CN104718718B

CN104718718B - 用于执行密码方法的装置和方法

Info

Publication number: CN104718718B
Application number: CN201380054883.8A
Authority: CN
Inventors: M.刘易斯; P.杜普利斯
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2012-10-22
Filing date: 2013-09-23
Publication date: 2019-06-04
Anticipated expiration: 2033-09-23
Also published as: CN104718718A; WO2014063875A1; KR20150076166A; US20150270973A1; KR102141843B1; DE102012219205A1

Abstract

本发明涉及一种用于执行密码方法（110）的装置（100），该装置具有用于执行所述密码方法（110）的至少一个步骤的密码单元（120），其特征在于，设置有功能单元（130），所述功能单元被构造用于根据能够输送给所述装置（100）的输入数据（i）以及根据至少一个密钥（k）执行确定性功能。

Description

用于执行密码方法的装置和方法

技术领域

本发明涉及一种用于执行密码方法的装置，该装置具有用于执行该密码方法的至少一个步骤的密码单元。

本发明此外涉及用于运行用于执行密码方法的装置的方法。

背景技术

这样的装置和方法是已经已知的，例如参见US 7,599,488 B2。

已知的装置具有微处理器核，给所述微处理器核分配有随机数发生器，以便以依赖于随机的方式操纵密码指令在微处理器核上的执行。由此实现：使对执行密码方法的微处理器核的密码攻击变得困难。尤其是使所谓的差分功率分析（DPA）攻击变得困难，因为有规律的时钟信号与微处理器核对密码方法的各个步骤的实际执行之间的时间关联在使用随机数的情况下被模糊化。

已知的系统的缺点是需要在技术上仅能昂贵地实现的随机数发生器的事实以及微处理器核的根据随机数影响微处理器的时钟信号的外围设备的复杂结构。

发明内容

因此，本发明的任务是如下改进开头所提及的类型的装置和方法，即避免现有技术的缺点并且同时得到在执行密码方法时尤其是抵抗所谓的侧通道攻击或DPA攻击的提高的安全性。

根据本发明，该任务在开头所提及的类型的装置的情况下通过如下方式来解决：设置有功能单元，该功能单元被构造用于根据可输送给该装置的输入数据以及根据至少一个密钥执行确定性功能。这引起的优点是，使对该装置的DPA攻击变得困难，因为除了在密码单元中执行的原来感兴趣的密码功能以外附加地还在功能单元中执行确定性功能，使得该装置的电磁辐射、能量特征（Energiesignaturen）以及在DPA攻击的范围内可分析的其它特征始终由两个单元（密码单元、功能单元）的组件构成或源自所述组件。由此，使对密码单元的精确分析变得困难。

例如，对于两个不同输入数据集、例如分别具有128位的长度的位序列而言，根据本发明的装置的电功耗依赖于输入数据集和密钥。在密钥的例如同样128位或更多位的合适长度的情况下，可以以这种方式使DPA攻击变得困难，使得该攻击不能利用现在可用的计算能力成功地执行。

本发明的另一优点在于，可以放弃复杂的随机发生器等等，因为根据本发明的功能单元为此使用确定性功能和至少一个密钥。

在一种有利的实施方式中规定：密码单元和功能单元分别被实现为集成电路、优选地在同一集成电路（IC）中被实现，使得在特别高的程度上实现密码单元的电磁辐射、能量特征等的有利地实现的模糊化。通过合适地选择电路布局，可以例如通过以下方式实现关于这一点的进一步改进：将功能单元的各个功能组件在空间上集成到密码单元的组件区域中以及反之亦然。

在另一有利的实施方式中规定：密码单元和功能单元可以具有共同的用于电能供应的连接端子、即由同一能量源来馈电。由此，两个单元的能量（消耗）特征彼此叠加，这使DPA攻击进一步变得困难。

为了实现前面所提及的优点，不需要在密码单元中在功能上使用计算结果或由功能单元处理的其它参量。更确切地说，“并行运行”已经足够了，在该并行运行中因此两个单元（密码单元、功能单元）－也彼此独立地以及至少暂时彼此在时间上重叠地－工作，以便使密码单元的可借助于DPA攻击分析的特征模糊化。

在另一有利的实施方式中规定：功能单元被构造用于根据输入数据和所述至少一个密钥的至少一部分形成输出信号，并且密码单元被构造用于根据功能单元的输出信号执行密码方法或至少一个步骤。因此，与前面的实施方式不同，在本发明变型方案中，在密码单元的运行期间使用功能单元所提供的数据、即其输出信号。由此得到抵抗DPA攻击的进一步提高的安全性。

同时有利地保证：甚至既已知该装置的输入数据又已知由此被加密的输出数据（例如经AES加密）的攻击者都不能实施成功的DPA攻击，因为密码单元的物理特性、例如其电能耗等等通过密钥以攻击者不知道的方式被修改。也即，只要根据本发明的功能单元所使用的密钥不被攻击者知道，通过根据本发明的装置就使对密码单元的DPA攻击变得困难或者在目前可用的计算机计算能力的情况下甚至不可能。优选地将密钥例如以只读存储器（ROM）等等形式存储在功能单元内部。

根据本发明的功能单元及其输出信号的使用特别优选地丝毫不改变输入数据（明文）和输出数据（密文）、也即例如由根据本发明的装置的密码单元加密的输入数据。因此，每个根据本发明的装置或集成在其中的其功能单元都可以具有另一密钥，这进一步提高安全性。因此，根据本发明的功能单元的使用有利地改变该装置的物理特性、也即例如其能量特征、电磁辐射等等，但是不改变其在由密码单元执行密码方法方面的功能特性。

在另一有利的实施方式中规定：功能单元被构造用于借助于散列函数形成输出信号。

在另一有利的实施方式中规定：功能单元被构造用于：

1.使输入数据和密钥经受XOR运算，以便获得经或运算的第一数据；

2.将经或运算的数据划分成多个子块；

3.使多个子块相互之间、尤其是多级地经受XOR运算，以便获得经或运算的第二数据；

4.使经或运算的第一和/或第二数据经受非线性置换运算，以便获得输出信号；以及必要时

5.将输出信号写入两个相对于彼此逆反的移位寄存器中。

在另一有利的实施方式中规定：密码单元被构造用于根据输出信号对至少一个存储寄存器进行预加载和/或掩蔽。

在另一有利的实施方式中规定：功能单元具有用于执行非线性置换运算的单元。该非线性置换运算例如可以是高级加密标准（AES）的SBOX方法或者是类似方法。

在另一有利的实施方式中规定：密码单元被构造用于尤其是根据高级加密标准AES对输入数据进行加密和/或解密。此外可能的是，密码单元执行密码方法的仅仅单个或多个子步骤。

作为本发明的任务的另一解决方案，说明了根据本发明的方法。

附图说明

随后参考附图阐述本发明的示例性的实施方式。在附图中：

图1示意性地示出根据本发明的装置的一种实施方式的框图，

图2示意性地示出根据本发明的装置的另一实施方式，

图3示意性地示出根据本发明的装置的另一实施方式，

图4示意性地示出根据本发明的功能单元的简化框图，

图5示意性地示出用于与根据图4的根据本发明的功能单元一起使用的存储寄存器的简化框图，

图6示意性地示出根据本发明的功能单元的实现方案的一个方面，以及

图7示意性地示出根据本发明的方法的一种实施方式的简化流程图。

具体实施方式

图1示意性地示出根据本发明的装置100的第一实施方式的框图。该装置100具有密码单元120，该密码单元被构造用于执行密码方法110或密码方法110的至少一个步骤。针对密码方法，应示例性地提及根据AES（Advanced Encryption Standard（高级加密标准））原理的加密。

给该装置100输送输入数据i，所述输入数据例如可以是应当由密码单元120加密的位序列。因此，经加密的输出数据o在密码单元120的输出端处被获得。

根据本发明，该装置100除了密码单元120以外还具有功能单元130，该功能单元被构造用于根据输入数据和至少一个密钥k执行确定性功能。

通过与密码单元120的运行至少暂时并行地运行功能单元130，使对该装置100的差分功率分析（DPA）攻击变得困难，因为除了在密码单元120中执行的原来感兴趣的密码功能110以外，还附加地在功能单元130中执行确定性功能，使得该装置100的电磁辐射、能量特征（电功耗或能耗）以及在DPA攻击的范围内可分析的其它特征始终由两个单元120、130的组件构成或源自这二者。由此使对密码单元120的精确分析变得困难。密码单元120和功能单元130有利地可以分别被实现为集成电路，并且进一步优选地被布置在同一集成电路中。

在另一优选的实施方式中规定：密码单元120和功能单元130可以具有共同的用于电能供应的连接端子、即由同一能量源（未示出）来馈电。该连接端子1在图1中由线路V_DD来象征性地表示。

通过对两个组件120、130的共同的电能供应，特别有利地得出关于到电能源（未示出）的连接点V_DD的其能量特征的叠加，使得DPA攻击在该位置处也被变得困难。

替代于图1中所描绘的具有对两个组件120、130的共同的电能供应的配置，还可以进行两个组件120、130的单独的能量供应。

密钥k优选地直接被存储在装置100或功能单元130中，例如以ROM寄存器形式。

在图1中所描绘的本发明的实施方式中，密码单元120有利地在如下意义上独立于功能单元130工作：针对密码方法110在密码单元120之内的执行，不动用功能单元130的运行参量或输出参量。更确切地说，组件120、130在空间上彼此相邻的布置或通过共同的连接端子V_DD的可选的共同的电能供应已经足以使两个组件120、130的能量特征和电磁辐射等等叠加，使得对装置100或对密码单元120的DPA攻击被变得困难。

在另一有利的实施方式中规定：功能单元130根据输入数据i和密钥k形成输出信号130a（图2），并且功能单元130将输出信号130a输出给密码单元120，其中密码单元120被构造用于根据功能单元130的输出信号130a执行密码方法110或其至少一个步骤，由此提供了相对于DPA攻击的进一步提高的安全性。

共同的电能供应在图2中仅仅还通过虚线来表明，并且也可以如前面已经提到的那样取消。

在执行密码方法110的范围内根据本发明的功能单元130以及其输出信号130a（图2）的前面所描述的使用特别优选地丝毫不改变输入数据i和输出数据o。因此，每个根据本发明的装置100a或集成在其中的其功能单元130都可以具有另一密钥k，这进一步提高系统的安全性。因此，根据本发明的功能单元130以及必要时其输出信号130a的使用有利地改变装置100、100a的物理特性、即其能量特征、电磁辐射等等，但是不改变其在由密码单元120执行密码方法110方面的功能特性。

在另一实施方式中规定：功能单元130借助于散列函数来形成输出信号130a。

图3示意性地示出本发明的另一实施方式的框图。第一装置100a1具有与根据图1的装置100相似的结构。装置100a1在其输入端处获得输入数据i1，并且装置100a1的密码单元120a被构造用于使输入数据i1经受AES加密，以便相应地输出经加密的输出数据o1。类似于根据图1的装置100，根据图3的装置100a1也具有功能单元130，该功能单元当前根据输入数据i1和第一密钥k0、而且借助于确定性功能f形成其输出数据130a。第二装置100a2具有密码单元120b，该密码单元被构造用于在使用AES原理的情况下对经加密的输出数据o1进行解密，以便获得经解密的输出数据o2。装置100a2的功能单元130为了形成其输出信号130b而使用被输送给装置100a2的输入信号o2以及第二密钥k1，该第二密钥优选地不同于第一装置100a1的功能单元130的第一密钥k0。由此，提供了装置100a1、100a2的运行的安全性的进一步提高。

图4示意性地示出根据本发明的功能单元130的简化框图。功能单元130具有第一XOR（异或）元件a1，输入数据i（也参见图1）以及密钥k被输送给所述第一XOR元件。输入数据i和密钥k当前示例性地分别具有128位的长度。两个数据i、k借助于XOR元件a1在异或逻辑运算的意义上相互进行逻辑运算，由此获得经或运算的第一数据xik1，该第一数据又具有128位的位宽。

在当前的实施方式中，由128位长度的位序列来表示的经或运算的第一数据xik1被划分成四个子块w1、w2、w3、w4，这些子块分别具有32位的长度。然后，子块w1、w2借助于另一XOR元件a2经受XOR逻辑运算。相同的情况适用于另外的子块w3、w4，这些子块借助于元件a3进行XOR逻辑运算。XOR元件a2、a3的输出数据通过XOR元件a4相互进行XOR逻辑运算，由此获得经或运算的第二数据xik2，该第二数据具有32位的长度。

这些经或运算的第二数据xik2根据图4经受非线性置换运算，该非线性置换运算当前由用附图标记SBOX表示的用于执行非线性置换运算的单元来执行。

作为非线性置换运算SBOX的输出数据获得输出信号130a，该输出信号优选地被存储在输出寄存器R1中。

输出信号130a可以以前面已经多次描述的方式被提供给密码单元120，以便影响密码单元120的物理功能，由此使DPA攻击变得困难。

图5示出所谓的经DPA加固的存储寄存器R2的简化框图，该存储寄存器在输入侧被输送输入数据i2以及根据图4的功能单元130的输出信号130a。存储寄存器R2有利地可以代替图4中的寄存器R1而被使用，该存储寄存器的功能在下面进一步被描述。也就是说，根据图4的功能单元130可以将其输出信号130a以输入信号130a的形式提供给根据图5的存储寄存器R2。存储寄存器R2例如也可以被包含在密码单元120中。

针对存储寄存器R2的另外的输入数据i2例如是在输入侧被输送给装置100（图1）的要加密的输入数据i或其部分。

如从图5中可以看出的那样，存储寄存器R2具有两个复用器M1、M2，给所述复用器分别输送输出信号130a和输入数据i2。根据当前为二进制信号（仅仅值“1”或“0”）的控制信号s，第二复用器M2将要么信号130a要么信号i2转发给在输出侧布置在其后的寄存器t1。因此，在寄存器t1中，根据针对第二复用器M2的控制信号s要么存储信号130a要么存储信号i2或相应位位置或其相应数据字。

由于给第一复用器M1输送相对于控制信号s逆反的控制信号，因此第一复用器M1也相应地将要么信号130a要么信号i2转发给在输出侧布置在其后的寄存器t0，但是以相对于第二复用器M2逆反的方式。换言之，如果第二复用器M2将信号130a的位转发给其输出寄存器t1，第一复用器M1则将信号i2的位转发给其输出寄存器t0，反之亦然。代替各个位，同时也可以由组件M1、M2、t0、t1处理包括多个位的数据字等等。

如从图5中可以看出的那样，寄存器t0、t1的输出端被引导到第三复用器M3，该第三复用器根据逆反的控制信号输出要么寄存器t0要么寄存器t1的输出信号作为寄存器R2的输出信号o2。

根据图5的设备的输出数据o2有利地在密码方法110的范围内例如在AES加密的意义上被处理，由此获得装置100的输出数据o，参见图1。

图5的存储寄存器R2必要时在同时使用功能单元130的按照图4的功能f（图1）的实现方案的情况下导致比仅仅常规密码单元复杂得多的能量和辐射特征。因此，根据本发明的具有根据图4或图5的组件130、R2中的一个或两个的装置的一种实施方式具有相对于DPA攻击进一步提高的安全性。

但是还可以设想功能单元130的功能f（图1）的其它实施方式，其中例如功能单元130的输出信号130a与图4中所示的不同地被形成（优选地又根据输入数据i和密钥k），并且然后被用于修改密码单元120的物理特性，但是不修改其功能特性（密码方法的执行）。

用于执行根据图4的非线性置换运算的单元SBOX（英语也称为“S-BOX”（substitution box（置换盒）））例如可以以由图6的矩阵方程所表明的方式来实现。从图6中可以看出具有当前总共八个元素（例如各一位）b0、..、b7的列矢量i1，该列矢量示例性地表示非线性置换运算的输入数据。列矢量i1与矩阵M相乘，并且所得到的矩阵积M x i1紧接着与另一列矢量sv进行加性逻辑运算，这导致列矢量i1'，该列矢量表示非线性置换运算的输出数据。

在由图6阐明的非线性置换运算的情况下，对输入数据i1的例如仅仅一个位位置b5的轻微改变通常已经有利地导致输出数据i1'的显著更大的改变，在这些改变的情况下常常涉及多个、优选地多于四个位位置。

图6中所描绘的矩阵方程仅仅示例性地被说明以用于阐明S-BOX的原理，并且可以在元素M、SV的值以及矩阵M的尺寸或所参与的矢量i1、SV方面被改变。例如，根据图4的SBOX可以利用具有32位的矢量i1、sv来工作，并且因此也提供具有32位的输出矢量i1'。

根据本发明的功能单元130特别有利地可以配备有图6中所描绘的非线性置换运算的功能性，其中也可以设想根据密钥k（图1）来选择组件M、sv或其元素中的至少一个。

图7示出根据本发明的方法的一种实施方式的简化流程图。在第一步骤200中，功能单元130（图1）根据输入数据i、以及至少一个密钥k的至少一部分形成其输出信号130a。在随后的步骤210（图7）中，由密码单元120（图1）执行密钥方法110、例如AES算法等等。

本发明有利地使对该装置100的DPA攻击变得困难，因为除了在密码单元120中执行的原来感兴趣的密码功能110以外附加地还在功能单元130中执行确定性功能f，使得装置100的电磁辐射、能量特征以及在DPA攻击的范围内可分析的其它特征始终由两个单元120、130的组件构成。由此，使对密码单元120或其功能110的精确分析变得困难。

例如，对于两个不同输入数据集、例如分别具有128位的长度的位序列而言，根据本发明的装置100、100a的电功耗依赖于输入数据集i和密钥k。在密钥的例如在128位或更多位的范围内的合适长度的情况下，可以以这种方式使DPA攻击变得困难，使得该攻击不能利用现在可用的计算能力成功地执行。

功能单元130的确定性功能f可以在一种优选的实施方式中例如根据图4来构造。在这种情况下，密码单元120例如也可以具有图5中所描述的类型的存储寄存器R2。

Claims

1.一种用于执行密码方法（110）的装置（100），该装置具有用于执行所述密码方法（110）的至少一个步骤的密码单元（120），其特征在于，设置有功能单元（130），所述功能单元被构造用于根据能够输送给所述装置（100）的输入数据（i）以及根据至少一个密钥（k）执行确定性功能，其中所述密码单元（120）和所述功能单元（130）彼此独立地以及至少暂时彼此在时间上重叠地工作，

其中所述功能单元（130）被构造用于根据所述输入数据（i）和所述至少一个密钥（k）的至少一部分形成输出信号（130a），并且其中所述密码单元（120）被构造用于根据所述功能单元（130）的输出信号（130a）执行所述密码方法（110）或所述至少一个步骤。

2.根据权利要求1所述的装置（100），其中所述密码单元（120）和所述功能单元（130）分别被实现为集成电路。

3.根据权利要求1所述的装置（100），其中所述密码单元（120）和所述功能单元（130）在同一集成电路中被实现。

4.根据前述权利要求之一所述的装置（100），其中所述密码单元（120）和所述功能单元（130）具有共同的用于电能供应的连接端子（V_DD）。

5.根据权利要求1所述的装置（100），其中所述功能单元（130）被构造用于借助于散列函数形成所述输出信号（130a）。

6.根据权利要求1或5所述的装置（100），其中所述功能单元（130）被构造用于：

a. 使所述输入数据（i）和所述密钥（k）经受XOR运算，以便获得经或运算的第一数据（xik1）；

b. 将经或运算的数据（xik）划分成多个子块（w1，w2，w3，w4）；

c. 使多个子块（w1，w2，w3，w4）相互之间经受XOR运算，以便获得经或运算的第二数据（xik2）；

d. 使经或运算的第一和/或第二数据（xik2）经受非线性置换运算（SBOX），以便获得所述输出信号（130a）；以及必要时

e. 将所述输出信号（130a）写入两个相对于彼此逆反的移位寄存器（R1）中。

7.根据权利要求6所述的装置（100），其中所述功能单元（130）被构造用于使多个子块（w1，w2，w3，w4）相互之间多级地经受XOR运算，以便获得经或运算的第二数据（xik2）。

8.根据权利要求1至3之一所述的装置（100），其中所述密码单元（120）被构造用于根据所述输出信号（130a）对至少一个存储寄存器（R）进行预加载和/或掩蔽。

9.根据权利要求 1至3之一所述的装置（100），其中所述功能单元（130）具有用于执行非线性置换运算的单元（SBOX）。

10.根据权利要求 1至3之一所述的装置（100），其中所述密码单元（120）被构造用于对所述输入数据（i）进行加密和/或解密。

11.根据权利要求 1至3之一所述的装置（100），其中所述密码单元（120）被构造用于根据高级加密标准AES对所述输入数据（i）进行加密和/或解密。

12.一种用于运行用于执行密码方法（110）的装置（100）的方法，该装置具有用于执行所述密码方法（110）的至少一个步骤的密码单元（120），其特征在于，设置有功能单元（130），所述功能单元根据能够输送给所述装置（100）的输入数据（i）以及根据至少一个密钥（k）执行确定性功能，其中所述密码单元（120）和所述功能单元（130）彼此独立地以及至少暂时彼此在时间上重叠地工作，

其中所述功能单元（130）根据所述输入数据（i）和所述至少一个密钥（k）的至少一部分形成（200）输出信号（130a），并且其中所述密码单元（120）根据所述功能单元（130）的输出信号（130a）执行（210）所述密码方法（110）或所述至少一个步骤。

13.根据权利要求12所述的方法，其中所述密码单元（120）和所述功能单元（130）具有共同的用于电能供应的连接端子（V_DD）。