DE60204955T2

DE60204955T2 - Gegenmassnahmen in einem elektronischen baustein zur ausführung eines krypto-algorithmus mit auf elliptischen kurven basierendem öffentlichen schlüssel

Info

Publication number: DE60204955T2
Application number: DE60204955T
Authority: DE
Inventors: Marc Joye
Original assignee: Gemplus SA
Current assignee: Gemplus SA
Priority date: 2001-04-27
Filing date: 2002-04-25
Publication date: 2006-04-27
Anticipated expiration: 2022-04-26
Also published as: FR2824210A1; FR2824210B1; ES2247326T3; DE60204955D1; WO2002088933A1; US20040228478A1; EP1381936B1; EP1381936A1

Description

Die vorliegende Erfindung betrifft Gegenmaßnahmen in einem elektronischen Baustein zur Ausführung eines Krypto-Algorithmus mit auf elliptischen Kurven basierendem öffentlichem Schlüssel.
Algorithmen mit öffentlichem Schlüssel auf einer kryptographischen elliptischen Kurve erlauben Anwendungen vom Typ Chiffrierung, Überprüfung der Unterschrift, Zugangsberechtigungsprüfung, usw.
Sie werden insbesondere sehr stark in Anwendungen vom Typ Chipkarte eingesetzt, weil sie den Einsatz von recht kurzen Bearbeitungszeiten zulassenden Schlüsseln kurzer Länge erlauben und weil sie für ihre Implementierung u. U. keinen Einsatz von Krypto-Prozessoren benötigen, was den Gestehungspreis der elektronischen Bausteine, in denen sie implementiert sind, senkt.
Zur Erinnerung – wenn IK ein Korpus ist, bildet die die allgemeine Gleichung nach Weirstrass: y² + a1xy + a3x = x³ + a2x² + a4x + a6 überprüfende Struktur der Punkte (x, y) ∈ IK × IK bei ai ∈ IK und dem Punkt in der Unendlichkeit O eine elliptische Kurve. Jede elliptische Kurve auf einem Korpus kann in dieser Form ausgedrückt werden.
Die Struktur der Punkte (x, y) und der Punkt in der Unendlichkeit bilden eine wechselseitige Gruppe, in der der Punkt in der Unendlichkeit das neutrale Element ist und in der die Gruppenoperation die mit + bezeichnete und durch die bekannte Regel der Sekante und der Tangente vorgegebene Punkteaddition ist. In dieser Gruppe bildet das Paar (x, y), bei dem die Abszisse x und die Ordinate Y Elemente des Korpus IK sind, die affinen Koordinaten eines Punktes P der elliptischen Kurve.
Es wird daran erinnert, dass die Anzahl von Elementen des Korpus sich in einem fertigen Korpus immer in Form von Pⁿ ausdrückt, in der P eine Primzahl ist. P ist das Merkmal des Korpus.
Zwei Klassen von elliptischen Kurven werden insbesondere in kryptographischen Systemen verwendet: diejenigen, die auf einem fertigen Korpus mit dem von 2 und 3 unterschiedlichen Merkmal P definiert werden und diejenigen, die auf einem Korpus mit dem Merkmal gleich 2 definiert werden.
Bei elliptischen Kurven der ersten Klasse vereinfacht sich die Gleichung nach Weirtrass in: y2 = x3 + ax2 + b
Und bei denen der zweiten Klasse wird diese Gleichung unter Beschränkung auf die nicht super-singulären Kurven: y2 = xy = x3 + ax2 + b
Bei jeder dieser beiden Kurvenklassen werden Additions- und Punktverdoppelungsoperationen definiert. Formeln für diese Operationen werden in zahlreichen bekannten Referenzen des Fachmanns gegeben. Diese Formeln werden weiter im Text im Einzelnen für den Fall einer auf einem Korpus des von 2 oder 3 unterschiedlichen Merkmals definierten elliptischen Kurve aufgegeben.
Diese Operationen stellen die Basis der Exponentierungs-Algorithmen auf diesen elliptischen Kurven dar: In Anbetracht eines zu einer elliptischen Kurve gehörenden Punkts P und d, einer vorbestimmten Zahl (eine ganze Zahl) ist das Ergebnis der Skalarmultiplikation des Punktes P durch den Multiplikator d ein Punkt Q der Kurve, wie z. B. Q = d·P = P + P + ... + Pd Mal.
Krypto-Algorithmen mit auf elliptischer Kurve basierendem öffentlichen Schlüssel basieren somit auf der Skalarmultiplikation eines auf der Kurve durch eine vorbestimmte Zahl d, dem geheimen Schlüssel, ausgewählten Punktes P. Das Ergebnis dieser Skalarmultiplikation d·P ist ein Punkt Q der elliptischen Kurve. In einem Anwendungsbeispiel zur Chiffrierung gemäß dem Verfahren nach El Gamal, ist der erhaltene Punkt Q der öffentliche Schlüssel, der zur Chiffrierung einer Meldung dient.
Kryptoschlüssel mit auf elliptischer Kurve basierendem öffentlichen Schlüssel haben sich jedoch als empfindlich gegen insbesondere auf das Ausspionieren des Wertes dieses geheimen Schlüssels abzielende Angriffe erwiesen. Zu nennen wären insbesondere Angriffe mit einfachen oder differentialen versteckten Kanälen.
Unter Angriff mit einfachem oder differentialem verstecktem Kanal ist ein auf einer messbaren physikalischen Größe von außerhalb der Vorrichtung basierender Angriff zu verstehen, dessen direkte Analyse (einfacher Angriff) oder die Analyse gemäß einer statistischen Methode (differentialer Angriff) die Feststellung der in den Verarbeitungen in der Vorrichtung enthaltenen und manipulierten Informationen erlaubt. Diese Angriffe können somit die Feststellung der vertraulichen Informationen ermöglichen. Diese Angriffe werden insbesondere durch Paul Kocher (Advances in Cryptology – CRYPTO '99, Band 1966 of Lecture Notes in Computer Science, S. 388–397, Springer Verlag, 1999) offen gelegt. Unter den physikalischen Größen, die zu diesen Zwecken genutzt werden können, wären der Stromverbrauch zu nennen, das elektromagnetische Feld, usw. Diese Angriffe basieren auf der Tatsache, dass die Manipulation eines Bits, das heißt seine Verarbeitung durch eine besondere Anweisung, je nach seinem Wert einen besonderen Abdruck auf der betrachteten physikalischen Größe hat.
In auf elliptischen Kurven basierenden kryptographischen Systemen zielen diese Angriffe auf die Skalarmultiplikation ab.
Die Berechnung der Skalarmultiplikation Q = d·P kann durch unterschiedliche Exponentierungs-Algorithmen realisiert werden. Davon wären einige zu nennen, wie z. B. der auf der binären Darstellung des Multiplikators d basierende Verdoppelungs- und Additionsalgorithmus (double and add in der angelsächsischen Literatur), dem auf der binären Darstellung des Multiplikators d basie rende, dem auf der unterschriebenen binären Darstellung des Multiplikators d basierende Additions-Subtraktionsalgorithmus, dem Algorithmus mit Fenster, usw. Alle diese Algorithmen nutzen auf den elliptischen Kurven definierte Verdoppelungs- und Additions-Operations-Formeln.
Bei allen diesen Algorithmen mussten die Verhinderung der Verbreitung der unterschiedlichen Angriffe erlaubende Gegenmaßnahmen vorgesehen werden. Mit anderen Worten, es wurde versucht, diese Algorithmen zu sichern. Zum Beispiel ist der bekannte, so genannte Verdoppelungs- und Additions-Algorithmus insbesondere anfällig gegen Angriffe mit versteckten Kanälen vom einfachen Typ, denn er beinhaltet eine konditionale Operation mit dem Wert eines Bits des Geheimschlüssels d. Zur Sicherung dieses Algorithmus wurde er in einen so genannten Verdoppellungs-Algorithmus mit systematischer Addition umgewandelt. In diesem Algorithmus werden, unabhängig vom Wert des Bits des Geheimschlüssels bei der laufenden Verarbeitung, immer dieselben Operationen in derselben Anzahl ausgeführt. Im Allgemeinen kann man diese Algorithmen gegenüber einfachen Angriffen sichern, indem alle bedingten Anschlüsse an den Wert der verarbeiteten Information unterdrückt werden.
Dennoch konnte nachgewiesen werden, dass diese Paraden nicht vor differentialen Angriffen mit versteckten Kanälen schützten, durch die das Aufspüren des Geheimschlüssels d ermöglicht wurde.
Eine wirkungsvolle Parade gegen differentiale Angriffe besteht darin, die Eingänge und/oder Ausgänge des zur Berechnung von Q = d·P verwendeten Exponentierungs-Algorithmus zufällig zu gestalten. Mit anderen Worten, es geht darum, den Multiplikator d und/oder den Punkt P zufällig zu gestalten.
Dieses Prinzip anwendende Gegenmaßnahmen sind bekannt. Derartige Gegenmaßnahmen werden insbesondere in einem Artikel von Jean-Sébastien Coron beschrieben (Cryptographic Hardware and Embedded Systems, Band 1717 of Lecture Notes in Computer Science, Seiten 292–302, Springer Verlag, 1999) beschrieben.
In diesem Artikel besteht eine Gegenmaßnahme insbesondere in dem Maskieren des Punktes P durch Einsatz von auf zufällige Weise definierten projektiven Koordinaten dieses Punktes.
Ein Punkt der (vom Punkt in der Unendlichkeit unterschiedlichen) elliptischen Kurve E wird nämlich auf einzigartige Weise auf dieser Kurve durch seine affinen Koordinaten (x, y) definiert. Aber man kann diesen Punkt durch projektive Koordinaten (X:Y:Z) darstellen, und es gibt eine exponentiale Anzahl von Darstellungen in projektiven Koordinaten.
In den beschriebenen Gegenmaßnahmen wird somit eine zufällige Zahl t IK ermittelt und der Punkt P durch projektive Koordinaten in Abhängigkeit von dieser zufälligen Zahl dargestellt.
In dem vorgenannten Artikel wird auf vorteilhafte Weise die Bildung der projektiven Koordinaten des Punktes P in Abhängigkeit von der zufälligen Zahl t und der affinen Koordinaten, zum Beispiel in der Form P = (tx : ty : t) in homogenen projektiven Koordinaten oder P = (t²x : t³y : t) in jakobineschen Koordinaten vorgeschlagen. Auf diese Koordinaten wird der Exponentierungs-Algorithmus angewendet. Erhalten wird eine Darstellung des Punktes Q in projektiven Koordinaten, von denen die affinen Koordinaten dieses Punktes abgeleitet (berechnet) werden.
Ein Gegenstand der vorliegenden Erfindung ist eine Gegenmaßnahme, insbesondere gegenüber differentialen Angriffen mit versteckten Kanälen.
Ein weiterer Gegenstand der Erfindung ist eine einfach umzusetzende Gegenmaßnahme.
Im Verhältnis zum vorgenannten Artikel weist das vorgeschlagene Verfahren den Vorteil auf, schneller zu sein und unabhängig in affinen und projektiven Koordinaten anwendbar zu sein.
Die der Erfindung zugrunde liegende Idee besteht im Einsatz der Gruppenisomorphismen zur Übertragung der Skalarmultiplikationsberechnungen auf eine durch Anwendung eines Isomorphismus der im Verhältnis zu einer zufälligen Zahl u ungleich Null, Element des Korpus IK definierten Gruppe φu erhaltenen elliptische Kurve E_u.
Mit anderen Worten, die Gegenmaßnahme besteht dann in der Ermittlung einer zufälligen Zahl u ungleich Null zur Definition einer zufälligen isomorphen elliptischen Kurve E_= φu(E), in der Berechnung der Koordinaten des Bildpunktes auf dieser Kurve E_u des Punktes P, in der Anwendung des Exponentierungs-Algorithmus auf diesen Bildpunkt P' auf der isomorphen elliptischen Kurve E_u, zum Erhalt eines aus Q' resultierenden Punktes und in der Berechnung der Koordinaten des Vor-Bild- Punktes Q des Punktes Q' auf der elliptischen Kurve E, auf der das kryptographische System basiert.
Da die Algebrastruktur der elliptischen Kurven sehr reich ist, gibt es zahlreiche Definitionsmöglichkeiten von Isomorphismen, so dass die erfindungsgemäßen Gegenmaßnahmen eine sehr allgemeine Anwendung haben.
Die Erfindung betrifft daher Gegenmaßnahmen in einem elektronischen Baustein zur Ausführung eines Krypto-Algorithmus mit auf einer auf einem Korpus IK bestimmten elliptischen Kurven E basierendem öffentlichen Schlüssel mit einer Exponentierungsberechnung vom Typ Q = d·P, in der P und Q Punkte der bestimmten elliptischen Kurve (E) sind und d eine vorbestimmte Zahl ist, dadurch gekennzeichnet, dass das genannte Verfahren die folgenden Stufen umfasst:

– Ermitteln einer zufälligen Zahl u ungleich Null, Element des Korpus IK, zur zufälligen Definition einer isomorphen elliptischen Kurve E_u,
– Berechnung der Koordinaten eines Punktes P' auf der genannten isomorphen elliptischen Kurve E_u, Darstellung des Punktes P,
– Anwendung eines Exponentierungsalgorithmus auf den genannten Darstellungspunkt P' auf der genannten isomorphen elliptischen Kurve E_u zwecks Erhalts eines resultierenden Punktes Q',
– Berechnung der Koordinaten auf der bestimmten elliptischen Kurve E des Punktes Q, der Vor-Darstellung des resultierenden Punktes Q'.

Weitere Merkmale und Vorteile der Erfindung werden in der nachfolgenden Beschreibung unter Bezugnahme auf eine besondere Ausführungsform der elliptischen Kurven auf einem IK mit zu 2 oder 3 unterschiedlichen Merkmalen vorgestellt.
Es wurde aufgezeigt, dass eine elliptische Kurve auf einem derartigen Korpus folgendermaßen definiert werden kann: E/_IK : y² = x³ + ax + b.
Das heißt zwei auf einem derartigen Korpus definierte elliptische Kurven E1 und E2: E1/IK : y2 = x3 + ax + b E2/IK : y2 = x3 + a'x + b'
Es wird aufgezeigt, dass diese beiden Kurven nur dann auf IK isomorph sind, wenn eine zu IK gehörende Zahl u ungleich Null, wie zum Beispiel u⁴a' = a und u⁶b' = b vorhanden ist.
Wenn man φ, den Gruppenisomorphismus, wie zum Beispiel E2 = φ(E1) notiert, zeigt man, dass P = (x, y) der elliptischen Kurve E1 in jedem Punkt einem Bildpunkt φ(P) = P' = (x', y') auf der elliptischen Kurve E2 entspricht, wie zum Beispiel: x' = u–2xundy' = u–3y.
Durch die Anwendung des umgekehrten Isomorphismus φ^–1, wie zum Beispiel φ^–1(E2) = E1, entspricht umgekehrt jedem Punkt P' = (x', y') der elliptischen Kurve E2 ein Vor-Bild-Punkt φ^–1(P') = P = (x, y) auf der elliptischen Kurve E1, wie zum Beispiel: x = u2x'undy = u3y'.
In der Erfindung wird der auf die elliptischen Kurven angewendete Gruppenisomorphismus zur zufälligen Maskierung des Punktes P angewendet, auf den der Exponentierungs-Algorithmus angewendet wird.
Das heißt, ein Exponentierungs-Algorithmus vom Typ Q = d·P, bei dem Q und P Punkte einer definierten elliptischen Kurve E sind. Die erfindungsgemäße Gegenmaßnahme besteht daher in der zufälligen Ermittlung einer Zahl u in den Elementen ungleich Null des Korpus IK zur zufälligen Definition einer isomorphen elliptischen Kurve E_u = φu(E). Die Koordinaten des Bildpunktes P' des Punktes P werden auf dieser isomorphen elliptischen Kurve E_u berechnet, und dieser Bildpunkt P' wird am Eingang des Exponentierungs-Algorithmus angewendet. Man erhält einen auf der isomorphen elliptischen Kurve E_u resultierenden Punkt Q'. Dann werden die Koordinaten des Vor-Bild-Punktes Q des auf der definierten elliptischen Kurve E resultierenden Punktes Q' berechnet. Mit anderen Worten, es wird gemäß diesem Verfahren Folgendes berechnet: Q = φ–1(d(φ(P))).
Durch dieses Verfahren sind die Berechnungszwischenstufen des Exponentierungs-Algorithmus unvorhersehbar, da die Zahl u zufällig ist.
Dieses Verfahren kann auf jeden Exponentierungs-Algorithmus nach Wahl und in dem System affiner oder projektiver Koordinaten nach Wahl angewendet werden. Insbesondere kann der Punkt P' = (x'1, y'1) durch die projektiven Koordinaten P' = (X : Y : Z) bei 1a in der Koordinate mit Z gleich 1, also: P' = (x'1 : y'1 : 1) dargestellt werden.
Dann wird ein Exponentierungs-Algorithmus in (homogenen oder jakobineschen) projektiven Koordinaten nach Wahl verwendet. Da die Koordinaten in Z gleich 1 sind, wird dann die Zahl der Operationen zur Berechnung von d·P' reduziert.
Bevorzugt wird jedes Mal, wenn der Krypto-Algorithmus angesprochen wird, ein zufälliger Wert u ermittelt.
In einer anderen Ausführungsvariante wird ein zufälliger Wert u zur Personalisierung des elektronischen Bausteins ermittelt. Dieser Wert wird dann in einem wiederbeschreibbaren Speicherabschnitt des elektronischen Bausteins, wie dem geheimen Schlüssel d, gespeichert. In diesem Fall kann die Vor-Berechnung bestimmter Werte zur Beschleunigung der Verarbeitung vorgesehen werden. In dem besonders beschriebenen Ausführungsbeispiel über fertige Korpus mit Merkmalen unterschiedlich von 2 oder kann insbesondere der Wert u^–1 vorberechnet werden, der die Berechnung der Koordinaten der Punkte P' und Q' erlaubt, und wird im wiederbeschreibbaren Speicher gespeichert. Dies ist insbesondere in den Anwendungen interessant, in denen die Verarbeitungsgeschwindigkeit sehr hoch ist, und in denen der wiederbeschreibbare Speicher eine ausreichende Kapazität hat.
Die auf ein auf einer auf einem fertigen Korpus mit von 2 oder 3 unterschiedlichen Merkmalen elliptischen Kurve E basierendes kryptographisches System angewendeten erfindungsgemäßen Gegenmaßnahmen können zur Vornahme einer Exponentiation des Typs Q = d·P detailliert werden, bei der Q und P Punkte der elliptischen Kurve E sind und d eine vorbestimmte Zahl ist. d und P sind die Eingänge und Q ist der Ausgang des Exponentierungs-Algorithmus.
In einem derartigen Beispiel haben wir gesehen, dass die Gleichung nach Weirstrass für die elliptische Kurve E auf dem Korpus IK folgendermaßen lautet: E/IK : y2 = X3 + ax + b.
In dieser Kurve ergibt die Additionsoperation eines Punkte P = (x₁, y₁) und Q = (x₂, y₂) (bei Q ≠ –P) einen Punkt R = (x₃, y₃) = P + Q, wie zum Beispiel: x₃ = λ² – x₁ – x₂ und y₃ = λ(x₁ – x₃) – y₁
beiλ = (y2 – y1)/(x2 – x1), wenn P ≠ Q (Formel 1)undλ = (3x1 2 + a)/2y1, wenn P = Q (Formel 2).
Die Formel 1 ist die Additionsformel der beiden unterschiedlichen Punkte: R = Q + P, während die Formel 2 die Verdoppelungsformel des Punktes R = 2·P ist.
Es ist festzustellen, dass keine dieser Formeln den Parameter b der Gleichung der elliptischen Kurve E verwendet.
Somit kann sich eine auf eine durch die Gleichung nach Weirstrass vom Typ y² = x³ + ax + b definierte elliptische Kurve und auf einen auf einen Punkt P = (x1, y1) angewendeten Verdoppelungsoperationen eines Punktes und Additionsoperationen zwischen zwei Punkten dieser Kurve E verwendenden Exponentierungs-Algorithmus angewendete Gegenmaßnahmen folgendermaßen geschrieben werden:

a) Zufälliges Ermitteln einer Zahl u ungleich Null;
b) Bewertung des Parameters a' = u^–4a der Gleichung nach Weirstrass vom eine isomorphe elliptische Kurve E_u der elliptischen Kurve E definierenden Typ y² = x³ + a'x + b';
c) Bilden des Punktes P' = (u^–2x₁, u^–3y₁);
d) Berechnen des Punktes Q' = d·P' auf der isomorphen elliptischen Kurve E_u.
e) Wenn der resultierende Punkt Q' der Punkt in der Unendlichkeit ist, ist der Punkt Q der Punkt in der Unendlichkeit, Andernfalls schreibt man Q' = (x'₃, y'₃);
f) umkehren von Q = (u²x'₃, u³y'₃) als Vor-Bild-Punkt.

Die Berechnung des Punktes Q + dP' in der Stufe d) dieses Verfahrens kann auf bemerkenswerte Weise mit dem Algorithmus nach Wahl und in dem Koordinatensystem nach Wahl erfolgen. Die Verwendung von (homogenen oder jakobineschen) projektiven Koordinaten für den Punkt P'4 ist insbesondere interessant, wenn P' mit seiner Koordinate in Z gleich 1 dargestellt wird, da die Anzahl von Operationen zur Berechnung von dP' dann reduziert ist. Man erhält also P' = (u^–2x1 : u^–3y1 : 1).
Die erfindungsgemäßen Gegenmaßnahmen können verallgemeinert werden. Insbesondere können die elliptischen Kurven durch andere Parametrisierungen als die nach Weirstrass vorgegeben werden.
Im Allgemeinen besteht die Stufe b). des oben im Einzelnen dargelegten Verfahrens somit in der Berechnung der Parameter der isomorphen elliptischen Gleichung auf der Basis der zufälligen Zahl u und der Parameter der elliptischen Kurve, auf der das kryptographische System basiert. Nur die in den Operationen auf der elliptischen Kurve verwendeten Parameter (Addition von zwei Punkten, Verdoppelung) sind zu berechnen. Im oben im Einzelnen dargelegten Verfahren ist nur der Parameter zu berechnen.
Darüber hinaus können die Gegenmaßnahmen auf unterschiedliche Exponentierungs-Algorithmen der Vorveröffentlichungen angewendet werden, da sie nur diesen Algorithmus auf eine andere elliptische Kurve übertragen. Somit können diese Gegenmaßnahmen in allen auf elliptischer Kurve basierenden kryptographischen Systemen verwendet werden. Es findet insbesondere auf die für Chipkarten bestimmten elektronischen Bausteine Anwendung.

Claims

Gegenmaßnahmen in einem elektronischen Baustein zur Ausführung eines Krypto-Algorithmus mit auf einer auf einem Korpus IK bestimmten elliptischen Kurven E basierendem öffentlichen Schlüssel mit einer Exponentierungsberechnung vom Typ Q = d·P, in der P und Q Punkte der bestimmten elliptischen Kurve (E) sind und d eine vorbestimmte Zahl ist, dadurch gekennzeichnet, dass das genannte Verfahren die folgenden Stufen umfasst: – Ermitteln einer zufälligen Zahl u ungleich Null, Element des Korpus IK, zur zufälligen Definition einer isomorphen elliptischen Kurve E_u, – Berechnung der Koordinaten eines Punktes P' auf der genannten isomorphen elliptischen Kurve E_u, Darstellung des Punktes P, – Anwendung eines Exponentierungs-Algorithmus auf den genannten Darstellungspunkt P' auf der genannten isomorphen elliptischen Kurve E_u zwecks Erhalts eines resultierenden Punktes Q', – Berechnung der Koordinaten auf der bestimmten elliptischen Kurve E des Punktes Q, der Vor-Darstellung des resultierenden Punktes Q'.
Gegenmaßnahmen gemäß Anspruch 1, dadurch gekennzeichnet, dass die Definition der isomorphen elliptischen Kurve E_u die Parameterberechnung (a und/oder b) der genannten Kurve in Abhängigkeit der Parameter der definierten elliptischen Kurve E und der genannten zufälligen Variable umfasst, wobei die genannten Para meter in dem genannten Exponentierungs-Algorithmus verwendet werden.
Gegenmaßnahmen gemäß Anspruch 1 oder 2, dadurch gekennzeichnet, dass der genannte Exponentierungs-Algorithmus auf den Bildpunkt P' in affinen Koordinaten (P = (x'1, y'1)) angewendet wird.
Gegenmaßnahmen gemäß Anspruch 1 oder 2, dadurch gekennzeichnet, dass der genannte Exponentierungsalgorithmus auf den Bildpunkt P' in projektiven Koordinaten angewendet wird.
Gegenmaßnahmen gemäß Anspruch 4, dadurch gekennzeichnet, dass die genannten projektiven Koordinaten vom Typ mit Koordinaten in Z gleich 1 (P = (x'1 : y'1 : 1) sind.
Gegenmaßnahmen gemäß Anspruch 2, wobei die definierte elliptische Kurve E die Gleichung y² = x³ + ax + b hat und der auf einen Punkt P = (x1, y1) angewendete Exponentierungs-Algorithmus die Verdoppelungsoperationen eines Punktes oder Additions- oder Substraktionsoperationen zwischen zwei Punkten dieser Kurve E verwendet, dadurch gekennzeichnet, dass sie die folgenden Stufen umfasst: a) Zufällig eine Zahl u ungleich Null ermitteln; b) Den Parameter a' = u^–4a in der eine isomorphe elliptische Kurve E_u zur elliptischen Kurve E definierenden Gleichung y² = x³ + a'x + b' bewerten; c) den Bildpunkt P' = (u^–2x₁, u^–3y₁) des Punktes P auf der genannten isomorphen Kurve E_u bilden; d) Berechnung des resultierenden Punktes Q' = d·P' durch Anwendung des genannten Exponentierungs- Algorithmus auf der genannten isomorphen elliptischen Kurve E_u. e) Wenn der Punkt Q' gleich dem Punkt in der Unendlichkeit ist, den Punkt in der Unendlichkeit als Darstellungspunkt Q umkehren, Ansonsten schreiben Q' = (x'₃, y'₃); f) Q = (u²x'₃, u³y'₃) umkehren.
Gegenmaßnahmen gemäß dem vorherigen Anspruch, dadurch gekennzeichnet, dass der genannte Exponentierungsalgorithmus in der Stufe d) auf die in der Stufe c) durch P' = (u^–2x₁ : u^–3y₁ : 1) gebildeten projektiven Koordinaten (X:Y:Z) des Punktes P' angewendet wird.
Elektronischer Baustein, in dem Gegenmaßnahmen gemäß einem der vorherigen Ansprüche umgesetzt werden.
Chipkarte mit einem elektronischen Baustein gemäß Anspruch 8.