JP2022549980A

JP2022549980A - 差分解読法攻撃を防ぐ方法

Info

Publication number: JP2022549980A
Application number: JP2021572578A
Authority: JP
Inventors: 志匡蔡; 洵徐; 明王; 子軒王; 恒鷺王; 景祺姚; 佳飛姚; 宇鋒郭
Original assignee: Nantong Institute Of Nanjing University Of Posts And Telecommunications Co Ltd; Nanjing University of Posts and Telecommunications
Current assignee: Nantong Institute Of Nanjing University Of Posts And Telecommunications Co Ltd; Nanjing University of Posts and Telecommunications
Priority date: 2020-10-28
Filing date: 2021-03-12
Publication date: 2022-11-30
Anticipated expiration: 2041-03-12
Also published as: US20220300662A1; US11520934B2; JP7270172B2; CN112000996B; WO2022088584A1; CN112000996A

Abstract

本発明に係る差分解読法攻撃を防ぐ方法は、適応型スキャンチェーン、制御モジュールおよび平文分析モジュールによって実行され、平文分析モジュールにより適応型スキャンチェーンを制御することにより、１バイトのみにおける最後の１ビットが異なる２つの平文を、異なる構造のスキャンチェーンに入力させるため、元々差分解読法攻撃技術を使用して暗号化キーを解読できる２つの入力平文は、差分解読法攻撃技術で使用できる出力を生成できなくなる。複雑なスキャンチェーンと比較して、本発明に係る回路構造によれば、差分解読法攻撃を使用する攻撃者をある程度混乱させることができ、攻撃者が間違った暗号化キーを回復する可能性がある。テストの結果によれば、適応型スキャンチェーンの構造に基づく平文分析技術のセキュリティは、大幅に向上されたことが証明された。【選択図】図１

Description

本発明は、ハードウェアセキュリティの技術分野に関し、具体的には、高度暗号化規格（ＡＥＳ）回路のテストのための差分解読法攻撃を防ぐ方法に関する。

情報ネットワークは、その幅広い相互接続特性により、人々の生活や生産に大きな利便性をもたらし、現代社会の急速な発展を促進している一方、情報セキュリティの問題も引き起こされている。このようなことに鑑みて、学者達は「セキュリティチップ」という概念を提出し、その原理は、通常のチップの周辺において暗号化された回路を追加することである。このような暗号化された回路は、ＤＥＳ（ＤａｔａＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ）、ＡＥＳ、ＲＳＡなどの暗号化アルゴリズムを利用して実現されうる。なお、テスト問題といえば、チップ製造プロセスにおいて生じる不具合を検出することを目的とする次のような実装原理を有するＤＦＴ技術について言及せざるを得ない。具体的には、スキャンチェーン技術を組み込むことにより、タイミングと組み合わせロジックとが混在するチップを純粋な組み合わせロジック回路に変換し、続いて、スキャンチェーンについてシフト（ｓｈｉｆｔ）およびキャプチャ（ｃａｐｔｕｒｅ）操作を実行して、チップ内部の組み合わせロジックから応答を取得し、該応答を自動テストパターンジェネレーション（ＡＴＰＧ）によって生成された応答ベクトルと比較することにより、製造プロセスにおいてチップの不具合が生じたか否かを判断する。プロセスの改善に伴い、製造中に不具合が生じる確率はますます高くなっているため、ＤＦＴ技術は広く応用されている。また、ＤＦＴ技術の導入により、攻撃者はスキャンチェーンを利用して、チップに保存された完全に暗号化されていない情報を取得できる。これら完全に暗号化されていない情報に対する分析は、暗号化チップのセキュリティを大きく脅かし、その中でも、広く使用されている攻撃手法は、差分解読法である。このような攻撃方法は、暗号化キーを推測することにより、攻撃者が暗号化されていない機密情報を取得できるため、暗号化チップのセキュリティを大きく脅かし、個人のプライバシー情報の漏洩を引き起こしてしまう。

本発明は、入力平文の解析によってＡＥＳ回路を保護できる差分解読法攻撃を防ぐ方法を提供することを目的とする。チップがリセットされた後にテストモードに切り替わったこと（アクション）が検出された場合、該アクションは制御モジュールによって記録される。該モジュールからの出力信号により、平文分析モジュールを動作開始させるか否かを決定する。平文分析モジュールが動作開始すると、チップの入力平文の解析を開始する。入力平文間の法則が差分解読法の平文法則と類似している場合、チップ内のスキャンチェーンの構造が変更される。スキャンチェーンの構造が変更されたことを知らずに、攻撃者はこの構造に騙される可能性はあるが、スキャンチェーンの構造を変更しても、完全に暗号化されていない情報が出力される場合があり、該情報は、スキャンチェーンの構造を変更する前の出力よりも複雑である。このようなさらに複雑な構造が攻撃者によって取得されると、チップも安全でなくなるため、これをもとに、適応型スキャンチェーンの構造が導入され、適応型スキャンチェーンは、通常のスキャンチェーンまたは複雑なスキャンチェーンに変更できる。したがって、平文分析モジュールは、現在入力されている平文に重要な情報が漏洩するリスクがあると判断した場合、平文を複雑なスキャンチェーンに通過させることにより、チップのセキュリティを大幅に向上できる。

本発明に係る差分解読法攻撃を防ぐ方法は、適応型スキャンチェーン、制御モジュールおよび平文分析モジュールによって実行され、
適応型スキャンチェーンは、平文分析モジュールの出力信号に応じて構造が変更され、平文分析モジュールの出力値が０である場合、スキャンチェーンは通常のスキャンチェーンであり、平文分析モジュールの出力値が１である場合、スキャンチェーンは複雑なスキャンチェーンであり、
制御モジュールは、テストモードにおいてのみ動作するように平文分析モジュールを制御し、
制御モジュールは、平文分析モジュールを動作開始させるか否かを決定し、平文分析モジュールの平文分析の各過程において、現在の入力平文と前の入力平文との間が１バイトのみにおける最後の１ビットが変更されたことが検出されると、平文分析モジュールは、出力値を変更することにより適応型スキャンチェーンの構造を変更させ、
前記方法は、
制御モジュールが、チップがリセットされた後にテストモードに切り替わったか否かを検出して、該切り替わりのアクションを記録し、平文分析モジュールを動作開始させるか否かを判断するステップ１と、
平文分析モジュールが、チップの入力平文の分析を開始し、現在の入力平文と前の入力平文との間において平文が差分解読法の平文法則を満たしている場合、現在の入力平文の通過するスキャンチェーン構造を変更するステップ２と、
適応型スキャンチェーンを通常のスキャンチェーンまたは複雑なスキャンチェーンに変換でき、平文分析モジュールが、現時点において入力された平文に重要な情報が漏洩するリスクがあると判断した場合、平文を複雑なスキャンチェーンに通過させ、解析の結果としてリスクがないと判断した場合、通常のスキャンチェーンに通過させるステップ３と、
を含む。

さらに、適応型スキャンチェーンの構造は、平文分析モジュールの出力値を受け付けるセレクタによって制御され、選択信号が０である場合、元のスキャンチェーンを変更させず、選択信号が１である場合、スキャンチェーンの構造を変更させる。

さらに、制御モジュールは、チップがリセットされた後にテストモードに入るアクションｓｃａｎ＿ｅｎ＝１があるか否かを判断し、該アクションが発生した場合には記録を行い、具体的には、ｓｃａｎ＿ｍｏｄｅ信号が有効になっていることが検出されると、該モジュールからの出力信号がプルアップされ、平文分析モジュールが動作を開始する。

さらに、平文分析モジュールは、テストモードにおいてのみ有効になり、チップの電源が切られるまで動作を停止しない。

（１）平文分析モジュールにより適応型スキャンチェーンを制御することにより、１バイトのみにおける最後の１ビットが異なる２つの平文を、異なる構造のスキャンチェーンに入力させるため、元々差分解読法攻撃技術を使用して暗号化キーを解読できる２つの入力平文は、差分解読法攻撃技術で使用できる出力を生成できなくなる。

（２）複雑なスキャンチェーンと比較して、本発明によれば、差分解読法攻撃を使用する攻撃者をある程度混乱させることができる。キーを復元できる平文のペアが異なる構造のスキャンチェーンを通過しているため、第１ラウンドの暗号化後に取得したすべての値に対してＸＯＲ演算を行うと、結果における「１」の数が誤解を招き、攻撃者が間違った暗号化キーを回復する可能性がある。テストの結果によれば、適応型スキャンチェーンの構造に基づく平文分析技術のセキュリティは、大幅に向上されたことが証明された。

本発明の実施形態に係る全体ブロック図である。本発明の実施形態に係るＡＥＳ暗号化の初期ラウンドおよび第１ラウンドを示す図である。本発明の実施形態に係る適応型スキャンチェーンの構造を示す図である。本発明の実施形態に係る制御モジュール回路図である。本発明の実施形態に係る各ラウンドの平文分析プロセスを示す図である。本発明の実施形態に係る適応型スキャンチェーンのシミュレーション波形を示す図である。本発明の実施形態に係る制御モジュールのシミュレーション波形を示す図である。本発明の実施形態に係る平文分析モジュールのシミュレーション波形を示す図である。本発明の実施形態に係るＸＯＲｓゲート回路である。

以下、図面を参照しながら、本発明に係る技術的解決手段についてさらに詳細に説明する。
本実施形態では、差分解読法攻撃から暗号解読チップを保護することが困難であるとの問題を解決するための改善を行い、平文を解析することによって差分解読法攻撃を防ぐ効果的な方法を革新的に実現する。

差分解読法攻撃を防ぐための平文分析モジュールが供され、チップが機能モードにおいてのみ動作する場合、追加の電力消費を防ぐため、平文分析モジュールは動作しない。そして、チップがテストモードに入ることが検出されると、重要な情報が漏洩するリスクがあるため、この場合、平文分析モジュールは動作を開始する。本実施形態に係る３つのモジュールは、いずれもＶｅｒｉｌｏｇコードを使用してモデル化され、かつｖｃｓによって検証されている。図１は、デザイン全体のブロック図である。さらに、１バイトのみにおける最後の１ビットが異なる２つの平文を、異なるスキャンチェーンを通過させるため、チップのセキュリティが向上される。

（１）差分解読法について
差分解読法を実現するためには、まず、スキャンチェーンの構造を決定し、続いて、１２８ビットの平文における１ビットを毎回変更する必要がある。平文ペアがスキャンチェーンに送信されると、ＡＥＳ暗号化の第１ラウンド後の出力結果のペアを取得できる。このような実験を多数行い、上述の結果の間においてＸＯＲ演算を行い、結果において「１」の発生する頻度をカウントする。頻度が１である場合、平文が初期ラウンドのみを完了したときの値を一意的に決定できるため、結果は値を一意に決定でき、平文もわかっているため、攻撃者は暗号化キーを取得できる。

図２に示すように、２つの異なる平文バイトa_１，１ ^１およびa_１，１ ^２が入力されていると仮定すると、初期ラウンド操作の後、ｂ_１，１ ^１およびｂ_１，１ ^２が取得される。ｆ^１▲＋▼ｆ^２（▲＋▼は、ビットＸＯＲの演算を表す。以下、同じ。）演算の結果におけるデータビットが「１」である個数は９、１２、２３または２４であるため、表１に示されるように、ｆ^１▲＋▼ｆ^２演算におけるデータビットが「１」である個数は、ｂ_１，１ ^１によって定められる。たとえば、ｆ^１▲＋▼ｆ^２演算の結果におけるデータビットが「１」である個数が９である場合、ｂ_１，１ ^１およびｂ_１，１ ^２の値は、（ｂ_１，１ ^１，ｂ_１，１ ^２）＝（２２６，２２７）または（２２７，２２６）である。ｆ^１およびｆ^２に対応する平文バイトａは既知であるため、式ｂ＝ａ▲＋▼ＲＫ０によれば、ＲＫ０＝ａ▲＋▼ｂが得られ、暗号化キーを回復できる。

上記の分析により、暗号化キーＲＫ０は、暗号化されたバイトペア（ｂ_１，１ ^１，ｂ_１，１ ^２）の値を取得することによって推定できることがわかる。暗号化キーＲＫ０を推定できるすべての暗号化されたバイトペア（ｂ_１，１ ^１，ｂ_１，１ ^２）を二進数に変換すれば、暗号化されたバイトペア（ｂ_１，１ ^１，ｂ_１，１ ^２）の値の差が１であり、最後の１ビットのみが異なることがわかる。Ｂ＝ａ▲＋▼ＲＫ０が成り立つため、ａ＝ｂ▲＋▼ＲＫ０も成り立つ。したがって、暗号化キーの回復に使用できる平文バイトペア（a_１，１ ^１，a_１，１ ^２）も、値の差が１であり、最後の１ビットのみが異なるという特性を満たしている。

平文分析攻撃は、以下の２つの条件を満たす必要がある。
１つは、入力平文は、１バイトにおける最後のビットが１だけ異なる。
もう１つは、攻撃段階では、テストモードと機能モードを繰り返して切り替える必要がある。

上記差分解読法攻撃の1つ目の条件に対し、平文分析モジュールが提供され、暗号化キーの回復に使用可能な平文バイトペア（a_１，１ ^１，a_１，１ ^２）は、最後のビットの差が１である集合の部分集合に属するため、1バイトの最後のビットの差が1であることを、平文分析モジュールの選択条件とするとともに、暗号化キーの回復に使用可能な平文ペアの判断条件とする。また、差分解読法攻撃の２つ目の条件に応じて、制御モジュールが提供され、テストイネーブル信号が検出される限り、制御モジュールは、平文分析モジュールを動作開始させるための信号を出力し、平文分析モジュールと連携して適応型スキャンチェーンの構造を制御する。平文分析モジュールは、以前に入力された平文と現在入力されている平文とにおいて、1バイトにおける最後のビットが異なることを検出すると、スキャンチェーンの構造を変更するため、暗号化キーの回復に使用可能な平文ペアは、異なる構造のスキャンチェーンを通過し、ｆ^１とｆ^２とのＸＯＲ結果を使用しても暗号化キーＲＫ０を回復できなくなる。

（２）適応型スキャンチェーンの構造設計について
図３は、適応型スキャンチェーンの構造を示す図である。最後のスキャンレジスタのＳＩ端子からインバータを接続し、インバータの出力端子をＭＵＸの入力に接続し、ＭＵＸの出力をＸＯＲゲートの１つの入力に接続する。ここで、ＭＵＸは、平文分析モジュールから出力されるＣｈａｎｇｅ信号によって制御される。図３に示されるように、Ｃｈａｎｇｅ信号が「０」である場合、ＭＵＸからの出力は常に「０」であり、ＸＯＲゲートの２つの入力において、１つは通常のスキャンチェーンからの出力であり、もう１つはＭＵＸからの出力「０」であることがわかる。この場合、ｓｃａｎ＿ｏｕｔ信号の出力は、通常のスキャンチェーンの値であり、現在のスキャンチェーンが通常のスキャンチェーンであることを示す。入力平文が差分解読法の特性を満たしていることを平文分析モジュールが検出した場合、すなわち、Ｃｈａｎｇｅ信号が「１」である場合、ＸＯＲゲートの入力の１つは、引き続き通常のスキャンチェーンからの出力であるが、もう１つは、スキャンチェーンの最後から２番目のレジスタ値のＮＯＴゲートを通過した後の負の値に変化する。この場合、スキャンチェーンの構造は既に変更されている。しかしながら、攻撃者はスキャンチェーンが変更されたことに気付いていない可能性があり、これは、スキャンチェーンが引き続き入出力操作を正常に実行できるためである。なお、攻撃者は、構造が変更されたスキャンチェーンを知っている場合でも、現時点において、スキャンチェーンの構造が変更されていないかあるいは既に変更されているかを判断できないため、重要な情報を取得できない。図６は、適応型スキャンチェーンのシミュレーション波形を示す図であり、Ｃｈａｎｇｅ信号によりスキャンチェーンの構造の変化を制御している。Ｃｈａｎｇｅ信号が「０」である場合、ｓｃａｎ＿ｏｕｔ＿ｄａｔａは、入力平文ｄａｔａ＿ｉｎの通常のスキャンチェーンを通過した後の出力であり、Ｃｈａｎｇｅ信号が「１」である場合、スキャンチェーンの構造は複雑なスキャンチェーン構造に変化する。

（３）制御モジュール回路設計について
図４は、制御モジュールを示す図であり、チップがリセットされた後、ｓａｍｐｌｉｎｇ＿ｓｉｇｎａｌ信号は常に１である。ｓｃａｎ＿ｍｏｄｅが「１」であることが検出される場合、ＡＮＤゲートは「１」を出力し、ＯＲゲートも「１」を出力するが、ＯＲゲートにおいて出力される「１」がレジスタの入力に戻されるため、該モジュールからの出力は常に「１」である。言い換えれば、「１」に変化するｓｃａｎ＿ｍｏｄｅ信号の動作が検出されると、モジュールは常に「１」を出力し、その後のｓｃａｎ＿ｍｏｄｅ信号の変化とは無関係である。該モジュールからの出力は、平文分析モジュールを動作させるかまたは動作させないかの制御に使用される。ここで、レジスタは、出力を「１」に一定に保つためのキーである。図７は、制御モジュールのシミュレーション波形を示す図である。制御モジュールは、テストモード信号ｓｃａｎ＿ｍｏｄｅが「１」に変わると、ＯＵＴ信号を出力して平文分析モジュールの動作を開始させる。ｓａｍｐｌｅ＿ｓｉｇｎａｌは、ｓｃａｎ＿ｍｏｄｅ信号のサンプリング信号であり、チップが有効になった後は常に「１」である。

（４）平文分析モジュールの設計について
図５は、平文分析モジュールにおける平文分析の各ラウンドのフローチャートである。平文分析モジュールは、開始モジュールからの出力信号によって有効（動作開始）になり、内部には、それぞれ１６個の８＊２５６のメモリブロックがあり、これにより現在スキャンチェーンに入力する必要のある平文を書き込む。平文分析の各ラウンドでは、以前に入力された平文をメモリブロックから読み取り（ｒｅａｄ＿ｄａｔａと称する）、現在書き込もうとする平文と分析比較を行う必要がある。次の表に示されるように、１２８ビットの平文は１６バイトで構成され、各バイトが８ビットであるため、各メモリブロックの最大アドレスを２５５に設定し、各アドレスにおいて８ビットの平文を格納する。

各ラウンドの平文分析プロセスにおいて、ｗｒｉｔｅ＿ｄａｔａのアドレスはｉ、ｉ∈［０，２５５］であり、ｒｅａｄ＿データのアドレスはｊ、ｊ∈［０、ｉ）である。ｗｒｉｔｅ＿ｅｎ＝０、かつ、ｒｅａｄ＿ｅｎ＝１である場合、平文分析の各ラウンドが開始され、ｒｅａｄ＿ｄａｔａのアドレスは、以前にメモリブロックに格納されていたすべての入力平文バイトがトラバースされるまで、０から増え始める。平文分析の判断式は、ｒｅａｄ＿ｄａｔａ▲＋▼ｗｒｉｔｅ＿ｄａｔａ＝８’ｈ０１である。ｒｅａｄ＿ｄａｔａが上記判断式を満たす場合、以前に入力された平文バイトと現在の平文バイトとは最後のビットが異なることを示し、平文分析モジュールは、適応型スキャンチェーンの構造の変更するためのトリガー信号を出力する。他方、ｒｅａｄ＿ｄａｔａが上記判断式を満たさない場合、平文分析モジュールからの出力信号は低レベルのままで、スキャンチェーンは通常のスキャンチェーンである。図８は、平文分析モジュールのシミュレーション波形を示す図であり、ｗｒｉｔｅ＿ｅｎ＝０、かつ、ｒｅａｄ＿ｅｎ＝１である場合、平文分析の新しいラウンドが開始されることを示している。図８には、ｗｒｉｔｅ＿ｄａｔａがそれぞれ４と９である２ラウンドの平文分析が示されている。ｗｒｉｔｅ＿ｄａｔａ信号は、平文分析モジュールのメモリブロックおよびスキャンチェーンに現在書き込まれている平文バイトを表し、ｒｅａｄ＿ｄａｔａは、現在のラウンドにおいて平文分析が開始される前の全てのｗｒｉｔｅ＿ｄａｔａの値をトラバースする。この場合、平文分析モジュールは、判断式ｒｅａｄ＿ｄａｔａ▲＋▼ｗｒｉｔｅ＿ｄａｔａ＝８’ｈ０１が真であるか否かを判断し、真（ｔｒｕｅ）である場合、ｊｕｄｇｅ信号は「１」になる。したがって、平文分析の各ラウンドにおいて、ｊｕｄｇｅ信号が「１」に変化することが検出されると、判断式ｒｅａｄ＿ｄａｔａ▲＋▼ｗｒｉｔｅ＿ｄａｔａ＝８’ｈ０１を満たすｒｅａｄ＿Ｄａｔａが必ず存在することを示すため、ｃｈａｎｇｅ＿ｍｎ（図８におけるｃｈａｎｇｅ＿ｍ１）信号はハイレベルにプルアップされ、一方で、平文分析の各ラウンドが終了する際、すなわち、ｗｒｉｔｅ＿ｅｎ＝１、かつ、ｒｅａｄ＿ｅｎ＝０である場合、ｃｈａｎｇｅ＿ｍｎ信号は、「０」にリセットされる。平文分析モジュールの全体において、ｊｕｄｇｅ信号がプルアップされるたび、現在の平文分析のラウンドにおいて現在入力されている平文バイトと前の平文バイトとで最後のビットが異なることがあることを示すため、平文分析モジュールはｃｈａｎｇｅ＿ｍｎ（０＜ｎ＜１７）信号を１回変更させ、一方で、１６個のメモリブロックにおけるすべてのｃｈａｎｇｅ＿ｍｎ信号が最終的にＸＯＲｓゲート構造（図９を参照）を通過するため、Ｃｈａｎｇｅ信号の最終的な変化を制御することにより適応型スキャンチェーンの構造の変化を引き起こす。

（５）セキュリティ分析について
差分解読法攻撃では、セキュリティ分析を実行するにより、入力平文の分析方法が効果的な保護を提供できるか否かを判断する。本発明において、セキュリティ分析は、差分解読法攻撃により機密情報を取得する難しさに基づく。差分解読法を使用して機密情報を取得するには、以下に示される２つの困難がある。

１）中間値レジスタＲのスキャンチェーン内における位置を決めることが困難
中間値レジスタの位置を決めるためには、ビット差が「１」である２つの平文を入力する必要があるが、適応型スキャンチェーンの構造が導入されていない前提において、平文における1ビットの変更により中間値の複数の特定のビットが変更される可能性があり、さらにこれらの変更はスキャンチェーンから正しく伝達されるため、攻撃者は、これに基づいてスキャンチェーン内における中間値レジスタの位置を特定できてしまう。適応型スキャンチェーンが導入された後、攻撃者は最初の平文と１ビットだけ異なる平文を入力する。２つの平文の間において、差が１ビットしかなく、かつ、差が１であるビットが平文の１バイトの最後のビットにおいて発生する確率が１６／１２８である場合、平文分析モジュールは、スキャンチェーンの構造を変更する。この場合、スキャンチェーンの出力において変更されるビットは、中間値レジスタの位置に依存しなくなる（ＸＯＲの関係によるため）。しかしながら、平文1バイトにおける最後のビットが１だけ異なる場合、スキャンチェーンの構造が変更されるため、攻撃段階において適応型スキャンチェーンの構造が明らかになる可能性がある。このため、適応型スキャンチェーンの構造が変更できることを明らかにしなくても、攻撃者により中間値レジスタの位置が決められる可能性は高くなり、確率は７／８である。したがって、この段階において、攻撃者がスキャンチェーンの構造が変更できることを知っている確率は１／８であると推測できる。攻撃者がこの段階においてＫ回の攻撃を行う必要がある場合、攻撃者により中間値レジスタの位置を正しく決める確率は（７／８）^Ｋである。

２）中間値レジスタＲの値に基づいて暗号化キーを回復することが困難
適応型スキャンチェーンの導入により、スキャンチェーンが変更できることを知らずに、攻撃者が正しく暗号化キーＲＫ０を回復することはとても困難である。以下では、スキャンチェーンを変更できることはわかっているが、変更されたスキャンチェーンの特定の回路構造を知らない場合、攻撃者により暗号化キーＲＫ０を正常に回復する確率について説明する。暗号化キーの回復に使用可能な平文ペアの特徴に基づいて、仮に（２ｔ，２ｔ＋１）が暗号化キーの回復に使用可能な平文バイトペアであるとする。まず、ステップ１において、攻撃者はスキャンテストモードで平文バイト２ｔをスキャンチェーンに送信し、平文分析モジュールは平文バイト２ｔを平文分析モジュールに同期送信する。この場合、判断式ｒｅａｄ＿ｄａｔａ▲＋▼ｗｒｉｔｅ＿ｄａｔａ＝８’ｈ０１を満たさないため、平文分析モジュールから出力される信号は、スキャンチェーンの構造を変更せず、スキャンチェーンは通常のスキャンチェーンである。続いて、ステップ２において、攻撃者はスキャンテストモードで平文バイト２ｔ＋１をスキャンチェーンに送信する。この場合、判断式ｒｅａｄ＿ｄａｔａ▲＋▼ｗｒｉｔｅ＿ｄａｔａ＝８’ｈ０１が満たされているため、平文分析モジュールから出力される信号は、スキャンチェーンの構造を変更させ、スキャンチェーンは複雑なスキャンチェーンに変更される。以上の２つのステップにより、暗号化キーの回復に使用可能な平文バイトペア（２ｔ、２ｔ＋１）は、構造の異なるスキャンチェーンを通過し、暗号化キーは回復できなくなる。適応型スキャンチェーンのレジスタ構造の導入を、平文分析モジュールによりトリガーするため、上述した２つの困難は大幅に向上される。攻撃者が最初のステップ１において中間値レジスタの位置を決められたとしても、攻撃者がステップ２での攻撃を行うためには、やはり差分解読法を使用する必要があるが、適応型スキャンチェーンにより暗号化キーの回復に使用可能な平文のペアが異なるスキャンチェーンに導かれるため、攻撃者は暗号化キーＲＫ０を回復できない。

以上の通りで、本発明の好ましい実施形態について説明したが、本発明の保護範囲は、上記実施形態に限定されない。なお、本明細書において説明された内容に基づいて、いわゆる当業者は、均等範囲内において改良または変更を行うことができるが、これらは、特許請求の範囲に示された保護範囲に含まれるべきである。

Claims

適応型スキャンチェーン、制御モジュールおよび平文分析モジュールによって実行される差分解読法攻撃を防ぐ方法であって、
前記適応型スキャンチェーンは、平文分析モジュールの出力信号に応じて構造が変更され、平文分析モジュールの出力値が０である場合、スキャンチェーンは通常のスキャンチェーンであり、平文分析モジュールの出力値が１である場合、スキャンチェーンは複雑なスキャンチェーンであり、
前記制御モジュールは、テストモードにおいてのみ動作するように平文分析モジュールを制御し、
前記制御モジュールは、平文分析モジュールを動作開始させるか否かを決定し、平文分析モジュールの平文分析の各過程において、入力平文間で１バイトのみにおける最後の１ビットが変更されたことが検出されると、平文分析モジュールは、出力値を変更することにより適応型スキャンチェーンの構造を変更させ、
前記方法は、
前記制御モジュールが、チップがリセットされた後にテストモードに切り替わったか否かを検出して、該切り替わりのアクションを記録し、平文分析モジュールを動作開始させるか否かを判断するステップ１と、
前記平文分析モジュールが、チップの入力平文の分析を開始し、現在の入力平文と前の入力平文との間において平文が差分解読法の平文法則を満たしている場合、現在の入力平文の通過するスキャンチェーン構造を変更するステップ２と、
適応型スキャンチェーンを通常のスキャンチェーンまたは複雑なスキャンチェーンに変換でき、平文分析モジュールが、現時点において入力された平文に重要な情報が漏洩するリスクがあると判断した場合、平文を複雑なスキャンチェーンに通過させ、解析の結果としてリスクがないと判断した場合、通常のスキャンチェーンに通過させるステップ３と、
を含む、差分解読法攻撃を防ぐ方法。
前記適応型スキャンチェーンの構造は、平文分析モジュールの出力値を受け付けるセレクタによって制御され、選択信号が０である場合、元のスキャンチェーンを変更させず、選択信号が１である場合、スキャンチェーンの構造を変更させる、ことを特徴とする請求項１に記載の差分解読法攻撃を防ぐ方法。
前記制御モジュールは、チップがリセットされた後にテストモードに入るアクションｓｃａｎ＿ｅｎ＝１があるか否かを判断し、該アクションが発生した場合には記録を行い、具体的には、ｓｃａｎ＿ｍｏｄｅ信号が有効になっていることが検出されると、該モジュールからの出力信号がプルアップされ、平文分析モジュールが動作を開始する、ことを特徴とする請求項１に記載の差分解読法攻撃を防ぐ方法。
前記平文分析モジュールは、テストモードにおいてのみ有効になり、チップの電源が切られるまで動作を停止しない、ことを特徴とする請求項１に記載の差分解読法攻撃を防ぐ方法。