DE60207818T2

DE60207818T2 - Gesichertes Verfahren zur kryptographischen Berechnung mit Geheimschlüssel und Bauteil, das ein solches Verfahren anwendet

Info

Publication number: DE60207818T2
Application number: DE60207818T
Authority: DE
Inventors: Fabrice Romain; Yannick Teglia
Original assignee: STMicroelectronics SA
Current assignee: STMicroelectronics SA
Priority date: 2001-02-08
Filing date: 2002-02-06
Publication date: 2006-08-24
Anticipated expiration: 2022-02-07
Also published as: FR2820577B1; JP4727906B2; JP2008295109A; WO2002063822A1; EP1358733B1; FR2820577A1; EP1358733A1; US7400723B2; DE60207818D1; US20040071291A1; JP2004527787A

Description

Die vorliegende Erfindung betrifft ein gesichertes Verfahren zur kryptographischen Berechnung mit geheimem oder privatem Schlüssel. Die vorliegende Erfindung betrifft auch ein Bauteil, das ein solches gesichertes Verfahren verwendet. Genauer gesagt, hat das erfindungsgemäße Verfahren zum Ziel, solche Bauteile vor einem physikalischen Angriff vom Typ SPA (Simple Power Analysis) zu schützen. Solche Angriffe haben zum Ziel, Informationen über den geheimen oder privaten Schlüssel ausgehend vom Energieverbrauch oder von der elektromagnetischen Strahlung des Bauteils zu erhalten, wenn es das Verschlüsselungsverfahren verwendet.
Die von der Erfindung betroffenen Bauteile werden insbesondere bei Anwendungen benutzt, bei denen der Zugang zu den Diensten und/oder Daten streng kontrolliert wird. Diese Bauteile haben meist eine Architektur, die um einen Mikroprozessor und um einen Programmspeicher herum geformt ist, der insbesondere den Geheimschlüssel enthält.
Solche Bauteile werden zum Beispiel bei Chipkarten benutzt, insbesondere für Bankanwendungen mittels eines Steuerterminals oder Telebanking.
Solche Bauteile verwenden eines oder mehrere Verschlüsselungsverfahren mit geheimem oder privatem Schlüssel, um ausgehend von einem Eingangsdatenwert einen Ausgangsdatenwert zu berechnen. Ein solches Verfahren wird zum Beispiel verwendet, um eine Eingangsnachricht zu verschlüsseln, zu entschlüsseln, zu authentifizieren, zu signieren, oder auch um die Signatur der Eingangsnachricht zu überprüfen.
Um die Sicherheit der Transaktionen zu gewährleisten, sind die Verschlüsselungsverfahren mit geheimem oder privatem Schlüssel so konstruiert, dass es nicht möglich ist, den verwendeten Geheimschlüssel ausgehend von der Kenntnis des Eingangsdatenwerts und/oder des Ausgangsdatenwerts des Algorithmus zu bestimmen. Die Sicherheit eines Bauteils beruht aber auf seiner Fähigkeit, den von ihm verwendeten Geheimschlüssel verdeckt zu halten, da dieser Schlüssel nicht verändert werden kann.
Ein häufig verwendetes Verfahren ist das Verfahren vom Typ DES (für Data Encryption Standard). Es ermöglicht zum Beispiel, eine mit 64 Bits codierte verschlüsselte Nachricht MS (oder Ausgangsdatenwert) ausgehend von einer ebenfalls mit 64 Bits codierten Klartextnachricht ME (oder Eingangsdatenwert) und einem Geheimschlüssel K₀ mit 56 Bits zu liefern.
Die Hauptschritte des DES-Verfahrens sind in 1 im Einzelnen dargestellt. Nach einer Anfangspermutation IP wird der aus den permutierten Bits des Eingangsdatenwerts gebildete Block in einen linken Teil L₀ und einen rechten Teil R₀ aufgeteilt.
Danach werden 16 Runden von gleichen Operationen durchgeführt. Bei jeder Runde von Operationen wird der rechte Teil (R₀, ..., R₁₅) eines während der vorhergehenden Runde von Operationen berechneten Zwischendatenwerts während einer Transformation, die Transformation F genannt wird, mit einem abgeleiteten Schlüssel (M₁, ..., M₁₆) kombiniert. Das Ergebnis der Transformation F wird anschließend zum linken Teil (L₀, ..., L₁₅) des bei der vorhergehenden Runde von Operationen berechneten Zwischendatenwerts addiert (Exklusives ODER).
Nach der sechzehnten Runde von Operationen werden der linke Teil L₁₆ und der rechte Teil R₁₆ des sechzehnten Zwischendatenwerts vereint, und eine Endpermutation IP^-1, die zur Anfangspermutation invers ist, beendet das Verfahren.
Eine Runde von Operationen des Rangs i zwischen 1 und 16 ist ausführlich in 2 dargestellt. Die 56 Bits eines Zwischenschlüssels K_i-1, der während der vorhergehenden Runde berechnet wurde, werden verschoben (Operation S_i), um einen neuen aktualisierten Zwischenschlüssel K_i zu liefern, dann werden 48 von 56 Bits durch eine Operation PC der Permutation/Kompression ausgewählt, um einen abgeleiteten Schlüssel M_i zu liefern. M_i = PC(K_i) = PC(S_i(K_i-1)). Die Vereinigung der Schritte PC und S_i bildet einen Schritt ET2 der Schlüsselberechnung.
Parallel wird die Transformation F durchgeführt. Der rechte Teil R_i-1 eines während der vorhergehenden Runde berechneten Zwischendatenwerts wird durch eine Expansion (Operation E) auf 48 Bits ausweitet, durch eine Operation des Typs Exklusives ODER mit dem abgeleiteten Schlüssel M_i kombiniert, mittels einer Substituierungsoperation (dargestellt durch die Operation SBOX) durch 32 neue Bits ersetzt, und dann noch einmal permutiert (Operation P). In der Praxis sind die Operationen F, P, E, PC, SBOX für alle Runden gleich. Dagegen unterscheiden sich die Operationen S₁ bis S₁₆, die bei der Berechnung der abgeleiteten Schlüssel K₁ bis K₁₆ durchgeführt werden, von einer Runde zur anderen.
Alle Merkmale der Operationen IP, IP^-1, P, PC, E, SBOX, S_i, die bei der Anwendung eines DES-Verfahrens durchgeführt werden, sind bekannt: durchgeführte Berechnungen, verwendete Parameter, usw. Diese Merkmale sind zum Beispiel in der Patentanmeldung WO 00/46953 oder in der Norm "Data Encryption Standard, FIPS PUB 46", veröffentlicht am 15. Januar 1977, ausführlich beschrieben.
Die Sicherheit eines ein Verschlüsselungsverfahren mit geheimem oder privatem Schlüssel verwendenden Bauteils beruht auf seiner Fähigkeit, den von ihm verwendeten Schlüssel geheim zu halten, insbesondere, wenn es Analysen vom Typ SPA ausgesetzt wird.
Eine SPA-Analyse besteht darin, das Bauteil mehrere Male das von ihm verwendete Verschlüsselungsverfahren ausführen zu lassen, indem der gleiche Eingangsdatenwert ME an es angelegt wird, und für jede Ausführung des Verfahrens die von dieser Ausführung in Abhängigkeit von der Zeit hinterlassene Spur zu messen. Die Spur stellt zum Beispiel den Energieverbrauch des Bauteils oder die in Abhängigkeit von der Zeit ausgestrahlte elektromagnetische Energie dar. Die Gesamtheit der Messungen wird anschließend gemittelt, um das Messrauschen zu beseitigen und die reelle Spur des Elements für einen festgelegten Eingangsdatenwert ME zu erhalten. Zum Beispiel kann eine Gruppe von 10 bis 1000 gleichen Messungen ausreichen, um das Messrauschen zu beseitigen und die reelle Spur des Bauteils für einen festgelegten Eingangsdatenwert ME zu erhalten.
Der Verlauf einer solchen Spur ist in 3 für den Fall eines Verfahrens vom Typ DES dargestellt. Man unterscheidet in dieser Figur genau die verschiedenen Schritte des DES-Verfahrens: Anfangspermutation IP vor dem Zeitpunkt t1, 16 Runden von Operationen zwischen den Zeitpunkten t2 und t1, t3 und t2, ..., t17 und t16, Endpermutation IP^-1 nach dem Zeitpunkt t17.
Wie man in der Spur der 3 sieht, ist es im Fall eines Bauteils, das ein klassisches DES-Verfahren verwendet, relativ einfach, eine Information über den verwendeten Schlüssel zu erhalten. Es ist zum Beispiel möglich, für jede Runde von Operationen ein Bild eines abgeleiteten Schlüssels M_i zu bestimmen, indem man den Zeitintervall identifiziert, während dem ein Befehl zum Transfer eines abgeleiteten Schlüssels vor der Durchführung der Operation Exklusives ODER ausgeführt wird. Da alle abgeleiteten Schlüssel M₁ bis M₁₆ ausgehend vom Geheimschlüssel K₀ durch bekannte Operationen erhalten werden, führt die Kenntnis einfacher Bilder der abgeleiteten Schlüssel zu einer Information über den Geheimschlüssel.
Allgemeiner sind alle Geheimschlüssel verwendenden Verschlüsselungsverfahren mehr oder weniger empfindlich für Analysen vom Typ SPA. Ihre Empfindlichkeit ist insbesondere groß bei der Durchführung eines so genannten kritischen Schritts, während dem der Geheimschlüssel entweder direkt oder in einer abgeleiteten Form verwendet wird, die durch ein bekanntes Gesetz der Berechnung eines abgeleiteten Schlüssels erhalten wird. Ein solcher kritischer Schritt ist zum Beispiel ein Schritt der Berechnung des abgeleiteten Schlüssels (englisch: Key Scheduling), während dem ein aktualisierter abgeleiteter Schlüssel M_i ausgehend von einem vorher berechneten Schlüssel K_i-1 berechnet wird.
Ein vor einer Analyse der abgeleiteten Signale geschütztes Verschlüsselungsverfahren ist in der Patentanmeldung FR 2776445 offenbart. Dieses Verfahren erzeugt für jeden Zyklus des Algorithmus einen verdeckten Schlüssel.
Es ist ein Ziel der Erfindung, ein gesichertes Verfahren zur kryptographischen Berechnung mit geheimem oder privatem Schlüssel anzuwenden, das gegen jeden physikalischen Angriff vom Typ SPA immun ist, d.h. ein gesichertes Verfahren zur kryptographischen Berechnung, dessen Spur bei der Anwendung des Verfahrens keinerlei Information über den von ihm verwendeten Schlüssel liefert, und dies unabhängig von dem vom Verfahren verwendeten Eingangsdatenwert und unabhängig von der Anzahl von Anwendungen des Verfahrens.
Um dieses Ziel zu erreichen, betrifft die Erfindung ein gesichertes Verfahren zur kryptographischen Berechnung, um ausgehend von einem Eingangsdatenwert und von einem Geheimschlüssel einen Ausgangsdatenwert zu liefern. Das Verfahren weist mehrere Schlüsselberechnungsschritte auf, von denen jeder ausgehend von einem vorher gemäß einem bekannten Schlüsselberechnungsgesetz berechneten abgeleiteten Schlüssel einen aktualisierten abgeleiteten Schlüssel liefert. Ein erster aktualisierter abgeleiteter Schlüssel wird ausgehend vom Geheimschlüssel erhalten.
Erfindungsgemäß weist das Verfahren ebenfalls einen einzigen Verdeckungsschritt auf, der vor dem ersten Schlüsselberechnungsschritt durchgeführt wird, um den Geheimschlüssel so zu verdecken, dass jeder aktualisierte abgeleitete Schlüssel bei jeder Durchführung des Verfahrens anders ist.
Die Erfindung betrifft auch ein elektronisches Bauteil, das ein gesichertes Verfahren zur kryptographischen Berechnung gemäß der Erfindung verwendet.
Der Begriff "verdeckt" oder ("vermischt") muss hier und in der nachfolgenden Beschreibung folgendermaßen verstanden werden. Bei einem erfindungsgemäßen Verfahren werden ein Datenwert, ein Ergebnis, als verdeckt bezeichnet, wenn sie bei zwei Durchführungen des Verfahrens unterschiedliche Werte haben, insbesondere bei zwei Durchführungen des Verfahrens, die den gleichen Eingangsdatenwert und den gleichen Geheimschlüssel verwenden.
Bei einem erfindungsgemäßen gesicherten Verfahren zur kryptographischen Berechnung liefert so ein Bauteil, das das Verfahren zweimal mit dem gleichen Eingangsdatenwert durchführt, zwei verschiedene Spuren, insbesondere in einem kritischen Zeitintervall entsprechend der Spur, die von einer kritischen Anweisung des Verfahrens hinterlassen wird, das den abgeleiteten Schlüssel verwendet.
In anderen Worten ist unabhängig vom verwendeten Eingangsdatenwert, und selbst, wenn der Eingangsdatenwert bei mehreren Verwendungen des gesicherten Verfahrens zur kryptographischen Berechnung gemäß der Erfindung gleich ist, die vom Bauteil hinterlassene Spur von einer Verwendung zur anderen immer anders.
Um dies zu erhalten, wird während des Verdeckungsschrittes ein zufällig gewählter Verdeckungsparameter mit dem Geheimschhlüssel gemischt, um einen verdeckten Geheimschlüssel zu liefern, wobei der erste abgeleitete Schlüssel während des ersten Schlüsselberechnungsschrittes ausgehend vom verdeckten Geheimschlüssel berechnet wird.
Nach der Durchführung des Verdeckungsschritts kann der nicht verdeckte Geheimschlüssel ggf. gelöscht werden, da er anschließend nicht mehr verwendet wird; nur der Geheimschlüssel wird für die Folge der Anwendung des Verfahrens verwendet. Die Sicherheit des Verfahrens wird dadurch verstärkt.
Erfindungsgemäß ist somit jeder tatsächlich bei der Anwendung des Verfahrens manipulierte Schlüssel eine Zufallszahl, da er aus einer Verdeckung durch eine Zufallszahl stammt (der Verdeckungsparameter). Folglich ist die Spur des das Verfahren verwendenden Bauteils selber von einer Anwendung des Verfahrens zur anderen zufällig, ein fach aufgrund des Vorhandenseins des Verdeckungsparameters, der vor jeder Anwendung zufällig ausgewählt wird.
Selbst wenn mehrere Messungen von Spuren des Bauteils unter Verwendung von gleichen Eingangsdaten durchgeführt werden, führt folglich die Mittelung dieser Messungen zu einer zeitabhängigen, konstanten mittleren Spur (Mittelwert einer Gruppe von Zufallsspuren), die keinerlei Information über den Wert des verwendeten Schlüssels liefert, selbst wenn kritische Operationen durchgeführt werden. Erfindungsgemäß ist das Bauteil somit gegenüber jedem physikalischen Angriff vom Typ SPA absolut immun.
Die Erfindung nutzt somit einen Schwachpunkt eines Angriffs vom Typ SPA, um das Bauteil zu schützen. Damit ein Angriff vom Typ SPA erfolgreich ist, d.h., damit ein Angriff vom Typ SPA eine Information über den vom Bauteil verwendeten Geheimschlüssel liefert, muss nämlich notwendigerweise ein kritischer Zeitintervall vorhanden sein:

– während dem die Spur des Bauteils in diesem Intervall gleich ist, ggf. wenn der Eingangsdatenwert ME gleich ist,
– und während dem die sichtbare Information relevant ist, d.h., dass sie für den ganzen oder einen Teil des Geheimschlüssels und/oder den ganzen oder einen Teil eines vom Geheimschlüssel abgeleiteten Schlüssels repräsentativ ist.

Das erfindungsgemäße Bauteil liefert bei jeder Anwendung des erfindungsgemäßen Verfahrens andere Spuren, selbst wenn der verwendete Eingangsdatenwert der gleiche ist. Folglich ist es nicht möglich, einen kritischen Intervall zu finden, während dem die sichtbare Information relevant und von einer Anwendung des Verfahrens zur anderen gleich ist. Ein SPA-Angriff auf dieses Bauteil kann also keine Information über den Geheimschlüssel liefern.
Gemäß einer Variante weist das erfindungsgemäße Verfahren weiter auf:

– einen Rechenschritt, der den berechneten abgeleiteten Schlüssel oder einen aktualisierten abgeleiteten Schlüssel verwendet, und
– einen Aufdeckungsschritt, der nach dem Rechenschritt durchgeführt wird, um den Beitrag des Verdeckungsparameters zum Ergebnis des vorhergehenden Rechenschrittes zu beseitigen.

Gemäß einer anderen Variante weist das erfindungsgemäße Verfahren mehrere Rechenschritte auf, die je einen aktualisierten abgeleiteten Schlüssel verwenden, und ein Aufdeckungsschritt wird nach jedem Rechenschritt durchgeführt, um den Beitrag des Verdeckungsparameters zum Ergebnis des vorhergehenden Rechenschritts zu beseitigen.
Während des Verdeckungsschritts wird zum Beispiel die folgende Operation durchgeführt: K'₀ = K₀|X₀, wobei K'₀ der verdeckte Geheimschlüssel, K₀ der Geheimschlüssel, X₀ der Verdeckungsparameter ist. Der Operator "|" ist ein Mischoperator, vorzugsweise ein linearer Operator mit zwei Parametern. In einem Beispiel ist der Mischoperator ein Exklusiv-ODER-Operator.
Während des Aufdeckungsschritts wird vorzugsweise ein zum Mischoperator inverser Operator verwendet, um den Beitrag des Verdeckungsparameters zum aktualisierten abgeleiteten Schlüssel zu entfernen.
Gemäß einer bevorzugten Ausführungsform der Erfindung ist das Verfahren ein gesichertes Verfahren vom Typ DES, das 16 Runden von Operationen aufweist, wobei jede Runde von Operationen einen aktualisierten abgeleiteten Schlüssel verwendet.
In einem Beispiel wird ein einziger Verdeckungsschritt vor der ersten Runde des Verfahrens vom Typ DES durchgeführt.
Bei jeder Runde von Operationen:

– wird eine Transformation durchgeführt, die einen Rechenschritt aufweist, um einen bei einer vorhergehenden Runde berechneten Zwischendatenwert und einen aktualisierten abgeleiteten Schlüssel zu kombinieren;
– wird nach dem Rechenschritt ein Aufdeckungsschritt durchgeführt.

Jeder verdeckte aktualisierte abgeleitete Schlüssel kann während der Runde von Operationen berechnet werden, die ihn verwendet. Oder auch alle abgeleiteten Schlüssel können anderweitig unabhängig von den Runden von Operationen, die sie verwenden, berechnet werden; sie können zum Beispiel vor oder während einer Initialisierungsphase des Verfahrens berechnet werden.
Anhand der nachfolgenden Beschreibung von Ausführungsbeispielen von erfindungsgemäßen gesicherten Verfahren zur kryptographischen Berechnung wird die Erfindung wird besser verstanden werden und es gehen weitere Merkmale und Vorteile daraus hervor. Die Beschreibung bezieht sich auf die beiliegenden Zeichnungen.
1, die bereits beschrieben wurde, ist ein Diagramm eines bekannten Verschlüsselungsverfahrens, das einen Geheimschlüssel verwendet,
2, die bereits beschrieben wurde, ist ein Diagramm, das im Einzelnen einen Schritt des Verfahrens der 1 darstellt,
3, die bereits beschrieben wurde, ist die reelle Spur, die in Abhängigkeit von der Zeit von einem Bauteil hinterlassen wird, das das Verschlüsselungsverfahren der 1 verwendet,
4 ist ein Diagramm eines vereinfachten Verschlüsselungsverfahrens,
5 ist ein Diagramm des Verfahrens der 4, das erfindungsgemäß gesichert wurde,
6 ist ein Diagramm eines Verfahrens vom Typ DES, das erfindungsgemäß gesichert wurde.
Im ersten nachfolgenden Beispiel wird ein Verfahren betrachtet, dessen Diagramm in 4 dargestellt ist; es wird verwendet, um einen Eingangsdatenwert R₀ mit 32 Bits zu codieren und um ausgehend von einem Geheimschlüssel K₀ und vom Dateneingangswert R₀ einen Ausgangsdatenwert R₁ mit 32 Bits zu liefern.
Das Verfahren setzt sich aus einem Schritt ET2 der Berechnung eines abgeleiteten Schlüssels und einem Transformationsschritt F zusammen.
Der Schritt ET2 der Berechnung eines abgeleiteten Schlüssels liefert einen abgeleiteten Schlüssel M₁ ausgehend vom Geheimschlüssel K₀. Der Schlüsselberechnungsschritt besteht aus einer Operation S₁ der Verschiebung der Bits der Variablen K₀, die K₁ = S₁(K₀) liefert, und einer Operation PC der Permutation/Kompression. So wird der abgeleitete Schlüssel M₁ durch die folgende Beziehung erhalten: M1 = PC(S1(K0)).
Der Transformationsschritt F liefert den Ausgangsdatenwert R₁ ausgehend vom Eingangsdatenwert R₀ und vom abgeleiteten Schlüssel M₁.
Der Transformationsschritt F ist gleich dem Schritt F eines klassischen DES-Verfahrens und setzt sich folgendermaßen zusammen. Der Datenwert R₀ wird durch eine Expansion E von 32 auf 48 Bits ausgeweitet, durch ein Exklusives ODER mit dem abgeleiteten Schlüssel M₁ kombiniert, in einer Substituierungsoperation SBOX durch 32 neue Bits ersetzt und dann erneut permutiert (Operation P). So wird der Ausgangsdatenwert R₁ durch die folgende Beziehung erhalten: R1 = P(SBOX(E(R0) + M1)).
Das Verfahren der 4 wird erfindungsgemäß durch das Hinzufügen eines Initialisierungsschritts ET0, eines Verdeckungsschritts ET1, eines Differenzberechnungsschritts ET3 und eines Aufdeckungsschritts ET4 (5) gesichert.
Während des Initialisierungsschritts ET0 wird ein Verdeckungsparameter X₀ zufällig ausgewählt.
Während des Verdeckungsschritts ET1, der nach dem Initialisierungsschritt ET0 durchgeführt wird, wird der Verdeckungsparameter X₀ mit dem Geheimschlüssel K₀ gemischt, um einen verdeckten Geheimschlüssel K'₀ zu liefern. Die Mischung erfolgt durch die folgende Beziehung: K'₀ = K₀|X₀.
Der Operator "|" wird bezüglich der beiden Variablen, die er mischt, linear gewählt. In einer Ausführungsform ist der Operator "|" ein Exklusives ODER. Der Operator "|" kann auch eine beliebige Art von linearem Operator sein. Allgemein hat der lineare Operator "|" die folgenden Eigenschaften, unabhängig von den Daten A, B, C:

– "|" hat die Stelligkeit zwei: er nimmt zwei Argumente in Parametern.
– "|" erfüllt: PC(S(A|B)) = PC(S(A))|PC(S(B))
– "|" erfüllt (A ⊕ B)|C = A ⊕ (B|C), wobei ⊕ der Exklusiv-ODER-Operator ist
– es gibt einen Operator "|^-1" invers zu "|", derart, dass (A|B)|^-1 A = B; ggf. sind "|" und "|^-1" identisch.

Der Schlüsselberechnungsschritt ET2 wird anschließend ausgehend vom verdeckten Geheimschlüssel K'₀ durchgeführt, um einen verdeckten abgeleiteten Schlüssel M'₁ zu liefern. So wird der verdeckte abgeleitete Schlüssel durch die folgende Beziehung angegeben: M'₁ = PC(S₁(K'₀)) = PC(S₁(K₀|X₀)) = PC(S₁(K₀))|PC(S₁(X₀)).
Die letzte Gleichheit wird einfach von der Tatsache abgeleitet, dass die Operatoren PC, S₁ und "|" lineare Operatoren sind.
Da PC(S₁(K₀)) = M₁ (siehe Beispiel der 4), leitet man schließlich davon ab, dass M'₁ = M₁|PC(S₁(X₀)), wobei M₁ der abgeleitete Schlüssel ist, der gemäß dem nicht gesicherten Verfahren der 4 berechnet wurde.
Der Differenzberechnungsschritt ET3 wird nach dem Initialisierungsschritt ET0 durchgeführt. Der Schritt ET3 kann vor, parallel zu oder nach dem Schlüsselberechnungsschritt ET2 durchgeführt werden. Der Schritt ET3 bestimmt den Beitrag C₁, der vom Parameter X₀ zum verdeckten abgeleiteten Schlüssel M'₁ hinzugefügt wird.
Der Schritt ET3 ist gleich dem Schritt ET2; so weist der Schritt ET3 eine Operation S₁, um einen durch Verschiebung der Bits von X₀ aktualisierten Verdeckungsparameter X₁ = S₁(X₀) zu liefern, und eine Operation PC auf, um den Beitrag C₁ zu berechnen. Der Beitrag C₁ wird so gemäß der folgenden Beziehung berechnet: C₁ = PC(S₁(X₀)). Daraus wird schließlich M'₁ = M₁|C₁ abgeleitet.
Der Aufdeckungsschritt ET4 ist ein Unterschritt des Transformationsschritts F' (der der Transformation F, verändert durch das Hinzufügen des Schritts ET4 gemäß der Erfindung, entspricht); der Schritt ET4 wird zwischen der Operation der Kombination durch ein Exklusives ODER und der Operation der nicht-linearen Substitution SBOX durchgeführt. Der Schritt ET4 hat zum Ziel, den Beitrag C₁ zu entfernen, der vom aktualisierten Verdeckungsparameter X₁ zum Ergebnis der Kombinationsoperation hinzugefügt wurde. Hierzu wird der Operator "|^-1" verwendet, d.h. der zum Operator "|" inverse lineare Operator. Wenn zum Beispiel der Operator "|" ein Exklusives ODER ist, ist der Operator "|^-1" ebenfalls ein Exklusives ODER. Am Ausgang des Schritts ET4 hat man: (E(R0) + M'1|-1 C1 = E(R0) + M1|C1|-1 C1 = E(R0) + M1
Nach der Unterdrückung des Beitrags C₁ ist somit die Variable, die am Eingang des Operators vom Typ SBOX auftritt, gleich E(R₀) + M₁, d.h., dass sie gleich der Variablen ist, die am Eingang des Operators SBOX eines ähnlichen, aber nicht erfindungsgemäß gesicherten Verfahrens (4) auftritt. Folglich ist der Ausgangsdatenwert, der am Ausgang des Transformationsschritts F' auftritt, gleich demjenigen, der am Ausgang des Transformationsschritts F des nicht gesicherten Verfahrens der 4 auftritt.
Wie man gesehen hat, sind die Ergebnisse, die von den Verfahren der 4 und 5 geliefert werden, strikt gleich: Der Ausgangsdatenwert ist in beiden Fällen der gleiche, wenn der Eingangsdatenwert und der Geheimschlüssel die gleichen sind.
Wie das klassische DES-Verfahren ist das Verfahren der 4 für SPA-Angriffe empfindlich, und dies aus den gleichen Gründen. Für den gleichen Geheimschlüssel K₀ ist nämlich der Wert des abgeleiteten Schlüssels M₁ bei jeder Anwendung des Verfahrens gleich. Ein SPA-Angriff ist also möglich, indem die Spur des Verfahrens gemessen wird, insbesondere beim Zeitintervall zwischen dem Schlüsselberechnungsschritt ET2 und dem Transformationsschritt F'.
Dagegen ist das erfindungsgemäße Verfahren gemäß 5 gegenüber den Angriffen vom Typ SPA immun. Bei einem gleichen Wert des Geheimschlüssels K₀ ist nämlich der Wert des entsprechenden abgeleiteten Schlüssels M'₁ von einer Anwendung des Verfahrens zur anderen immer anders, da der Verdeckungsparameter X₀, der bei der Initialisierung des Algorithmus zufällig ausgewählt wird, einen Zufallsbeitrag C₁ zum abgeleiteten Schlüssel M'₁ hinzufügt.
Erfindungsgemäß wird somit das Verfahren durch Hinzufügen eines zufälligen Verdeckungsparameters vor den SPA-Angriffen geschützt.
In einem anderen Beispiel wird das in den 1, 2 dargestellte DES-Verfahren betrachtet. Wie man vorher gesehen hat, berechnet ein kryptographisches Verfahren vom Typ DES einen Ausgangsdatenwert MS ausgehend von einem Geheimschlüssel K₀ und von einem Eingangsdatenwert ME; das DES-Verfahren enthält 16 Runden von Operationen, vor denen eine Eingangspermutation PE liegt und auf die eine Ausgangspermutation IP^-1 folgt, die zur Eingangspermutation invers ist. Jede Runde von Operationen weist insbesondere (2) einen Schritt ET2 der Berechnung eines abgeleiteten Schlüssels und einen Transformationsschritt F auf.
Erfindungsgemäß wird das DES-Verfahren durch das Hinzufügen eines Initialisierungsschritts ET0, eines Verdeckungsschritts ET1 und in jeder Runde von Operationen durch das Hinzufügen eines Differenzberechnungsschritts ET3 und eines Aufdeckungsschritts ET4 (6) gesichert, die denen der 5 gleichen. Aus Gründen der Klarheit und der Vereinfachung wurde nur die i-te Runde von Operationen, wobei i eine ganze Zahl zwischen 1 und 16 ist, mit den charakteristischen Schritten ET0 bis ET4 der vorliegenden Erfindung in 6 dargestellt.
Während des Initialisierungsschritts ET0 wird ein Verdeckungsparameter X₀ zufällig ausgewählt.
Während des Verdeckungsschritts ET1, der nach dem Initialisierungsschritt ET0 durchgeführt wird, wird der Verdeckungsparameter X₀ mit dem Geheimschlüssel K₀ gemischt, um einen verdeckten Geheimschlüssel K'₀ zu liefern, wie im vorhergehenden Beispiel. Die Mischung erfolgt durch die folgende Beziehung: K'0 = K0|X0.
In der i-ten Runde liefert der Schritt ET2 der Berechnung eines abgeleiteten Schlüssels einen verdeckten abgeleiteten Schlüssel M'₁ des Rangs i ausgehend von einem verdeckten Zwischenschlüssel K'_i-1 des Rangs i-1, der im Schritt ET2 der vorhergehenden Runde des Rangs i-1 berechnet wurde. Der Schritt ET2 setzt sich aus einer Operation S_i der Verschiebung der Bits des vorher berechneten verdeckten Zwischenschlüssels K_i-1 und einer Operation PC zusammen. Man hat die folgenden Beziehungen: K'i-1 = Ki-1|Xi-1 K'i = Si(K'i-1) M'i = PC(K'i) = PC(Si(K'i-1)) = PC(Si(ki-1|Xi-1)) = PC(Si(Ki-1))|PC(Si(Xi-1)).
Die letzten Gleichheiten leiten sich von den Eigenschaften der linearen Operatoren PC, S_i, "|" ab. Da außerdem gilt PC(S_i(K_i-1)) = M_i (siehe das Beispiel der 2), leitet man schließlich daraus ab, dass gilt: M'i = Mi|PC(Si(Xi-1)).
Der Differenzberechnungsschritt ET3 wird nach dem Initialisierungsschritt ET0 durchgeführt. Der Schritt ET3 kann vor, gleichzeitig mit, oder nach dem Schritt ET2 durchgeführt werden. Der Schritt ET3 aktualisiert den Wert X_i-1 des Verdeckungsparameters X₀ und bestimmt dann den Beitrag C_i, der von X_i-1 dem abgeleiteten Schlüssel M_i' hinzugefügt wird.
Der Schritt ET3 ist ähnlich dem Schlüsselberechnungsschritt ET2; der Schritt ET3 enthält eine Operation S_i, um X_i durch Verschiebung der Bits des Parameters X_i-1 zu liefern, und eine Operation PC der Permutation/Kompression, um C_i zu liefern. Der Beitrag C_i wird so gemäß folgender Beziehung berechnet:
C_i = PC(X_i) = PC(S_i(X_i-1)). Daraus wird schließlich abgeleitet:
M'_i = M_i|C_i.
Der Aufdeckungsschritt ET4 ist ein Unterschritt des Transformationsschritts F' (entsprechend der Transformation F, verändert durch Hinzufügung des erfindungsgemäßen Schritts ET4); der Schritt ET4 wird zwischen der Kombinationsoperation durch ein Exklusives ODER und der nicht-linearen Substitutionsoperation SBOX wie im vorhergehenden Beispiel durchgeführt. Der Schritt ET4 zielt darauf ab, unter Verwendung des Operators "|^-1" den Beitrag C_i zu entfernen, der vom aktualisierten Verdeckungsparameter X_i hinzugefügt wurde. Nach dem Schritt ET4 ist die Variable, die am Eingang des Operators vom Typ SBOX auftritt, gleich: (E(Ri-1) + M'i|-1 Ci = E(Ri-1) + Mi|Ci|-1 Ci = E(Ri-1) + Mi
Sie ist also gleich der Variablen, die am Eingang des Operators SBOX eines ähnlichen, aber nicht erfindungsgemäß gesicherten Verfahrens (1, 2) auftritt. Folglich ist der Datenwert R_i, der am Ausgang des Transformationsschritts F' auftritt, gleich demjenigen, der am Ausgang des Transformationsschritts F des nicht gesicherten DES-Verfahrens auftritt (1, 2).
Mit dem erfindungsgemäßen gesicherten DES-Verfahren sind somit die berechneten Zwischendaten L_i, R_i, mit i variabel zwischen 1 und 16, gleich denjenigen, die mit einem üblichen DES-Verfahren erhalten werden. Mit dem erfindungsgemäßen gesicherten Verfahren ist dagegen keiner der verwendeten Schlüssel (Geheimschlüssel, Zwischenschlüssel, abgeleitete Schlüssel) für einen Angriff vom Typ SPA zugänglich. Genauer gesagt, liefert ein Angriff des Typs SPA auf die Schritte des Verfahrens entsprechend der Berechnung der abgeleiteten Schlüssel (key scheduling) keinerlei relevante Information über den Geheimschlüssel und/oder über einen der Zwischenschlüssel K_i oder abgeleiteten Schlüssel M_i. Der Wert dieser Schlüssel ist nämlich bei jeder Verwendung des Verfahrens anders, unabhängig vom Eingangsdatenwert oder vom von diesem Verfahren verwendeten Geheimschlüssel.
Veränderungen und/oder Verbesserungen des Verfahrens der 6 sind möglich, ohne den Rahmen der Erfindung zu verlassen.
Im DES-Verfahren der 6 werden zum Beispiel der Schlüsselberechnungsschritt ET2 und der Differenzberechnungsschritt ET3 während der Runde von Operationen durchgeführt, die den Schlüssel M'₁ und den Beitrag C₁ verwendet, den die Schritte ET2, ET3 erzeugen.
Es ist aber möglich, die Schritte ET2, ET3 unabhängig von den Runde von Operationen des DES-Verfahrens durchzuführen. Es ist zum Beispiel möglich, alle Schritte ET2, ET3 während der Initialisierungsphase des Verfahrens, nach dem Schritt ET0 des Auswählens von X₀ durchzuführen. Alle Schlüssel M'₁, M'₁₆ und alle Beiträge C₁ bis C₁₆ werden in diesem Fall gespeichert und dann an jede Runde von Operationen geliefert, wenn sie verwendet werden.
Schließlich ist anzumerken, dass alle oben beschriebenen Beispiele als solche betrachtet werden müssen und die Erfindung nicht einschränken.
Das Hauptmerkmal der Erfindung ist es, einen Zufallsparameter in ein Verschlüsselungsverfahren einzufügen, so dass bei zwei Anwendungen des Verfahrens durch ein Bauteil letzteres unterschiedliche Schlüssel (Geheimschlüssel, Zwischenschlüssel, abgeleiteter Schlüssel usw.) verwendet, unabhängig vom Eingangsdatenwert und/oder vom Geheimschlüssel und/oder vom Ausgangsdatenwert, und insbesondere bei zwei Anwendungen, die den gleichen Eingangsdatenwert und/oder den gleichen geheimen Datenwert und/oder den gleichen Ausgangsdatenwert verwenden. Durch Verwendung unterschiedlicher Schlüssel bei jeder Anwendung hinterlässt das Verfahren unterschiedliche Spuren; es ist also unempfindlich für die SPA-Angriffe.

Claims

Gesichertes Verfahren zur kryptographischen Berechnung, um einen Ausgangsdatenwert (MS) ausgehend von einem Eingangsdatenwert (ME) und von einem Geheimschlüssel (K₀) zu liefern, wobei das Verfahren mehrere Schlüsselberechnungsschritte (ET2) aufweist, von denen jeder ausgehend von einem vorher durch den vorhergehenden Schlüsselberechnungsschritt gemäß einem bekannten Schlüsselberechnungsgesetz berechneten abgeleiteten Schlüssel (M'_i-1) einen aktualisierten abgeleiteten Schlüssel (M'₁, M'_i) liefert, wobei ein erster aktualisierter abgeleiteter Schlüssel (M'₁) ausgehend vom Geheimschlüssel (K₀) erhalten wird, wobei das Verfahren dadurch gekennzeichnet ist, dass es ebenfalls einen einzigen Verdeckungsschritt (ET1) aufweist, der vor dem ersten Schlüsselberechnungsschritt (ET2) durchgeführt wird, um den Geheimschlüssel (K₀) so zu verdecken, dass jeder aktualisierte abgeleitete Schlüssel (M'₁, M'_i) bei jeder Durchführung des Verfahrens unterschiedlich ist.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass während des Verdeckungsschritts (ET1) ein zufällig gewählter Verdeckungsparameter (X₀) mit dem Geheimschlüssel (K₀) gemischt wird, um einen verdeckten Geheimschlüssel (K'₀) zu liefern, wobei der erste abgeleitete Schlüssel (M'₁) während des ersten Schlüsselberechnungsschrittes (ET2) ausgehend vom verdeckten Geheimschlüssel (K₀) berechnet wird.
Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass der Verdeckungsschritt (ET1) während einer Initialisierungsphase (ET0, ET1) des Verfahrens erfolgt.
Verfahren nach einem der Ansprüche 2 bis 3, dadurch gekennzeichnet, dass es ebenfalls aufweist: – einen Rechenschritt (ET5), der einen aktualisierten abgeleiteten Schlüssel (M'₁, M'_i) verwendet, und – einen Aufdeckungsschritt (ET4), der nach dem Rechenschritt (ET5) durchgeführt wird, um einen Beitrag des Verdeckungsparameters (X₀) zum Ergebnis des vorhergehenden Rechenschrittes (ET5) zu beseitigen.
Verfahren nach einem der Ansprüche 2 bis 4, dadurch gekennzeichnet, dass während des Verdeckungsschrittes (ET1) die folgende Operation durchgeführt wird: K'0 = K0|X0, wobeiK'₀ der verdeckte Geheimschlüssel ist, K₀ der Geheimschlüssel ist, X₀ der Verdeckungsparameter ist, "|" ein Mischoperator ist.
Verfahren nach Anspruch 5, dadurch gekennzeichnet, dass der verwendete Mischoperator ein linearer Operator mit zwei Parametern ist.
Verfahren nach einem der Ansprüche 5 oder 6, dadurch gekennzeichnet, dass der Mischoperator ein Exklusiv-ODER-Operator ist.
Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass während des Aufdeckungsschrittes (ET4) ein zum Mischoperator inverser Operator verwendet wird.
Verfahren nach einem der Ansprüche 2 bis 8, dadurch gekennzeichnet, dass es mehrere Rechenschritte (ET5) aufweist, die je einen aktualisierten abgeleiteten Schlüssel (M'₁, M'_i) verwenden, und dass ein Aufdeckungsschritt (ET4) nach jedem Rechenschritt (ET5) durchgeführt wird, um den Beitrag des Verdeckungsparameters (X₀) zum Ergebnis des vorhergehenden Rechenschrittes (ET5) zu beseitigen.
Verfahren nach einem der Ansprüche 1 bis 9, vom DES-Typ mit N Runden von Operationen, wobei jede Runde von Operationen einen aktualisierten abgeleiteten Schlüssel (M'₁, ..., M'₁₆) verwendet, wobei der Verdeckungsschritt (ET1) vor einer ersten Runde des Verfahrens vom DES-Typ durchgeführt wird.
Verfahren nach Anspruch 10, während dem in jeder Runde von Operationen eine Transformation (F) durchgeführt wird, die aufweist: – einen Rechenschritt (ET5), um einen während einer vorhergehenden Runde berechneten Zwischendatenwert und einen aktualisierten abgeleiteten Schlüssel (M'₁, ..., M'₁₆) zu kombinieren, – einen Aufdeckungsschritt (ET4), der nach dem Rechenschritt durchgeführt wird.
Elektronisches Bauteil, dadurch gekennzeichnet, dass es ein gesichertes Verfahren zur kryptographischen Berechnung nach einem der Ansprüche 1 bis 11 aufweist.