KR101513012B1 - 오류 주입과 전력 분석을 조합한 공격에 강인한 멱승 방법 - Google Patents

Abstract

본 발명은 공개키 암호 시스템에서 부채널 공격과 오류 주입 공격을 결합한 물리적 조합 공격을 방어할 수 있는 멱승 알고리듬에 관한 것으로, 멱승 방법은, 램덤 수를 생성하고 초기 값을 정하는 단계, 계산값 저장용 메모리와 멱승 연산에 필요한 중간 값을 저장하는 레지스터 값을 초기화하는 단계, 램덤 수와 초기 값을 이용한 모듈라 곱셈 연산을 통해 메시지 서명 결과에 해당하는 멱승 값을 계산하는 단계, 및 멱승 값을 계산하는 단계에서 최종 멱승 값을 출력하기 전에 계산 값들에 대한 오류 검사를 수행하고 오류 검사의 이상이 없을 때 메시지 서명 결과에 해당하는 서명 값을 반환하여 최종 값을 출력하는 단계를 포함하여 구성된다.

Description

오류 주입과 전력 분석을 조합한 공격에 강인한 멱승 방법{An Exponentiation Method Resistant to the Combined Attack of Fault Injection and Power Analysis}

본 발명은 공개키 암호 시스템에서 부채널 공격과 오류 주입 공격을 결합한 물리적 조합 공격을 방어할 수 있는 멱승 방법에 관한 것이다.

정보보호용 장치를 이용하여 암호화 연산을 수행할 경우, 칩 내부에 저장된 비밀 키를 이용하게 된다. 이 경우 장치가 동작할 때 발생하는 전자기적인 부가 정보를 이용하여 비밀 키를 찾아내는 부채널 분석(Side Channel Analysis, SCA) 공격이 1996년 Kocher에 의해 처음 제안되었다. 부채널 공격은 주로 암호 장치의 소비 전력 신호를 측정하여 비밀 키와의 상관도를 조사하는 공격으로서 크게 단순 전력 분석(Simple Power Analysis, SPA) 공격과 차분 전력 분석(Differential Power Analysis, DPA) 공격으로 나눌 수 있다.

한편, 오류 주입 공격(Fault Attack, FA)은 1997년 Boneh 등에 의해 처음으로 제안된 물리적 공격으로서 암호 알고리듬을 수행하는 동안 공격자는 암호용 칩에 고의적으로 오류를 주입하고 그 출력을 분석하여 비밀 키를 찾아내는 공격 기법이다. 특히, 부채널 공격과 오류 주입 공격은 국제 표준 블록 암호 알고리듬인 AES나 RSA(Rivest, Shamir, and Adelman) 등을 대상으로 많이 시도되었지만 두 공격은 각각 독립적으로 연구되어 왔다.

그러나 최근 수동적 공격 방법인 부채널 공격과 능동적 공격 방법인 오류 공격을 결합한 조합 공격(Passive and Active Combined Attack, PACA)이 제안되었다. 공개 키 암호 알고리듬인 RSA 멱승 알고리듬에 대한 조합 공격은 오류를 주입한 후 누출되는 전력 파형을 관찰함으로써 개인 키를 추출하는 방식을 사용하였다. 이 조합 공격은 SPA를 방어하기 위한 Left-to-Right형 Square and Multiply 멱승(exponentiation) 알고리듬에 대해 처음 시도되었고 실험을 통해 증명되었다.

이와 같이, 공개키 암호 시스템 특히 RSA 암호 시스템은 전술한 조합 공격을 방어하기 위한 새로운 방안을 필요로 하고 있는 실정이다.

이에 본 발명의 실시예에서는 공개 키 보안 시스템에서 오류 주입 공격과 전력 분석 기법을 조합한 물리적 공격에 강인한 멱승 방법을 제공하고자 한다.

또한, 본 발명의 실시예에서는 실질적으로 부가적인 연산량의 추가 없이 조합공격을 비롯한 대부분의 부채널 공격을 방어할 수 있는 멱승 방법을 제공하고자 한다.

상기 기술적 과제를 해결하기 위하여 본 발명의 일측면에 따른 멱승 방법은, 공개 키 암호 시스템을 위한 멱승 방법으로서, 램덤 수 r을 생성하고 초기 값

및

을 정하는 제1단계, 계산값 저장용 메모리와 멱승 연산에 필요한 중간 값 A를 저장하는 레지스터 값을 초기화하는 제2단계, 램덤 수와 초기 값을 이용한 모듈라 곱셈 연산을 통해 메시지 서명 결과에 해당하는 멱승 값을 계산하는 제3단계, 및 멱승 값을 계산하는 단계에서 최종 멱승 값을 출력하기 전에 계산 값들에 대한 오류 검사를 수행하고 오류 검사의 이상이 없을 때 메시지 서명 결과에 해당하는 서명 값을 반환하여 최종 값을 출력하는 제4단계를 포함하여 구성된다.

일실시예에서, 제3단계는 계산값 저장용 메모리의 제1레지스터 S[0] 값과 제2레지스터 S[1] 값을 곱하여 중간 값 A를 구한다.

일실시예에서, 제4단계는 최종적인 서명 S[1] 값을 출력하기 전에 계산 값들이 정확한지 수학식 6의 두 검사식을 사용하여 검사한다.

본 발명의 실시예에 의하면, 오류 주입 공격과 전력 분석 기법을 조합한 물리적 공격에 강인한 공개 키 보안 시스템용 멱승 방법을 제공할 수 있다.

또한, 본 발명의 실시예에 의하면, 실질적으로 부가적인 연산량의 추가 없이 조합공격을 비롯한 대부분의 부채널 공격을 방어하는 멱승 방법을 제공할 수 있다.

도 1은 종래의 BNP 멱승 알고리듬을 나타낸 예시도
도 2는 본 발명의 일실시예에 따른 멱승 방법의 알고리듬을 나타낸 도면

이하, 본 발명의 바람직한 실시예를 첨부된 도면을 참조하여 설명하기로 한다. 후술하는 용어들은 본 발명에서의 기능을 고려하여 정의된 용어들로서 이는 사용자, 운용자의 의도 또는 관례에 따라 달라질 수 있다. 그러므로, 이러한 용어들에 대한 정의는 본 명세서 전반에 걸친 내용을 토대로 하여 내려져야 할 것이다.

이하의 상세한 설명에서는 종래의 대표적인 공개 키 보안 시스템에 이용되는 RSA 서명 알고리듬과 RSA에 대한 조합 공격의 취약성을 보완하기 위해 제안된 종래의 BNP 멱승 알고리듬의 한계를 설명하고, 이를 개선하기 위한 본 실시예의 멱승 알고리듬을 설명하기로 한다.

RSA 서명 알고리듬

공개 키 암호 시스템인 RSA(Rivest, Shamir, and Adelman)에서는 비밀 소수 p와 q의 곱인 모듈러스 N을 계산하여 공개한다. 그리고 (p-1)(q-1)과 서로 소(co-prime)인 공개 키 e를 생성하며 개인 키 d를 다음의 수학식 1과 같이 계산하기 위해 비밀로 보관하여 사용한다. 일반적으로 p나 q의 길이는 안전도를 위하여 512비트 이상을 사용하며 N은 약 1024비트 정도의 합성수이다.

주어진 메시지 M에 대한 서명은 개인 키를 사용하여 다음의 수학식 2와 같이 생성한다.

RSA 서명 생성시 계산 효율을 높이기 위해서 중국인의 나머지 정리를 사용한 RSA-CRT(RSA with Chinese Remainder Theorem) 기법을 사용하기도 한다. 여기서, 일반 RSA 서명이나 RSA-CRT 서명을 수행할 때, 멱승 연산이 필수적이며 가장 간단한 멱승 알고리듬으로서 이진(binary) 방법이 있다.

그러나 이진 멱승 알고리듬은 SPA 부채널 공격에 취약한 특성이 있어 Square and Multiply Always 멱승 알고리듬이 제안되기도 하였으나 이 알고리듬은 C-Safe 오류 공격에 취약하다고 알려져 있다. 따라서 SPA 부채널 공격이나 C-Safe 공격을 방어하기 위해 더미(dummy) 곱셈 연산이 없는 몽고메리(Montgomery Ladder) 멱승 알고리듬이나 원자성(Atomicity)에 기반한 멱승 알고리듬 그리고 BNP 멱승 알고리듬 등이 제안되었다.

도 1은 종래의 BNP 멱승 알고리듬을 나타낸 예시도이다.

도 1에 나타낸 바와 같이, 종래의 BNP 멱승 알고리듬은 단순 전력 분석 공격과 C-Safe 오류 주입 공격을 방어하기 위해 제안된 알고리듬이다. 그러나 BNP 멱승 알고리듬은 아미엘(Amiel)과 비예가스(Villegas)가 제안한 조합 공격에 취약함을 가진다. 조합 공격이라는 것은 공격자가 멱승 알고리듬이 수행되는 동안 오류를 주입하고 그 이후의 전력 소비량을 측정함으로써 사용되는 개인 비밀키 d를 찾아내는 공격이다. 도 1의 BNP 멱승 알고리듬에 있어서 전제 조건은 알고리듬 수행 전 S[0]나 S[1]은 0으로 초기화되었다고 가정하는 것이다.

Amiel과 Villegas가 제시한 조합 공격의 핵심은 알고리듬 수행 중 오류를 주입하여 도 1의 단계 1을 수행하지 않고 건너뛰게 하는 것이다. 이 상태에서 소비되는 전력 파형을 관측하여 단순 전력 분석(SPA) 방법으로 개인 키 d를 찾아내는 기법이다. 즉, S[0]는 처음부터 0으로 초기화되었을 것이고 단계 1을 수행하지 않으면 이 멱승에서 단계 8은 다음의 수학식 3과 같은 두 가지 연산만을 수행하게 된다.

그런데 이 두 연산은 소비되는 전력이 달라 단순한 소비전력 측정만으로도 서로 구별이 가능하다. 따라서 개인 키 d의 각 비트인 d_i가 0일 경우에는 수학식 3의 (1)만 수행하고 1일 경우에는 수학식 3의 (2)를 수행한다는 점을 이용하면 단순 전력 파형 관측만으로도 개인 키 d를 모두 구할 수 있다. 이 공격에서는 공격자가 단계 2를 건너띄어도 동일한 방법으로 비밀 키를 추출할 수 있다.

BNP 멱승 알고리듬에서는 단계 7에서 서명을 출력하기 전에 오류 주입 여부를 최종적으로 확인하는 과정을 추가적으로 사용하고 있다. 그러나 이러한 단계 7 확인 과정은 도 1의 단계 5와 6의 모든 연산이 끝나는 시점에 수행된다. 따라서 단계 7에서 오류가 검출된다 할지라도 단순 전력 신호는 이미 공격자에게 노출된 상태이므로 최종 오류 주입 여부를 확인하는 과정이 있다 할지라도 의미가 없게 된다.

이러한 조합 공격이 발생하는 근본적인 이유를 살펴보면 S[0] 레지스터가 0으로 세팅된 상태에서 단계 5와 6을 반복적으로 수행하면 최종적으로 S[0]는 0이 되고 S[1]과 A값은 정상적으로 연산이 된다. 따라서 반복 루프가 수행되는 과정에서 S[0]를 계산하는 연산에서 소비되는 전력 파형과 S[1]을 계산하는 연산에서 소비되는 전력 파형은 차이가 크게 발생하게 되므로 공격자는 측정된 전력 파형을 분석하면 비밀 키 비트를 알 수 있다.

이에 본 실시예에서는 최근에 Amiel과 Villegas에 의해 제시된 오류 주입과 전력분석을 조합한 공격에 대응할 수 있는 새로운 멱승 알고리듬을 제공한다. 도 2는 본 발명의 일실시예에 따른 조합 공격에 강인한 멱승 알고리듬을 나타낸 도면이다.

도 2를 참조하면, 본 실시예에 따른 멱승 방법의 알고리듬은 크게 다음의 4단계로 구분할 수 있다.

첫 번째 단계는 랜덤 수 생성 및 초기 값을 정하는 단계로서 도 2의 단계 1 내지 단계 3을 포함한다. 첫 번째 단계에서는 32비트 정보의 랜덤수 r을 발생시키고 검사용 값 c를

과 같이 계산하고 N^*은 N과 r을 곱하여 계산한다.

다음, 두 번째 단계는 계산용 중간값을 저장하는 메모리 초기화 단계이다. 두 번째 단계에서는 멱승 연산에 필요한 중간값을 저장하는 레지스터 값을 도 2의 단계 4 내지 단계 6과 같이 정한다.

다음, 세 번째 단계는 반복적인 모듈라 곱셈 연산 및 멱승 값 계산을 위한 단계이다. 세 번째 단계에서는 이진 멱승 방법에 따라 반복적인 모듈라 곱셈을 수행함으로써 메시지 서명 결과에 해당하는 멱승 값을 구한다. 즉, 도 2의 단계 7 내지 9의 반복문이 끝나면 S[1]값은

값이 되므로 단계 10에서 S[1] mod N 연산을 수행하여 서명의 최종 값

값을 구하게 된다. 여기서 중요한 점은 A값을 구할 때 BNP 알고리듬과 달리 자승 연산을 이용하여 구하는 것이 아니라 S[0]와 S[1] 값을 곱하여 구한다는 점이다. 이렇게 함으로써 최종적인 서명 값은 변함이 없지만 조합 공격에 방어되는 성질을 갖게 된다.

마지막으로, 네 번째 단계는 오류 검사 및 최종 값 출력 단계로서 도 2의 단계 11 내지 단계 14를 포함한다. 네 번째 단계에서는 최종적인 서명 S[1] 값을 출력하기 전에 계산 값들이 정확한지 검사하게 된다. 검사 식은 다음의 수학식 4의 두 식을 사용한다.

수학식 4의 두 검사식이 이상이 없으면 서명 값을 반환하고 그렇지 않으면 "Error" 메시지를 반환하게 된다.

알고리듬의 안전성과 효율성

본 실시예에 따른 멱승 알고리듬에서 보면 S[0]와 S[1]을 곱한 것은 항상 A가 됨을 알 수 있다. 그리고 반복문이 계속되는 동안 A의 값은

,

,

과 같이 연속해서 자승 연산을 하는 것과 같은 값을 가지게 된다. 또한, 반복문이 끝나고 단계 10이 시작하는 시점에서 각 레지스터 값은 다음의 수학식 5와 같다. 수학식 5에서,

는 d에 대한 1의 보수(1's complement) 값이다.

따라서, 아래의 수학식 6의 두 검사식이 성립하게 된다.

이제 본 실시예에 따른 멱승 알고리듬에 조합 공격을 적용해 보자. 먼저 오류 주입에 의해 S[0]가 0이 되었다고 가정하면 단계 8에서 d_i가 0일 때,

이 되며, 다시 단계 9에서 A=0가 된다. 따라서, d_i가 1일 때,

이 되어 모든 레지스터 값이 0이 된다. 그 후로는 단계 8과 단계 9의 모든 연산이 비정상적으로 0의 값만 출력하게 되므로 전력 소비량을 통해 비밀 키 비트 d_i가 0인지, 아니면 1인지 구별하기 어렵게 된다. 따라서 오류 주입과 단순 전력 분석을 결합한 조합 공격을 효과적으로 막을 수 있다.

한편, 단계 8과 단계 9에서는 비밀 키 비트와 독립적으로 두 번의 모듈라 곱셈을 정규적으로 수행하므로 SPA 공격을 방어할 수 있다. 또한 비밀 랜덤수 r에 의해 확장된 모듈러스 N^*를 이용하여 메시지 블라인딩 기능를 수행하게 되므로 DPA 공격을 방어할 수 있다. 이뿐만 아니라 S[0] 레지스터는 단계 11에서 오류 값을 검사하는 연산에 사용되고 있는데 이를 통해 C-safe 오류 주입 공격도 방어할 수 있다. 따라서 제안하는 멱승 알고리듬은 전력 분석 공격인 SPA, DPA 공격을 방어할 수 있으며 오류 주입 공격인 C-safe 공격은 물론 오류 주입에 의한 전력 분석을 수행하는 조합 공격도 방어할 수 있는 장점이 있다.

본 실시예에 따른 멱승 알고리듬은 이전의 BNP 알고리듬에 비해 몇 가지 추가적인 연산이 필요하다. 먼저 랜덤수 r을 생성한 후

을 계산하지만 r이 매우 작으므로 추가되는 계산량은 미미하다. 또한, 본 실시예에 따른 멱승 알고리듬 방식에서는 DPA 공격까지 방어하기 위해 모듈러스 N^*를 이용하고 있지만 BNP 알고리듬은 DPA 공격에 방어하기 위한 추가적인 연산 과정이 있어야 한다. 따라서 DPA 공격까지 고려하면 BNP 알고리듬과 거의 동일한 연산량을 가지게 된다. 이와 같이, 본 실시예에 따른 멱승 알고리듬은 실질적으로 부가적인 연산량의 추가 없이 조합공격을 비롯한 대부분의 부채널 공격을 방어할 수 있다.

전술한 바와 같이, 본 실시예에 의하면 BNP 멱승 알고리듬이 오류 주입 공격과 SPA 부채널 공격이 결합된 조합 공격에 취약함을 해결할 수 있으며 물리적 조합 공격에 강인하면서 지금까지의 부채널 공격을 방어할 수 있는 멱승 알고리듬을 제공한다. 즉, 본 실시예에 의하면 하나의 레지스터 값을 0으로 초기화하는 오류 주입 공격이 발생할 때 사용중인 모든 레지스터를 0으로 초기화시키면서 모듈라 자승 연산 없이 모듈라 곱셈 연산만으로도 RSA 서명 연산을 수행하여 조합 공격을 효과적으로 방어할 수 있는 멱승 알고리듬을 제공한다.

전술한 본 발명의 설명은 예시를 위한 것이며, 본 발명이 속하는 기술분야의 통상의 지식을 가진 자는 본 발명의 기술적 사상이나 필수적인 특징을 변경하지 않고서 다른 구체적인 형태로 쉽게 변형 가능하다는 것을 이해할 수 있을 것이다. 그러므로 이상에서 기술한 실시 예들은 모든 면에서 예시적인 것이며 한정적이 아닌 것으로 이해해야만 한다.

Claims (4)

1. 공개 키 암호 시스템을 위한 멱승 방법으로서,
   램덤 수 r을 생성하고 초기 값

   

   및

   

   을 정하는 제1단계;
   계산값 저장용 메모리와 멱승 연산에 필요한 중간 값 A를 저장하는 레지스터 값을 초기화하는 제2단계;
   상기 계산값 저장용 메모리의 제1레지스터 S[0] 값과 제2레지스터 S[1] 값을 곱하여 상기 중간 값 A를 구하고, 상기 램덤 수와 상기 초기 값을 이용한 모듈라 곱셈 연산을 통해 메시지 서명 결과에 해당하는 멱승 값을 계산하는 제3단계; 및
   상기 멱승 값을 계산하는 단계에서 최종 멱승 값을 출력하기 전에 계산 값들에 대한 오류 검사를 수행하고 상기 오류 검사의 이상이 없을 때 상기 메시지 서명 결과에 해당하는 서명 값을 반환하여 최종 값을 출력하는 제4단계;
   를 포함하는 멱승 방법.
2. 삭제
3. 청구항 1에 있어서,
   상기 제4단계는 최종적인 서명 S[1] 값을 출력하기 전에 계산 값들이 정확한지 수학식 6의 두 검사식을 사용하여 검사하는 멱승 방법:
   [수학식 6]
   

   

   .
4. 청구항 1에 있어서,
   상기 제1단계 내지 상기 제4단계는 하기의 알고리듬 1. 내지 14.를 수행하는 것인 멱승 방법:
   

   

   .

Images