CN102546160A - 用于椭圆曲线密码防御差分功耗攻击的方法 - Google Patents

Abstract

本发明公开了一种用于椭圆曲线密码防御差分功耗攻击的方法，包括步骤：步骤一，在椭圆曲线e(

)上选择一个非零点p＝(x:y:1)，给定任意整数m；步骤二，计算同构映射φ(p)＝(f^ux:f^vy:1)，并记p′＝(x′:y′:1)＝φ(p)；步骤三，计算标量乘mp′，并记点r＝mp′＝(x″:y″:z″)；步骤四，计算同构逆映射φ^-1(r)＝(f^vx″:f^v+2uy″:f^v+uz″)＝mp。利用该方法能以极小的时间代价防御差分功耗攻击。

Description

用于椭圆曲线密码防御差分功耗攻击的方法

技术领域

本发明涉及一种防御差分功耗攻击的方法，特别是涉及一种用于椭圆曲线密码防御差分功耗攻击的方法。

背景技术

在López Dahab射影坐标下，二进制域上椭圆曲线E(

)可以表示为

Y²+XYZ＝X³Z+a₂X²Z²+a₆Z⁴

定义无穷远点∞＝(1:0:0)。当Z₁≠0时，

Dahab射影坐标下的点(X₁:Y₁:Z₁)对应仿射坐标下的点是

设椭圆曲线E()上任意两个点P，Q，当P，Q使用López Dahab射影坐标表示时，若R＝P+Q，R的坐标通过以下公式计算：

如果P＝∞则R＝∞+Q＝Q；

如果Q＝∞则R＝P+∞＝P；

现在不妨设P≠∞且Q≠∞。

记P＝(X₁:Y₁:Z₁)，Q＝(X₂:Y₂:Z₂)，R＝(X₃:Y₃:Z₃)。

如果P≠Q，则

X₃＝A(H+D)+B(G+C)

Y₃＝F(AJ+FG)+(J+Z₃)X₃

Z₃＝FZ₁Z₂

其中，A＝X₁Z₂，B＝X₂Z₁，C＝A²，D＝B²，E＝A+B，F＝C+D，

I＝G+H，J＝IE。

如果P＝Q，则

X₃＝C²+B

Y₃＝(Y₁+a₂Z₃+B)X₃+Z₃B

Z₃＝AC

其中，B＝a₆A²，

在以上公式中，当P≠Q时称为点加运算，当P＝Q时称为倍点运算。在这里点加运算需要13M+4S，即13次有限域中乘法和4次有限域中平方；而倍点运算需要4M+5S，即4次有限域中乘法和5次有限域中平方。与二进制域上的其它标准射影坐标、Jacobian射影坐标以及仿射坐标相比，这些运算在López Dahab射影坐标下的速度是最快的。

密码设备在进行运算和工作时，不可避免的存在着某些信息的泄漏，比如：时间消耗、能量损失、电磁辐射和出现错误结果等等。把对以上这些泄漏信息的监测与分析和对算法的数学分析结合起来，就成为获取密钥信息、揭示芯片工作原理和最终破译加密芯片的最强大工具。并由此产生了一系列旁路攻击方法，差分功耗攻击就是其中一个极有威胁的攻击。如，对于智能卡中的密码算法，差分功耗攻击则极大地危胁智能卡的安全性。因此，研究防御差分功耗攻击的方法是非常有意义的。

标量乘是椭圆曲线密码的核心运算，通过对标量乘进行差分功耗分析，可以获得密钥。为此人们提出了标量盲化和射影坐标随机化等方法，用来抵抗差分功耗攻击。标量盲化时需要选取较大的随机数，否则会导致不安全。因此一般情况下，标量盲化方法比射影坐标随机化方法更耗时。射影坐标随机化方法的思想是把点P＝(X₁:Y₁:Z₁)映射到P′＝(θX₁:θ²Y₁:θZ₁)，再计算mP′。但是这里θ是有限域中的随机非零点，而且不能取为1，否则映射没有意义。由于θ≠1，从而P′的Z坐标不等于1，这样计算mP′过程中只能调用一般的点加运算公式，其耗时为13M+4S。因此，使用射影坐标随机化方法防御差分功耗攻击，也需要牺牲较多的时间。

发明内容

本发明要解决的技术问题是提供一种用于椭圆曲线密码防御差分功耗攻击的方法，该方法使得点P′的Z坐标可以取1，从而达到以极小的时间代价防御差分功耗攻击，获得更高的安全性。

为解决上述技术问题，本发明的用于椭圆曲线密码防御差分功耗攻击的方法，是基于二进制域

上椭圆曲线E(

)，该方法包括如下步骤(称其为算法1)：

步骤一，在椭圆曲线E(

)上选择一个非零点P＝(X:Y:1)，给定任意整数m；其中，n＞80；

步骤二，计算同构映射φ(P)＝(f^uX:f^vY:1)，并记P′＝(X′:Y′:1)＝φ(P)；其中，u、v是正整数，且v≥2u；f是域

中随机选取的非零元变量，且要求f^h的Hamming重量(Hamming Weight，汉明重量)值小于

其中，h＝v-u，v-2u或v+2u；该步骤中P′的Z坐标取1；

步骤三，计算标量乘mP′，并记点R＝mP′＝(X″:Y″:Z″)；

步骤四，计算同构逆映射φ^-1(R)＝(f^vX″:f^v+2uY″:f^v+uZ″)＝mP。

上述步骤三中，可以通过调用以下步骤的算法(称其为算法2)来计算R＝mP′：

步骤(1)，输入整数m以及P′＝(X′:Y′:1)；

步骤(2)，把整数m展开成二进制形式

步骤(3)，给点Q赋初始值：Q←∞【即Q＝∞＝(1:0:0)】；

步骤(4)，从i＝0到i＝s-1循环：

步骤(5)，如果m_i＝1，则计算Q←Q+P′(即Q+P′的值赋予Q)；该步骤(5)中是通过点加运算完成的；

步骤(6)，计算P′←2P′(即2P′的值赋予P′)；该步骤(6)是通过倍点运算完成的；

步骤(7)，i←i+1(即i+1的值赋予i)；

步骤(8)，循环结束后，输出点Q。

最后，点Q的值就等于所求的R＝mP′。

上述步骤(2)中的m还可以展开成其它形式，但其计算原理是一样的。例如m＝∑m′_ip^wi，其中，p是一个素数(如3，5等)，w是一个整数(如2，4，5等)，

如m＝9988＝2×3^4×2-39×3⁴+25，其中，本式中的p＝3，w＝4，i＝2、1、0，m′_i＝2、-39、25；

如m＝116019＝7×5^2×3+11×5^2×2-9×5²-6，

其中，本式中的p＝5，w＝2，i＝3、2、1、0，m′_i＝7、11、-9、-6。

上述步骤(5)中的点加运算和步骤(6)中的倍点运算由以下新公式完成。它们使得mP′的计算能够顺利进行，同时保证了φ^-1(R)＝mP这个等式成立。

新公式具体如下：

椭圆曲线E()上任意点P′、Q，其中，P′＝(X′₁:Y′₁:Z₁)，Q＝(X′₂:Y′₂:Z₂)，并记P′+Q＝(X′₃:Y′₃:Z₃)；

点加运算公式如下：

如果P′＝∞，则P′+Q＝∞+Q＝Q；

如果Q＝∞，则P′+Q＝P′+∞＝P′；

当P′≠∞且Q≠∞，P′≠Q时，则

X′₃＝A(H+D)+B(G+C)

Y′₃＝(AJ+FG)F+(J+f^v-uZ₃)X′₃

Z₃＝FZ₁Z₂

其中，A＝X′₁Z₂，B＝X′₂Z₁，C＝f^v-2uA²，D＝f^v-2uB²，E＝A+B，F＝C+D，

I＝G+H，J＝f^v-2uIE。

倍点运算公式如下：

如果P′＝∞，则P′+Q＝∞+Q＝Q；

如果Q＝∞，则P′+Q＝P′+∞＝P′；

当P′≠∞且Q≠∞，P′＝Q，则

X′₃＝f^v-2uC²+B

Y′₃＝(Y′₁ ²+a₂f^v-uZ₃+f^v-2uB)X′₃+f^v-uZ₃B

Z₃＝f^v-uAC

其中，

B＝a₆f^v+2uA²，C＝X′₁ ²。

本发明通过适当的选择f，使得f^h的Hamming重量很小(h＝v，v-u、v-2u或v+2u，从而以上点加运算和倍点运算公式中的乘以f^h可以通过先多项式乘法运算，再约减运算实现。因为多项式的系数为0或1，所以乘以f^h可以用移位和异或完成；而当生成二进制域

的不可约多项式为三项式或五项式时，约减运算也可以用移位和异或完成。由于移位和异或运算相对于二进制域中的乘法来说其耗时可以忽略不计，因此f^h的Hamming重量很小时，乘以f^h的耗时也可以忽略不计。

本发明通过在椭圆曲线E(

)上选择一个非零点P＝(X:Y:1)，定义同构映射

这样椭圆曲线密码中的核心运算标量乘mP，m∈Z的计算就转换为先计算mP′，然后用逆映射φ^-1(mP′)映射回mP。由于f是随机选取的变量，从而起到了盲化坐标的作用，进而可以抵抗差分功耗攻击。

传统方法在防御差分功耗攻击的同时，需要额外消耗较多时间，而本发明的方法由于在计算点乘mP时，P′的Z坐标是可以取1的，从而可以调用快速点加运算，其耗时只需要10M+3S，因此能以极小的代价防御差分功耗攻击。

附图说明

图1是在标量乘计算过程中使用本发明的流程图；

图2是算法2标量乘计算的流程图。

具体实施方式

参见图1并结合图2，本发明提供了一个使用防御差分功耗攻击方法的标量乘计算流程来说明本发明的具体实施细节。

美国国家标准技术研究院(NIST)推荐了15套参数用于椭圆曲线密码。本实施例中采用其中的一套参数，具体如下：

E：y²+xy＝x³+x²+b

p(t)＝t¹⁶³+t⁷+t⁶+t³+1

r＝5846006549323611672814742442876390689256843201587

b＝0x2 0a601907 b8c953ca 1481eb10 512f7874 4a3205fd

P_x＝0x3 f0eba162 86a2d57e a0991168 d4994637 e8343e36

P_y＝0x0 d51fbc6c 71a0094f a2cdd545 b11c5c0c 797324f1

本实施例中的椭圆曲线E(

)中的n＝163，现取十六进制整数m，m＝0xe4040cf925d6ff9b8be31e8263dcf0b831bd55ed，随机选取十六进制整数f＝0x8，且u＝1，v＝2。

步骤一，将上述P_x、P_y，输入到P＝(P_x:P_y:1)中；

步骤二，计算同构映射φ(P)＝(X′:Y′:1)＝P′，得到

X′＝0x3f0eba16286a2d57ea0991168d4994637e8343e36

Y′＝0xd51fbc6c71a0094fa2cdd545b11c5c0c797324f1

步骤三，调用算法2(如图2所示)，并利用该算法2中的点加运算公式和倍点运算公式，计算R＝mφ(P)＝(X″:Y″:Z″)，得到

X″＝0x1ed65436e6213e1991530ad8448a0d596f60da6ea

Y″＝0x7d756770b2b7c8820b 1530119ed7e8e3560818c1f

Z″＝0x41ac50e945a32e3f263582377a0cf2626b053cc22

步骤四，计算同构逆映射φ^-1(R)＝(X″′:Y″′:Z″′)，得到

X”’＝0x35950db9884f866454c2b6112283565bd8369beb7

Y″′＝0x56770b2b7c8820b1530119ed7e8e3560818c5be5e

Z″′＝0x58a1d28b465c7e4c6b046ef419e4c4d60a7988fb6

为了验证点加运算公式和倍点运算公式的正确性，直接调用算法2计算mP，发现mP＝φ^-1(R)。从而说明本发明的公式是正确的。因此，本发明可以通过上述的点加运算公式和倍点运算公式，使得算法1中步骤三顺利进行，从而保证了φ^-1(R)＝mP这个等式成立。

上述步骤中，计算φ^-1(R)这个逆映射时并没有用到二进制域中的逆运算，因此，这样定义的逆映射可以很快地计算。另外，本实施例中的f^h的Hamming重量很小，乘以f^h的耗时忽略不计。而且当计算标量乘mP时，可以把P的Z坐标取为1，即P＝(X₁:Y₁:1)，这样点加运算只需要10M+3S，即10次有限域中乘法和3次有限域中平方，比一般点加运算少了3次乘法和1次平方。因此，相对于现有的防御差分功耗攻击时使用的盲化标量的方法，本发明更安全、更快速。

以上通过实施例，对本发明进行了详细的说明，但本发明的保护范围不限于所述的实施例。在不脱离本发明原理的情况下，本领域技术人员还可做出许多变形和改进，这些也应视为本发明的保护范围。

Claims (8)

1.一种用于椭圆曲线密码防御差分功耗攻击的方法，包括步骤：

步骤一，在椭圆曲线E(

)上选择一个非零点P＝(X:Y:1)，给定任意整数m；

步骤二，计算同构映射φ(P)＝(f^uX:f^vY:1)，并记P′＝(X′:Y′:1)＝φ(P)；

步骤三，计算标量乘mP′，并记点R＝mP′＝(X″:Y″:Z″)；

步骤四，计算同构逆映射φ^-1(R)＝(f^vX″:f^v+2uY″:f^v+uZ″)＝mP。

2.如权利要求1所述的用于椭圆曲线密码防御差分功耗攻击的方法，其特征在于：所述步骤一中，n＞80。

3.如权利要求1所述的用于椭圆曲线密码防御差分功耗攻击的方法，其特征在于：所述步骤二中，u、v是正整数，且v≥2u；

f是域

中随机选取的非零元变量，且要求f^h的汉明重量值小于

其中，h＝v-u，v-2u或v+2u。

4.如权利要求1所述的用于椭圆曲线密码防御差分功耗攻击的方法，其特征在于：所述步骤二中，P′的Z坐标取1。

5.如权利要求1所述的用于椭圆曲线密码防御差分功耗攻击的方法，其特征在于：所述步骤三中，通过调用以下步骤的算法来计算R＝mP′：

步骤(1)，输入整数m以及P′＝(X′:Y′:1)；

步骤(2)，把整数m展开成二进制形式

步骤(3)，给点Q赋初始值：Q←∞；

步骤(4)，从i＝0到i＝s-1循环：

步骤(5)，如果m_i＝1，则计算Q←Q+P′；

步骤(6)，计算P′←2P′；

步骤(7)，i←i+1；

步骤(8)，循环结束后，输出点Q；

最后，点Q的值就等于所求的R＝mP′。

6.如权利要求5所述的用于椭圆曲线密码防御差分功耗攻击的方法，其特征在于：所述步骤(2)中的m还能以如下形式展开：

m＝∑m′_ip^wi

其中，p是一个素数，w是一个整数，

7.如权利要求5所述的用于椭圆曲线密码防御差分功耗攻击的方法，其特征在于：所述步骤(5)是通过点加运算完成的，具体运算公式如下：

椭圆曲线E(

)上任意点P′、Q，其中，P′＝(X′₁:Y′₁:Z₁)，Q＝(X′₂:Y′₂:Z₂)，并记P′+Q＝(X′₃:Y′₃:Z₃)；

如果P′＝∞，则P′+Q＝∞+Q＝Q；

如果Q＝∞，则P′+Q＝P′+∞＝P′；

当P′≠∞且Q≠∞，P′≠Q时，则

X′₃＝A(H+D)+B(G+C)

Y′₃＝(AJ+FG)F+(J+f^v-uZ₃)X′₃

Z₃＝FZ₁Z₂

其中，A＝X′₁Z₂，，B＝X′₂Z₁，C＝f^v-2uA²，D＝f^v-2uB²，E＝A+B，F＝C+D，

I＝G+H，J＝f^v-2uIE。

8.如权利要求5所述的用于椭圆曲线密码防御差分功耗攻击的方法，其特征在于：所述步骤(6)是通过倍点运算完成的，具体运算公式如下：

椭圆曲线E(

)上任意点P′、Q，其中，P′＝(X′₁:Y′₁:Z₁)，Q＝(X′₂:Y′₂:Z₂)，并记P′+Q＝(X′₃:Y′₃:Z₃)；

如果P′＝∞，则P′+Q＝∞+Q＝Q；

如果Q＝∞，则P′+Q＝P′+∞＝P′；

当P′≠∞且Q≠∞，P′＝Q，则

X′3＝f^v-2uC²+B

Y′₃＝(Y′₁ ²+a₂f^v-uZ₃+f^v-2uB)X′₃+f^v-uZ₃B

Z₃＝f^v-uAC

其中，

B＝a₆f^v+2uA²，C＝X′₁ ²。

Images