CN112187444A - 一种抗侧信道和故障攻击的综合防护方法 - Google Patents

Abstract

本发明公开了一种抗侧信道和故障攻击的综合防护方法，其步骤包括：1)对于待防护的目标算法，构造与该目标算法相同的算法作为该目标算法的冗余算法；并为该目标算法及其冗余算法分别构造相同的d阶门限防护方案，用于防护d阶侧信道攻击；2)将该目标算法的输出和该冗余算法的输出进行异或，然后与随机数进行乘法掩码运算，并对该乘法运算采用门限实现的技术进行防护；3)将步骤2)的处理结果与该目标算法的d阶门限实现结构或者该冗余算法的d阶门限实现结构相互异或得到一个结果，将该结果作为该目标算法的最终输出结果。本方法可以抵抗不基于密文的故障敏感度攻击、基于密文的差分故障攻击以及侧信道攻击。

Description

一种抗侧信道和故障攻击的综合防护方法

技术领域

本发明涉及一种基于门限实现技术和乘法掩码的综合防护方法，可应用于分组密码的侧信道攻击防护和故障攻击防护等领域。

背景技术

分组密码是密码学的重要分支，它是通信双方加解密使用相同密钥的密码体制。其具有运行速度快，占用资源少等优点，是密码系统的重要组成部分，在物联网等多个领域信息安全保护中起着举足轻重的作用。

在传统的密码学领域，人们更加关注密码算法的理论安全性，其安全假设一般指代攻击者可以对明密文有一定权限的操作，如已知明文、已知密文、选择明文和选择密文等，其安全目标本质上是保障密钥等敏感信息的安全性。

然而，事实证明仅仅依赖于密码算法的数学安全性，并不能保证密码系统的实际安全性，从密码技术实现的角度来看，传统密码学中的安全假设已经不再适用，攻击者不仅仅可以对密码算法的明密文进行操作，还可以在一定程度上获取密码算法的中间状态。上个世纪九十年代以来，一种被称为侧信道攻击的新型攻击方法被提出和发展，严重威胁着密码系统的实现安全性。所谓侧信道攻击是指利用密码系统运行过程中侧信道信息，如能量消耗、时间、电磁辐射、光以及声音等，对密码模块进行的攻击，从而恢复出秘密信息。侧信道攻击多种多样，其中能量分析攻击，因其实现简单、成本低廉以及效果显著等特点，得到了广泛的关注和研究。

能量攻击的出现严重威胁着密码芯片的实现安全性，相应的能量防护方案也应运而生。从策略角度上，一方面可以在算法设计阶段就考虑能量防护因素，或者有利于能量防护方案的执行，或者直接添加完整的防护策略，因而抗泄露密码的思想被提出，之后相关研究人员基于这种思路进行了相应的抗泄露密码算法的研究；另一方面，针对现有的密码算法实现策略进行防护设计，因实际应用当中，现存的待防护的密码算法占更大部分，因此针对现有算法进行防护的策略引起了更加广泛的关注。从破坏攻击假设的角度上，相应的能量防护策略可以分为隐藏防护方案和掩码防护方案。隐藏技术通过随机化或者是均衡化密码设备的能量消耗来减弱甚至消除密码算法的中间操作和设备能量消耗之间的关系，从而破坏能量分析攻击的攻击假设。掩码技术通过随机化密码设备处理的中间值来达到破坏能量消耗和中间操作之间的关系，成熟的掩码防护技术主要基于秘密共享技术和安全多方计算技术，相对于普通掩码技术来说理论更完备，因而成为能量防护方案中的主流技术。门限实现(threshold implementation)是一种主流的掩码技术，下文简称TI，自从被提出以来就得到了广泛的关注，并被陆续完善，相对于其他等价的防御方案，其具有如下优点：首先其提供可证明安全性；其次提供在毛刺存在环境下的安全性，其适用范围更广；最后其在算法级实现防护，其资源消耗相对更小。

故障分析攻击指结合密码设备正常运行时的输出和故障情况下的输出进行攻击的一种方法。密码芯片正常执行依赖于稳定的供电、时钟以及温度等因素，当这些因素被改变时，就可能引发设备的故障，另外，可以通过注入激光、电磁等手段引发设备的故障，创造故障攻击的条件。自从故障攻击被提出以来，该方法与差分分析、不可差分分析、积分分析、代数分析等传统密码分析方法结合衍生出了差分故障攻击、积分故障攻击、代数故障分析等方法，广泛用于各种密码体制的分析中。此外，随着故障注入技术和故障模型构建技术的逐步成熟，研究者提出了有别于传统故障分析的新的攻击方法，如故障敏感度分析、无效故障分析、安全故障分析等。故障分析因其攻击的强大性对密码芯片电路同样有着巨大的威胁。其中差分故障分析因其理论的成熟性和实现的高效性是安全防护的重要防护对象，另外故障敏感度攻击因其不依赖于故障密文的特点对于芯片电路的安全有着相当的威胁。

在芯片设计防护层面，可采用物理屏蔽手段阻止故障注入，保证芯片始终工作在正常的环境条件下。例如在电路中添加滤波器消除电压、时钟毛刺信号；在芯片表面附加温度、电磁、激光等传感器探测相应的错误注入并及时报警，使芯片终止运算或停止输出。在算法设计层面，故障防御主要包括“校验-阻止”和故障随机化两类方法。这两类方法均需要进行冗余操作作为加密运算的参考，并且对针对运算中间值的单点故障注入均具有可证明安全性。但是“校验-阻止”方法通常需要额外的一致性检验运算，容易受到指令类故障注入的攻击。故障随机化是通过对密码算法添加额外的随机化操作，使攻击者无法从故障输出结果中恢复出有效信息，故障感染技术是其中一类较为成熟的技术，感染技术的大致结构是冗余算法与原始算法异或的结果和随机数经过相应的运算后异或到某一路后输出，使得当有故障注入时，输出的结果为与原输出无关的随机数。故障感染防御将对故障的处理操作嵌入正常的密码操作中，对指令类故障也具有一定的抵抗能力。乘法掩码感染是感染防护的一种得到验证的防护方法，具有较好的防护效果。

随着密码实现方面攻击技术的发展，攻击者往往采用多种攻击手段进行攻击，不再局限于能量攻击或者故障攻击，在这种场景下，针对单一种类攻击的防护方法也已经不再适用。针对故障攻击的防护措施往往和能量防护措施分开研究，因此很多致力于同时防护能量分析攻击和故障分析攻击的实现方案都是简单的结合能量防护方案和故障防护方案，这在消耗大量资源的同时往往并不能够很好的实现相应的安全目标。如何合理综合使用能量防护技术和故障防护技术，已经存在了一些成果，这些成果在一定程度上实现了相应的安全防护目标，但是它们都或多或少存在着不同的问题，比如资源消耗大，效率低等问题，或者存在着一些潜在的安全漏洞。

发明内容

本发明提出的目的在于构造一种掩码技术与感染技术相组合的综合防护方法。在侧信道攻击防护方面，d阶的综合防护方案可以抵抗最大为d阶的能量分析攻击。在故障攻击的防护方面，该防护方法可以抵抗不基于密文的故障敏感度攻击和基于密文的差分故障攻击等。

为了实现如上防护目标，本发明基于门限实现防护技术和乘法掩码故障防护技术提出了一种综合防护方法，其具体实现步骤如下：

1)原始目标算法的防护，为实现对于d阶侧信道攻击的防护，对于待防护的原始目标算法，为其构造d阶门限实现技术；

2)冗余算法的防护，构造与原始算法完全相同的冗余算法，同时构造与原始目标算法完全相同的d阶门限实现防护方案；

3)感染结构的构造，使用乘法掩码感染技术和门限实现技术相结合构造相应的感染结构。具体的，将原始算法的输出和冗余算法的输出异或，然后与随机数进行乘法运算，在抵抗故障攻击的同时为了抵抗能量攻击，对于此乘法运算同样采用与原始目标算法相同的d阶门限实现的技术进行防护，从而达到抵抗故障攻击同时抵抗能量攻击的目的；

4)最终结果的输出，当感染操作结束后，将感染操作的结果与原始门限实现或者冗余门限实现的结构相互异或得到最终的输出结果。

步骤1)中将待防护的算法即目标算法，看作为函数运算的组合，针对其中每一个函数运算都进行d阶门限实现；例如对于函数y＝f(x₁,…,x_n)，本函数有n个输入，一个输出，其可以按如下步骤进行相应的d阶门限实现的构造：

a)输入变元的分解

利用n×(s_in-1)个随机生成的

与输入变元x₁,…,x_n进行异或操作得到掩码分量

即将

与x₁进行异或、依次类推；其中s_in表示实现门限防护所需的将输入变量划分的份数，相应的大小根据我们要实现的安全等级以及相应的实现代价确定的，需满足s_in≥d+1，最终

就是我们需要的掩码输入，由于随机数的存在，因此输入是满足均匀性的，也就是说每一种可能的掩码输入是均匀出现的。

b)函数的分解

将上一步中的掩码输入带入到相应的函数中去可以得到一个由掩码输入表示的新的函数表达式，然后拆分该新函数表达式相应的组成项并分配给相应的输出函数

同时满足正确性也就是，

其中s_out表示实现门限防护所需的将函数运算划分的份数，其大小根据相应的掩码输入以及安全要求进行调整。如果要抵抗d阶的能量攻击，

中任意的d项的组合都至少不包含一个掩码输入，这个性质称为d阶非完备性。相应的安全算法中，经常会有多轮的运算，因此会出现一轮的输出作为下一轮输入的情况出现，因此函数的输出应满足均匀性来应对下一轮作为输入对于均匀性的要求，这个性质，我们称之为函数均匀性。

在目标算法非线性运算之间需添加相应的寄存器暂存现阶段非线性运算的输出，从而构成下一阶段非线性运算的输入，来保证在迭代过程中相应的非完备性不被毛刺等因素破坏。

步骤2)采用与步骤1完全相同的方式进行门限实现防护。

步骤3)将原始d阶门限实现与冗余d阶门限实现相互异或的结果与随机数进行有限域上的乘法运算，为了达到故障防护的同时能量防护的目的，这里的乘法同样采用门限实现的方式进行保护。

步骤4)中将感染操作的输出结果和原始d阶门限实现或者冗余d阶门限实现的部分进行逐比特地异或运算即可得到最终的结果。

和现有技术相比，本防护方案具有如下优点：

1)和现有的只能抵抗单一种类攻击的防护方案不同，本发明的防护方案不仅可以抵抗以能量分析攻击为代表的侧信道攻击，同时也可抵抗不以故障密文为依据的故障敏感度攻击和以故障密文为攻击依据的差分故障攻击等。

2)和现有的综合防护方案相比，本发明的防护更加完善，其不仅在原始加密部分和冗余加密部分进行了相应的门限实现防护，在乘法掩码部分同样进行了相应的门限防护。

3)和现有的综合防护方案相比，本防护方案更加灵活，可以根据待防护算法应用环境的不同可以通过调整门限实现中share-function的划分方式来实现面积最优，或者安全最优等要求的权衡。

附图说明

图1是SM4密码算法示意图。

图2是SM4密码算法综合防护结构图。

图3是SM4算法门限实现结构图。

图4是防护方案流程图。

具体实施方式

下面结合相应附图和实例介绍本发明的具体实施技术，但不以任何形式限制本发明的范围。

本实例以SM4算法作为目标算法，实现了可抵抗2阶侧信道攻击的综合防护方案。

SM4算法是我国官方公布的第一个商用分组密码算法，对于国家密码安全体系的构建具有重要意义，其为分组长度是128比特，密钥长度为128比特的分组密码算法。它的加密算法和解密算法结构相同，都采用32轮非平衡Feistel迭代结构，只是加密密钥和解密密钥逆序。

如图1所示，SM4以字为单位进行加密运算，输入的四个字分别为：X₀，X₁，X₂，X₃；每轮迭代的轮函数为

其中

为异或操作，rk为轮密钥，是由初始密钥扩展得到的，T由两部分组成，包括非线性部分和线性部分，非线性部分采用四个并行的S盒组成，线性部分为其定义的移位操作，本实现中为了减少面积的消耗，我们采用S盒串行执行，每轮执行4次S盒运算得到我们的输出，进行32轮的轮操作后，进行逆序操作即可得到密文。SM4的密钥扩展部分与加密部分类似，种子密钥和其定义的常数进行异或操作后作为输入K₀，K₁，K₂，K₃进行轮操作，

其中T操作同样由S盒操作和线性移位操作组成，不同的是移位操作执行过程不同，其中的S盒的运算同样采用串行执行，经过32轮的运算后，得到全部的轮密钥。

SM4算法的综合防护方案结构如图2所示，流程如图4所示，可以分为如下几个组成部分：

1)原始SM4算法门限实现部分，对应于图中的“原始SM4 TI”模块

如图3所示，首先对输入变元进行分解得到相应的掩码输入，这里为实现2阶的门限实现，采用6-share的划分方式，即将128bit的输入扩展为128*6个输入比特。其次是对于函数的分解，将上一步中拆分的掩码输入代入到相应的计算中得到一个由掩码输出，然后按照要求拆分相应的组成项分配给相应的输出函数，使其满足正确性和非完备性。SM4密码算法包含线性运算和非线性运算部分，线性部分直接拆分为6份输出函数，非线性部分即s-box可以按照复合域的分解方式将其最终表示为乘法的组成，可以表示为a＝f(x,y)＝xy，对其的函数分解如以下公式所示：

其将函数分解为了7-share的函数，也就是产生了7-share的输出，为了作为下一阶段的输入，需要结合随机数将7-share的输出重组为6-share满足均匀性的输出，同时为了阻隔毛刺的传播，在作为新一轮非线性运算的输入之前，需要添加一层寄存器作为阻隔。

2)冗余SM4算法门限实现部分，对应于图中的“冗余SM4 TI”模块

冗余部分采用的划分，使用的随机数和原始门限部分完全相同。

3)乘法掩码门限实现部分，对应于图中的“乘法掩码TI”模块

将原始门限部分的输出和冗余门限部分的输出相互异或表示为M1，然后与随机数M2进行乘法掩码运算，这里的乘法掩码同样采用门限实现的方法，M1余M2按比特相乘，相应的门限实现同样采用以上的分解公式。

4)输出部分

当所有的加密流程以及乘法掩码操作完成后，将乘法掩码的输出异或上原始门限实现的输出得到最终的输出。

关于综合防护方案的安全性分析如下。

1)在能量防护方面

SM4密码算法的综合防护结构中的原始加密部分，冗余加密部分以及乘法掩码部分均采用了2阶门限实现的防护。

防护方案的安全性建立在对应的攻击模型之上，这里我们采用d-probing模型。在d-probing模型中，在同一时间，攻击者可以获取电路中至多d根中间线路的值。一个高阶侧信道攻击的阶数和d-probing模型中可探测的线路的条数是一致的，也就是说，如果一个电路在d-probing模型下是安全的，那么，在d阶侧信道攻击下也是安全。

这里我们实现的是一个2阶的门限防护方案，其中每一个运算函数的输入是均匀的，自身满足正确性和非完备性，一个2-probing的攻击者其至多可以探测到2个输出函数的中间值，其得到的信息量至少和一个掩码输入分量相独立，因此和实际中间值相互独立，因此2-probing安全的，也就是可以抵抗2阶侧信道攻击。

2)在故障防护方面

首先是门限实现的自身的非完备性使得其自身可以抵抗故障敏感度攻击，其次本方案采用乘法掩码故障感染技术，通过对密码算法添加额外的随机操作，使攻击者无法从故障输出结果中恢复出有效的信息，可以实现对差分故障攻击等依赖于故障密文的故障攻击的防护。

以上实例仅用以说明本发明的技术方案而非对其进行限制，本领域的普通技术人员可以对本发明的技术方案进行修改或者等同替换，本发明的保护范围以权利要求所述为准。

Claims (6)

1.一种抗侧信道和故障攻击的综合防护方法，其步骤包括：

1)对于待防护的目标算法，构造与该目标算法相同的算法作为该目标算法的冗余算法；并为该目标算法及其冗余算法分别构造相同的d阶门限防护方案，用于防护d阶侧信道攻击；

2)将该目标算法的输出和该冗余算法的输出进行异或，然后与随机数进行乘法掩码运算，并对该乘法运算采用门限实现的技术进行防护；

3)将步骤2)的处理结果与该目标算法的d阶门限实现结构或者该冗余算法的d阶门限实现结构相互异或得到一个结果，将该结果作为该目标算法的最终输出结果。

2.如权利要求1所述的方法，其特征在于，步骤2)中，将该目标算法的输出和该冗余算法的输出进行异或，然后将异或结果与随机数进行有限域上的乘法运算。

3.如权利要求1所述的方法，其特征在于，步骤3)中，将步骤2)的处理结果与该目标算法的d阶门限实现结构或者该冗余算法的d阶门限实现结构进行逐比特地异或运算，得到该目标算法的最终输出结果。

4.如权利要求1所述的方法，其特征在于，对该目标算法中每一个函数运算都进行d阶门限防护方案。

5.如权利要求4所述的方法，其特征在于，设该目标算法中的一函数y＝f(x₁，...，x_n)有n个输入、一个输出，对于该函数构造相应的d阶门限防护方案的方法为：

a)输入变元的分解：利用n×(s_in-1)个随机生成的随机数

与输入变元x₁，...，x_n进行异或操作，即将

与x₁进行异或，依次类推，将得到的掩码分量

作为该函数y＝f(x₁，...，x_n)的掩码输入，得到该函数y＝f(x₁，...，x_n)对应的新函数表达式；其中s_in表示实现门限防护所需的将输入变量划分的份数，满足s_in≥d+1；

b)函数的分解：拆分该新函数表达式相应的组成项并分配给相应的输出函数

其中

其中s_out表示实现门限防护所需的将函数运算划分的份数，对于要抵抗d阶的能量攻击，则

中任意的d项的组合都至少不包含一个掩码输入。

6.如权利要求4或5所述的方法，其特征在于，在该函数的非线性运算之间需添加相应的寄存器来保证在迭代过程中相应的非完备性。

Images