DE10326057B4

DE10326057B4 - Gegen Seitenkanalangriffe geschütztes Verfahren zum Testen einer natürlichen Zahl auf Primalität

Info

Publication number: DE10326057B4
Application number: DE2003126057
Authority: DE
Inventors: Jürgen Gerhard
Original assignee: CV CRYPTOVISION GmbH
Current assignee: CV CRYPTOVISION GmbH
Priority date: 2003-06-11
Filing date: 2003-06-11
Publication date: 2010-06-10
Anticipated expiration: 2023-06-12
Also published as: DE10326057A1

Abstract

Verfahren zum Testen einer natürlichen Zahl p auf Primalität für eine sicherheitskritische Anwendung auf einer gekapselten Recheneinheit, bei der ein Schutz gegen Seitenkanalangriffe notwendig ist,
gekennzeichnet durch die folgenden Verfahrensschritte:
– es seien v, w so bestimmt, dass w ungerade ist und p-1 = 2^vw gilt.
– in einem ersten Verfahrensschritt wird eine Zufallszahl a mit 1 < a < p-1 und eine ungerade Zufallszahl ρ gewählt sowie das Produkt wρ berechnet,
– in einem zweiten Verfahrensschritt werden die v + 1 Zahlen b_j = a^(2^jwρ) mod p für j = 0, 1, ..., v berechnet und dabei festgestellt, ob b₀ = 1 oder b₀ = –1 gilt oder ein Index j > 0 mit b_j = 1 und b_j-1 = –1 existiert, und gegebenenfalls „prim” ausgegeben, andernfalls „nicht prim”.

Description

Primzahlen werden in verschiedenen kryptographischen Verfahren benötigt. Beim bekannten RSA-Verfahren ( US 4,405,829 ) benötigt man zum Beispiel zwei Primzahlen p und q, um ein gültiges Schlüsselpaar zu erzeugen.
Dies geschieht üblicherweise dadurch, dass so lange nacheinander Zufallszahlen gewählt und auf Primalität getestet werden, bis eine Primzahl gefunden wird. Es sind verschiedene Verfahren mit polynomialer Laufzeit bekannt, um von einer gegebenen Zahl zu testen, ob sie eine Primzahl ist (probabilistisch: Fermat 17. Jh, Solovay & Strassen 1977, Miller und Rabin 1976, Lehmann 1982, deterministisch: Agrawal, Kayal & Saxena 2002; siehe Menezes, van Oorschot & Vanstone, Handbook of Applied Cryptography, CRC Press (1997), oder von zur Gathen & Gerhard, Modern Computer Algebra, Cambridge University Press (1999) für eine Übersicht).
Zu den Hauptanwendungen kryptographischer Verfahren gehört das Verbergen geheimer Informationen vor dem Zugriff Unbefugter mittels Verschlüsselung und die Authentisierung z. B. von Geldüberweisungen oder Verträgen mittels digitaler Unterschriften. Asymmetrische kryptographische Verfahren funktionieren dabei nach dem Prinzip, dass jedem Teilnehmer ein Paar aus zwei Schlüsseln zugeordnet ist: ein öffentlicher Schlüssel, der allgemein bekannt ist, und ein zugehöriger privater Schlüssel, der von dem Teilnehmer unter allen Umständen geheimzuhalten ist. Die Sicherheit der kryptographischen Verfahren basiert darauf, dass niemand den privaten Schlüssel kennen darf außer dem Teilnehmer selbst. Sowohl bei der Erzeugung als auch bei der Verwendung des privaten Schlüssels muss also sichergestellt werden, dass keine Information über den Schlüssel nach außen dringen kann. Daher werden in vielen Anwendungen gekapselte Speicher- und Rechenmodule wie Smartcards oder anderen Sicherheits-Token eingesetzt, in denen die Schlüsselerzeugung und kryptographische Berechnungen intern ablaufen und damit der private Schlüssel die sichere Umgebung nie verlassen muss.
Neben den direkten Angriffsmethoden auf kryptographische Verfahren gibt es eine Art von Angriffen, die sich besonders gegen Realisierungen dieser Verfahren auf Smartcards oder anderen Sicherheits-Token richtet. Diese werden als Seitenkanalangriffe bezeichnet. Dabei wird versucht, aus indirekten Informationen wie etwa Messungen der Laufzeit (Timing Attack), des Stromverbrauchs (SPA/DPA: Simple/Differential Power Analysis) oder der elektromagnetischen Abstrahlung (SEMA/DEMA: Simple/Differential Electromagnetic Analysis) eines solchen Moduls während der Durchführung des kryptographischen Verfahrens Rückschlüsse auf den verwendeten privaten Schlüssel zu ziehen (Kocher 1996, pp. 104–113 in Advances in Cryptology – CRYPTO '96, Springer LNCS 1109, Kocher, Jaffe & Jun 1999, pp. 388–397 in Advances in Cryptology – CRYPTO '99, Springer LNCS 1666, Messerges, Dabbish & Sloan 1999, pp. 144–157 in Cryptographic Hardware and Embedded Systems, Springer LNCS 1717, Fahn & Pearson 1999, pp. 173–186 in Cryptographic Hardware and Embedded Systems, Springer LNCS 1717). Dieser Art von Angriffen wird häufig durch den Einbau von Zufallskomponenten in das kryptographische Verfahren begegnet (Randomisierung), so dass bei mehrmaligem Durchlaufen des Verfahrens mit identischen Eingangsdaten bzw. Schlüsseln dennoch jedes Mal völlig unterschiedliche, möglichst zufällige Zwischenergebnisse auftauchen und somit Rückschlüsse auf die einzelnen Bits der Eingangsdaten unmöglich gemacht werden. Eine andere gebräuchliche Gegenmaßnahme ist es, den Verfahrensablauf so zu gestalten, dass unabhängig von den Eingangsdaten immer genau die selben Verfahrensschritte durchlaufen werden. Diese Maßnahme ist unabhängig von der Randomisierung einsetzbar und wird im Folgenden als Ausführungsinvarianz bezeichnet.
Ein üblicherweise bei der RSA-Schlüsselgenerierung verwendetes Verfahren ist der Primzahltest von Miller und Rabin, welcher im Folgenden beschrieben wird. Eingabe ist eine ungerade Zahl p > 1, und ausgegeben wird entweder „prim” oder „nicht prim”. Es handelt sich um einen probabilistischen Test, und es kann gezeigt werden, dass der Test stets „prim” ausgibt, wenn p eine Primzahl ist, und dass er mit Wahrscheinlichkeit mindestens 3/4 „nicht prim” ausgibt, wenn p keine Primzahl ist.

1. Bestimme Zahlen v und w so, dass p-1 = 2^vw gilt und w ungerade ist.
2. Wähle eine Zufallszahl a mit 1 < a < p-1.
3. Berechne b_j = a^(2^jw) mod p für j = 0, 1, ..., v.
4. Falls b₀ = 1 oder b₀ = –1 oder ein Index j > 0 mit b_j = 1 und b_j-1 = –1 existiert, so gib „prim” aus, andernfalls gib „nicht prim” aus.

Man kann die Fehlerwahrscheinlichkeit dieses Verfahrens beliebig klein machen, indem man es hinreichend oft wiederholt: bei t-maliger unabhängiger Wiederholung beträgt die Fehlerwahrscheinlichkeit höchstens (1/4)^t. Dies wird im Folgenden als t-facher Test bezeichnet.
Beim RSA-Verfahren etwa benötigt man zwei Primzahlen p und q, um ein gültiges Schlüsselpaar zu erzeugen. Dabei werden auf eine bestimmte Weise, zum Beispiel zufällig, so lange Kandidaten für p (bzw. q) gewählt und einem t-fachen Primzahltest wie z. B. dem obengenannten Test von Miller und Rabin unterworfen, bis ein Kandidat gefunden ist, für den der Test in jeder der t Wiederholungen „prim” ausgibt. Die Sicherheit des RSA-Verfahrens beruht jedoch entscheidend darauf, dass die gefundenen Primzahlen p und q geheimgehalten werden, da aus ihnen sehr leicht der erzeugte private Schlüssel abgeleitet werden kann.
Diese Vorgehensweise ist nicht gegen Seitenkanalangriffe geschützt: um die Fehlerwahrscheinlichkeit möglichst klein zu machen, muss t groß gewählt werden. Dies bedeutet aber, dass der Schritt 3. des Miller-Rabin-Tests t mal mit demselben Exponenten w durchlaufen wird. Ein potentieller Angreifer könnte aus t Messungen des Schritts 3 möglicherweise Rückschlüsse auf den Exponenten w und damit auf die geheimzuhaltende Primzahl p ziehen. Aus Effizienzgründen und um Zufallswahlen einzusparen, werden die Kandidaten oft nicht zufällig gewählt, sondern etwa als arithmetische Progression p = z, z + 2, z + 4, z + 6, ... mit einem zufällig gewählten Startpunkt z. In diesem Fall stehen dem Angreifer sogar noch weit mehr als t Messungen von Schritt 3 zur Verfügung, bei denen der Exponent w zwar nicht identisch ist, aber fast alle Bits von w gleich bleiben.
Durch so genannte „Always-Add”-Verfahren (vgl. z. B. Montgomery 1987, pp. 243–264 in Mathematics of Computation 48, oder die Patentschriften WO 99/67909 und DE 10057203 ) ist es möglich, Schritt 3 ausführungsinvariant zu machen. Es ist aber nicht klar, wie man den Exponenten in Schritt 3 randomisieren kann: die als „Exponent Blinding” bekannte Standardtechnik (siehe z. B. Messerges, Dabbish & Sloan 1999, pp. 144–157 in Cryptographic Hardware and Embedded Systems, Springer LNCS 1717) ist nicht anwendbar, da a priori kein Vielfaches der Ordnung von a modulo p bekannt ist. Ebenso ist das in DE 100 42 234 C2 beschriebene Verfahren zur Randomisierung des Exponenten bei der Durchführung einer modularen Exponentiation im Fall eines Primzahltests nicht zweckmäßig.
Es stellt sich also die Aufgabe, wie ein Verfahren zur Durchführung eines probabilistischen Primzahltests gestaltet werden kann, das einerseits mit einer möglichst niedrigen Anzahl von Durchläufen eine hinreichend kleine Fehlerwahrscheinlichkeit erreicht, andererseits aber auch möglichst weitgehend gegen Seitenkanalangriffe geschützt ist.
Dieses Ziel wird durch das erfindungsgemäße Verfahren erreicht.
Das erfindungsgemäße Verfahren nach Anspruch 1 randomisiert Schritt 3 des Miller-Rabin-Tests auf die folgende überraschende Art und kann unabhängig von der Ausführungsinvarianz zum Schutz gegen Seitenkanalangriffe eingesetzt werden.
Es wird eine ungerade Zufallszahl ρ gewählt, und dann wird b_j = a^(2^jwρ) mod (p-1) für j = 0, 1, ..., v berechnet. Alle anderen Schritte bleiben unverändert. Man kann nun zeigen, dass dieser Test für eine Primzahl stets „prim” ausgibt, und dass er für eine Nicht-Primzahl mit Wahrscheinlichkeit mindestens 13/18 „nicht prim” ausgibt, so dass man die Fehlerwahrscheinlichkeit durch t-malige Wiederholung auf höchstens (5/18)^t reduzieren kann.
Bei Wahl einer geeigneten Realisierungsplattform, wie z. B. einem Smartcardprozessor, und Verwendung eines ausführungsinvarianten Verfahrens kann man annehmen, dass die Messgenauigkeit des Angreifers nicht ausreichend ist, die gerade verarbeiteten Daten, also etwa den Exponenten w, aus einer einzelnen Messung von Schritt 3 abzuleiten. In diesem Fall bietet das erfindungsgemäße Verfahren zusätzlich einen Schutz gegen Seitenkanalangriffe mit mehrfachen Messungen von Schritt 3. Dies wird dadurch erreicht, dass in zwei unterschiedlichen Ausführungen von Schritt 3 sich der Exponent wρ durch die zufällige Wahl von ρ mit hoher Wahrscheinlichkeit in vielen Bits unterscheidet.
Spezifisch geeignete Anwendungen werden in den Ansprüchen 2 bis 4 besonders hervorgehoben. Dazu gehört die Anwendung des probabilistischen Primzahltests zur Generierung von Primzahlen. Besonders geeignet ist das beschriebene Verfahren zur Generierung von Schlüsseln für das RSA-Verfahren. Eine Anwendung, die besonders von den Eigenschaften des Verfahrens profitiert, ist die Durchführung von Primzahltests auf gekapselten Recheneinheiten wie Smartcard-Mikroprozessoren oder anderen Sicherheits-Token.

Claims

Verfahren zum Testen einer natürlichen Zahl p auf Primalität für eine sicherheitskritische Anwendung auf einer gekapselten Recheneinheit, bei der ein Schutz gegen Seitenkanalangriffe notwendig ist, gekennzeichnet durch die folgenden Verfahrensschritte: – es seien v, w so bestimmt, dass w ungerade ist und p-1 = 2^vw gilt. – in einem ersten Verfahrensschritt wird eine Zufallszahl a mit 1 < a < p-1 und eine ungerade Zufallszahl ρ gewählt sowie das Produkt wρ berechnet, – in einem zweiten Verfahrensschritt werden die v + 1 Zahlen b_j = a^(2^jwρ) mod p für j = 0, 1, ..., v berechnet und dabei festgestellt, ob b₀ = 1 oder b₀ = –1 gilt oder ein Index j > 0 mit b_j = 1 und b_j-1 = –1 existiert, und gegebenenfalls „prim” ausgegeben, andernfalls „nicht prim”.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass es innerhalb eines Verfahrens zum Generieren von Primzahlen eingesetzt wird.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass es innerhalb eines Verfahrens zur Erzeugung von Schlüsseln für das RSA-Verfahren eingesetzt wird.
Verfahren nach Anspruch 1, 2 oder 3, dadurch gekennzeichnet, dass das Verfahren auf einem Smartcard-Mikroprozessor oder einem anderen Sicherheits-Token realisiert ist.