CN104168264A - 一种低成本、高安全性物理不可克隆函数 - Google Patents

Abstract

本发明公开了一种低成本、高安全性物理不可克隆函数。该物理不可克隆函数由异或门环密钥生成器与带密钥的散列函数两部分构成。该系统将密钥生成器生成的信号作为散列函数的密钥，通过散列函数对输入的激励信号拼接密钥后的信息进行加密运算得相应的响应信号。这种结构实现了低成本的物理不可克隆函数，同时利用带密钥的散列函数增强了抗侧信道攻击的安全性。在密钥生成器中集成有决策模块用以改善响应信号不稳定的现象。本发明是一种新型的低成本、高安全性物理不可克隆函数，硬件资源消耗少，功耗低，安全性高。

Description

一种低成本、高安全性物理不可克隆函数

技术领域：

本发明涉及基于物理不可克隆函数的加密认证领域，具体涉及一种低成本、高安全性物理不可克隆函数。

背景技术：

物理不可克隆函数是一种集成在芯片中的，可以在比较门电路间制造加工过程中引入的随机差异。通过给物理不可克隆函数输入一个激励，它可以返回一个随机的响应信号，其中响应信号由电路间差异比较结果决定。物理不可克隆函数的响应具有唯一性，即相同的电路结构在不同的芯片中实现后，每个芯片生成的响应都是两两不同的，或者说每个芯片生成的响应都是唯一的。正是由于物理不可克隆函数的这一特性，它在信息安全领域具有重要的应用前景，例如，密钥生成，设备的认证和识别。

目前已经提出的物理不可克隆函数已经有十多种，例如基于仲裁器的物理不可克隆函数，基于SRAM的物理不可克隆函数和基于环形振荡器的物理不可克隆函数。基于仲裁器的物理不可克隆函数使用一定数量的2选1选择器构建两条完全对称并且可重新配置的信号传输路径，通过比较两条传输路径中信号传输的延时差异来实现响应的输出。基于环形振荡器的物理不可克隆函数则是通过比较环形振荡器间的振荡频率的差异来实现响应的输出，其中每个环形振荡器的结构是完全一样的。基于仲裁器和环形振荡器的物理不可克隆函数提取的是电路间信号传输延时的差异，而且这种差异完全是制造加工过程中的差异造成的，因而这两种物理不可克隆函数都是属于延时类的物理不可克隆函数。基于SRAM的物理不可克隆函数是利用在上电时的电路发生的双稳态现象而实现对门电路间加工差异的比较，因此属于双稳态类的物理不可克隆函数。目前提出的物理不可克隆函数中大多都是延时类或双稳态类的物理不可克隆函数。

目前的物理不可克隆函数在安全性，可靠性和硬件资源消耗等方面都存在不少的问题。例如：基于仲裁器的物理不可克隆函数在硬件实施成本较低，但是其响应安全性低，建模攻击和侧信道攻击都能对其造成威胁。基于环形振荡器的物理不可克隆函数的安全性高于基于仲裁器的物理不可克隆函数，但是其硬件实施的成本，电路功耗都比较高。基于SRAM的物理不可克隆函数实现的物理不可克隆函数稳定性较差，不能形成较为稳定的响应输出。

发明内容：

为了克服现有技术的不足，本发明提供了一种低成本、高安全性物理不可克隆函数。该物理不可克隆函数利用异或门环密钥发生器和带密钥的散列函数生成了低成本、高安全性物理不可克隆函数，可以在保持低成本、低功耗等特性的同时，还能大幅提高安全系统抵抗侧信道攻击的性能，进而提高系统的安全性。

本发明采用如下技术方案：一种低成本、高安全性物理不可克隆函数,其特征在于：包括异或门环密钥生成器和带密钥的散列函数，在所述异或门环密钥生成器中加入有用于增强响应信号稳定性和可靠性的决策模块。

进一步地，所述异或门环密钥生成器由一系列异或门环构成，所述每个异或门环由一对相互耦合的两输入异或门构成，其中每个异或门的输出是另外一个异或门的输入。

进一步地，所述带密钥的散列函数为SHA-2或者SHA-3中的低成本候选算法，如Keccak散列函数、CubeHash散列函数、或者JH散列函数等，将输入的激励信号及密钥拼接后利用带密钥的散列函数运算生成相应的响应信号：

R＝H(K⊕opad,，H(Kipad，C))

其中，H为散列函数，K为异或门环产生的密钥，opad＝0x5c，ipad＝0x36，⊕为异或运算，C为激励信号，R为响应信号。

进一步地，所述决策模块开始时，将采样计数器、多数标记初始化为‘0’；在第一次采样时，将生成的采样信号作为多数信号，同时多数信号加一；接着如果采样信号等于多数信号，多数标记加一，反之，多数标记减一；假如多数标记减到0时，若采样信号与多数信号不同，则多数信号更新为此时的采样信号，当采样结束时，即采样计数器计数值溢出，多数信号值就是决策模块最终选择的有效信号。

本发明具有如下有益效果：

(1)本发明提出的物理不可克隆函数与之前的物理不可克隆函数相比，需要极少的硬件资源，使得在硬件资源受限的认证系统上面实现物理不可克隆函数变为现实；

(2)该物理不可克隆函数利用了散列函数，极大地提高了抗侧信道攻击等物理攻击的性能，能够极大地改善认证系统的安全性，与传统的认证系统相比，具有之前所不具有的防篡改、防复制特性；

(3)本发明采用了决策模块，保证了系统的稳定性和可靠性，降低了认证过程中的错误拒绝和错误接受的概率。

附图说明：

图1为本发明低成本、高安全性物理不可克隆函数的整体框图。

图2为图1中异或门环密钥生成器。

图3为图1中的决策模块的工作流程图。

具体实施方式：

下面结合附图对本发明进一步说明。

图1为低成本、高安全性物理不可克隆函数的整体框图。整个系统主要由异或门环密钥生成器和带密钥的散列函数构成。异或门环密钥生成器能生成一个m-bit的密钥，带密钥的散列函数使用相应的散列函数算法对输入的n1-bit的激励信号进行加密，从而产生一个n2-bit的响应信号。通过在异或门环密钥生成器中加入决策模块，增强响应信号的稳定性和可靠性。

图2为图1中异或门环密钥生成器。其中异或门环密钥生成器中的基本单元是一对相互耦合的两输入异或门构成的双稳态环(异或门环)。对于一个异或门环，当控制信号CTL为0时，此环的输出值Outi为1；当控制信号CTL为1时，异或门环进入不稳定状态，此环的输出可能是0也可能是1。由于两个异或门之间的加工产生的随机差异，使得异或门环能输出一个稳定的0或1值。整个密钥生成器由m个这样的基本单元构成，比如m可以取值为64、128或256等。

图1中带密钥的散列函数由现有的散列函数构成，例如SHA-2或者SHA-3中的低成本候选算法，如Keccak散列函数、CubeHash散列函数、或者JH散列函数等，将输入的激励信号及密钥拼接后利用带密钥的散列函数运算生成相应的响应信号：

R＝H(K⊕opad,，H(Kipad，C))

其中，H为散列函数，K为异或门环产生的密钥，opad＝0x5c，ipad＝0x36，⊕为异或运算，C为激励信号，R为响应信号。

图3为图1中决策模块的工作流程图。其中决策模块添加于密钥生成器中。由于密钥生成器生成密钥的某些位会产生不稳定的输出，因此需要通过决策模块根据在同一激励下多次生成的信号中找出一个生成概率最大的密钥，以此来提高系统的稳定性与可靠性。决策模块的工作流程根据图3描述如下：开始时，将采样计数器cnt、多数标记mark初始化为‘0’；在第一次采样时，将生成的采样信号cand作为多数信号maj,同时mark加一；接下来过程中，如果cand等于maj，mark加一，反之，mark减一；假如mark减到0时，cand与maj不同，则maj更新为此时的cand。当采样结束时，即cnt计数值溢出，maj值就是决策模块最终选择的有效信号。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下还可以作出若干改进，这些改进也应视为本发明的保护范围。

Claims (4)

1.一种低成本、高安全性物理不可克隆函数,其特征在于：包括异或门环密钥生成器和带密钥的散列函数，在所述异或门环密钥生成器中加入有用于增强响应信号稳定性和可靠性的决策模块。

2.如权利要求1所述的低成本、高安全性物理不可克隆函数,其特征在于：所述异或门环密钥生成器由一系列异或门环构成，所述每个异或门环由一对相互耦合的两输入异或门构成，其中每个异或门的输出是另外一个异或门的输入。

3.如权利要求1所述的低成本、高安全性物理不可克隆函数,其特征在于：所述带密钥的散列函数为SHA-2或者SHA-3中的低成本候选算法，如Keccak散列函数、CubeHash散列函数、或者JH散列函数，将输入的激励信号及密钥拼接后利用带密钥的散列函数运算生成相应的响应信号：

R＝H(K⊕opad,，H(Kipad，C))

其中，H为散列函数，K为异或门环产生的密钥，opad＝0x5c，ipad＝0x36，⊕为异或运算，C为激励信号，R为响应信号。

4.如权利要求1所述的低成本、高安全性物理不可克隆函数,其特征在于：所述决策模块开始时，将采样计数器、多数标记初始化为‘0’；在第一次采样时，将生成的采样信号作为多数信号，同时多数信号加一；接着如果采样信号等于多数信号，多数标记加一，反之，多数标记减一；假如多数标记减到0时，若采样信号与多数信号不同，则多数信号更新为此时的采样信号，当采样结束时，即采样计数器计数值溢出，多数信号值就是决策模块最终选择的有效信号。