CN105897401A - 基于比特的通用差分功耗分析方法及系统 - Google Patents

Abstract

一种基于比特的通用差分功耗分析方法及系统，对于多个猜测子密钥中的每一个计算其中间值，并对中间值的每个比特位进行通用DPA攻击，采用类可分性判据对得到每个比特位对应的功耗曲线进行分类，计算每种分类下功耗曲线的统计量，得到对应于每个比特的统计量曲线，并对所得到的八次分类结果进行组合处理，得到每个猜测子密钥的综合统计量曲线，最后根据综合统计量曲线最高的单点峰值，该综合统计量曲线所对应的猜测子密钥即为正确子密钥；本发明适用于所有DPA方法的应用场景，并比DPA方法更具有通用性，也弥补了其它的一些通用DPA方法的不足之处。

Description

基于比特的通用差分功耗分析方法及系统

技术领域

本发明涉及的是一种计算机安全领域的技术，具体是一种基于比特的通用差分功耗分析方法及系统。

背景技术

在现实中，密码系统通常是以硬件或以硬件为表现形式的软件来实现的，譬如：智能卡、RFID、密码协处理器、SoC密码芯片、密码机等。在这些密码系统的实现环境中，攻击者可以观察和测量密码变换的能量消耗、电磁辐射等信息，利用这些额外的信息有可能实现比传统的数学分析更有效地密码破译。人们通常把这种环境下的攻击称为“旁路攻击(Side ChannelAttack)”。旁路攻击通常包括简单功耗分析(SPA)和差分功耗分析(DPA)。其中DPA攻击是通过记录密码设备对大量不同数据加密或解密操作时的功耗曲线，利用统计方法从功耗曲线中恢复出密码设备中的密钥，其分析功能也相对更加有效。

DPA攻击中，通常需要当一种功耗泄露模型，例如汉明重量模型或汉明距离模型，这种当的原理是：当每比特或每比特的翻转消耗的功率是相同的，它们通常适用于总线或寄存器的功耗泄露模型。但是，一般的DPA方法存在如下几个不足：1)功耗模型必须和真实的泄漏相匹配，否则就无法成功攻击。随机电路工艺的改进，原有的功耗模型将可以不再适合，即，功耗模型将不再是汉明重量或汉明距离模型，因此，寻找合适的功耗模型是DPA攻击过程中最大的难点之一；2)有一些设备并没有现成的功耗模型可以用，这类设备就无法对传统的DPA攻击方法进行分析。例如，公钥的某些实现；3)有一些设备的功耗泄漏类型并不是固定的，若采用固定的功耗模型，在攻击的过程中就会发生攻击结果出现错误的情况。也就是可以不同的芯片，即使是同一批次的，其功耗模型也可能不一样，这时候甚至都不能使用模板攻击。

通用DPA就是针对DPA攻击中的问题提出的攻击方法，它不使用任何的功耗模型，只根据不同的中间值产生不同的功耗来进行区分，具有通用的特性。在通用DPA中，通常是把中间值按值来分类，具体为：一个字节，即8比特的中间值，按值分类就是把它们分成2⁸＝256类。但如果密钥与中间值是一对一的关系的，通用DPA则因为无法区分真假密钥猜测下的统计特性，而使得攻击无法成功。

目前提出的通用DPA有很多种：包括MIA，LR‐based DPA等等。但是对于通用DPA也存在一定的问题：1)通用DPA在抗噪声能力不如传统的DPA攻击方法；2)对于像AES这种中间值和对应的输入之间是一对一关系的情况，通用DPA被证明无法成功攻击；3)计算复杂度变高，使得不太实用。例如，MIA需要计算密度函数，这将大大提高其计算复杂度，消耗计算资源。

发明内容

本发明针对现有技术大部分基于汉明重量的功耗(能量)模型，无法解决非汉明重量下的能量攻击等缺陷和不足，提出一种基于比特的通用差分功耗分析方法及系统，适用于所有DPA方法的应用场景，并比DPA方法更具有通用性，也弥补了其它的一些通用DPA方法的不足之处。

本发明是通过以下技术方案实现的：

本发明涉及一种基于比特的通用差分功耗分析方法，对于多个猜测子密钥中的每一个计算其中间值，并对中间值的每个比特位进行通用DPA攻击，采用类可分性判据对得到每个比特位对应的功耗曲线进行分类，计算每种分类下功耗曲线的统计量，得到对应于每个比特的统计量曲线，并对所得到的八次分类结果进行组合处理，得到每个猜测子密钥的综合统计量曲线，最后根据综合统计量曲线最高的单点峰值，该综合统计量曲线所对应的猜测子密钥即为正确子密钥。

所述的正确子密钥其中：Ω₀表示比特0所对应的分类曲线集，Ω₁表示比特1所对应的分类曲线集，N_IP表示曲线的点数，J^(j)(Ω₀,Ω₁)表示对第j个比特应用J判据的值。

所述的分类是指：按待攻击的中间值I的第一个比特分类分成两类，即分成Ω_1,0和Ω_1,1，分别表示为第一比特为0的一类和第一比特为1的一类。

所述的统计量包括但不限于两类曲线之间的统计距离。

所述的中间值的模型为I＝f(k,m)，其中：k表示子密钥，m表示明文，I表示待攻击的中间值，f为选择的算法操作，即DPA攻击的目标函数，该中间值满足：

1)中间值的每一比特都与子密钥的每比特相关；

2)中间值的每一比特都是独立且是均匀分布的。

所述的组合处理是指：当每个比特对应的量为Result(i)，1≤i≤8，则把所有相关系数组合在一起，得到Result＝com(Result(1),Result(2),…,Result(8))，其中：com是组合方法。

在组合处理时，当每个比特对应的量为概率形式的结果时，由于完成整个事件则需要完成过程中的每个事件，因此使用与的方法；当每个比特对应的量为距离形式的结果时，由于总体的距离则是个体的距离之和，因此使用累加的方法，不管是概率还是距离，方法都要求每个比特是独立且均匀分布的。

在组合处理时，当任一比特与另一比特完全相关，即，第一比特的值决定了第二比特的值，则在组合时只计算两个比特之一即可。

技术效果

与现有技术相比，本发明在同数量的曲线条数下，计算复杂度是一般DPA的8倍；在汉明重量模型下本方法所需的功率曲线的条数一般要多于CPA，少于DPA，在非汉明重量模型下CPA及DPA方法不能攻击成功，但本方法仍然可以分析成功且受影响可能不大。

附图说明

图1为本发明方法示意图。

具体实施方式

实施例1

本实施例涉及一种基于比特的通用差分功耗分析方法，对于多个猜测子密钥中的每一个计算其中间值，并对中间值的每个比特位进行通用DPA攻击，采用类可分性判据对得到每个比特位对应的功耗曲线进行分类，计算每种分类下功耗曲线的统计量，得到对应于每个比特的统计量曲线，并对所得到的八次分类结果进行组合处理，得到每个猜测子密钥的综合统计量曲线，最后根据综合统计量曲线最高的单点峰值，该综合统计量曲线所对应的猜测子密钥即为正确子密钥。

所述的正确子密钥其中：Ω₀表示比特0所对应的分类曲线集，Ω₁表示比特1所对应的分类曲线集，N_IP表示曲线的点数，J^(j)(Ω₀,Ω₁)表示对第j个比特应用J判据的值。

所述的分类是指：按待攻击的中间值I的第一个比特分类分成两类，即分成Ω_1,0和Ω_1,1，分别表示为第一比特为0的一类和第一比特为1的一类。

所述的统计量包括但不限于两类曲线之间的统计距离。

所述的中间值的模型为I＝f(k,m)，其中：k表示子密钥，m表示明文，I表示待攻击的中间值，f为攻击的目标算法操作，该中间值满足：

1)中间值的每一比特都与子密钥的每比特相关；

2)中间值的每一比特都是独立且是均匀分布的。

所述的组合处理是指：当每个比特对应的量，例如，CPA中相关系数为Result(i)，1≤i≤8，则把所有相关系数组合在一起，得到Result＝com(Result(1),Result(2),…,Result(8))，其中，com是某种组合方法。

在组合处理时，当每个比特对应的量为概率形式的结果时，由于完成整个事件则需要完成过程中的每个事件，因此使用与的方法；当每个比特对应的量为距离形式的结果时，由于总体的距离则是个体的距离之和，因此使用累加的方法，不管是概率还是距离，方法都要求每个比特是独立且均匀分布的。

所述的与的方法具体为：

所述的累加的方法具体为：

例如一种极端的情形，当第一比特与第二比特完全相关，即，第一比特的值决定了第二比特的值，此时，Result(1)与Result(2)就是相同的，那么，在组合结果时只需要考虑Result(1)或Result(2)即可。

如图1所示，本实施例具体包括以下步骤：

针对单个比特的情形，通用DPA过程描述如下：

1)猜测一个子密钥k，并计算待攻击的中间值I＝f(k,m)；

2)根据I的每个比特位把功耗曲线按此比特对应的0或1分成两类Ω_i,0和Ω_i,1；

3)根据某种统计量，如两类问题的统计距离，得到统计量曲线(即曲线上的每个点是对应分类曲线点的统计距离)；

4)每一个密钥猜测都将得到一条统计量曲线，对于一阶DPA攻击，从所有的统计量曲线中找到最高的单点峰值，其所对应的子密钥即为正确猜测，即

当存在八个比特位时，将八个比特位对应的结果组合处理，即得到正确猜测的子密钥其中：J^(j)(Ω₀,Ω₁)表示对第j个比特应用J判据的值。

本实施例可以进一步通过以下系统实现上述方法，该系统包括：密钥检测模块、信息分类模块、统计量处理模块以及峰值检测模块，其中：密钥检测模块生成猜测密钥并计算得到其对应的中间值信息后输出至信息分类模块，信息分类模块根据密钥检测模块的中间值信息对分析曲线进行分类，输出曲线分类信息至统计量处理模块，统计量处理模块与峰值检测模块相连并传输统计量信息，峰值检测模块根据每次的统计量曲线，计算综合统计量曲线及总统计量曲线的峰值并输出至密钥检测模块，密钥检测模块根据猜测密钥的中间值以及峰值检测模块返回的峰值进行对比并获得正确的猜测密钥。

所述的统计量信息包括：功耗曲线、分类信息以及每种分类下功耗曲线的统计量。

上述具体实施可由本领域技术人员在不背离本发明原理和宗旨的前提下以不同的方式对其进行局部调整，本发明的保护范围以权利要求书为准且不由上述具体实施所限，在其范围内的各个实现方案均受本发明之约束。

Claims (9)

1.一种基于比特的通用差分功耗分析方法，其特征在于，对于多个猜测子密钥中的每一个计算其中间值，并对中间值的每个比特位进行通用DPA攻击，采用类可分性判据对得到每个比特位对应的功耗曲线进行分类，计算每种分类下功耗曲线的统计量，得到对应于每个比特的统计量曲线，并对所得到的八次分类结果进行组合处理，得到每个猜测子密钥的综合统计量曲线，最后根据综合统计量曲线最高的单点峰值，该综合统计量曲线所对应的猜测子密钥即为正确子密钥；

所述的正确子密钥其中：Ω₀表示比特0所对应的分类曲线集，Ω₁表示比特1所对应的分类曲线集，N_IP表示曲线的点数，J^(j)(Ω₀,Ω₁)表示对第j个比特应用J判据的值。

2.根据权利要求1所述的基于比特的通用差分功耗分析方法，其特征是，所述的分类是指：按待攻击的中间值I的第一个比特分类分成两类，即分成Ω_1,0和Ω_1,1，分别表示为第一比特为0的一类和第一比特为1的一类。

3.根据权利要求1所述的基于比特的通用差分功耗分析方法，其特征是，所述的统计量包括两类曲线之间的统计距离。

4.根据权利要求1所述的基于比特的通用差分功耗分析方法，其特征是，所述的中间值的模型为I＝f(k,m)，其中：k表示子密钥，m表示明文，I表示待攻击的中间值，f为选择的算法操作，即DPA攻击的目标函数；该中间值满足：

1)中间值的每一比特都与子密钥的每比特相关；

2)中间值的每一比特都是独立且是均匀分布的。

5.根据权利要求1～4中任一所述的基于比特的通用差分功耗分析方法，其特征是，所述的组合处理是指：当每个比特对应的量为Result(i)，1≤i≤8，则把所有相关系数组合在一起，得到Result＝com(Result(1),Result(2),…,Result(8))，其中：com是组合方法。

6.根据权利要求5所述的基于比特的通用差分功耗分析方法，其特征是，在组合处理时，当每个比特对应的量为概率形式的结果时，由于完成整个事件则需要完成过程中的每个事件，因此使用与的方法；当每个比特对应的量为距离形式的结果时，由于总体的距离则是个体的距离之和，因此使用累加的方法。

7.根据权利要求5所述的基于比特的通用差分功耗分析方法，其特征是，在组合处理时，当任一比特与另一比特完全相关，即，第一比特的值决定了第二比特的值，则在组合时只计算两个比特之一即可。

8.根据权利要求6所述的基于比特的通用差分功耗分析方法，其特征是，所述的与的方法具体为：所述的累加的方法具体为：

9.一种实现权利要求1～8中任一所述方法的系统，其特征在于，密钥检测模块、信息分类模块、统计量处理模块以及峰值检测模块，其中：密钥检测模块生成猜测密钥并计算得到其对应的中间值信息后输出至信息分类模块，信息分类模块根据密钥检测模块的中间值信息对分析曲线进行分类，输出曲线分类信息至统计量处理模块，统计量处理模块与峰值检测模块相连并传输统计量信息，峰值检测模块根据每次的统计量曲线，计算综合统计量曲线及总统计量曲线的峰值并输出至密钥检测模块，密钥检测模块根据猜测密钥的中间值以及峰值检测模块返回的峰值进行对比并获得正确的猜测密钥；

所述的统计量信息包括：功耗曲线、分类信息以及每种分类下功耗曲线的统计量。