CN104836666A - 一种针对sm2解密算法的能量分析攻击的方法 - Google Patents

Abstract

本发明公开了一种针对SM2算法中解密算法进行能量分析的方法。该方法以SM2算法中的解密算法运用私钥d进行标量乘法为攻击点，根据不同的密文C输入，得到不同的中间结果，采用侧信道能量攻击方法逐次攻击出私钥的单个bit,一直到恢复出整个私钥，恢复出私钥的所有bit后，可以通过解密算法进行验证，验证其攻击的正确性，通过这种方法攻击提高了攻击的灵活性、有效性、正确性。

Description

一种针对SM2解密算法的能量分析攻击的方法

技术领域

本发明涉及密码算法分析检测领域，尤其涉及一种针对SM2解密算法的能量分析攻击方法。 

背景技术

随着信息和分析电路技术的发展，对硬件密码电子设备的破解不再单纯的停留在协议和算法上，而是从其处理数据的过程中泄露的信息入手，进行破解。硬件密码电子设备在处理信息的工程中存在能量、电磁、错误和时间等信息的泄露，利用这些泄露的信息对密码电子设备进行攻击，就是所谓的侧信道攻击（Side Channel Attacks），侧信道攻击可分为能量分析攻击、电磁攻击和错误攻击等，其中能量分析攻击因效率较高，成为侧信道的主要手段。

侧信道能量分析攻击是通过采集加密芯片等硬件密码电子设备在进行加、解密或签名等操作时产生的能量消耗，利用密码学和统计学原理等，分析和破译密钥信息的一种攻击方式，侧信道能量分析攻击又分为简单能量分析攻击（Simple Power Analysis，SPA）、差分能量分析攻击（Differential Power Analysis，DPA）和相关性能量分析攻击（Correlation Power Analysis，CPA）。

在侧信道能量分析攻击中，CPA和DPA相比SPA具有更强的攻击性，所以能量分析攻击中比较常用的是CPA和DPA。

CPA攻击建模，CPA攻击的过程如下：

(1)   选择被攻击芯片执行的密码运算的中间结果。该中间结果是一个选择函数f(d,k)，其中d是已知非常量值(明文或者密文)，k是部分密钥位，满足条件的可用于恢复k；

(2)   测量加密芯片的功耗或者电磁泄露。攻击者记录每一次运行密码算法时对应的d，同时将这些已知的数据值记为向量d=(d₁,…,d_k)，其中d_i代表在第i次密码运算中的明文或者密文。对应于数据块d_i的功耗或者电磁轨迹记为t；其中T表示轨迹长度。这些旁路信号估计可以记为D*T阶的矩阵T；

(3)   猜测部分密钥k，并根据猜测密钥计算步骤(1)选择中间值。将可能的密钥猜测记为向量k=(k₁,…,k_K)，其中K表示k的所有可能取值的数量。在分析过程中，将这个向量元素通常称为密钥假设。给定数据向量d和密钥假设k,对所有的D次加密运算或者解密运算可K个密钥假设可以计算出假设中间值f(d,k)；v_i,j=f(d_i,k_i)(i=1,…,D;j=1,…,K)，V的第j列包含根据密钥假设k_j计算出的中间结果。在D次加解密的过程中V的每一列包含着设备所计算的中间结果，密码运算过程中实际使用的值是Ｋ的一个元素k_CK表示密钥，分析的目标就是找出D次密码运算过程中V的哪一列被处理了，进而获取k_CK；

(4)   将假设的中间值V与假设旁路泄露值矩阵H对应。这里要用到前面介绍的数据泄露与操作数之间的关系模型，来模拟设备处理每一个假设中间值v_i,j的泄露，依次得出一个假设的泄露值h_i,j。

(5)   将假设泄露值与实际泄露轨迹进行统计分析。将矩阵H的每一列h_j与矩阵T的每一列t_j相比较，即攻击者要将每一个假设密钥的假设泄露与每一个位置的实际泄露轨迹进行相关性分析。分析的结果是一个K*T阶的矩阵R，其中元素r_i,j值越大，h_j与t_j之间的相关性越大，因此攻击者可以查找矩阵R中最大的值找出正确的密钥。

DPA的基本思想和CPA的基本思想类似，在CPA第4步过程中，根据中间值的汉明重量将曲线分为两个集合S₀和S₁，对划分后的两个自己中的所有能量迹进行均值处理，最后进行差分运算，如果差分曲线中有明显尖峰，则认为密钥猜测正确，否则重新猜测。

SM2解密算法的过程如下（如图1所示）：

1) 计算S=h*C₁（若S是无穷远点，则报错并退出）；

2) 计算(x₂，y₂)=d_B*C₁；

3) 计算t=KDF(x₂||y₂，klEn)（若t=0，则返回1）；

4) 计算Mˊ=C₂⊕t；

5) 计算u=HASH(x₂||M||y₂)（若u≠C₃，则报错并退出）；

6) 输出Mˊ；

说明：G是椭圆曲线的一个基点，也是公钥参数；d_B是用户B的私钥。

发明内容

本发明公开了一种针对SM2算法中解密算法进行能量分析的方法。该方法以SM2算法中的解密算法运用私钥d进行标量乘法为攻击点，根据不同的密文C输入，得到不同的中间结果，采用侧信道能量攻击方法逐次攻击出私钥的单个bit ,一直到恢复出整个私钥，恢复出私钥的所有bit后，可以通过解密算法进行验证，验证其攻击的正确性，通过这种方法攻击提高了攻击的灵活性、有效性、正确性。

本发明提供一种针对SM2解密算法标量乘法的的侧信道能量分析攻击的方法（如图2所示），主要包括两步。

1、第一步S1：通过随机密文C=(C₁||C₂||C₃)输入，采用侧信道能量攻击方法攻击逐次攻击出私钥d的单个比特d_i，其中i=0,1,2,3,…255。S1具体包括以下步骤：

S11：攻击进行标量乘法的私钥d，初始化i=0；

S12：随机选择密文C=(C₁||C₂||C₃)输入；

S13：采用侧信道能量攻击的方法攻击出私钥d的第i bit；所述侧信道能量攻击方法采用差分能量分析(DPA，Different Power Analysis )或相关性能量分析(CPA，Correlation  Power  Analysis  )；

（1）采用CPA攻击方法：

S1311：每次输入一个密文Cⁱ（1≤i≤n），共输入n组,初始化k=1;用私钥进行解密运算采集每次的能量轨迹T_i ^j (1≤i≤n，1≤j≤m ),每组曲线m个点，建立采样能量消耗矩阵 ；

S1312：选择第k次进行倍点运算的结果作为中间值，猜测密钥d_k，计算第k次倍点运算的中间值，确定中间值矩阵，猜测密钥0或者1，依次计算中间值矩阵为 ；

S1313：选择能量攻击模型，选择汉明重量模型作为能量攻击模型， 将中间值映射为假设能量消耗值矩阵,计算中间值的汉明重量，得出假设能量消耗矩阵；

S1314: 计算假设能量消耗矩阵与采集能量迹矩阵的线性相关系数,得到正确的猜测密码。其中，表示第j个猜测密钥对应的假设能量消耗与第n个时间点能量曲线之间的线性相关系数。计算两个矩阵所有列列之间的相关系数，得到假设能量消耗矩阵和能量曲线矩阵的相关系数矩阵为，选取R矩阵中的最大值，最大值对应的猜测密钥值并对应正确的时刻

S1315：使k自增1，返回S1312~S1315，一直到恢复出所有的私钥。

（2）采用DPA攻击方法：

S1321：每次输入一个密文，共输入n组，初始化k=1；用私钥进行解密运算采集每次的能量轨迹,每组曲线m个点, 建立采样能量消耗矩阵。

S1322：选择第k次进行倍点运算的结果的最低32位作为中间值，猜测密钥d_k，计算第k次倍点运算的中间值，确定中间值矩阵，猜测密钥0或者1，依次计算中间值矩阵为。

S1323：选择能量攻击模型，选择汉明重量模型作为能量攻击模型，将中间值映射为假设能量消耗值矩阵，计算中间值的汉明重量，得出假设能量消耗矩阵。

S1324：根据假设能量消耗矩阵的值将采集的能量曲线分为两个集合

S1325：计算， 在均值差S中出现一个最大尖峰时对应的即为正确的猜测密钥。

S1326：k自增1，返回S1322~S1326，一直到恢复出所有的私钥。

无论采用CPA或DPA攻击方法，到这S1已经攻击完成，接着进入步骤S14。

S14：使i自增1，返回步骤S13继续攻击下一比特，直到得出私钥的所有bit。

2、第二步S2：根据所述256位私钥完全破解后，可以根据解密算法对私钥是否能够正确的进行解密而验证私钥的正确性。

S21： 将破解出的私钥，进行解密运算；

S22： 是否能够进行正常的解密，若能进行正常解密，说明攻击成功，反之攻击失败。

附图说明

图1为SM2解密算法流程图；

图2为针对SM2解密算法的攻击的具体过程。

Claims (5)

1.针对SM2解密算法的侧信道能量分析的方法，以SM2解密算法的中运用私钥进行标量乘法运算为攻击目标，其特征在于，所述方法包括以下步骤：

S1：通过随机密文C=(C₁||C₂||C₃) 输入，采用侧信道能量攻击方法攻击逐次攻击出私钥d的单个比特d_i，其中，i=0,1,2,3,…255；

S2：根据所述256位私钥完全破解后，可以根据解密算法对私钥是否能够正确的进行解密而验证私钥的正确性。

2.根据权利要求1所述的针对SM2解密算法标量乘法侧信道能量分析攻击的方法，其特征在于，所述S1具体包括以下步骤：

S11：攻击进行标量乘法的私钥d，初始化i=0；

S12：随机选择密文C=(C₁||C₂||C₃)输入；

S13：采用侧信道能量攻击的方法攻击出私钥d的第i bit；所述侧信道能量攻击方法采用差分能量分析(DPA，Different Power Analysis )或相关性能量分析(CPA，Corrlation  Power  Analysis )；

S14：使i自增1，返回步骤S13继续攻击下一比特，直到得出私钥的所有bit。

3.根据权利要求2所述的针对SM2解密运算中的标量乘法的攻击方法，其特征在于，所述S13中采用的侧信道能量攻击方法为CPA攻击方法，所述CPA攻击方法包括以下步骤：

S1311：每次输入一个密文Cⁱ(1≤i≤n)，共输入n组,初始化k=1;用私钥进行解密运算采集每次的能量轨迹T_i ^j(1≤i≤n, 1≤j≤m),每组曲线m个点，建立采样能量消耗矩阵  ；

S1312：选择第k次进行倍点运算的结果作为中间值，猜测密钥d_k，计算第k次倍点运算的中间值，确定中间值矩阵，猜测密钥0或者1，依次计算中间值矩阵为；

S1313:选择能量攻击模型，选择汉明重量模型作为能量攻击模型， 将中间值映射为假设能量消耗值矩阵,计算中间值的汉明重量，得出假设能量消耗矩阵；

S1314: 计算假设能量消耗矩阵与采集能量迹矩阵的线性相关系数,得到正确的猜测密码：，其中，表示第j个猜测密钥对应的假设能量消耗与第n个时间点能量曲线之间的线性相关系数；

计算两个矩阵所有列列之间的相关系数，得到假设能量消耗矩阵和能量曲线矩阵的相关系数矩阵为：，选取R矩阵中的最大值，最大值对应的猜测密钥值即为正确密钥；

S1315：使k自增1，返回S1312~S1315，一直到恢复出所有的私钥。

4.根据权利要求2所述的针对SM2解密算法侧信道能量分析攻击的方法，其特征在于，所述S13中采用的侧信道能量攻击方法为DPA攻击方法，所述DPA攻击方法包括以下步骤：

S1321：每次输入一个密文Cⁱ(1≤i≤n)，共输入n组,初始化k=1；用私钥进行解密运算采集每次的能量轨迹T_i ^j(1≤i≤n, 1≤j≤m)，每组曲线m个点, 建立采样能量消耗矩阵；

S1322：选择第k次进行倍点运算的结果的最低32位作为中间值，猜测密钥d_k，计算第k次倍点运算的中间值，确定中间值矩阵，猜测密钥0或者1，依次计算中间值矩阵为；

S1323：选择能量攻击模型，选择汉明重量模型作为能量攻击模型，将中间值映射为假设能量消耗值矩阵，计算中间值的汉明重量，得出假设能量消耗矩阵；

S1324：根据假设能量消耗矩阵的值将采集的能量曲线分为两个集合：

S1325：计算， 在均值差S中出现一个最大尖峰时对应的即为正确的猜测密钥；

S1326：k自增1，返回S1322~S1326，一直到恢复出所有的私钥。

5.根据权利要求1所述的针对SM2解密算法标量乘法侧信道能量分析攻击的方法，其特征在于，所述S2具体包括以下步骤：

S21：将破解出的私钥，进行解密运算；

S22：是否能够进行正常的解密，若能进行正常解密，说明攻击成功，反之攻击失败。