DE69828787T2

DE69828787T2 - Verbessertes verfahren und vorrichtung zum schutz eines verschlüsselungsverfahrens mit öffentlichem schlüssel gegen angriffe mit zeitmessung und fehlereinspeisung

Info

Publication number: DE69828787T2
Application number: DE69828787T
Authority: DE
Inventors: Adi Shamir
Original assignee: Yeda Research and Development Co Ltd
Current assignee: Yeda Research and Development Co Ltd
Priority date: 1997-05-12
Filing date: 1998-05-12
Publication date: 2006-04-06
Anticipated expiration: 2018-05-13
Also published as: AU7568598A; US5991415A; EP0986873A1; CA2288837C; WO1998052319A1; IL132816A; DE69828787D1; ES2236903T3; CA2288837A1; EP0986873B1; IL132816A0

Description

GEBIET DER ERFINDUNG
Die vorliegende Erfindung betrifft Techniken, Verfahren und ein Gerät zum Durchführen von zahlentheoretischen öffentlichen Schlüsselschemata (einschließlich Verschlüsselungsschemata, Signaturschemata, Identifikationsschemata, Schlüsselmanagementschemata, etc.), die gegen Timing- und Fehlerangriffe resistent sind.
HINTERGRUND DER ERFINDUNG
1. Einführung
Der einfachste Angriff auf ein gegebenes Kryptosystem ist es, gründlich nach dem Schlüssel zu suchen. Es gibt viele Varianten dieses Angriffs (bekannter Chiffretext, bekannter Klartext, gewählter Klartext, etc.), aber sie sind alle auf eine Prozedur begründet, die die Schlüssel nacheinander ausprobiert, bis man auf den richtigen Schlüssel trifft. Wenn der Schlüssel aus n zufälligen Bits besteht, ist die erwartete Laufzeit dieser Prozedur 2^(n – 1). Dieser Angriff kann leicht durch Verwenden eines ausreichend großen n (z.B. n > 100) vereitelt werden.
Um Kryptosysteme mit großen Schlüsseln anzugreifen, versuchen Kryptoanalysten, mathematische oder statistische Schwächen zu finden, die die Größe des Suchraumes (vorzugsweise auf 1) reduzieren. Obwohl viele Techniken und Ergebnisse aus nationalen Sicherheitsgründen klassifiziert sind, ist es sicher, anzunehmen, dass es zunehmend schwierig ist, solche Schwächen in modernen Schemata zu finden, die von erfahrenen Kryptographen gestaltet und auf Hochgeschwindigkeitsmikroprozessoren implementiert wurden.
Um starke Kryptosysteme erfolgreich anzugreifen, müssen Kryptoanalysten indirekte Techniken verwenden. Dies erfolgt am besten, wenn der Kryptoanalyst entweder in unmittelbarer physischer Nähe zu der kryptographischen Vorrichtung ist oder sie unter seiner vollständigen Kontrolle hat. Es wird von der krytographischen Vorrichtung angenommen, dass sie eine Blackbox ist, die einen bekannten Algorithmus und einen unbekannten Schlüssel enthält. Der Kryptoanalyst kann nicht diese Box öffnen und ihren Schlüssel lesen, aber er kann ihr Verhalten unter verschiedenen Umständen beobachten.
Eines der am besten bekannten Beispiele eines solchen indirekten Angriffs ist TEMPEST, welches versucht, den Schlüssel durch Analysieren von elektromagnetischer Strahlung abzuleiten, die von der Blackbox während der Berechnung des Chiffretextes ausgeht. Techniken zum Anwenden und Verhindern solcher Angriffe wurden seit mehr als 50 Jahren umfassend studiert, und heutzutage ist dies ein gut verstandenes Problem.
Zwei leistungsstarke indirekte Angriffe wurde jüngst entdeckt und veröffentlicht: Im Dezember 1995, P. Kocher, "Cryptanalysis of Diffie-Hellman, RSA, DSS, and Other Systems Using Timing Attacks", technical report, 12/7/95, beschrieb einen Timing-Angriff und im September 1996, D. Boneh, R. A. Demillo und R. J. Lipton, "On the Importance of Checking Computations", technical report, 9/25/96 (eine ausführliche Version erscheint in den Proceedings of Eurocrypt 97, Mai 1997) beschrieb einen Fehlerangriff. Beide Angriffe wurden ursprünglich gestaltet für und sind am erfolgreichsten gegen öffentliche Schlüsselschemata basierend auf zahlentheoretischen Prinzipien, wie RSA, aber sie wurden später auch auf klassische Kryptosysteme ausgedehnt (z.B. durch E. Biham und A. Shamir, "A New Cryptanalytic Attack on DES", technical report, 10/18/96. Eine ausführliche Version erscheint in den Proceedings of Crypto 97, August 1997).
Solche Angriffe sind insbesondere nützlich, wenn das Schema auf einer Chipkarte implementiert ist, die von einer Bank, einem Computernetzwerk, einem Mobiltelefonbetreiber oder einem Zahl-TV-Sender an ihre/seine Kunden verteilt wird. Hacker haben üblicherweise nicht die finanziellen und technischen Mittel, die erforderlich sind, um die Inhalte der Schlüsselregister innerhalb der Chipkarte zu lesen, aber sie haben vollständige Kontrolle über die Eingabe/Ausgabe-, Takt-, die Rückstellungs- und Leistungsanschlüsse der Chipkarte. Sie können sorgfältig die Dauer der verschiedenen Operationen, wie viel Leistung sie verbrauchen, was passiert, wenn die Rechnung unterbrochen oder unter unnormalen Betriebsbedingungen ausgeführt wird, etc. messen. Da die Texts in der Privatsphäre der Wohnung des Kunden ausgeführt werden, kann der Kartenhersteller sie nicht verhindern oder selbst von ihrer Existenz Kenntnis erlangen.
2. Timing-Angriffe
Timing-Angriffe basieren auf der Annahme, dass einige der Basisoperationen, die während der kryptographischen Berechnung ausgeführt werden, einen nicht konstanten Zeitbetrag erfordern, der von den tatsächlichen Werten abhängt, auf die eingewirkt wird. Dies impliziert, dass einige Informationen über diese unbekannten Zwischenwerte durch Messen der Länge der kryptographischen Berechnung frei werden. Wenn diese Zwischenwerte von bekannten Klartextbits und unbekannten Schlüsselbits mit einem bekannten kryptographischen Algorithmus berechnet werden, kann der Angreifer versuchen, die frei gewordenen Zwischenwerte zu verwenden, um den Schlüssel abzuleiten.
Die Hauptschwierigkeit beim Ausführen dieses Angriffs ist, dass der Angreifer nur den Gesamtzeitbetrag kennt, der zum Ausführen der kryptographischen Berechnung erforderlich ist, aber nicht das Timing von individuellen Berechnungsschritten. Kocher's Hauptbeitrag ist beim Entwickeln einer effizienten Technik zum Handhaben dieser Schwierigkeit in vielen Fällen von praktischem Interesse.
Um konkret zu sein, beschreiben wir Kocher's Angriff auf das RSA-Kryptosystem. Von der Blackbox wird angenommen, dass sie einen öffentlich bekannten Modulus n und einen geheimen Exponenten d enthält. Bei einer gegebenen Eingangszahl x führt die Box die modulare Exponentiation x^d(mod n) durch Verwenden der Standard-Quadrat-und-Multipliziertechnik aus. Bei dieser Beschreibung ist das Symbol "^" eine Exponentiation und ist das Symbol "_" ein Index. Das Ergebnis (das die Dekryption des Chiffretextes x, die Signatur der Mitteilung x oder die Antwort auf eine zufällige Identifikationsaufgabe x in Abhängigkeit von der Anwendung sein kann) wird ausgesendet, sobald es erzeugt wurde, und somit kann der Angreifer die Gesamtanzahl von Taktzyklen messen, die von allen den modularen Multiplikationen eingenommen wurden.
Standardimplementierungen von modularen Multiplikationen erfordern einen nicht konstanten Zeitbetrag, da sie Multiplikationsschritte, die führende Nullen enthalten, und Reduktionsschritte, wenn das Ergebnis kleiner als der Modulus ist, überspringen. Der Angreifer wählt eine große Anzahl von zufälligen Eingaben x und misst die tatsächliche Timing-Verteilung T_0 der modularen Exponentiationsoperation, die von der Blackbox ausgeführt wird. Er misst dann für jedes x (durch Computersimulation unter Verwendung seiner Kenntnis darüber, wie das Schema implementiert ist) das genaue Timing einer anfänglichen Nur-Quadrat-Operation und separat das genaue Timing einer anfänglichen Quadrat-und-Multiplizieroperation. Das Ergebnis ist ein Paar von Timing-Verteilungen T_1 und T_2, die nicht identisch sind. Alle die kryptographischen Berechnungen, die in der Blackbox ausgeführt werden, verwenden denselben Exponenten d, und sein erstes Bit bestimmt, welche der zwei berechneten Verteilungen T_1 und T_2 der Anfangsteil des experimentell berechneten T_0 ist. Von dem Timing der verbleibenden Schritte der Berechnungen kann angenommen werden, dass es eine zufällige Variable R ist, die normalverteilt und unkorreliert mit entweder T_1 oder T_2 ist. Da T_0 entweder T_1 + R oder T_2 + R ist, kann der Angreifer entscheiden, welcher Fall wahrscheinlicher ist, durch Herausfinden, welche der zwei Verteilungen T_0-T_1 und T_0-T_2 eine geringere Varianz hat.
Nach dem Finden des ersten Bits des geheimen Exponenten d kennt der Angreifer die tatsächlichen Eingaben zum zweiten Berechnungsschritt, und somit kann er dieselbe Technik anwenden (mit genau modifizierten experimentiellen und simulierten Timing-Verteilungen T_0, T_1 und T_2), um das zweite Bit von d zu finden. Durch Wiederholen dieser Prozedur ungefähr 1000 mal, kann er alle die Bits von d berechnen und somit das RSA-Schema knacken.
Ein ähnlicher Timing-Angriff kann durch ein krypthographisches Schema angewandt werden, bei welchem die Blackbox alle ihre Eingaben x_1, x_2, ... auf dasselbe d Modulo mit geheimer Leistung desselben bekannten n anhebt (das entweder eine Primzahl oder eine zusammengesetzte Zahl sein kann). Zum Beispiel einigen sich bei einer der Varianten des Diffie-Hellman-Schlüsselverteilungsschemas alle die Anwender auf einen Primzahlmodulus n und auf einen Generator g der multiplikativen Gruppe Z^*_n.
Jeder Anwender wählt einen zufälligen geheimen Exponenten d und berechnet y = g^d(mod n) als seinen öffentlichen Schlüssel. Um einen gemeinsamen geheimen Schlüssel mit einem anderen Anwender einzurichten, schickt der erste Anwender seinen öffentlichen Schlüssel y = g^d(mod n) und empfängt einen ähnlich berechneten öffentlichen Schlüssel x = g^e(mod n) von dem anderen Anwender. Ihr gemeinsamer kryptographischer Schlüssel ist z = g^(d*e)(mod n), den der erste Anwender durch Evaluieren von x^d(mod n) berechnet. Wenn der erste Anwender mit einigen Parteien kommuniziert, hebt er einige bekannte Werte x_1, x_2, ... auf dasselbe d Modulo mit geheimer Leistung desselben bekannten Modulus n. Durch Messen des Timings von ausreichend vielen solchen Berechnungen kann der Angreifer d bestimmen und somit alle die kryptographischen Schlüssel z_1, z_2, ... finden, die von jenem Anwender eingesetzt werden.
Der Timing-Angriff muss modifiziert werden, wenn die Berechnung von x^d(mod n) für einen zusammengesetzten Modulus n = p*q durch Berechnen von x^d(mod p), x^d(mod q) und Kombinieren der Ergebnisse durch das Chinesen-Rest-Theorem (CRT) ausgeführt wird.
Dies ist eine übliche Weise, die Berechnung ungefähr 4 mal schneller zu machen, wenn die Faktorisierung von n bekannt ist. Das Problem für den Angreifer ist, dass er die geheimen Faktoren p und q des öffentlichen Modulus n nicht kennt und somit die Timing-Verteilungen T_1 und T_2 nicht simulieren kann. Kocher's Lösung ist, sich auf den ersten Schritt der CRT-Berechnung zu konzentrieren, in welcher die Eingabe x Modulo p reduziert wird. Wenn x kleiner als p ist, ist keine modulare Reduktion erforderlich, und somit ist die Berechnung deutlich schneller, als wenn x größer als oder gleich zu p ist. Der Angreifer präsentiert somit der Blackbox eine große Anzahl von Eingaben x, die sehr nahe aneinander liegen, und verwendet die mittlere Zeit von solchen Berechnungen, um zu entscheiden, ob diese x über oder unter p sind. Eine Entscheidungsprozedur für diese Frage kann wiederholt verwendet werden, um den genauen Wert p durch binäre Suche zu finden.
Kurz nach der Entdeckung dieses Angriffs versuchten Forscher, Implementierungen zu entwickeln, die immun dagegen sind. Die einfachste Idee ist, sicher zu stellen, dass alle die kryptographischen Operationen genau denselben Zeitbetrag einnehmen, ungeachtet der Werte der Klartexte und Schlüssel. Jedoch ist es überraschenderweise aus den folgenden Gründen schwierig, dies zu erzielen:

(a) In vielen Fällen will der Implementierer denselben Algorithmus als Software auf verschiedenen (und vielleicht unbekannten) Maschinen betreiben. Eine Implementierung, die auf einem Mikroprozessor zeitkonstant ist, kann auf einem anderen Mikroprozessor oder selbst auf einer verbesserten Version desselben Mikroprozessors zeitvariabel sein.
(b) Auf einer Multitasking-Maschine kann die Laufzeit von der Menge an freiem Speicher, der Cache-Trefferrate, der Anzahl von externen Interrupts, etc. abhängen. Dies kann eine zeitkonstante Implementierung unter einem Satz von Umständen in eine zeitvariable Implementierung unter einem anderen Satz von Umständen ändern.
(c) Wenn der Implementierer versucht, einen Echtzeittakt zu verwenden, um alle die Berechnungen zu zwingen, denselben Zeitbetrag einzunehmen, muss er alle von ihnen auf ihre ungünstigsten Fälle abbremsen. Da er nicht jegliche eingabenunabhängige Optimierungstechnik verwenden kann, ist es für die Implementierung wahrscheinlich, unakzeptabel langsam zu sein.

Die beste Schutztechnik, die soweit gegen Kocher's Timing-Angriff auf modulare Exponentiation vorgeschlagen wurde, ist es, jede Eingabe x durch eine modifizierte Version y = x*r(mod n) zu ersetzen, wobei r eine geheime Zufallszahl zwischen 1 und n – 1 ist. Um x^d(mod n) zu berechnen, berechnet das Programm y^d(mod n) und r^d(mod n) und verwendet dann die multiplikative Eigenschaft von mudularer Exponentiation, um x^d(mod n) als y^d/r^d(mod n) zu berechnen. Da sowohl y als auch r unbekannt ist, kann der Angreifer diese Berechnungen nicht simulieren, um die nachfolgenden Bits von d bei der Nicht-CRT-Berechnung zu finden, und kann nicht eine binäre Suche in der CRT-Version der Berechnung ausführen. Unglücklicherweise verdoppelt diese Randomisierungstechnik die erwartete Laufzeit der Berechnung.
3. Fehlerangriffe
Fehlerangriffe versuchen, Fehler in die kryptographische Berechnung einzuführen und den Schlüssel durch Analysieren der mathematischen und statistischen Eigenschaften der irrtümlicherweise berechneten Ergebnisse zu identifizieren. Unter den vielen Techniken, die soweit zum Einführen solcher Fehler vorgeschlagen wurden, sind die Verwendung von Ionisierungsstrahlung, unüblichen Betriebstemperaturen, Leistungs- und Taktstörungen und laserbasierende Chipmikrobehandlungen. Einige der Angriffe sind differential (d.h., sie führen sowohl eine richtige als auch eine irrtümliche Berechnung mit derselben Eingabe aus und analysieren ihre Differenzen), während andere Angriffe nur die irrtümlichen Ergebnisse verwenden.
Der originale Fehlerangriff auf öffentliche Schlüssel-Kryptosysteme wurde in Boneh, Demillo und Lipton beschrieben und erforderte mehrere kryptographische Berechnungen. Wir beschreiben nun eine verbesserte Version dieses Angriffs, beruhend auf Arjen Lenstra, was eine einzige fehlerhafte Berechnung erfordert. Wir nehmen an, dass die Blackbox das RSA-Schema verwendet, um eine gegebene Mitteilung x zu signieren. Die Berechnung von x^d(mod n) wird mit dem CRT-Verfahren durch zuerst Reduzieren von x Modulo p und q, um x_1 und x_2 zu erhalten, dann Berechnen von y_1 = x_1^d(mod p) und y_2 = x_2^d(mod q) und schließlich Kombinieren von y_1 und y_2 ausgeführt, um die Signatur y(mod n) mit dem CRT-Verfahren zu erhalten. Wir nehmen an, dass ein einzelner Fehler zu einer zufälligen Zeit während dieser Berechnung durch Anwenden eines milden physikalischen Drucks auf die Blackbox eingeführt wird. Ohne Verlust der Allgemeinheit können wir annehmen, dass der Fehler während der Berechnung von x_1^d(mod p) eingeführt wurde und somit, statt das korrekte y_1 zu erhalten, die Box ein irrtümliches y'_1 berechnete. Wenn y'_1 und y_2 durch das CRT-Verfahren kombiniert werden, berechnet die Box eine unrichtige Signatur y', die dem Angreifer bereitgestellt wird.
Die Hauptbeobachtung ist, dass der Angreifer den Signaturverifikationsexponenten e kennt, für welchen y^e = x(mod n). Aufgrund des Fehlers ist y'^e-x Nicht-Null mod p, aber Null mod q, und ist somit ein Mehrfaches von q, welches nicht ein Mehrfaches von n ist. Der Angreifer kann somit n durch Berechnen des größten gemeinsamen Divisors von y'^e-x(mod n) und n faktorisieren, was eine leichte Berechnung ist.
Um kryptographische Schemata gegen Fehlerangriffe zu schützen, schlugen Boneh, Demillo und Lipton vor, dass jede Berechnung zweimal ausgeführt werden sollte (vorzugsweise durch verschiedene Algorithmen). Wenn jegliche Diskrepanz zwischen den zwei Ergebnissen gefunden wird, sollte die Box überhaupt nichts ausgeben. Dies stellt einen starken Schutz vor zufälligen Fehlern bereit (für welche es unwahrscheinlich ist, die zwei Berechnungen in einer identischen Weise zu beeinträchtigen), verlangsamt aber die Berechnung um einen Faktor 2. Eine solche Verlangsamung ist teilweise in Chipkartenimplementierungen von öffentliche Schlüsselschemata bemerkbar, die in erster Linie ziemlich langsam sind.
Von Kocher P C: "TIMING ATTACKS ON IMPLEMENTATIONS OF DIFFIE-HELLMANN, RSA, DSS, UND OTHER SYSTEMS" ADVANCES IN CRYPTOLOGIY – CRYPTO '96, 16TH. ANNUAL INTERNATIONAL CRYPTOLOGY CONFERENCE SANTA BARBARA, AUG. 18–22, 1996, PROCEEDINGS, NR. KONF. 16, 18. August 1996, Seiten 104–113, XP000626590 KOBLITZ N (ED) BERLIN (DE), ist ein Verfahren zum Implementieren von öffentlichen Schlüsselschemata bekannt, enthaltend die Nicht-CRT-Form der modularen Exponentiationsoperation x^d(mod n), einschließlich Addieren einer geheimen ganzen Zahl i mal phi(n), wobei phi Euler's Totientenfunktion von dem Modulus n ist. Wenn ein weiteres Maskieren erforderlich ist, kann ein zufälliges Mehrfaches von phi(n) zu dem Exponenten vor jeder modularen Exponentiation addiert werden.
ÜBERBLICK ÜBER DIE ERFINDUNG
Die vorliegende Erfindung betrifft ein Verfahren und Gerät zum Bereitstellen von Schutztechniken für öffentliche Schlüsselschemata, die einen starken Schutz gegen die beschriebenen Timing- und Fehlerangriffe bereitstellen, ohne die doppelte Verlangsamung zu verschulden, die durch die früher bekannten Schutztechniken erforderlich war.
Die erste Technik ist gestaltet, um Nicht-CRT-Implementierungen von öffentlichen Schlüsselschemata gegen Timing-Angriffe zu schützen. Sie ist bei dem RSA-Kryptosystem, SRA-Digitalsignaturschema, Diffie-Hellman-Schlüsselverteilungsschema und jeglichem anderen zahlentheoretischen Schema anwendbar, bei welchem die Blackbox eine bekannte Eingabe x auf einen festen geheimen Exponenten d Modulo ein öffentliches n anhebt, dessen Faktorisierung der Blackbox bekannt ist.
Die zweite Technik ist gestaltet, um CRT-basierende Implementierungen von öffentlichen Schlüsselschemata vor sowohl Timing- als auch Fehlerangriffen zu schützen. Das Hauptproblem ist, wie die Richtigkeit der Berechnungen von x_1^d(mod p) und x_2^d(mod q), ohne sie ein zweites Mal zu wiederholen, zu verifizieren ist (oder jeden Schritt separat zu verifizieren, was wiederum die Laufzeit verdoppelt). Die Erfindung schafft eine neue effizientere Fehlerdetektionstechnik für solche zahlentheoretischen Berechnungen.
KURZE BESCHREIBUNG DER FIGUREN
Die 1 zeigt schematisch das Verfahren und Gerät der Erfindung, wie es für eine erste Technik zutrifft, gestaltet, um Nicht-CRT-Implementierungen eines öffentlichen Schlüsselschemas gegen Timing-Angriffe zu schützen.
Die 2 zeigt schematisch das Verfahren und Gerät der Erfindung, wie es für eine zweite Technik zutrifft, gestaltet, um CRT-basierende Implementierungen eines öffentlichen Schlüsselschemas gegen sowohl Timing- als auch Fehlerangriffe zu schützen.
GENAUE BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSBEISPIELE
Unter Bezugnahme nun auf die Zeichnungen werden bevorzugte Ausführungsbeispiele nun im Detail beschrieben. Da öffentliche Schlüsselschemata und Computerhardware- und -softwareimplementierung Fachleuten gut bekannt sind, wird keinen Beschreibung derselben für ein vollständiges, präzises und exaktes Verständnis der vorliegenden Erfindung für erforderlich gehalten.
Wir beschreiben nun zwei neue Schutztechniken für öffentliche Schlüsselschemata, die einen starken Schutz gegen die beschriebenen Timing- und Fehlerangriffe bereitstellen, ohne die doppelte Verlangsamung zu verursachen, die durch die früher bekannten Schutztechniken erforderlich gemacht wurden.
Die erste Technik, die in der 1 gezeigt ist, ist gestaltet, um Nicht-CRT-Implementierungen von öffentlichen Schlüsselschemata gegen Timing-Angriffe zu schützen. Sie ist anwendbar bei dem RSA-Kryptosystem, RSA-Digitalsignaturschema, dem Diffie-Hellman-Schlüsselverteilungsschema und jeglichem anderen zahlentheoretischen Schema, bei welchem die Blackbox 10 eine bekannte Eingabe x auf einen fixen geheimen Exponenten d Modulo einem öffentlichen n anhebt, dessen Faktorisierung der Blackbox bekannt ist.
Die Hauptbeobachtung ist, dass für jedes n eine Zahl t = phi(n) existiert, Kasten 12, so dass für jegliches x zwischen 1 und n, welches relativ zu n prim ist, x^t = 1(mod n). Dieses phi wird Euler's Totientenfunktion genannt: Wenn n eine Primzahl ist, phi(n) = n – 1, und wenn n = p*q, phi(n) = (p – 1)*(q – 1). Die Implementierung kann somit die Berechnung von x^d(mod n) durch die Berechnung von x^(d + i*t)(mod n) für jegliche ganze Zahl i ersetzen, ohne die berechneten Ergebnisse zu ändern, da
x^(d + it) = (x^d)*(x^t)^i = (x^d)*1^i = x^d(mod n), Kasten 14.
Diese Gleichheit kann als wahr gezeigt werden, selbst wenn x nicht relativ prim zu n ist, jedoch ist es in der Praxis unwahrscheinlich, dass dieser Fall auftaucht. Zu beachten ist auch, dass jegliches integrale Mehrfache von GCD((p – 1), (q – 1)) phi(n) bei unserer Wahl von t ersetzen kann.
Die vorgeschlagene Schutztechnik für öffentliche Schlüsselschemata basierend auf der modularen Exponentiationsoperation ist, ein neues geheimes i bei jeder Berechnung zu wählen und die Berechnung von x^d(mod n) durch die Berechnung von x^(d + i*t)(mod n) zu ersetzen, wobei t der vorberechnete Wert von phi(n) ist. Da die Bits von diesen (d + i*t) für die verschiedenen i verschieden sind, verwendet jede Exponentiation eine unterschiedliche Sequenz von Quadrat-und-Multiplizierschritten, und somit kann der Angreifer nicht Kocher's Timing-Angriff verwenden, um die Timing-Verteilung von mehereren Exponentiationen zu analysieren, selbst wenn alle von ihnen die d-te Leistung ihrer Eingaben berechnet.
Die Effizienz dieser Technik basiert auf der Tatsache, dass t immer kleiner ist als n und das randomisierende Element i als eine relativ kleine Zahl gewählt werden kann. Wenn n und b 1024-Bit-Zahlen sind und i eine zufällige 32-Bit-Zahl ist (was die gegenwärtig empfohlenen Größen sind), ist d + i*t eine 1056-Bit-Zahl. Der Prozess des Anhebens der Eingabe x auf die 1056-Bit-Leistung d + i*t erfordert nur 3% mehr Quadrat-und-Multiplizieroperationen als der Prozess des Anhebens von x auf die ursprüngliche 1024-Bit-Leistung d. Dies ist viel besser als die Alternative Randomisiertechnik, die früher beschrieben wurde, was die Laufzeit verdoppelt.
Die zweite Technik, die in der 2 gezeigt ist, ist gestaltet, um CRT-basierende Implementierungen von öffentlichen Schlüsselschemata vor sowohl Timing- als auch Fehlerangriffen zu schützen. Das Hauptproblem ist, wie die Richtigkeit der Berechnungen von x_1^d(mod p) und x_2^d(mod q) zu verifizieren ist, ohne sie ein zweites Mal zu wiederholen (oder jeden Schritt separat zu verifizieren, was wiederum die Laufzeit verdoppelt). Wir beschreiben nun eine neue Fehlerdetektionstechnik für solche zahlentheoretischen Berechnungen, die viel effizienter ist.
Bei jeder Berechnung wählt die Blackbox 20 eine neue zufällige ganze Zahl j (die empfohlene Größe von j ist ebenfalls 32-Bit), Kasten 22. Statt x_1 = x(mod p) und x_2 = x(mod q) gefolgt von y_1 = x_1^d(mod p) und y_2 = x_2^d(mod q) zu berechnen, berechnet der Kasten v_1 = x(mod j*p), v_2 = x(mod j*q), d_1 = d(mod phi(j*p)), und d_2 = d(mod phi(j*q)), Kasten 24, gefolgt von w_1 = v_1^d_1(mod j*p) und w_2 = v_2^d_2(mod j*q), Kasten 26.
Die Hauptbeobachtung ist, dass es von w_1 und w_2 einfach ist, y_1 und y_2 durch weitere Reduktionen (nämlich y_1 = w_1(mod p) und y_2 = w_2(mod q), Kasten 28, zu erhalten, und es somit leicht ist, das Endergebnis y durch das Chinesen-Rest-Theorem zu berechnen, Kasten 30. Jedoch können wir auch den Wert von x^d(mod j) auf zwei verschiedene Weisen erhalten: Wie w_1(mod j) und wie w_2(mod j), Kasten 32. Wir können nun die Gleichheit von diesen zwei Werten (die erhalten wurden von den zwei Hälften der Berechnung und gemischt mit dem Erlangen von y_1, y_2 in einer sehr strengen Weise), Kasten 34, als einen Test der Korrektheit verwenden: Bei einer fehlerlosen Berechnung werden die zwei Werte immer dieselben sein, während bei einer fehlerhaften Berechnung (mit zufälligen Fehlern) die Möglichkeit, dass die zwei Werte dieselben sein werden, ungefähr 1/(2^32) sein wird, siehe Entscheidungskasten 36, worin ein Abbruch für eine fehlerhafte Berechnung befohlen ist. Diese Fehlerdetektionstechnik ist somit ausreichend für jegliche Anwendung, bei welcher die Gesamtanzahl von modularen Exponentiationen signifikant kleiner als 2^32 (über 4 Milliarden) ist.
Die Gesamtzeitkomplexität dieser Implementierung ist um wenige Prozent höher als die Zeitkomplexität von Standardimplementierungen, da die Exponentiationen Modulo 512 + 32 = 544 Bit Moduli j*p und j*q statt 512 Bit Moduli p und q ausgeführt werden. Jedoch ist dies wesentlich schneller, als jede Exponentiation ein zweites Mal zu wiederholen, um ihre Korrektheit zu verifizieren.
Ein zusätzlicher Vorteil dieser Randomisierungstechnik ist, dass sie auch einen Schutz vor Timing-Angriffen zu keinen extra Kosten bereitstellt. Kocher's Originalangriff auf CRT-basierende Implementierungen konzentriert sich auf die initiale modulare Reduktion (mod p) und verwendet eine binäre Suche, um zunehmend genaue Annäherungen von p von mehrfachen Berechnungen zu finden.
Durch Verwenden unserer vorgeschlagenen Technik verwendet jede Berechnung einen unterschiedlichen Modulus j*p bei ihrem anfänglichen Reduktionsschritt, und somit kann der Angreifer sein Wissen des Modulus durch Analysieren einer großen Anzahl von Exponentiationen nicht verfeinern.
Es gibt viele Optimierungen und Variationen dieser Technik, die für einen Fachmann offensichtlich sein sollten. Zum Beispiel ist es möglich, zusätzliche Beschränkungen (wie Primalität) nach Wahl des kleinen Multiplizierers j aufzuerlegen, was es etwas weniger wahrscheinlich macht, dass fehlerhafte Berechnungen undetektiert bleiben. Eine andere Modifikation der Technik ist es, jede Hälfte der Berechnung durch ein separates Neuberechnungsmodulo eines unterschiedlichen kleinen Modulus zu testen, statt durch Vergleichen der zwei Ergebnismodulo eines bekannten kleinen Modulus. Genauer kann die Implementierung zwei kleine Zahlen j_1 und j_2 wählen und dann die folgenden Werte berechnen:
v_1 = x(mod j_1*), v_2 = x(mod j_2*q), v_3 = x(mod j_1), v_4 = x(mod j_2);
d_1 = d(mod phi(j_1 *p)), d_2 = d(mod phi(j_2*q)), d_3 = d(mod phi(j_1)), d_4 = d(mod phi(j_2);
w_1 = v_1^d_1(mod j_1*p), w_2 = v_2^d_2(mod j_2*P), w_3 = v_3^d_3(mod j_1), w_4 = v_4^d_4(mod j_2).
Um die Richtigkeit der Berechnung zu prüfen, verifiziert die Blackbox jenes w_1 = w_3(mod j_1) und w_2 = w_4(mod j_2). Die einzigen teueren Operationen sind die Berechnung von w_1 und w_2, da die kleinen Exponentiationen bei der Berechnung von w_3 und w_4 sehr effizient sind. Diese Neuberechnungstechnik ist langsamer als die ursprüngliche Vergleichstechnik, kann aber geringfügig mehr beständig gegen bestimmte Typen von nicht zufälligen Fehlern sein.
Obwohl die Erfindung bezüglich bestimmten Ausführungsbeispielen davon beschrieben wurde, wird es von einem Fachmann begrüßt, dass Variationen und Modifikationen durchgeführt werden können, ohne vom Umfang der Erfindung abzuweichen.
BIBLIOGRAPHIE

1. E. Biham und A. Shamir, "A New Cryptanalytic Attack on DES", technical report, 10/18/96. Eine ausführliche Version erscheint in den Proceedings of Crypto 97, August 1997.
2. D. Boneh, R. A. Demillo und R. J. Lipton, "On the Importance of Checking Computations", technical report, 9/25/96. Eine ausführliche Version erscheint in den Proceedings of Eurocrypt 97, Mai 1997.
3. P. Kocher, "Cryptanalysis of Diffie-Hellman, RSA, DSS, and Other Systems Using Timing Attacks", technical report, 12/7/95.

Claims

Verfahren zum Implementieren öffentlicher Schlüsselschemata, die die CRT-Form der modularen Exponentiationsoperation x^d(mod n) enthalten, wobei n = p*q, zu dem Zweck, um sie gegen Timing- und Fehlerangriffe resistenter zu machen, dadurch gekennzeichnet, dass die Schritte enthalten sind: a. Auswählen einer geheimen ganzen Zahl j; b. Verarbeiten von v_1 = x(mod j*p), v_2 = x(mod j*q), d_1 = d(mod phi(j*p)), d_2 = d(mod phi(j*q)), w_1 = v_1^d_1(mod j*p), und w_2 = v_2^d_2(mod j*q); c. Abbrechen der Verarbeitung, wenn w_1 und w_2 nicht gleich Modulo j sind; d. andernfalls Verarbeiten von y_1 = w_1(mod p), y_2 = w_2(mod q), und ihr Kombinieren durch das Chinese Remainder Theorem, um das Ergebnis von x^d(mod n) zu erhalten.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass j als eine Primzahl ausgewählt ist.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass j als eine Zufallszahl in dem Bereich von [0, (2^k) – 1] für ein k ausgewählt ist.
Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass k = 32.
Verfahren zum Implementieren öffentlicher Schlüsselschemata, die die CRT-Form der modularen Exponentiationsoperation x^d(mod n) enthalten, wobei n = p*q, zu dem Zweck, um sie gegen Timing- und Fehlerangriffe resistenter zu machen, dadurch gekennzeichnet, dass die Schritte enthalten sind: a. Auswählen von zwei geheimen ganzen Zahlen j_1 and j_2; b. Verarbeiten von v_1 = x(mod j_1*p), v_2 = x(mod j_2*q), d_1 = d(mod phi(j_1*p)), d_2 = d(mod phi(j_2*q)), w_1 = v_1^d_1(mod j_1*p), und w_2 = v_2^d_2(mod j_2*q); c. Verarbeiten von v_3 = x(mod j_1), v_4 = x(mod j_2), d_3 = d(mod j_1), d_4 = d(mod j_2), w_3 = v_3^d_3(mod j_1), und w_4 = v_4^d_4(mod j_2); d. Abbrechen der Verarbeitung, wenn w_3 nicht gleich w_1 modulo j_1 ist, oder wenn w_4 nicht gleich w_2 modulo j_2 ist; e. andernfalls Verarbeiten von y_1 = w_1(mod p), y_2 = w_2(mod q), und ihr Kombinieren durch das Chinese Remainder Theorem, um das Ergebnis von x^d(mod n) zu erhalten.
Verfahren nach Anspruch 5, dadurch gekennzeichnet, dass j_1 und j_2 Primzahlen sind.
Verfahren nach Anspruch 5, dadurch gekennzeichnet, dass j_1 und j_2 als Zufallszahlen in dem Bereich [0, (2^k) – 1] für ein k ausgewählt sind.
Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass k = 32.
Vorrichtung zum Implementieren von öffentlichen Schlüsselschemata, die die CRT-Form der modularen Exponentiationsoperation x^d(mod n) enthalten, wobei n = p*q, zu dem Zweck, um sie gegen Timing- und Fehlerangriffe resistenter zu machen, dadurch gekennzeichnet, dass enthalten sind: a. Einrichtungen zum Auswählen einer geheimen ganzen Zahl j; b. Einrichtungen zum Verarbeiten von v_1 = x(mod j*p), v_2 = x(mod j*q), d_1 = d(mod phi(j*p)), d_2 = d(mod phi(j*q)), w_1 = v_1^d_1(mod j*p), und w_2 = v_2^d_2(mod j*q); c. Einrichtungen zum Abbrechen der Verarbeitung, wenn w_1 und w_2 nicht gleich Modulo j sind; d. Einrichtungen zum andernfalls Verarbeiten von y_1 = w_1(mod p), y_2 = w_2(mod q), und ihr Kombinieren durch das Chinese Remainder Theorem, um das Ergebnis von x^d(mod n) zu erhalten.
Vorrichtung nach Anspruch 9, dadurch gekennzeichnet, dass j als eine Primzahl ausgewählt ist.
Vorrichtung nach Anspruch 9, dadurch gekennzeichnet, dass j als eine Zufallszahl in dem Bereich [0, (2^k) – 1] für ein k ausgewählt ist.
Vorrichtung nach Anspruch 11, dadurch gekennzeichnet, dass k = 32.
Vorrichtung zum Implementieren von öffentlichen Schlüsselschemata, die die CRT-Form der modularen Exponentiationsoperation x^d(mod n) enthalten, wobei n = p*q, zu dem Zweck, um sie gegen Timing- und Fehlerangriffe resistenter zu machen, dadurch gekennzeichnet, dass enthalten sind: a. Einrichtungen zum Auswählen von zwei geheimen ganzen Zahlen j_1 and j_2; b. Einrichtungen zum Verarbeiten von v_1 = x(mod j_1*p), v_2 = x(mod j_2*q), d_1 = d(mod phi(j_1*p)), d_2 = d(mod phi(j_2*q)), w_1 = v_1^d_1(mod j_1*p), und w_2 = v_2^d_2(mod j_2*q); c. Einrichtungen zum Verarbeiten von v_3 = x(mod j_1), v_4 = x(mod j_2), d_3 = d(mod j_1), d_4 = d(mod j_2), w_3 = v_3^d_3(mod j_1), und w_4 = v_4^d_4(mod j_2); d. Einrichtungen zum Abbrechen der Verarbeitung, wenn w_3 nicht gleich w_1 modulo j_1 ist, oder wenn w_4 nicht gleich w_2 modulo j_2 ist; e. Einrichtungen zum andernfalls Verarbeiten von y_1 = w_1(mod p), y_2 = w_2(mod q), and ihr Kombinieren durch das Chinese Remainder Theorem, um das Ergebnis von x^d(mod n) zu erhalten.
Vorrichtung nach Anspruch 13, dadurch gekennzeichnet, dass j_1 und j_2 Primzahlen sind.
Vorrichtung nach Anspruch 13, dadurch gekennzeichnet, dass j_1 und j_2 als Zufallszahlen in dem Bereich [0, (2^k) – 1] für ein k ausgewählt sind.
Vorrichtung nach Anspruch 15, dadurch gekennzeichnet, dass k = 32.