ITMI20101683A1 - Metodo di generazione di una firma digitale - Google Patents

Description

Titolo:†Metodo di generazione di una firma digitaleâ€

DESCRIZIONE

SFONDO TECNOLOGICO DELL’INVENZIONE

Campo di applicazione

La presente invenzione si riferisce alle tecniche di crittografia di dati digitali ed in particolare ad un metodo di generazione di una firma digitale per dati digitali.

Descrizione dell’arte nota

Oggigiorno, la crittografia svolge un ruolo fondamentale nella comunicazione di dati digitali al fine di garantire un adeguato livello di sicurezza della comunicazione tramite il soddisfacimento di requisiti quali, da un lato, la confidenzialità o riservatezza dei dati digitali scambiati e, dall’altro, l’autenticità dei dati digitali scambiati o dei soggetti coinvolti nella comunicazione dei dati digitali.

Con particolare riferimento al requisito di autenticità, nell’ambito della crittografia sono stati sviluppati diversi algoritmi o metodi cosiddetti di firma digitale che vengono impiegati, ad esempio, per firmare e verificare documenti digitali al fine di verificarne l’autenticità degli stessi. Inoltre, tali algoritmi o metodi di firma digitale sono impiegati in sistemi con relativo software integrato (meglio conosciuti con la terminologia inglese “embedded†) al fine di verificare la genuinità del software stesso. Ancora, algoritmi o metodi di firma digitale vengono diffusamente impiegati nel settore delle schede intelligenti (in inglese, smart card) per l’autenticazione di documenti digitali. Inoltre, tali algoritmi o metodi di firma digitale vengono altresì adottati in differenti protocolli nel campo delle reti di comunicazione al fine di autenticare l’identità di soggetti, quali gli utenti o i dispositivi elettronici collegati ad una rete di comunicazione, in maniera sicura.

Un algoritmo o metodo di firma digitale noto à ̈ l’algoritmo di firma digitale basato su curve ellittiche ECDSA (dall’acronimo inglese, Elliptic Curve Digital Signature Algorithm) appartenente alla famiglia più generale degli algoritmi di firma digitale DSA (dall’acronimo inglese, Digital Signature Algorithm).

L’algoritmo di firma digitale ECDSA à ̈ un algoritmo crittografico a chiave pubblica che, come noto, si basa su un’operazione non invertibile, ovvero un’operazione che coinvolge una chiave segreta, ma dal cui utilizzo non à ̈ possibile risalire alla chiave segreta impiegata.

L’algoritmo di firma digitale ECDSA à ̈ costituito da un algoritmo di generazione di una firma digitale ed un algoritmo di verifica di tale firma digitale.

L’implementazione di tali algoritmi, rispettivamente, di generazione e verifica di una firma digitale comporta la generazione preliminare, durante la fase di configurazione (set-up) del dispositivo elettronico, di una chiave segreta d e di una chiave pubblica Y da impiegare, da parte del dispositivo elettronico, nell’autenticazione di dati digitali.

L’algoritmo o metodo di generazione di una firma digitale ECDSA genera la firma digitale (r, s) di un messaggio (M) sulla base della chiave segreta (d) e su un numero causale (k) generato ogni qualvolta viene eseguito l’algoritmo di generazione di una firma digitale.

In particolare, la firma digitale consiste nel determinare una coppia di elementi, ovvero:

un primo elemento (r) della firma digitale rappresentativo della coordinata x di un punto ottenuto dalla moltiplicazione scalare del numero casuale k per un punto P di una curva ellittica le cui coordinate sono imposte dallo standard NIST (dall’acronimo inglese, National Institute of Standards and Technology) (r = xk·P);

un secondo elemento (s) della firma digitale ottenuto con la seguente relazione matematica (1):

s = (e r·d)·k<-1>mod n (1)

in cui

e rappresenta la funzione di hash (di per sé nota) del messaggio M da firmare (e = h(M)),

r rappresenta il primo elemento della firma digitale,

d à ̈ la chiave segreta di crittazione associata al dispositivo elettronico,

mod n rappresenta il modulo di ordine n (con n ordine della curva ellittica) della moltiplicazione sopra indicata.

L’algoritmo di verifica di una firma digitale ECDSA esegue un test sulla firma generata dall’algoritmo di generazione di una firma digitale ECDSA sulla base della chiave pubblica Y, della funzione di hash del messaggio M (e = h(M)), della firma digitale generata (r, s) per verificare se la firma digitale testata sia effettivamente la firma digitale generata dal dispositivo elettronico configurato per implementare l’algoritmo di firma digitale ECDSA.

Con particolare riferimento all’algoritmo o metodo di generazione di una firma digitale ECDSA (o in generale anche un algoritmo di generazione di firma digitale DSA) sopra descritto, esso si basa su un modello di sicurezza studiato per essere immune alle tipologie di attacco sviluppate da attaccanti (in inglese, cracker) che tentano continuamente di violare, da un punto di vista elettronico e/o informatico, i già esistenti algoritmi di firma digitale DSA al fine di recuperare in modo non autorizzato la chiave segreta e poter autenticare messaggi o documenti digitali o potersi autenticare a discapito dei legittimi soggetti autorizzati a farlo.

Tra le ultime tipologie di attacco, meritano sicuramente menzione le tipologie di attacco definite a canale laterale (in inglese, side channel attack).

Un attacco a canale laterale à ̈ un attacco per cui il recupero di informazioni segrete (in particolare, la chiave segreta) à ̈ ottenuto da un attaccante non sfruttando particolari debolezze teoriche matematiche bensì sfruttando problemi legati all’implementazione dell’algoritmo o metodo di firma digitale. Un attacco a canale laterale può consistere, da parte dell’attaccante, nel monitoraggio del consumo di potenza o della radiazione elettromagnetica del oppure nell’iniezione di un guasto (sovratensione o glitch, anche sottotensione) nel dispositivo elettronico configurato per implementare un algoritmo di generazione della firma digitale DSA. Dal confronto tra la firma digitale ottenuta dal dispositivo elettronico in caso di guasto iniettato e la firma digitale ottenuta dal dispositivo elettronico nel normale funzionamento (senza perturbazioni da parte dell’attaccante) o dal monitoraggio del consumo di potenza, un attaccante à ̈ in grado di ottenere informazioni fondamentali per recuperare con successo la chiave segreta impiegata dal dispositivo elettronico sotto attacco.

Tuttavia, l’evoluzione che hanno avuto negli ultimi tempi queste ed altre tipologie di attacco ha reso anche l’algoritmo di generazione di firma digitale ECDSA vulnerabile ed a rischio violazione per quanto riguarda il recupero della chiave segreta generata.

Lo scopo della presente invenzione à ̈ quello di fornire un metodo di generazione di una firma digitale che risulti alternativo e migliorato rispetto a quello sopra descritto con riferimento alla tecnica nota e che, in particolare, risulti più robusto rispetto alle particolari tipologie di attacco (iniezione di guasto e monitoraggio del consumo di potenza) a cui à ̈ soggetto un dispositivo elettronico configurato per implementare il suddetto metodo di generazione di una firma digitale.

SOMMARIO DELL’INVENZIONE

Tale scopo à ̈ raggiunto mediante un metodo di generazione di una firma digitale in accordo con la rivendicazione 1.

Forme preferite di tale metodo sono definite nelle rivendicazioni dipendenti 2-7.

Forma oggetto della presente invenzione anche un dispositivo elettronico in accordo alle rivendicazione 8 e 9 ed un codice programma in accordo alla rivendicazione 10.

BREVE DESCRIZIONE DEI DISEGNI

Ulteriori caratteristiche e vantaggi del metodo secondo l’invenzione risulteranno dalla descrizione di seguito riportata di esempi preferiti di realizzazione, dati a titolo indicativo e non limitativo, con riferimento alle annesse figure, in cui:

- la figura 1 illustra schematicamente un dispositivo elettronico configurato per implementare il metodo di generazione di una firma digitale secondo un esempio dell’invenzione;

- la figura 2 illustra schematicamente le parti che compongono un metodo di firma digitale comprendente un metodo di generazione di una firma digitale secondo un esempio dell’invenzione, e

- le figure 3 e 4 illustrano schematicamente, mediante un diagramma a blocchi, un metodo di generazione di una firma digitale secondo un esempio dell’invenzione.

DESCRIZIONE DETTAGLIATA

Con riferimento alla figura 1, viene ora descritto un esempio di dispositivo elettronico, indicato in generale con il riferimento numerico 100, configurato per eseguire il metodo di generazione di una firma digitale secondo l’invenzione, che sarà descritto nel seguito.

Il dispositivo elettronico 100 della figura 1 à ̈, ad esempio, un dispositivo di codifica/decodifica per televisione digitale conosciuto anche come set top box ma, in accordo con altre forme di realizzazione dell’invenzione, può essere un altro dispositivo elettronico nel quale à ̈ necessario implementare un metodo di generazione di firma digitale, quale una scheda intelligente o smart card, un telefono cellulare, un ricevitore digitale satellitare, un ricevitore digitale terrestre, una console di gioco (per esempio, PS3), un computer (per esempio, un personal computer), una periferica (per esempio, una stampante) o un altro dispositivo elettronico digitale predisposto per autenticare accessori quali, ad esempio, auricolari, batterie, cartucce di inchiostro, toner in cui un utente paga un prezzo maggiore per un accessorio autentico, mentre un contraffattore sarebbe in grado di vendere un accessorio non originale e di minore qualità ma che verrebbe riconosciuto autentico se fosse possibile estrarre la chiave segreta del dispositivo elettronico originale, e così via.

Il dispositivo di codifica/decodifica 100 per televisione digitale à ̈ configurato per ricevere un flusso di dati codificati d’ingresso DATIN (dati video e/o audio) da un’antenna esterna 10 (ANT) al fine di fornire un corrispondente flusso di dati codificati DATOUT ad un apparato televisivo 20 (TV) operativamente collegato al dispositivo di codifica/decodifica 100.

In maggior dettaglio, il dispositivo di codifica/decodifica 100 comprende un’unità centrale di processamento 30 (CPU, Central Processing Unit), ad esempio un microprocessore o un microcontrollore, operativamente collegato ad una memoria principale di sistema 40 (MEM). Inoltre, il dispositivo di codifica/decodifica 100 comprende un modulo d’ingresso/uscita 50 (IN/OUT) operativamente collegato e controllato dall’unità centrale di processamento 30 (CPU) al fine di ricevere il flusso di dati codificati d’ingresso DATIN.

In aggiunta, il dispositivo di codifica/decodifica 100 comprende un modulo elettronico 60 (AH) predisposto alla crittazione/decrittazione di dati digitali. In maggior dettaglio, il modulo elettronico 60 à ̈ un acceleratore hardware operante sotto il controllo dell’unità centrale di processamento 30 al fine di decrittare il flusso di dati codificati DATIN ricevuti dal dispositivo d’ingresso/uscita 50. Particolarmente, l’acceleratore hardware 60 à ̈ configurato per ricevere segnali d’attivazione dall’unità centrale di processamento 30 per decrittare il flusso di dati codificati DATIN ed inviare dati decrittati DAT ad un decodificatore audio/video 70 (AU/VID) atto a fornire (sotto il controllo dell’unità centrale di processamento 30 alla quale à ̈ operativamente collegato) il flusso di dati codificati DATOUT all’apparato televisivo 20.

Si fa presente che il dispositivo elettronico di codifica/decodifica 100 Ã ̈ predisposto per caricare ed eseguire codici programma per implementare il metodo di generazione della firma digitale.

In particolare, nell’esempio descritto, à ̈ l’acceleratore hardware 60 predisposto per caricare e eseguire i codici programma per consentire al dispositivo elettronico 100 di implementare tale metodo. L’unità centrale di processamento 40 operativamente associata all’acceleratore hardware 60 à ̈ predisposta per inviare all’acceleratore hardware istruzioni necessarie per il caricamento dei dati, l’inizio dell’esecuzione del metodo di generazione della firma digitale, la lettura delle uscite.

Nel caso in cui non sia presente l’acceleratore hardware, à ̈ direttamente l’unità centrale di processamento 40 predisposta per caricare ed eseguire i codici programma per implementare il metodo di generazione della firma digitale.

Si osservi che il dispositivo di codifica/decodifica 100 à ̈ altresì configurato per consentire l’interazione di un utente con il fornitore (in inglese, provider) della radiodiffusione (in inglese, broadcasting) televisiva. Per esempio, nel caso in cui un utente desideri selezionare un programma televisivo, à ̈ necessario che dati utente UD identificativi dell’abbonamento alla televisione digitale sottoscritto dall’utente siano forniti al fornitore. Tipicamente, i dati utente UD sono immagazzinati nella memoria principale di sistema 40 (MEM) del dispositivo di codifica/decodifica 100. Alternativamente, i dati utente UD sono immagazzinati in una memoria ausiliaria trasportabile (non mostrata nella figura 1) operativamente interfacciata all’unità centrale di processamento 30.

In questo caso, l’acceleratore hardware 60 à ̈ configurato per ricevere i dati utente UD dall’unità centrale di processamento 30 e crittare i dati utente UD generando dati utenti crittati UDE. Il dispositivo di codifica/decodifica 100 à ̈ configurato per fornire i dati utenti crittati UDE al modulo di ingresso/uscita 50 per essere inviati al fornitore di radiodiffusione televisiva impiegando una linea esterna LIN (ad esempio, una linea telefonica) operativamente collegata al dispositivo di codifica/decodifica 100.

Prima di descrivere un metodo di generazione di una firma digitale secondo un esempio dell’invenzione, si ribadisce che esso rappresenta una delle tre parti fondamentali in cui può essere suddiviso un protocollo o metodo di firma digitale per la cui implementazione uno o più dispositivi elettronici (fra i quali, ad esempio, il dispositivo di codifica/decodifica 100) à ̈ appositamente configurato al fine di poter autenticare i dati digitali da esso elaborati o per potersi autenticare nei confronti di una altro dispositivo ad esso collegato (ad esempio, l’apparato televisivo 20) con un livello di sicurezza il più adeguato possibile.

Le altre due parti del protocollo di firma digitale sono, come già detto in precedenza, un algoritmo di generazione delle chiavi (in particolare una chiave pubblica ed una chiave segreta) da associare ad un dispositivo elettronico durante la sua configurazione iniziale ed un algoritmo di verifica di una firma digitale per consentire al dispositivo elettronico di poter verificare se la firma digitale generata dall’algoritmo o metodo di generazione di una firma digitale sia valida.

Da un punto di vista temporale, l’algoritmo o metodo di generazione della chiavi e l’algoritmo di verifica della firma digitale sono eseguiti, da uno o più dispositivi elettronici (che possono anche non essere necessariamente lo stesso dispositivo elettronico (ad esempio, il dispositivo elettronico 100), rispettivamente a monte ed a valle rispetto all’esecuzione, da parte del dispositivo elettronico 100, dell’algoritmo o metodo di generazione di una firma digitale.

Con particolare riferimento alla figura 2, da un punto di vista generale, un protocollo o metodo di firma digitale ECDSA, indicato con il riferimento numerico 200, comprende pertanto: un algoritmo o metodo di generazione di chiavi 300, un algoritmo o metodo di generazione di una firma digitale 400, un algoritmo o metodo di verifica di una firma digitale 500.

L’algoritmo o metodo di generazione di chiavi, di per sé noto al esperto delle tecniche crittografiche, à ̈ implementato da un dispositivo elettronico, non necessariamente il dispositivo elettronico 100, al momento della configurazione iniziale del dispositivo elettronico 100 al fine di poter associare al dispositivo elettronico stesso una chiave segreta d e una chiave pubblica Y da impiegare successivamente per l’autenticazione di dati digitali.

Si fa presente che la generazione di tale chiave segreta d e di tale chiave pubblica Y à ̈ svolta a partire da parametri di sicurezza quali i parametri di una stabilita curva ellittica ECC (dall’acronimo inglese, Elliptic Curve Cryptography) su cui si basa l’algoritmo di firma digitale ECDSA imposti dallo standard NIST (dall’inglese, National Institute of Standards and Technology). Tali parametri della stabilita curva ellittica sono, ad esempio, un primo valore n rappresentativo di uno stabilito ordine della curva ellittica, le coordinate di un punto base P (o punto generatore) della curva ellittica, i parametri dell’equazione della curva ellittica.

Sulla base di questi parametri di sicurezza, da parte dell’utente che sta configurando il dispositivo elettronico 100, la chiave segreta d à ̈ generata come un numero casuale minore del primo valore n rappresentativo di uno stabilito ordine della curva (d < n) mediante un generatore di numeri casuali GR mentre la chiave pubblica Y à ̈ generata eseguendo la moltiplicazione scalare modulo n tra la chiave segreta d ed il punto base P della curva ellittica le cui coordinate sono imposte dallo standard NIST (Y = d·P).

L’algoritmo o metodo di generazione di una firma digitale 400, a livello generale, à ̈ eseguito dal dispositivo elettronico 100 (in particolare dall’acceleratore hardware 60 o in assenza di esso, dall’unità centrale di processamento 40) al fine di generare un primo elemento r ed un secondo elemento s rappresentativi della firma digitale sulla base della chiave segreta d, della funzione di hash, di per sé nota, di un messaggio M da firmare (e = h(M)) e di un numero casuale k generato da un ulteriore generatore di numeri casuali GK.

Si fa presente che l’algoritmo o metodo di generazione di una firma digitale 400, oggetto della presente invenzione, verrà descritto nel seguito in maggior dettaglio con particolare riferimento alla figura 3.

Ritornando ancora alla figura 2, l’algoritmo o metodo di verifica della firma digitale 500 à ̈ implementato dal dispositivo elettronico 100 al fine di verificare se la firma digitale eseguita sul messaggio M à ̈ corretta o meno. In particolare, tale algoritmo o metodo di verifica di una firma digitale 500 esegue tale verifica sulla base della chiave pubblica Y, della funzione hash del messaggio M firmata e sul primo elemento r e sul secondo elemento s rappresentativi della firma digitale.

Si fa presente che l’algoritmo o metodo di verifica di una firma digitale 500 à ̈ di per sé noto all’esperto di tecniche crittografiche e non essendo oggetto della presente invenzione, al pari dell’algoritmo o metodo di generazione di chiavi 300, non verrà più descritto in maniera approfondita nel seguito della presente descrizione.

Con riferimento ora al diagramma a blocchi delle figure 3 e 4, viene ora descritto un algoritmo o metodo 400 di generazione di una firma digitale (r, s) secondo un esempio dell’invenzione.

Il metodo di generazione di firma digitale 400 si basa sull’impiego di una stabilita curva matematica, preferibilmente ellittica, di stabilito ordine n, entrambi imposti da uno standard, ad esempio lo standard NIST.

A livello generale, si ribadisce che la generazione di una firma digitale si concretizza nella generazione di una coppia di valori, in particolare di un primo elemento r della firma digitale e di un secondo elemento s della firma digitale, come verrà spiegato nel seguito in maggior dettaglio.

Con riferimento alla figura 3, il metodo 400 di generazione di firma digitale (r, s) comprende una fase simbolica di inizio STR.

Il metodo 400 di generazione di firma digitale (r, s) comprende inoltre una fase di calcolare 401, da parte del dispositivo elettronico 100 avente associato una chiave segreta d di crittazione, una prima grandezza t1 rappresentativa dell’inverso di un numero casuale k elevato almeno alla potenza due (t1 = k<-2>).

In particolare, tale fase di calcolare 401 la prima grandezza t1 comprende una fase di generare 402, da parte del dispositivo elettronico 100, in particolare da parte dell’ulteriore generatore di numeri casuali GK, il numero casuale (random) k. Si fa presente che il numero causale k à ̈ generato dal dispositivo elettronico 100 ad ogni esecuzione del metodo 400 di generazione di una firma digitale (r, s). Pertanto, vantaggiosamente, il numero casuale k generato durante una prima esecuzione del metodo 400 di generazione di una firma digitale (r, s) sarà diverso dal numero casuale generato durante una seconda esecuzione, successiva alla prima, dello stesso metodo 400 di generazione di una firma digitale (r, s).

Tale fase di calcolare 401 la prima grandezza t1 comprende inoltre una fase di calcolare 403, da parte del dispositivo elettronico 100, un’ulteriore grandezza t0 rappresentativa dell’inverso del numero casuale k (t0 = k<-1>).

Tale fase di calcolare 401 la prima grandezza t1 comprende inoltre una fase di eseguire 404, da parte del dispositivo elettronico 100, una moltiplicazione di modulo corrispondente allo stabilito ordine n della stabilita curva ellittica dell’ulteriore grandezza (t0) per se stessa almeno due volte al fine di ottenere la prima grandezza t1 (t1 = (t0·t0)mod n = (k<-1>·k<-1>)mod n = (k<-2>)mod n).

Il metodo 400 di generazione di firma digitale (r s) comprende inoltre una fase di eseguire 405, da parte del dispositivo elettronico 100, una moltiplicazione di modulo corrispondente allo stabilito ordine n della stabilita curva ellittica tra il numero casuale k ed uno stabilito punto P della stabilita curva ellittica al fine di ottenere il primo elemento r della firma digitale (r, s).

In particolare, il primo elemento r della firma digitale (r, s) corrisponde alla coordinata x del risultato ottenuto dalla suddetta moltiplicazione scalare (r = xk·P).

Il metodo 400 di generazione di una firma digitale (r, s) comprende una fase di eseguire 406, da parte del dispositivo elettronico 100, una moltiplicazione di modulo corrispondente allo stabilito ordine n tra la prima grandezza t1 e la chiave segreta d al fine di ottenere una seconda grandezza t2 (t2 = (t1·d)mod n = (k<-2>·d)mod n).

Inoltre il metodo 400 di generazione di una firma digitale (r, s) comprende inoltre una fase di eseguire 407, da parte del dispositivo elettronico 100, una moltiplicazione di modulo corrispondente allo stabilito ordine n, tra il numero casuale k ed il primo elemento r della firma digitale (r, s) al fine di ottenere una terza grandezza t3 (t3 = k·r).

Con riferimento alle ultime due fasi descritte, si fa presente che in una ulteriore forma di realizzazione, il metodo 400 di generazione di firma digitale (r, s) comprende una fase di eseguire 406, da parte del dispositivo elettronico 100, una moltiplicazione di modulo corrispondente allo stabilito ordine n tra la prima grandezza t1 ed il primo elemento r della firma digitale (r, s), al posto della chiave segreta d di crittazione, al fine di ottenere la seconda grandezza t2 (t2 = (t1·r)mod n = (k<-2>·r)mod n).

Corrispondentemente, nello stessa ulteriore forma di realizzazione, il metodo 400 di generazione di una firma digitale (r, s) comprende inoltre una fase di eseguire 407, da parte del dispositivo elettronico 100, una moltiplicazione di modulo corrispondente allo stabilito ordine n, tra il numero casuale k e la chiave segreta d di crittazione, al posto del primo elemento r della firma digitale (r, s), al fine di ottenere una terza grandezza t3 (t3 = k·d).

Pertanto, da un punto di vista generale, il metodo 400 di generazione di firma digitale (r, s) comprende una fase di eseguire 406, da parte del dispositivo elettronico 100, una moltiplicazione di modulo corrispondente allo stabilito ordine n tra la prima grandezza t1 ed uno fra la chiave segreta d di crittazione e il primo elemento r della firma digitale (r, s), al fine di ottenere una seconda grandezza t2.

Successivamente, il metodo 400 di generazione di firma digitale (r, s) comprende una fase di eseguire 407, da parte del dispositivo elettronico 100, una moltiplicazione di modulo corrispondente allo stabilito ordine n tra il numero casuale k e l’altro fra la chiave segreta d di crittazione e il primo elemento (r) della firma digitale, al fine di ottenere una terza grandezza t3.

Successivamente, il metodo 400 di generazione di una firma digitale (r, s) comprende inoltre una fase di eseguire 408, da parte del dispositivo elettronico 100,

una moltiplicazione di ordine corrispondente allo stabilito ordine n tra la seconda grandezza t2 e la terza grandezza t3 al fine di ottenere un primo addendo a1 di un secondo elemento s della firma digitale (r, s) (a1 = t2·t3 mod n; a1 = (k<-2>·d)·(k·r) mod n, nel caso del primo esempio descritto; a1 = (k-2 ·r)·(k·d) mod n, nel caso dell’ulteriore esempio descritto).

Il metodo 400 di generazione della firma digitale (r, s) comprende inoltre una fase di generare 409, da parte del dispositivo elettronico 100, il secondo elemento s della firma digitale (r, s) sulla base di tale primo addendo a1 e di un’ulteriore grandezza e rappresentativa di un messaggio M da firmare.

Si fa presente che, ai fini della presente descrizione, per messaggio M s’intende l’insieme dei dati digitali di cui à ̈ necessario che il dispositivo elettronico 100 ne esegua la firma attraverso l’implementazione dell’algoritmo di firma digitale 500. Come già detto in precedenza, tali dati digitali possono essere sia informazioni relative a dati da trasmettere o ricevere da parte del dispositivo elettronico oppure informazioni relative al dispositivo elettronico stesso. Nel caso dell’esempio di dispositivo elettronico descritto con riferimento alla figura 1, dispositivo di codifica/decodifica per televisione digitale, il dispositivo elettronico 100 e l’apparato televisivo si scambiano dati digitali firmati digitalmente in modo da effettuare una reciproca autenticazione per verificare ad entrambi di essere autentici. In questo modo à ̈ possibile vantaggiosamente riconoscere l’apparato televisivo come tale e non come un sistema di memorizzazione che sta tentando di immagazzinare una copia non autorizzata del flusso di dati digitali fornito dal dispositivo di codifica/decodifica 100 (evento in pay-tv, contenuto multimediale di un DVD, e così via).

Ritornando alla fase di generare 409 il secondo elemento s della firma digitale (r, s), essa comprende inoltre una fase di calcolare 410, da parte del dispositivo elettronico 100, l’ulteriore grandezza e rappresentativa del messaggio M come funzione di hash, di per sé nota in quanto definita dallo standard NIST, di tale messaggio M (e = h(M)).

Inoltre, tale fase di generare 409 il secondo elemento s della firma digitale (r, s) comprende inoltre una fase di eseguire 411, da parte del dispositivo elettronico 100, una moltiplicazione di modulo corrispondente allo stabilito ordine n tra l’ulteriore grandezza e rappresentativa del messaggio da firmare M e l’ulteriore grandezza t0 rappresentativa dell’inverso del numero casuale k, al fine di ottenere un secondo addendo (a2) del secondo elemento s della firma digitale (r, s) (a2 = (t0·e) mod n = (k<-1>·e) mod n).

Ancora, tale fase di generare 409 il secondo elemento s della firma digitale (r, s) comprende una fase di eseguire 412, da parte del dispositivo elettronico 100, una somma modulare di modulo corrispondente allo stabilito ordine n tra il primo addendo a1 del secondo elemento s della firma digitale (r, s) ed il secondo addendo a2 del secondo elemento s della firma digitale (r, s): s = (a1 a2) mod n.

In particolare, nel caso del primo esempio descritto, il secondo componente s della firma digitale (r, s) sarà ottenuto con la seguente relazione matematica (2):

s = ((k<-1>·e) (k<-2>·d)·(k·r)) mod n (2)

Nel caso del secondo esempio descritto, il secondo componente s della firma digitale (r, s) sarà ottenuto con la seguente relazione matematica (2’):

s = ((k<-1>·e) (k<-2>·r)·(k·d))mod n (2’)

Il metodo 400 di generazione di una firma digitale (r, s) si conclude simbolicamente con una fase di fine ED.

I vantaggi del metodo 400 di generazione di una firma digitale ECDSA secondo gli esempi appena descritti possono essere spiegati facendo un confronto con il metodo di generazione di una firma digitale ECDSA descritto con riferimento alla tecnica nota in cui la firma digitale s di un messaggio à ̈ ottenuta con la seguente relazione matematica (1):

s = (e r·d)·k<-1>mod n (1)

Le tipologie di attacco a canale laterale, di per sé note, consentono all’attaccante di sfruttare i problemi legati all’implementazione dell’algoritmo o metodo di generazione di una firma digitale. In particolare, le parti più vulnerabili rispetto a queste tipologie di attacco sono le operazioni di moltiplicazione.

Si fa presente che mentre le operazioni di moltiplicazione presenti nella relazione matematica (1) del metodo di generazione della firma digitale dell’arte nota sono due, le operazioni invece presenti nella relazione matematica (2) del metodo di generazione della firma digitale secondo l’esempio dell’invenzione sono ben cinque.

Tali operazioni sono caratterizzate dal contenere valori dipendenti dal numero causale k e questo aumenta di fatto la qualità delle operazioni stesse aumentando la sicurezza del metodo di generazione di firma digitale proposto rispetto a quello dell’arte nota nei confronti degli attacchi a canale laterale.

Inoltre, il metodo dell’esempio dell’invenzione risulta altresì più resistente agli attacchi contro le operazioni di moltiplicazione rispetto al metodo dell’arte nota grazie al fatto che la chiave segreta d nella relazione matematica (2) à ̈ sequenzialmente moltiplicata per una grandezza sconosciuta all’attaccante (k<-2>) in quanto il numero casuale k à ̈ generato ad ogni esecuzione, da parte del dispositivo elettronico 100, del metodo di generazione della firma digitale 400.

Come si evince dalla relazione matematica (1), nell’arte nota la chiave segreta d à ̈ invece moltiplicata per la grandezza r (primo elemento della firma digitale) che l’attaccante conosce, in quanto parte della firma emessa.

Conseguentemente, eventuali attacchi con iniezione di guasto nel o con misura (monitoraggio) del consumo di potenza o della radiazione del dispositivo elettronico 100 durante l’implementazione, da parte di quest’ultimo, del metodo di generazione della chiave digitale 400 possono dare risultati non adatti né per trovare la corretta firma digitale s né per acquisire informazioni fondamentali che possano condurre al recupero effettivo della chiave segreta d.

Ad esempio, facendo riferimento alla forma di realizzazione descritta, un attaccante può iniettare un guasto (glitch di alimentazione) nel dispositivo elettronico 100 per perturbare il calcolo della seconda grandezza t2 = (k<-2>·d)mod n ed ottenere così una seconda grandezza perturbata t2’ = (t2 εdi)mod n. Ciò nonostante, non à ̈ possibile risalire alla grandezza differenza ∆ = (s’ – s)mod n = εdi(k·r)mod n in quanto à ̈ presente il numero casuale K che à ̈ sconosciuto e pertanto l’attaccante non à ̈ in grado di recuperare la corretta firma digitale s.

Secondo un altro esempio, facendo sempre riferimento alla prima forma di realizzazione descritta, un attaccante può iniettare un guasto nel dispositivo elettronico 100 per perturbare il calcolo del secondo addendo a2 = (k<-2>·d)mod n · (k·r)mod n) mod n del secondo componente s della firma digitale (r, s). L’attaccante può risalire alla grandezza differenza ∆ = (s’ – s)mod n = ε(k<-2>·d)imod n, in cui (k<-2>·d)iindica la parola i-esima della seconda grandezza t2=(k<-2>·d)mod n. L’attaccante à ̈ in grado pertanto di avere informazioni sul secondo componente s della firma digitale (r, s) ma, ciò nonostante, l’informazione ottenuta circa la seconda grandezza t2 non à ̈ impiegabile per impostare l’attacco in quanto il numero casuale k à ̈ differente e sconosciuto ogni qualvolta il dispositivo elettronico 100 esegue il metodo 400 di generazione della firma digitale (r, s).

Si fa presente che il metodo di generazione di una firma digitale, secondo entrambi gli esempi descritti, può essere eseguito da un elaboratore elettronico munito di una memoria predisposta per il caricamento di un codice programma corrispondente alle fasi del suddetto metodo.

Come si può constatare, lo scopo dell’invenzione à ̈ pienamente raggiunto in quanto, grazie alla natura delle operazioni introdotte, il metodo di generazione di una firma digitale secondo l’invenzione risulta più robusto rispetto a quello della tecnica nota.

Tali operazioni sono moltiplicazioni modulari ed inversioni aventi comunque un costo computazionale vantaggiosamente comparabile rispetto alla tecnica nota.

Ancora vantaggiosamente, nessun ulteriore numero casuale à ̈ richiesto, in aggiunta al numero causale k già presente nel metodo dell’arte nota, per l’implementazione del metodo di generazione di una firma digitale secondo l’invenzione. Ciò à ̈ dovuto al fatto che la generazione di un numero casuale à ̈ un compito piuttosto oneroso.

Si fa presente infine che il metodo di generazione di firma digitale secondo l’invenzione sviluppato sullo schema dell’algoritmo di firma digitale di tipo ECDSA può essere anche modificato per essere adattato allo schema di un altro algoritmo di firma digitale, ad esempio l’algoritmo di firma digitale DSA.

Alle forme di realizzazione del metodo sopra descritte, un tecnico del ramo, per soddisfare esigenze contingenti, potrà apportare modifiche, adattamenti e sostituzioni di elementi con altri funzionalmente equivalenti, senza uscire dall'ambito delle seguenti rivendicazioni. Ognuna delle caratteristiche descritte come appartenente ad una possibile forma di realizzazione può essere realizzata indipendentemente dalle altre forme di realizzazione descritte.

Claims (10)

1. RIVENDICAZIONI 1. Metodo (400) di generazione di una firma digitale (r, s) basato sull’impiego di una stabilita curva matematica di stabilito ordine (n), comprendente fasi di: - calcolare (401), da parte di un dispositivo elettronico (100) avente associato una chiave segreta (d) di crittazione, una prima grandezza (t1) rappresentativa dell’inverso di un numero casuale (k) elevato almeno alla potenza due; - eseguire (403), da parte del dispositivo elettronico (100), una moltiplicazione di modulo corrispondente allo stabilito ordine (n) tra uno stabilito punto (P) della stabilita curva ellittica e tale numero casuale (k) al fine di ottenere un primo elemento (r) della firma digitale (r, s); - eseguire (406), da parte del dispositivo elettronico (100), una moltiplicazione di modulo corrispondente allo stabilito ordine (n) tra la prima grandezza (t1) ed uno fra la chiave segreta (d) di crittazione e il primo elemento (r) della firma digitale (r, s), al fine di ottenere una seconda grandezza (t2); - eseguire (407), da parte del dispositivo elettronico (100), una moltiplicazione di modulo corrispondente allo stabilito ordine (n) tra il numero casuale (k) e l’altro fra la chiave segreta (d) di crittazione e il primo elemento di firma digitale (r), al fine di ottenere una terza grandezza (t3); - eseguire (408), da parte del dispositivo elettronico (100), una moltiplicazione di modulo corrispondente allo stabilito ordine (n) tra la seconda grandezza (t2) e la terza grandezza (t3) al fine di ottenere un primo addendo (a1) di un secondo elemento (s) della firma digitale (r, s); - generare (409), da parte del dispositivo elettronico (100), il secondo elemento (s) della firma digitale (r, s) sulla base di tale primo addendo (a1) e di un’ulteriore grandezza (e) rappresentativa di un messaggio (M) da firmare.
2. 2. Metodo (400) secondo la rivendicazione 1, in cui la fase di generare comprende una fase di calcolare (410), da parte del dispositivo elettronico (100), l’ulteriore grandezza (e) rappresentativa di un messaggio (M) da firmare come funzione di hash (h) di tale messaggio (M).
3. 3. Metodo (400) secondo la rivendicazione 2, in cui la fase di generare (409) comprende inoltre una fase di eseguire (411), da parte del dispositivo elettronico (100), una moltiplicazione di modulo corrispondente allo stabilito ordine (n) tra l’ulteriore grandezza 8e) rappresentativa del messaggio (M) da firmare e l’ulteriore grandezza (t0) rappresentativa del dell’inverso del numero casuale (k) al fine di ottenere un secondo addendo (a2) del secondo elemento (s) della firma digitale (r, s).
4. 4. Metodo (400) secondo la rivendicazione 3, in cui la fase di generare (409) comprende la fase di eseguire (412), da parte del dispositivo elettronico (100), una somma modulare di modulo corrispondente allo stabilito ordine (n) tra il primo addendo (a1) del secondo elemento (s) della firma digitale (r, s) ed il secondo addendo (a2) del secondo elemento (s) della firma digitale (r, s).
5. 5. Metodo (400) secondo una qualsiasi delle rivendicazioni precedenti, in cui la fase di calcolare (401) la prima grandezza (t1) comprende una fase di generare (402), da parte di un dispositivo elettronico (100), il numero casuale (k).
6. 6. Metodo (400) secondo la rivendicazione 5, in cui la fase di calcolare (401) la prima grandezza (t1) comprende inoltre la fase di calcolare (403), da parte del dispositivo elettronico (100), l’ulteriore grandezza (t0) rappresentativa dell’inverso del numero casuale (k).
7. 7. Metodo (400) secondo la rivendicazione 6, in cui la fase di calcolare (401) il numero casuale (k) comprende inoltre la fase di eseguire 404, da parte del dispositivo elettronico 100, una moltiplicazione di modulo corrispondente allo stabilito ordine (n) dell’ulteriore grandezza (t0) per se stessa almeno due volte al fine di ottenere la prima grandezza (t1).
8. 8. Dispositivo elettronico (100) comprendente: - unità centrale di processamento (30); - una memoria principale di sistema (40) operativamente collegata a tale unità centrale di processamento (30); - un modulo elettronico (60) predisposto per la crittazione/decrittazione di dati digitali operativamente collegato all’unità centrale di processamento (30), detto dispositivo elettronico (100) essendo configurato per eseguire le fasi del metodo di generazione di una firma digitale secondo almeno una delle rivendicazioni precedenti.
9. 9. Dispositivo elettronico (100) secondo la rivendicazione 8, appartenente al gruppo comprendente: un apparato di codifica/decodifica per televisione digitale o set top box; una scheda intelligente o smart card; telefono cellulare; un ricevitore digitale satellitare; un ricevitore digitale terrestre; una console di gioco; un computer; una periferica predisposta per l’autenticazione di accessori.
10. 10. Codice programma caricabile in una memoria di un elaboratore elettronico predisposto per eseguire le fasi del metodo (400) di generazione di una firma digitale (r, s) in accordo ad una delle rivendicazioni precedenti da 1 a 7.