about the number of necessary ones Reduce access to the data words used, hardly possible.

Als typische Beispiele für Verfahren und entsprechende Vorrichtungen zur Multiplikation von aus Datenwörtern aufgebauten Langzahlen gibt es also einerseits die Montgomery-Multiplikation, die relativ schlecht mit den Bitlänge der Langzahlen skaliert, bei der aber Multiplikationsschritte und Reduktionsschritte effektiv ineinandergreifen, andererseits die Karatsuba-Multiplikation, die wesentlich besser mit der Bitlänge der Langzahlen skaliert, bei der aber die Reduktion erst nach der Multiplikation stattfinden kann, und die einen relativ hohen Berechnungs-Overhead aufweist.When typical examples of Method and corresponding devices for multiplication of from data words Thus, on the one hand, there is the Montgomery multiplication, the relatively bad with the bit length the long numbers scaled, but in which multiplication steps and Effectively interlock reduction steps, on the other hand the Karatsuba multiplication, which is much better with the bit length of the Long numbers scale, but with the reduction only after multiplication can take place, and the a relatively high calculation overhead having.

Es stellt sich also die Aufgabe, wie man ein Verfahren beziehungsweise eine entsprechende Vorrichtung zur Multiplikation von aus Datenwörtern zusammengesetzten Langzahlen finden kann, mit der sich die Anzahl der benötigten Datenwort-Multiplikationen verringern kann, ohne den gewonnen Vorteil durch einen Verwaltungs-Overhead wieder zu verlieren. Es ist also wesentlich, dass das Verfahren als Ganzes deutlich effizienter realisierbar ist als die bisher eingesetzten Techniken. Dazu kommt wegen des möglichen Einsatzgebietes im Bereich der Kryptographie eine möglichst geringe Gefährdung durch Seitenkanalangriffe.It So, the task of how to set up a procedure, respectively a corresponding device for multiplying composed of data words Long numbers can be found with which the number of required data word multiplications can reduce, without the advantage gained by a management overhead to lose again. So it's essential that the procedure as a whole can be implemented much more efficiently than before used techniques. In addition comes because of the possible field of application in The area of cryptography one possible low risk through side channel attacks.

Diese Aufgabe wird durch die Erfindung gemäß der Patentansprüche 1 bis 12 gelöst.These The object is achieved by the invention according to the claims 1 to 12 solved.

Patentanspruch 1 beschreibt die Grundzüge des Verfahrens und der entsprechenden Vorrichtung. Bereits bei der Karatsuba-Multiplikation und beim Multi-Segment-Karatsuba-Verfahren ist es üblich, gemäß der Formel (x_i + x_j)(y_i + y_j)-(x_iy_i + x_jy_j) = (x_jy_i) + (x_iy_j) zwei Multiplikationen zu einer zusammenzufassen (da die Multiplikationen x_iy_j und x_jy_j nicht zusätzlich durchgeführt werden müssen) Eine Multiplikation von zwei Werten mit je 2 Datenwörtern lässt sich hiernach mit 3 anstatt den üblichen 4 Multiplikationen zwischen Datenwörten realisieren.Claim 1 describes the principles of the method and the corresponding device. Already in the Karatsuba multiplication and in the multi-segment Karatsuba method it is usual, according to the formula (x _i + x _j ) (y _i + y _j ) - (x _i y _i + x _j y _j ) = ( x _j y _i ) + (x _i y _j ) to combine two multiplications into one (since the multiplications x _i y _j and x _j y _j do not have to be carried out additionally) A multiplication of two values with two data words each can be explained later as 3 instead of implementing the usual 4 multiplications between data words.

Das erfindungsgemäße Verfahren berechnet nun die Multiplikation zweier Langzahlen, indem es ebenfalls bevorzugt für die gemischten Terme zwei Multiplikationen zu einer Multiplikation zusammenfasst. Überraschenderweise ist es aber möglich, dies in vorteilhafter Weise mit integrierten Reduktionsschritten zu verbinden, indem bereits während der Multiplikation näherungsweise die Werte z_i für die Reduktion bestimmt werden. Die Zusammenfassung der Multiplikanden wird dabei nicht nur für die eigentliche Multiplikation, sondern auch für die Reduktion vorgenommen. Im Vergleich zur Standardmethode kommt man somit mit n(n+1)/2 Multiplikationen zwischen Datenwörtern statt n² Datenwortmultiplikationen pro Multiplikation zwischen zwei Werten aus; man spart also fast die Hälfte der üblicherweise notwendigen Berechnungen. Allerdings muss der Datenwort-Multiplizierer – je nach Ausgestaltung – für Datenwörter mit etwas größerer Bitlänge geeignet sein.The method according to the invention now calculates the multiplication of two long numbers by also preferably combining two multiplications into one multiplication for the mixed terms. Surprisingly, however, it is possible to combine this advantageously with integrated reduction steps by already approximately determining the values z _i for the reduction during the multiplication. The summary of the multiplicand is done not only for the actual multiplication, but also for the reduction. Thus, in comparison to the standard method, we obtain n (n + 1) / 2 multiplications between data words instead of n ² data word multiplies per multiplication between two values; So you save almost half of the usually necessary calculations. However, the data word multiplier, depending on the configuration, must be suitable for data words with a slightly larger bit length.

Formelmäßig erhält man bei dem neuen Verfahren für die Multiplikation (ohne Reduktion) zweier Werte X ={x_i|i=0, ..., n-1} und Y={y_i|i=1, ..., n-1} mit je n Datenwörtern der Länge b folgende Darstellung:

In terms of formula, in the new method for multiplication (without reduction) two values X = {x _i | i = 0,..., N-1} and Y = {y _i | i = 1,..., N -1} with n data words of length b the following representation:

Das so erhaltene Produkt muss noch modular reduziert werden. Dies bedeutet, dass bei gegebenem Primelement P ein weiterer Wert Z bestimmt wird und damit XY – PZ berechnet wird; der Wert Z wird nach erfolgter Reduktion nicht weiter benötigt. Fasst man diese beiden Multiplikationen zusammen, so kann man dies formelmäßig folgendermaßen beschreiben:

The product thus obtained must still be modularly reduced. This means that given Prime element P a further value Z is determined and thus XY - PZ is calculated; the value Z is no longer needed after the reduction. If one summarizes these two multiplications, one can describe this in the following way:

Um gemäß dieser Formel XY korrekt zu reduzieren, müsste man zu Beginn der Berechnungen den eindeutigen Wert Z kennen, für den 0 <= XY – PZ < P gilt. Um dies zu umgehen, gibt es zwei verschiedene Wege:

• Man kann, ohne dass dies eine Änderung der Formel nach sich zieht, die Datenwortlänge der z_i vergrößern. Dies führt praktisch dazu, dass man einen kleinen Fehler bei z_i in der nächsten Runde, also mit z_i-1, korrigieren kann.
• Man kann den möglichen Fehler bei der Bestimmung von z_i so klein halten, dass bei dem Zwischenwert schlimmstenfalls eine Korrektur von +/-P, verschoben um ein oder mehrere Datenwörter, notwendig ist.

To correctly reduce XY according to this formula, one would have to know the unique value Z at the beginning of the calculations, for which 0 <= XY - PZ <P. To get around this, there are two different ways:

It is possible to increase the data word length of the z _i without this entailing a change in the formula. In practice, this leads to correcting a small error at z _i in the next round, ie with z _i-1 .
• One can keep the possible error in the determination of z _i so small that in the worst case, a correction of +/- P, shifted by one or more data words, is necessary at the intermediate value.

Patentanspruch 2 beschreibt nun eine vorteilhafte Ausgestaltung des Verfahren beziehungsweise einer entsprechenden Vorrichtung nach Anspruch 1, mit dem bei nur unwesentlichen Performance-Einbußen eine im wesentlichen aus XY – PZ bestehende Berechnung zur modularen Multiplikation von XY durchgeführt wird. Das Verfahren besteht aus einer Initialisierung, dem n-2-maligen Durchlaufen einer Hauptschleife und einer Abschluss-Schleife sowie einer Technik zur rekursiven Bestimmung von Datenwörtern z_i, im Folgenden als Look-Ahead-Mechanismus bezeichnet. Die einzelnen Schritte des Verfahrens:
In einem Vorab-Schritt wird ein Speicherfeld A mit typischerweise 2n+1 Datenwörtern mit dem Wert 0 initialisiert:
A = 0.

1. In einem Initialisierungsschritt wird über den erwähnten Look-Ahead-Mechanismus zuerst ein Wert z_n-1 berechnet und damit die Berechnungsschritte zum Durchlauf i=n-1 durchgeführt (b sei die Datenwortlänge):
Man beachte, dass Schritt(e) an beliebiger Stelle durchgeführt werden kann.
2. Eine Hauptschleife wird für mit dem Schleifenparameter i, der die Werte i=n-1, ..., 1 annimmt, durchlaufen. Zu Beginn jedes Schleifendurchlaufs wird durch den Look-Ahead-Mechanismus ein z_i berechnet. Abhängig von der konkreten Ausgestaltung des Look-Ahead-Mechanismus muss danach eine eventuelle kleine Ungenauigkeit des vorhergehenden z_i+1 ausgebessert werden; dies geschieht im Teilschritt (b):
Man beachte, dass Schritt (g) an beliebiger Stelle durchgeführt werden kann.
3. Die Abschlussberechnung wird analog zu einem Durchlauf der Hauptschleife mit dem Schleifenparameter i=0 durchgeführt. Je nach konkreter Ausgestaltung muss dass Look-Ahead-Mechanismus für diesen Durchlauf angepasst werden. Außerdem kann es notwendig sein, am Ende noch einmal eine Korrektur der Form +/-P durchzuführen.

Claim 2 now describes an advantageous embodiment of the method or a corresponding device according to claim 1, with which an essentially XY - PZ existing calculation for modular multiplication of XY is performed with only insignificant performance losses. The method consists of an initialization, the iterating through a main loop and a terminating loop, and a technique for the recursive determination of data words z _i , referred to below as the look-ahead mechanism. The individual steps of the procedure:
In a preliminary step, a memory array A with typically 2n + 1 data words is initialized with the value 0:
A = 0.

1. In an initialization step, a value z _{n-1 is first} calculated using the look-ahead mechanism mentioned, and thus the calculation steps for the run i = n-1 are carried out (b is the data word length):
Note that step (e) can be performed anywhere.
2. A main loop is looped through with the loop parameter i, which assumes the values i = n-1,..., 1. At the beginning of each loop it calculates a z _i by the look-ahead mechanism. Depending on the specific design of the look-ahead mechanism, a possible small inaccuracy of the preceding z _{i + 1} must then be corrected; this happens in sub-step (b):
Note that step (g) can be performed anywhere.
3. The final calculation is carried out analogously to a pass of the main loop with the loop parameter i = 0. Depending on the specific configuration, the look-ahead mechanism must be adapted for this run. In addition, it may be necessary to perform a correction of the form +/- P again at the end.

Die Patentansprüche 3, 4 und 5 beschreiben Variationen des Verfahrens beziehungsweise der entsprechenden Vorrichtung nach Anspruch (2), bei dem verschiedene Berechnungsschritte vertauscht oder zusammengefasst sind.The claims 3, 4 and 5 describe variations of the method respectively the corresponding device according to claim (2), in which different Calculation steps are reversed or summarized.

Patentanspruch 6 beschreibt eine vorteilhafte Ausgestaltung der Erfindung, in der die z_i im selben Speicherbereich gespeichert werden, der auch zur Berechnung und Speicherung von A vorgesehen ist.Claim 6 describes an advantageous embodiment of the invention, in which the z _i are stored in the same memory area, which is also provided for the calculation and storage of A.

Die darauffolgenden Patentansprüche beschreiben vorteilhafte Ausgestaltungen für den Look-Ahead-Mechanismus. Grundsätzlich basiert der Look-Ahead-Mechanismus auf zwei Schritten:

• Der Vorabberechnung der Terme zum höchsten noch zu berechnenden Datenwort. Zwei wichtige Möglichkeiten hierzu bestehen in der Berechnung von: Ã_i,1÷2^(i+n-2)b und Ã_i,3÷2^(i+n-2)b mit: Ãi,1 = A – (xi·yi + pn-1·zn-1 + pi·zn-1)·2(i+n-1)b beziehungsweise
• Der Division eines solchen Terms, also Ã_i,1÷2^(i+n-2)b oder Ã_i,3÷2^(i+n-2)b, durch das erste oder die ersten beiden Datenwörter von P. Da P in diesem Zusammenhang konstant ist, kann dies mittels einer Vorberechnung auf eine Multiplikation zurück geführt werden, wodurch die Durchführung der Division mit recht geringem Aufwand möglich ist.

The following claims describe advantageous embodiments for the look-ahead mechanism. Basically, the look-ahead mechanism is based on two steps:

• The precalculation of the terms for the highest data word yet to be calculated. Two important ways of doing this are to calculate: Ã _{i, 1} ÷ 2 ^{(i + n-2) b} and Ã _{i, 3} ÷ 2 ^{(i + n-2) b} with: Ã i, 1 = A - (x i · y i + p n-1 * z n-1 + p i * z n-1 ) · 2 (I + n-1) b respectively
• The division of such a term, ie, Ã _{i, 1} ÷ 2 ^{(i + n-2) b} or Ã _{i, 3} ÷ 2 ^{(i + n-2) b} , by the first or the first two data words of P. Da P is constant in this context, this can be done by means of a pre-calculation on a multiplication, whereby the division is possible with relatively little effort.

Die Ergebnisse der Division sind im Wesentlichen die sukzessiv zu berechnenden Datenwörter z_i: zi = ⌊Ãi,1÷((pn-1·2b)·2(i+n-2)b)⌋beziehungsweise zi= ⌊Ãi,3÷((pn-1·2b+pn-2)·2(i+n-2)b)⌋ The results of the division are essentially the data words z _i to be successively calculated: z i = ⌊⌊ i, 1 ÷ ((p n-1 · 2 b ) · 2 (I + n-2) b ) ⌋ respectively z i = ⌊⌊ i, 3 ÷ ((p n-1 · 2 b + p n-2 ) · 2 (I + n-2) b ) ⌋

Die Klammern ⌊...⌋ beschreiben dabei die Abrundung auf die nächste ganze Zahl.The Brackets ⌊ ... ⌋ describe the rounding off to the next integer.

Grundsätzlich gilt, dass die Wahrscheinlichkeit für potentielle Fehler bei den z_i um so geringer ist, je mehr Terme beim Look-Ahead-Mechanismus berücksichtigt werden und je mehr von den führenden Datenwörtern von P verwendet werden. Andererseits erhöht dies den Aufwand, der für den Look-Ahead-Mechanismus betrieben werden muss.Basically, the more probabilities of potential errors in the z _{i, the} lower the more terms that are considered in the look-ahead mechanism and the more used by P's leading data words. On the other hand, this increases the effort that must be used for the look-ahead mechanism.

Konkret teilen sich die weiteren Patentansprüche zwei Gruppen auf. Die erste Gruppe bezieht sich darauf, dass z_i mit einer Überlänge vorgesehen werden. In diesem Fall besteht der Look-Ahead-Mechanismus typischerweise darin, für die Beiträge zum neu berechneten höchsten Term Ã_i,1÷2^(i+n-2)b zu verwenden und bei der Division nur das erste Datenwort von P zu berücksichtigen. Es ist zwar technisch nicht notwendig, aber sinnvollerweise realisiert man unter diesen Randbedingungen das neue Verfahren mit Überlangen z_i so, dass keine weiteren Korrekturen notwendig sind; die Korrekturen (b) der Hauptschleife und der Abschlussberechnung aus Anspruch (2) können dann entfallenSpecifically, the other claims share two groups. The first group refers to z _{i being provided} with an excess length. In this case, the look-ahead mechanism typically consists of using for the contributions to the newly calculated highest term Ã _{i, 1} ÷ 2 ^{(i + n-2) b} and taking into account only the first data word of P in the division. Although it is technically not necessary, it makes sense to realize the new method with excess z _i under these boundary conditions so that no further corrections are necessary; the corrections (b) of the main loop and the final calculation of claim (2) can then be omitted

Bei der Benutzung von Überlängen gibt es mehrere vorteilhafte Ausgestaltungen.at the use of excess lengths There are several advantageous embodiments.

Patentanspruch 7 beschreibt einen Ansatz, in der die Überlänge gering gehalten wird. Dabei wird in einem ersten Schritt ein temporärer Wert Ãi,1 = A – (xi·yi + pn-1·zn-1 + pi·zn-1 + kmin)·2(i+n-1)b mit einer konstanten k_min berechnet, und anschließend wird z_i gemäß zi = ⌊Ãi,1÷((pn-1·2b)·2(i+n-2)b)⌋berechnet. In diesem Schritt wird also zuerst mit Ã_i,1 ein Abschätzwert für das höchste noch ausstehende Datenwort berechnet und anschließend mittels der Division ein Wert für z_i bestimmt. Da noch nicht alle Terme für die eigentliche Multiplikation berücksichtigt sind, muss für das z_i eine gewisse Ungenauigkeit akzeptiert werden. Durch eine geeignete Wahl von k_min wird dabei sichergestellt, dass z_i eher etwas zu klein gewählt wird: Diese Ungenauigkeit muss dann im folgenden Hauptschleifendurchgang ausgeglichen werden. Dazu ist es notwendig, dass für die z_i eine Überlänge vorgesehen wird. Diese Überlänge ist umso kleiner, je kleiner k_min gewählt werden kann. Die Division zur Berechnung der z_i kann natürlich durch eine Vorberechnung, in welche im Wesentlichen p_n-1 eingeht, auf eine Multiplikation zurückgeführt werden.Claim 7 describes an approach in which the excess length is kept low. In this case, in a first step, a temporary value Ã i, 1 = A - (x i · y i + p n-1 * z n-1 + p i * z n-1 + k min ) · 2 (I + n-1) b is calculated with a constant k _min , and then z _{i is determined} according to z i = ⌊⌊ i, 1 ÷ ((p n-1 · 2 b ) · 2 (I + n-2) b ) ⌋ calculated. In this step, therefore _, an estimate value for the highest still outstanding data word is first calculated using _{i i, 1} , and then a value for z _{i is} determined by means of the division. Since not all terms for the actual multiplication are considered, a certain inaccuracy must be accepted for the z _i . It is ensured by a suitable choice of k _min that z _i is chosen to be somewhat too small: this inaccuracy must then be compensated in the following main grinding pass. For this it is necessary that an excess length be provided for the z _i . This excess length is the smaller, the smaller k _min can be selected. Of course, the division for calculating the z _i can be attributed to a multiplication by a precomputation, in which p _n-1 is essentially received.

Eine vorteilhafte Ausgestaltung von Anspruch (7) wird in Patentanspruch 8 beschrieben. Diese besteht darin, den Wert k_min aus Anspruch (7) gleich 2·2^b, 3·2^b oder 4·2^b zu wählen.An advantageous embodiment of claim (7) is described in claim 8. This consists in choosing the value k _min from claim (7) equal to 2 × 2 ^b , 3 × 2 ^b or 4 × 2 ^b .

Patentanspruch 9 beschreibt eine andere Variante des Verfahrens beziehungsweise einer entsprechenden Vorrichtung, bei der eine größere Überlänge akzeptiert und dem Look-Ahead-Mechanismus ein zulässiges Intervall für das z_i vorgegeben werden kann. Durch die zusätzliche Überlänge ist es möglich, die so entstehende Ungenauigkeit bei einem z_i durch das darauffolgende z_i-1 wieder auszugleichen. Dies bedeutet, dass man in der Formel für den Look-Ahead-Mechanismus ein k_min verwendet, welches größer als notwendig ist. Zu dem so entstandenen z_i kann man dann, solange man im zulässigen Intervall bleibt, wahlweise eine kleine Zahl hinzuaddieren, ohne den sonstigen Ablauf des Verfahrens zu ändern. Vorteilhaft wird dieses Vorgehen dadurch, dass man eines der möglichen z_i aus dem erlaubten Intervall durch einen Zufallszahlengenerator auswählt, was dazu führt, dass der genaue Berechnungsablauf bei wiederholten Berechnungen mit identischen Operanden immer wieder unterschiedlich verläuft. Ein solches zufälliges Verhalten verursacht zufällige Schwankungen des Stromverbrauchs und bietet eine wirksame Maßnahme gegen Seitenkanalangriffe.Claim 9 describes another variant of the method or a corresponding device in which a larger excess length accepted and the look-ahead mechanism, a permissible interval for the z _i can be specified. Due to the additional excess length, it is possible to compensate for the resulting inaccuracy in a z _i by the subsequent z _i-1 again. This means that in the formula for the look-ahead mechanism, a k _{min is} used which is larger than necessary. Then, as long as one remains within the permissible interval, one can add a small number to the resulting z _i without changing the other sequence of the method. This approach is advantageous in that one of the possible z _i from the allowed interval by a random number generator selects, which means that the exact calculation process repeatedly runs in repeated calculations with identical operands differently. Such random behavior causes random fluctuations in power consumption and provides an effective countermeasure against side channel attacks.

In Patentanspruch 10 wird eine vorteilhafte Ausgestaltung des Verfahrens beziehungsweise einer entsprechenden Vorrichtung aus Anspruch (9) beschrieben, bei der der Look-Ahead-Mechanismus zwei Werte Ã_i,1 ⁽¹⁾ und Ã_i,1 ⁽²⁾ gemäß Ãi,1 (1) = A – (xi·yi + pn-1·zn-1 + pi·zn-1 + kmin)·2(i+n-1)b Ãi,1 (2) = A – (xi·yi + pn-1·zn-1 + pi·zn-1 + kmax)·2(i+n-1)b bestimmt, und mit diesen dann zwei Werte z_i ⁽¹⁾ und z_i ⁽²⁾ gemäß zi (1) = ⌊Ãi,1 (1)÷((pn-1·2b)·2(i+n-2)b)⌋ zi (2) = ⌊Ãi,1 (2)÷((pn-1·2b)·2(i+n-2)b)⌋berechnet, durch die dann ein Intervall für die zufällige Wahl von z_i nach Anspruch (9) festgelegt wird.In claim 10, an advantageous embodiment of the method or a corresponding device from claim (9) is described in which the look-ahead mechanism two values Ã _{i, 1} ⁽¹⁾ and Ã _{i, 1} ⁽²⁾ according to Ã i, 1 (1) = A - (x i · y i + p n-1 * z n-1 + p i * z n-1 + k min ) · 2 (I + n-1) b Ã i, 1 (2) = A - (x i · y i + p n-1 * z n-1 + p i * z n-1 + k Max ) · 2 (I + n-1) b determined, and then with these two values z _i ⁽¹⁾ and z _i ⁽²⁾ according to z i (1) = ⌊⌊ i, 1 (1) ÷ ((p n-1 · 2 b ) · 2 (I + n-2) b ) ⌋ z i (2) = ⌊⌊ i, 1 (2) ÷ ((p n-1 · 2 b ) · 2 (I + n-2) b ) ⌋ is calculated, then by an interval for the random choice of z _{i is determined} according to claim (9).

Eine weitere vorteilhafte Ausgestaltung von Anspruch (9) findet sich in Patentanspruch 11, bei der der Look-Ahead-Mechanismus einen Wert Ã_i,1 ⁽²⁾ gemäß Ãi,1 (2) = A – (xi·yi + pn-1·zn-1 + pi·zn-1 + kmax)·2(i+n-1)b bestimmt, und mit diesen dann zwei Werte z_i ⁽¹⁾ und z_i ⁽²⁾ gemäß zi (2) = ⌊Ãi,1 (2)÷((pn-1·2b)·2(i+n-2)b)⌋ zi (1) = zi (2)+ ⌊(kmax-kmin)÷2b⌋berechnet.A further advantageous embodiment of claim (9) can be found in claim 11, wherein the look-ahead mechanism a value Ã _{i, 1} ⁽²⁾ according to Ã i, 1 (2) = A - (x i · y i + p n-1 * z n-1 + p i * z n-1 + k Max ) · 2 (I + n-1) b determined, and then with these two values z _i ⁽¹⁾ and z _i ⁽²⁾ according to z i (2) = ⌊⌊ i, 1 (2) ÷ ((p n-1 · 2 b ) · 2 (I + n-2) b ) ⌋ z i (1) = z i (2) + ⌊ (k Max -k min ) ÷ 2 b ⌋ calculated.

Patentanspruch 12 beschreibt anschließend eine alternative vorteilhafte Ausgestaltung der Erfindung. Ziel ist es dabei, dass die durch den Look-Ahead-Mechanismus bestimmten z_i die gleiche Datenwortlänge aufweisen wie die anderen verwendeten Langzahlen. Dies wird erreicht, indem der Look-Ahead-Mechanismus beim ersten Hauptschleifendurchlauf – hierbei ist i = n-2 – einen Wert Ã_i,3 gemäß

berechnet, und dann damit den Wert z_i entsprechend durch zi = ⌊Ãi,3÷((pn-1·2b + pn-2)·2(i+n-2)b)⌋bestimmt, anschließend dann ab dem zweiten Hauptschleifendurchlauf Werte Ã_i,3 gemäß

berechnet, und dann damit Werte z_i entsprechend zi = ⌊Ãi,3÷((pn-1·2b + pn-2)·2(i+n-2)b)⌋bestimmt. Dies bedeutet, dass das Look-Ahead-Mechanismus auf 2 weitere Terme ausgedehnt wird und zusätzlich das z_i mit höherer Präzision – in der Division wird auch p_n-2 berücksichtigt – bestimmt wird. Da für die z_i keine Überlängen mehr vorgesehen sind, kann nun die Notwendigkeit einer möglichen Korrektur – Teilschritt b) in der oben im Text zu Patentanspruch 2 beschrieben Hauptschleife – nicht mehr ausgeschlossen werden. Vorteilhafterweise wird jedoch durch die beschriebene höhere Genauigkeit beim Look-Ahead-Mechanismus die Wahrscheinlichkeit dafür, dass der erwähnte Teilschritt b) tatsächlich durchgeführt werden muss, sehr klein. Der konkrete Wert hängt von der Bitlänge der Datenwörter ab und liegt in der Größenordnung von 2^-(b-1)/2. Wie vorher wird die Division üblicherweise wieder mittels einer Vorberechnung auf eine Multiplikation zurückgeführt.Claim 12 then describes an alternative advantageous embodiment of the invention. The goal here is that the z _i determined by the look-ahead mechanism have the same data word length as the other long numbers used. This is achieved by the look-ahead mechanism in the first main loop pass - where i = n-2 - a value Ã _{i, 3} according to

calculated, and then by the value z _i accordingly z i = ⌊⌊ i, 3 ÷ ((p n-1 · 2 b + p n-2 ) · 2 (I + n-2) b ) ⌋ determines, then from the second main loop pass values Ã _{i, 3} according to

calculated, and then with values z _i accordingly z i = ⌊⌊ i, 3 ÷ ((p n-1 · 2 b + p n-2 ) · 2 (I + n-2) b ) ⌋ certainly. This means that the look-ahead mechanism is extended to 2 further terms and additionally the z _{i is determined} with higher precision - in the division also p _{n-2 is} taken into account. Since no longer lengths are provided for the z _i , the need for a possible correction - sub-step b) in the main loop described above in the text to claim 2 - can no longer be ruled out. Advantageously, however, the described higher accuracy in the look-ahead mechanism, the probability that the said sub-step b) must actually be performed, very small. The concrete value depends on the bit length of the data words and is on the order of 2 ^{- (b-1) / 2} . As before, the division is usually returned to a multiplication by means of a pre-calculation.

Referenzen:References:

[ DE 102 19 158 ] "Apparatus and method for calculating a result of a modular multiplication"; DE 102 19 158 A1 (2002)
[ DE 697 03 085 ] "Coprocessor with two parallel multiplier circuits", translation of the European patent specification, EP 0 853 275 B1 . DE 697 03 085 T2 (1997)
[Menezes1997] A.J. Menezes, P.C. van Oorschot, S.A. Vanstone: "Handbook of Applied Cryptography ", CRC Press (1997)
[Knuth1997] D.E. Knuth, "The Art of Computer Programming, Volume 2: Seminumerical Algorithms, "Addison Wesley (1997)
[Ernst2002] M. Ernst, M. Young, F. Madlener, S. Huss, R. Blumel: "A Reconfigurable System on Chip Implementation for Elliptic Curve Cryptography over GF (2 n)", Proceedings of CHES 2002, LNCS 2523, Springer (2002)

Claims

Method and device for modular multiplication of two long numbers stored in a plurality of data words of fixed bit length x _i and y _i X = {x _i | i = 0,..., N-1} and Y = {y _i | i = 0, .. ., n-1}, wherein - the calculation of the mixed terms x _i y _j and x _j y _{i are} replaced in the majority by the calculation of multiplications of the form (x _i + x _j ) x (y _i + y _j ), and In each main loop pass calculation steps for the reduction - thus the calculation of a matching Z to a prime element P, so that thus the calculation of 0 <= XY-ZP <P is possible, and performing the operation are performed, wherein already values zi are determined , which are necessary for an approximate or complete partial reduction, and this approximate or complete partial reduction is performed, characterized in that - the calculation of the approximate reduction modulo a prime element P - thus the calculation of XY - ZP with a suitable value Z, so da ss either 0 <= XY-ZP <P or XY-ZP differs by a simply structured multiple of P - is carried out so that in the multiplication of the mixed terms z _i p _j and z _j p _i majority by the calculation of multiplications of the form (z _i + z _j ) x (p _i + p _j ), where the numbers Z = {z _i | = 0,..., n-1} and P = {p _i | i = 1 , ..., n-1} are represented by a vector of data words, and the bit lengths of z _{i may} optionally be greater than those of the other data words, - the determination of z _i is done successively by a look-ahead mechanism, then that the data words z _{i are present} in time and with sufficient accuracy for the calculation of XY-ZP.

Method and device for the modular multiplication of two long numbers X = {x _i | i = 0,..., N-1} stored in a plurality of data words of fixed bit length x _i and y _i and Y = {y _i | 0 = 1, .. ., n-1} according to claim 1, wherein the result is to be calculated in the area A, characterized in that a) at the beginning of an initialization phase is carried out, which comprises the run for i = n-1, and in the beginning over a look-ahead mechanism is a value z _n is calculated, -1) b then an auxiliary value r = p _n-1 · z _n-1 -x _n-1 · y _n-1 is calculated, c) below then the calculation the corresponding components of A according to

is carried out, d) then the operation A = Ar · 2 ^{(2n-2) b} takes place, e) and z _{n-1 is} stored in the initialization phase; f) then the main loop begins, in which in each iteration step the loop parameter i assumes the values i = n-2,..., 1 in descending order, and as a first step a value _{z.sub.i is} calculated via a look-ahead mechanism g) subsequently in each iteration step of the main loop, depending on the results of the look-ahead mechanism, if appropriate a correction calculation according to A = A ± p * 2 ^{(i + 1) b} , h) then an auxiliary value r in each iteration step of the main loop = p _i · z _i -x _i · y _i is calculated, i) below then in each iteration of the main loop, the calculation of the corresponding components of A according to

j) then the operation A = A-r * 2 ^{(2i) b} takes place in each iteration step of the main loop, k) subsequently in each iteration step of the main loop the calculation of

l) and in each iteration step of the main loop the value z _{i is} stored; m) then, after completion of the main loop, the final calculation begins, in which a value z _{0 is} calculated as the first step via a look-ahead mechanism, n) optionally a correction calculation according to A, depending on the results of the look-ahead mechanism = A ± p * 2 ^{(i + 1) b} takes place, o) then an auxiliary value r = p ₀ * z ₀ -x ₀ * y _{0 is} calculated, p) then the operation A = A-r occurs, q) below then the calculation of the last components of A according to

is carried out, r) if necessary, a correction calculation according to A = A ± p is performed in dependence on the previous calculation steps.

Method and device according to claim (2) in that the calculation steps c) and d) are reversed or are summarized.

Method and device according to claim (2) or (3) in that the calculation steps i), j) and k) are in their order permuted or summarized.

Method and device according to claim (2), (3) or (4) in that the calculation steps p) and q) are interchanged or are summarized.

Method and device according to one of claims (1) to (5), characterized in that the storage of Z, built up of the individual values z _i , takes place in the same memory area which is provided for the calculation and storage of A.

Method and device for modular multiplication of two long numbers stored in a plurality of data words of fixed bit length x _i and y _i X = {x _i | i = 0,..., N-1} and Y = {y _i | i = 0, .. ., n-1} according to claim 1,), in which for the determined by the look-ahead mechanism z _i an excess length is allowed - that is, for the storage of the data words z _i of Z a slightly larger bit length is provided as for the data words of X, Y and P - characterized in that the look-ahead mechanism is such that in a first step, a temporary value Ã i, 1 = A - (x i · y i + p n-1 * z n-1 + p i * z n-1 + k min ) · 2 (I + n-1) b is calculated with a constant k _min , and then z _i according to z i = ⌊⌊ i, 1 ÷ ((p n-1 · 2 b ) · 2 (I + n-2) b ) ⌋ is calculated, and then a) at the beginning of an initialization phase is carried out, which comprises the run for i = n-1, and in which a value z _n -1 is calculated initially via a look-ahead mechanism, b) then a Auxiliary value r = pn _-1 * _zn-1 -xn _-1 * yn _{-1 is} calculated, c) then the calculation of the corresponding components of A according to

is carried out, d) then the operation A = A-r · 2 ^{(2n-2) b} takes place, e) and in the initialization phase z _{n-1 is} stored; f) then the main loop begins, in which in each iteration step the loop parameter i assumes the values i = n-2,..., 1 in descending order, and as a first step a value _{z.sub.i is} calculated via a look-ahead mechanism , g) then an auxiliary value r = p _i * z _i -x _i * y _{i is} calculated in each iteration step of the main loop, h) then in each iteration step of the main loop the calculation of the corresponding components of A according to

i) then in each iteration step of the main loop the operation A = A-r * 2 ^{(2i) b} takes place, j) subsequently in each iteration step of the main loop the calculation of

k) and in each iteration step of the main loop the value z _{i is} stored; l) then, after completion of the main loop, the final calculation begins, in which a value z _{0 is} calculated as the first step via a look-ahead mechanism, then an auxiliary value r = p ₀ * z ₀ -x ₀ * Y _{0 is} calculated n) then the operation A = A-r, o) then the calculation of the last components of Agem

is carried out, p) depending on the previous calculation steps optionally one or more correction calculations are carried out according to A = A ± p, which may possibly also be summarized.

Method according to claim (7), characterized in that the value k _min is chosen equal to 2 · 2 ^b , 3 · 2 ^b or 4 · 2 ^b .

Method and device according to claim (1) to (6), which has protection against side channel attacks, characterized in that the look-ahead mechanism operates such that a permitted interval is determined for the z _i , and then by means of a Random number generator z _{i determined} within this interval and used in the further calculation.

Method and device according to claim (9), characterized in that the look-ahead mechanism has two values Ã _{i, 1} ⁽¹⁾ and Ã _{i, 1} ⁽²⁾ according to Ã i, 1 (1) = A - (x i · y i + p n-1 * z n-1 + p i * z n-1 + k min ) · 2 (I + n-1) b Ã i, 1 (2) = A - (x i · y i + p n-1 * z n-1 + p i * z n-1 + k Max ) · 2 (I + n-1) b determined, and then with these two values z _i ⁽¹⁾ and z _i ⁽²⁾ according to z i (1) = ⌊⌊ i, 1 (1) ÷ ((p n-1 · 2 b ) · 2 (I + n-2) b ) ⌋ z i (2) = ⌊⌊ i, 1 (2) ÷ ((p n-1 · 2 b ) · 2 (I + n-2) b ) ⌋ is calculated, then by an interval for the random choice of z _{i is determined} according to claim (9).

Method and device according to claim (9), characterized in that the look-ahead mechanism has a value Ã _{i, 1} ⁽²⁾ according to Ã i, 1 (2) = A - (x i · y i + p n-1 * z n-1 + p i * z n-1 + k Max ) · 2 (I + n-1) b determined, and then with these two values z _i ⁽¹⁾ and z _i ⁽²⁾ according to z i (2) = ⌊⌊ i, 1 (2) ÷ ((p n-1 · 2 b ) · 2 (I + n-2) b ) ⌋ z i (1) = z i (2) + ⌊ (k Max - k min ) ÷ 2 b ⌋ calculated.

Method and device according to claim (1) to (6), in which the z _i determined by the look-ahead mechanism have the same data word length as the other used long numbers, characterized in that the look-ahead mechanism during the first main loop pass, where i = n-2, a value Ã _{i, 3} according to

calculated, and then by the value z _i accordingly z i = ⌊⌊ i, 1 ÷ ((p n-1 · 2 b + p n-2 ) · 2 (I + n-2) b ) ⌋ determined, and then from the second main loop pass values Ã _{i, 3} according to

calculated, and then with values z _i accordingly z i = ⌊⌊ i, 3 ÷ ((p n-1 · 2 b + p n-2 ) · 2 (I + n-2) b ) ⌋ certainly.