CN112134729A - 一种基于分治的程序高阶功耗侧信道安全性的证明方法 - Google Patents

Abstract

本发明涉及一种基于分治的程序高阶功耗侧信道安全性的证明方法，其特征在于，包括以下步骤：对于一个含有n个可观察变量的程序，为证明程序是d阶功耗侧信道安全性，即所有大小为d的可观察变量集合的联合统计分布都独立于密钥，本发明的方法通过证明少量可观察变量集合的联合统计分布独立于密钥来证明d阶功耗侧信道安全性。采用本发明的方法可以有效避免组合爆炸问题，从而可以高效地证明程序高阶功耗侧信道安全性。

Description

一种基于分治的程序高阶功耗侧信道安全性的证明方法

技术领域

本发明涉及一种基于分治的程序高阶功耗侧信道安全性的证明方法，可应用于随机掩码高阶功耗侧信道安全的验证。

背景技术

现代密码学是当今计算机信息系统安全的基石。然而，在实践中，攻击者可以利用系统运行时的物理信息破解密钥，比如采用密码算法程序运行时的时间、功耗、电磁辐射等信息，这种攻击被称为侧信道攻击。

为阻止基于功耗的侧信道攻击，主要采用基于随机数掩码来避免物理信息与加密密钥之间统计依赖关系。采用n阶掩码的程序理论上可以抵御n阶功耗侧信道攻击。然而，采用安全的n阶掩码模式无法直接保证程序必然能抵御n阶功耗侧信道攻击，因此需要自动化的验证方法来证明程序高阶功耗侧信道安全性。

基于类型推导的证明方法和基于模型计数求解的证明和检查方法相继提出，并应用于证明d阶功耗侧信道安全性。对于一个含有n个可观察变量的程序，为证明程序是d阶功耗侧信道安全性，即所有大小为d的可观察变量集合的联合统计分布都独立于密钥，需要验证

个变量集合。当可观察变量数和阶数变大时，出现组合爆炸问题，无法快速证明和检测实际密码程序的高阶功耗侧信道安全性。

发明内容

本发明要解决的技术问题是：当可观察变量数和阶数变大时，出现组合爆炸问题，现有的证明程序高阶功耗侧信道安全性的方法无法快速证明和检测实际密码程序的高阶功耗侧信道安全性。

为了解决上述技术问题，本发明的技术方案是提供了一种基于分治的程序高阶功耗侧信道安全性的证明方法，其特征在于，通过分治策略，把证明程序d阶功耗侧信道安全性问题转化到证明一系列大集合变量的d阶功耗侧信道安全性问题，而证明一系列大集合变量的d阶功耗侧信道安全性问题又是递归的进行分治验证，具体包括以下步骤：

步骤1、构造集合{(V,d)}，进入步骤2，其中，V表示可观察变量集合，d为大于0的整数表示需要验证的阶数；

步骤2、对于给定集合{(V₁,d₁),...,(V_n,d_n)}，V₁,...,V_n为可观察变量集合；d₁,...,d_n为大于0且小于或等于d的整数，且保证d₁+…+d_n＝d，包括以下步骤：

步骤2.1、对于任意i，i＝1,…,n，从可观察变量集合V_i中选取d_i个变量组成集合D_i，通过类型推导或基于SMT求解器的方法检查变量集合

的联合统计分布是否独立于密钥变量；

步骤2.2、如果变量集合

的联合统计分布独立于密钥变量，则进入步骤2.3；如果变量集合

的联合统计分布不独立于密钥变量，则保存该变量集合

并进入步骤2.4；

步骤2.3、对于任何i，i＝1,…,n，对于任意集合V_i\D_i中的变量x，验证变量集合

的联合统计分布是否独立于密钥变量，如果是，则将x加入集合D_i，其中，V_i\D_i表示集合V_i减去D_i中的元素得到的集合；

重复步骤2.3直到没有变量可以加入集合D_i，在所有能加入D_i的变量x加入后，进行分治；

步骤2.4、对于任意满足式(1)和式(2)的所有整数组合i₁,...,i_n，进入步骤2递归证明集合{(D₁,d₁-i₁),(V₁\D₁,i₁),...,(D_n,d_n-i_n),(V_n\D_n,i_n)}：

0≤i₁≤min(d₁,|V₁\D₁|),…,0≤i_n≤min(d_n,|V_n\D_n|) (1)

i₁+i₂+…+i_n！＝0 (2)

式(1)及式(2)中，min(d_n,|V_n\D_n|)表示从d_n和|V_n\D_n|两者中选取较小的值；

在递归证明集合{(D₁,d₁-i₁),(V₁\D₁,i₁),...,(D_n,d_n-i_n),(V_n\D_n,i_n)}时，也保证了((d₁-i₁)+i₁)+…+((d_n-i_n)+i_n)＝d₁+…+d_n＝d。

对于一个含有n个可观察变量的程序，假设变量集合为V。为证明程序是d阶功耗侧信道安全性，即所有大小为d的可观察变量集合的联合统计分布都独立于密钥，本发明通过证明少量可观察变量集合V₁,…,V_m的联合统计分布独立于密钥来证明d阶功耗侧信道安全性，且对于任意一个大小为d的可观察变量集合V’，都存在一个集合V_i使得

附图说明

图1为本发明的技术方案的具体步骤；

图2为待验证的程序

具体实施方式

下面结合具体实施例，进一步阐述本发明。应理解，这些实施例仅用于说明本发明而不用于限制本发明的范围。此外应理解，在阅读了本发明讲授的内容之后，本领域技术人员可以对本发明作各种改动或修改，这些等价形式同样落于本申请所附权利要求书所限定的范围。

根据本发明的技术方案，实施重点是对攻击者可观测变量进行分治，减少需要验证的可观测变量集合数量，同时保证不遗漏需要验证的可观测变量集合，避免假阴性。对本发明作进一步的详细说明，具体实施技术方案如图1所示，包括以下步骤：

步骤1、命名函数HOMV(P,X_p,X_k,X_r,X_o,d)，其中，P表示待验证程序，X_p表示程序P中公开变量集合，X_k表示程序P中密钥变量集合，X_r表示程序P中随机变量集合，X_o表示程序P中攻击者可观察变量集合，d为大于0的整数；

构造集合{(V,d)}，进入步骤2，其中，V表示可观察变量集合；

步骤2、对于给定集合{(V₁,d₁),...,(V_n,d_n)}，V₁,...,V_n为可观察变量集合；d₁,...,d_n为大于0且小于或等于d的整数，且保证d₁+…+d_n＝d，包括以下步骤：

步骤2.1、对于任意i，i＝1,…,n，从可观察变量集合V_i中选取d_i个变量组成集合D_i，通过类型推导或基于SMT求解器的方法检查变量集合

的联合统计分布是否独立于密钥变量(参考附图1第12行至第14行，其中，T表示变量集合

的联合统计分布独立于密钥变量，⊥表示变量集合

的联合统计分布不独立于密钥变量)；

步骤2.2、如果变量集合

的联合统计分布独立于密钥变量，则进入步骤2.3；如果变量集合

的联合统计分布不独立于密钥变量，则保存该变量变量集合

(参考附图1第8行)并进入步骤2.4；

步骤2.3、对于任何i，i＝1,…,n，对于任意集合V_i\D_i中的变量x，验证变量集合

的联合统计分布是否独立于密钥变量，如果是，则将x加入集合D_i(参考附图1第15行至第18行)；重复步骤2.3直到没有变量可以加入集合D_i，在所有能加入Di的变量x加入后，进行分治；

步骤2.4、对于任意满足式(1)和式(2)的所有整数组合i₁,...,i_n，进入步骤2递归证明集合{(D₁,d₁-i₁),(V₁\D₁,i₁),...,(D_n,d_n-i_n),(V_n\D_n,i_n)}：

0≤i₁≤min(d₁,|V₁\D₁|),…,0≤i_n≤min(d_n,|V_n\D_n|) (1)

i₁+i₂+…+i_n！＝0 (2)

式(1)及式(2)中，min(d_n,|V_n\D_n|)表示从d_n和|V_n\D_n|两者中选取较小的值；

在递归证明集合{(D₁,d₁-i₁),(V₁\D₁,i₁),...,(D_n,d_n-i_n),(V_n\D_n,i_n)}时，也保证了((d₁-i₁)+i₁)+…+((d_n-i_n)+i_n)＝d₁+…+d_n＝d。

以图2所示程序为例，验证该程序是2阶侧信道安全的，包括以下步骤：

首先，调用图1函数HOMV。在函数HOMV中调用Explore({({a0,a1,a2_1,b0,b1,b2_3,r0_01,r0_02,r0_12,p0_01_4,r0_10_5,p0_10_6,r0_10_7,p0_02_8,r0_20_9,p0_20_10,r0_20_11,p0_12_12},2)})函数，验证所有大小为2的可观察变量集合的联合概率分布独立于密钥变量a和b的取值。假设V＝{a0,a1,a2_1,b0,b1,b2_3,r0_01,r0_02,r0_12,p0_01_4,r0_10_5,p0_10_6,r0_10_7,p0_02_8,r0_20_9,p0_20_10,r0_20_11,p0_12_12}。

在函数Explore({(V,2)})调用过程中：

在Explore函数第一次调用时，从集合V中选取2个变量。假设取了a0和a1，通过调用check({a0,a1})函数检查发现a0和a1联合概率分布独立于密钥变量a和b的取值，然后调用Extend函数。在Extend函数中，依次选择集合{a2_1,b0,b1,b2_3,r0_01,r0_02,r0_12,p0_01_4,r0_10_5,p0_10_6,r0_10_7,p0_02_8,r0_20_9,p0_20_10,r0_20_11,p0_12_12}中的变量，检查将变量加入集合{a0,a1}后，其联合概率分布是否独立于密钥变量a和b的取值；如是，则将该变量加入集合{a0,a1}。通过该Extend调用后，可以证明集合{a0,a1,b0,b1,p0_01_4,p0_10_6,r0_01,r0_02,r0_10_5,r0_10_7,r0_12}的联合概率分布独立于密钥变量a和b的取值。此时完成将集合V分成两个更小的集合V₁和V₂，其中：

V₁＝{a0,a1,b0,b1,p0_01_4,p0_10_6,r0_01,r0_02,r0_10_5,r0_10_7,r0_12}

V₂＝{a2_1,b2_3,p0_02_8,r0_20_9,p0_20_10,r0_20_11,p0_12_12}。

此时已经保证了V₁中两个大小为2的集合的联合概率分布独立于密钥变量a和b的取值。只需要考虑V₁中取0或1变量，跟V₂中取2或1个变量组成的集合的联合概率分布是否独立于密钥变量a和b的取值；达到了分治的目的。

为验证V₁中取0或1变量，跟V₂中取2或1个变量组成的集合的联合概率分布是否独立于密钥变量a和b的取值，递归采用分治方法进行验证；分别递归调用函数Explore({(V₁,0),(V₂,2)})和Explore({(V₁,1),(V₂,1)})。

在函数Explore({(V₁,0),(V₂,2)})调用过程中：

图1第5行选择分别选择集合{a2_1}和{b2_3}；通过Extend证明集合{a2_1,b2_3,p0_02_8,p0_20_10,r0_20_11,r0_20_9}联合概率分布独立于密钥变量a和b的取值；将集合V₂分治为两个子集V₂₁和V₂₂,其中:

V₂₁＝{a2_1,b2_3,p0_02_8,p0_20_10,r0_20_11,r0_20_9}

V₂₂＝{p0_12_12}。

此时V₂₂集合只有一个变量，因此只需要递归调用函数Explore({(V₁,0),(V₂₁,1),(V₂₂,1)})。

在函数Explore({(V₁,0),(V₂₁,1),(V₂₂,1)})调用过程中：

图1第5行选择分别选择集合{p0_12_12}和{a2_1}；通过Extend证明集合{a2_1,b2_3,p0_20_10,p0_12_12}联合概率分布独立于密钥变量a和b的取值；将集合V21分治为两个子集V₂₁₁和V₂₁₂,其中:

V₂₁₁＝{a2_1,b2_3,p0_20_10}

V₂₁₂＝{p0_02_8,r0_20_11,r0_20_9}。

随后递归调用函数Explore({(V₁,0),(V₂₁₁,0),(V₂₁₂,1),(V₂₂,1)})。

在函数Explore({(V₁,0),(V₂₁₁,0),(V₂₁₂,1),(V₂₂,1)})调用过程中：

图1第5行选择分别选择集合{p0_12_12}和{p0_02_8}；通过Extend证明集合{p0_12_12,p0_02_8,r0_20_9}联合概率分布独立于密钥变量a和b的取值；将集合V₂₁₂分治为两个子集V₂₁₂₁和V₂₁₂₂,其中:

V₂₁₂₁＝{p0_02_8,r0_20_9}

V₂₁₂₂＝{r0_20_11}。

随后递归调用函数Explore({(V₁,0),(V₂₁₁,0),(V₂₁₂₁,0),(V₂₁₂₂,1)(V₂₂,1)})。

在函数Explore({(V₁,0),(V₂₁₁,0),(V₂₁₂₁,0),(V₂₁₂₂,1)(V₂₂,1)})调用过程中：

图1第5行选择分别选择集合{p0_12_12}和{r0_20_11}；通过Extend证明集合{p0_12_12,r0_20_11}联合概率分布独立于密钥变量a和b的取值；此时不在进行递归调用。

此后继续执行函数调用Explore({(V₁,1),(V₂,1)})，该过程类似上述递归调用过程，最后证明图2所示例子为2阶安全的。

Claims (1)

1.一种基于分治的程序高阶功耗侧信道安全性的证明方法，其特征在于，通过分治策略，把证明程序d阶功耗侧信道安全性问题转化到证明一系列大集合变量的d阶功耗侧信道安全性问题，而证明一系列大集合变量的d阶功耗侧信道安全性问题又是递归的进行分治验证，具体包括以下步骤：

步骤1、构造集合{(V,d)}，进入步骤2，其中，V表示可观察变量集合，d为大于0的整数；

步骤2、对于给定集合{(V₁,d₁),...,(V_n,d_n)}，V₁,...,V_n为可观察变量集合；d₁,...,d_n为大于0且小于或等于d的整数，且保证d₁+…+d_n＝d，包括以下步骤：

步骤2.1、对于任意i，i＝1,…,n，从可观察变量集合V_i中选取d_i个变量组成集合D_i，通过类型推导或基于SMT求解器的方法检查变量集合

的联合统计分布是否独立于密钥变量；

步骤2.2、如果变量集合

的联合统计分布独立于密钥变量，则进入步骤2.3；如果变量集合

的联合统计分布不独立于密钥变量，则保存该变量集合

并进入步骤2.4；

步骤2.3、对于任何i，i＝1,…,n，对于任意集合V_i\D_i中的变量x，验证变量集合

的联合统计分布是否独立于密钥变量，如果是，则将x加入集合D_i，其中，V_i\D_i表示集合V_i减去D_i中的元素得到的集合；重复步骤2.3直到没有变量可以加入集合D_i，在所有能加入Di的变量x加入后，进行分治；

步骤2.4、对于任意满足式(1)和式(2)的所有整数组合i₁,...,i_n，进入步骤2递归证明集合{(D₁,d₁-i₁),(V₁\D₁,i₁),...,(D_n,d_n-i_n),(V_n\D_n,i_n)}：

0≤i₁≤min(d₁,|V₁\D₁|),…,0≤i_n≤min(d_n,|V_n\D_n|) (1)

i₁+i₂+…+i_n！＝0 (2)

式(1)及式(2)中，min(d_n,|V_n\D_n|)表示从d_n和|V_n\D_n|两者中选取较小的值；

在递归证明集合{(D₁,d₁-i₁),(V₁\D₁,i₁),...,(D_n,d_n-i_n),(V_n\D_n,i_n)}时，也保证了((d₁-i₁)+i₁)+…+((d_n-i_n)+i_n)＝d₁+…+d_n＝d。

Images