CN103647639A - 一种对称密码算法抵抗侧信道分析的方法 - Google Patents

Abstract

本发明设计了一种对称密码算法抵抗侧信道分析的方法，能够抵抗针对对称密码算法的侧信道攻击，阻止攻击者通过侧信道分析获取对称算法的运算密钥。对称密码算法可以通过软、硬件实现，在运算过程中，实现载体会通过侧信道泄露运算的密钥信息，例如利用运算过程中的功耗信息进行差分功耗分析攻击。侧信道分析对对称密码算法的软、硬件实现安全性产生了很大的威胁。本发明提出了一种对称密码算法抵抗侧信道分析的方法，在整个对称密码运算过程中，没有攻击者已知的明文数据参与运算，对称密码运算中的中间结果具有随机的掩码，且每轮运算的掩码不同，使得攻击者从侧信道分析中获取密钥信息变得极为困难，从而实现对对称密码算法密钥的保护。

Description

一种对称密码算法抵抗侧信道分析的方法

技术领域

本发明涉及在电子部件中安全地执行DES密码算法的方法，尤其涉及电子部件在执行DES算法时抗侧信道攻击的方法。

背景技术

在数学原理上已证明是足够安全的对称密码算法如DES、AES等，在软硬件实现过程中，存在许多安全漏洞。这些安全漏洞往往通过功耗、运算时间和电磁辐射等侧信道形式被攻击者获取并进行统计分析。侧信道分析可以通过测量记录密码算法运算过程中的功耗、时间、电磁辐射等这些侧信道信息，经过数学计算，获取密码运算中使用的密钥信息，对密码算法的实现安全性产生了很大的威胁。因此，对称密码算法的实现安全性得到越来越多的重视。

对称密码算法通常有多轮运算构成，每轮运算结构相同，每轮运算中，长的密钥会拆成多个子密钥进行运算。在对对称密码算法进行侧信道分析过程中，攻击者需要利用已知明文，通过猜测运算过程中的子密钥，计算出运算过程中的一个中间值，测量记录该中间值产生的侧信道信息，经过统计分析，可以证实子密钥猜测是否正确，从而获取整个密码。

针对侧信道分析，有多种防御方法，例如增加功耗噪声，使用随机数进行数据掩码，均衡功耗变化等。本文提出的是一种新的基于掩码思想的防御方法。

发明内容

本发明提出了一种对称密码算法抵抗侧信道分析的方法，把对称密码算法的轮运算拆分成了对掩码的运算和对掩码后的明文的运算，使用计数器遍历子密钥，和掩码计算出多个中间结果，以计数器遍历的顺序，存储到存储单元中，存储时，加入了新的掩码；然后使用掩码后的明文和密钥计算出索引值，从存储单元中取出中间结果，经过运算后得出轮运算结果，计算出的轮运算结果具有掩码。在运算时，每轮运算都取用新的随机数作为掩码，使每轮运算结果具有的掩码不同。在整个对称密码运算过程中，没有攻击者已知的数据参与运算，参与运算的明文和中间运算结果都带有随机的掩码，且每轮运算的掩码不同，攻击者通过猜测密钥，计算出的运算过程中的中间值在实际运算中并不存在，也就无法通过对侧信道信息的统计分析，来判断密钥猜测的正确性，从而使得通过侧信道分析获取密钥信息变得极为困难。

该方法由部件掩码A、计数器、掩码B、密码函数1、存储单元、掩码后的明文、密码函数2、密钥、密码函数3、运算结果组成。把对称密码算法的轮运算分成三个步骤，步骤1)由掩码A，计数器，掩码B，密码函数1计算出中间结果，存储到存储单元中；步骤2)由掩码A掩码后的明文、密钥、密码函数2计算出索引值；步骤3)根据索引值从存储单元中获取中间结果，经过密码函数3计算出轮运算结果。重复上述步骤，直到完成对称密码算法规定的所有轮数。

本方法中，掩码A，掩码B是两个随机数，且掩码A不等于掩码B，掩码B在存储中间结果到存储单元时使用，在每轮运算时，取用新的随机数作为掩码B，使得每轮运算结果具有的掩码不同。步骤1)计算中，使用计数器遍历子密钥空间，对掩码A，掩码B进行密码函数1运算，运算得出的中间结果以计数器遍历的顺序，存入存储单元中。步骤1)中存储单元实现方式包括但不限于寄存器，单独的RAM存储器，外部SRAM。步骤2)中，使用经过随机数掩码A掩码以后的明文、密钥进行密码函数2运算，计算出的值作为查找存储单元的索引值。步骤3)中根据索引值从存储单元中获取中间结果，经过密码函数3计算出轮运算结果，该轮运算结果是具有掩码的轮运算结果。对称密码算法的全部轮运算都由这三步完成，或者只有部分轮运算由这三步完成。例如前两轮运算和后两轮运算使用该方法进行运算，其他轮数进行正常运算。

附图说明

图1是本发明方法的原理图。

图2是以对称密码算法中常见的DES算法为例，说明本发明方法的具体实施方式。

具体实施方式

本发明适用于多种对称密码算法，下面以对称密码算法中常见的DES算法为例，说明本发明方法的具体实施方式。

DES算法的原始计算流程是把64位明文分为左L0，右R0，各32位，右半边数据R0经过扩展变换E，扩展到48位宽，然后和48位宽的轮密钥Key1进行异或，生成的48位数据分为6位一组，共8组，经过8个6进4出SBOX生成32位数据，该结果经过P变换然后和左半边数据L0进行异或后生成轮运算结果R1＝L0^F(R0，key1)，R0交换到左半边生成L1＝R0。重复该步骤直至完成16轮运算。

把本发明方法应用到DES算法上，计算流程如图2所示，1)取随机数M1，M2作为掩码A，掩码B；2)掩码A为32位随机数，经过扩展变换E变为48位数据D1；3)计数器为6Bits计数器C1；4)D1、C1异或后，送入8个S盒，S盒为DES算法的6Bits进4Bits出的变换表，输出32Bits数据D2；5)PR是DES算法中P置换的逆变换，掩码B为和掩码A不同的32位随机数，左一半数据L经过掩码A掩码，然后经过PR变换后和D2异或生成D3；6)计数器C1从0计数到63，遍历子密钥空间，生成不同的D3存储到存储单元中；7)右一半数据R经过掩码A掩码，然后经过扩展变换E后和密钥异或生成索引值N1；8)根据N1从存储单元中取出数据D4；9)D4经过P置换后生成带有掩码的轮运算结果。完成DES的一轮运算。重复该步骤，完成16轮DES运算。

下表列出了每轮运算结果掩码值的变化和最终的掩码值。

轮数	右半边数据R	左半边数据L	掩码A	掩码B	随机数(32位)
						初始	R0^M1	L0^M1	M1	M2	M1，M2
第1轮结果	R1^M1^M2	R0^M1^M2	M1^M2	M3	M3
						第2轮结果	R2^M1^M2^M3	R1^M1^M2^M3	M1^M2^M3	M4	M4
...	...	...	...	...	...
						第15轮结果	R15^M1^..^M16	R14^M1^..^M16	M1^M2^...^M16	M17	M17
第16轮结果	R16^M1^..^M17	R15^M1^..^M17	M1^M2^...^M17

从表中可以看出，在本实现示例中，最终的DES运算结果具有的掩码值为M1^M2^...^M17。把最终的运算结果和该值异或，即可得到正确的DES运算结果。从整个运算过程可以看出，运算中没有攻击者已知明文出现，中间运算过程中不需要脱去掩码，每轮的运算结果具有不同的掩码。最终可以通过异或运算得到正确的DES运算结果。通过该方法，实现了对整个运算过程的安全保护，能有效抵御侧信道的攻击。

上文以DES为例，说明了本发明方法的具体实现。对于该领域技术人员，根据本发明描述的方法，可以做出其他对称密码算法的具体防护实现，并不仅局限于DES算法。也可以使用本发明方法，做出一个具体实现，同时支持多种对称密码算法。

Claims (8)

1.一种对称密码算法抵抗侧信道分析的方法，其特征在于：该方法把对称密码算法的轮运算拆分成了对掩码的运算和对掩码后的明文的运算，使用计数器遍历子密钥，和掩码计算出多个中间结果，以计数器遍历的顺序，存储到存储单元中，存储时，加入了新的掩码；然后使用掩码后的明文和密钥计算出索引值，从存储单元中取出中间结果，经过运算后得出轮运算结果，计算出的轮运算结果具有掩码。

2.如权利要求1所述的方法，其特征在于所述对称密码算法的轮运算具体步骤如下：

1)由掩码A，计数器，掩码B，密码函数1计算出中间结果，存储到存储单元中；

2)由掩码A掩码后的明文、密钥、密码函数2计算出索引值；

3)根据索引值从存储单元中获取中间结果，经过密码函数3计算出轮运算结果；

其中掩码A，掩码B是两个随机数，且掩码A不等于掩码B；密码函数1、密码函数2、密码函数3是对称密码算法中的函数运算。

3.如权利要求2所述的方法，其特征在于每轮运算时，取用新的随机数作为掩码B，使得每轮运算结果具有的掩码不同。

4.如权利要求2所述的方法，其特征在于步骤1)中，使用计数器遍历子密钥空间，对掩码A，掩码B进行密码函数1运算，运算得出的中间结果以计数器遍历的顺序，存入存储单元中。

5.如权利要求2或3所述的方法，其特征在于所述存储单元实现方式包括但不限于寄存器，单独的RAM存储器，外部SRAM。

6.如权利要求2所述的方法，其特征在于步骤2)中，使用经过随机数掩码A掩码以后的明文、密钥进行密码函数2运算，计算出的值作为查找存储单元的索引值。

7.如权利要求2所述的方法，其特征在于步骤3)中经过密码函数3计算出的轮运算结果具有掩码。

8.如权利要求1所述的方法，其特征在于：使用权利要求1描述的步骤完成对称密码算法的所有轮或部分轮运算。

Images