KR20220055079A

KR20220055079A - NTRU LPRime 알고리즘에 대한 부채널 공격을 방지하기 위한 장치 및 방법

Info

Publication number: KR20220055079A
Application number: KR1020200139186A
Authority: KR
Inventors: 권지훈; 이주희; 윤효진; 조지훈; 한동국; 심보연; 김일주; 이태호; 한재승
Original assignee: 삼성에스디에스 주식회사; 국민대학교산학협력단
Priority date: 2020-10-26
Filing date: 2020-10-26
Publication date: 2022-05-03
Also published as: US20220129547A1; US11853419B2

Abstract

NTRU(Nth degree Truncated polynomial Ring Units) LPRime 알고리즘에 대한 부채널 공격을 방지하기 위한 장치 및 방법이 제공된다. 일 실시예에 따른 부채널 공격 방지 방법은, NTRU LPrime 알고리즘의 복호화 알고리즘을 통해 생성될 비밀 정보인 비트 열(bit string)의 각 비트 값에 대한 위치 인덱스 값을 포함하는 순서 테이블을 생성하는 단계; 임의의 수(random number)에 기초하여 상기 각 비트 값에 대한 위치 인덱스 값의 상기 순서 테이블 내 정렬 순서를 셔플링(shuffling)하는 단계; 상기 각 비트 값에 대한 위치 인덱스 값의 상기 순서 테이블 내 정렬 순서에 따라 상기 각 비트 값의 생성 순서를 결정하는 단계; 및 상기 복호화 알고리즘을 통해 상기 비밀 정보를 생성하되, 상기 결정된 생성 순서에 따라 상기 각 비트 값을 생성하여 상기 비밀 정보를 생성하는 단계를 포함한다.

Description

NTRU LPRime 알고리즘에 대한 부채널 공격을 방지하기 위한 장치 및 방법{APPARATUS AND METHOD FOR PREVENTING SIDE CHANNEL ATTACK FOR NTRU LPRime ALGORITHM}

개시되는 실시예들은 부채널 공격을 방지하기 위한 기술과 관련된다.

NIST(National Institute of Standards and Technology)에서는 2016년도부터 양자 내성 암호(PQC, Post Quantum Cryptography) 기술에 대한 표준화 공모 사업을 진행하고 있으며 2019년 1월 30일에 NTRU LPRime 알고리즘을 포함한 총 26개의 알고리즘이 2라운드 후보로 발표되었다.

2라운드 선정 기준에 부채널 분석에 대한 안전성이 포함되면서 부채널 분석 중에서 가장 잘 알려진 단순 전력 분석(SPA, simple power analysis)에 안전하도록 구현한 결과물이 NIST에 제출되었다. 그러나 단순 전력 분석에 안전하더라도 단 하나의 파형을 이용하여 비밀 정보를 도출하는 강력한 부채널 분석 기법인 단일 파형 공격(single trace attack)에는 여전히 취약점을 가지고 있으므로, 이에 대한 대응기법의 설계가 필요하다.

Daniel J. Bernstein, et al. "NTRU Prime: round 2 20190330"

개시되는 실시예들은 NTRU LPRime 알고리즘에 대한 부채널 공격을 방지하기 위한 장치 및 방법을 제공하기 위한 것이다.

일 실시예에 따른 부채널 공격 방지 방법은, NTRU (Nth degree Truncated polynomial Ring Units) LPrime 알고리즘의 복호화 알고리즘을 통해 생성될 비밀 정보인 비트 열(bit string)의 각 비트 값에 대한 위치 인덱스 값을 포함하는 순서 테이블을 생성하는 단계; 임의의 수(random number)에 기초하여 상기 각 비트 값에 대한 위치 인덱스 값의 상기 순서 테이블 내 정렬 순서를 셔플링(shuffling)하는 단계; 상기 각 비트 값에 대한 위치 인덱스 값의 상기 순서 테이블 내 정렬 순서에 따라 상기 각 비트 값의 생성 순서를 결정하는 단계; 및 상기 복호화 알고리즘을 통해 상기 비밀 정보를 생성하되, 상기 결정된 생성 순서에 따라 상기 각 비트 값을 생성하여 상기 비밀 정보를 생성하는 단계를 포함한다.

상기 셔플링하는 단계는, 상기 순서 테이블 내에 포함된 i(이때, i는 상기 정렬 순서로서 1≤i≤L-1인 정수, L은 상기 비트 열의 길이) 번째 위치 인덱스 값에 대한 임의의 수 R_i(이때, R_i는 0≤R_i인 정수)를 생성하는 단계; 상기 i 및 상기 임의의 수 R_i에 기초하여 상기 순서 테이블 내 j(이때, j는 0≤j≤i인 정수) 번째 위치 인덱스 값을 선택하는 단계; 및 상기 i 번째 위치 인덱스 값과 상기 j 번째 위치 인덱스 값의 상기 순서 테이블 내 정렬 순서를 교환(swap)하는 단계를 포함할 수 있다.

상기 순서 테이블을 생성하는 단계는, 상기 비트 열 내 대응되는 위치의 순서에 따라 상기 각 비트 값에 대한 위치 인덱스 값이 정렬된 순서 테이블을 생성할 수 있다.

상기 선택하는 단계는, 아래의 수학식 1

[수학식 1]

j=R_i mod (i+1)

에 기초하여 상기 j번째 위치 인덱스 값을 선택할 수 있다.

일 실시예에 따른 부채널 공격 방지 장치는, 하나 이상의 명령어를 저장하는 메모리; 및 상기 하나 이상의 명령어를 실행하는 하나 이상의 프로세서를 포함하고, 상기 하나 이상의 프로세서는, NTRU (Nth degree Truncated polynomial Ring Units) LPrime 알고리즘의 복호화 알고리즘을 통해 생성될 비밀 정보인 비트 열(bit string)의 각 비트 값에 대한 위치 인덱스 값을 포함하는 순서 테이블을 생성하는 단계; 임의의 수(random number)에 기초하여 상기 각 비트 값에 대한 위치 인덱스 값의 상기 순서 테이블 내 정렬 순서를 셔플링(shuffling)하는 단계; 상기 각 비트 값에 대한 위치 인덱스 값의 상기 순서 테이블 내 정렬 순서에 따라 상기 각 비트 값의 생성 순서를 결정하는 단계; 및 상기 복호화 알고리즘을 통해 상기 비밀 정보를 생성하되, 상기 결정된 생성 순서에 따라 상기 각 비트 값을 생성하여 상기 비밀 정보를 생성하는 단계를 수행할 수 있다.

상기 선택하는 단계는, 아래의 수학식 1

[수학식 1]

j=R_i mod (i+1)

에 기초하여 상기 j번째 위치 인덱스 값을 선택할 수 있다.

개시되는 실시예들에 따르면, NTRU LPRime 알고리즘의 복호화 과정을 통해 생성되는 비밀 정보를 획득하기 위한 단일 파형 공격의 공격 복잡도를 높임으로써, 단일 파형 공격에 의한 비밀 정보 획득을 방지할 수 있다.

도 1은 일 실시예에 따른 컴퓨팅 장치를 포함하는 컴퓨팅 환경을 예시하여 설명하기 위한 블록도
도 2는 일 실시예에 따른 부채널 공격 방어 방법의 순서도
도 3은 일 실시예에 따른 셔플링 과정을 나타낸 도면
도 4는 NTRU LPRime 알고리즘의 디캡슐화(decapsulation) 알고리즘의 유사 코드(pseudo code)를 나타낸 도면
도 5는 도 4에 도시된 복호화 알고리즘의 수행을 위해 구현된 소스 코드를 도시한 도면
도 6는 도 5에 포함된 마스크 알고리즘의 수행을 위해 구현된 소스 코드를 도시한 도면
도 7은 일 실시예에 따른 부채널 공격 방어 방법이 적용되도록 수정된 복호화 알고리즘의 소스 코드를 도시한 도면

이하, 도면을 참조하여 본 발명의 구체적인 실시형태를 설명하기로 한다. 이하의 상세한 설명은 본 명세서에서 기술된 방법, 장치 및/또는 시스템에 대한 포괄적인 이해를 돕기 위해 제공된다. 그러나 이는 예시에 불과하며 본 발명은 이에 제한되지 않는다.

본 발명의 실시예들을 설명함에 있어서, 본 발명과 관련된 공지기술에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략하기로 한다. 그리고, 후술되는 용어들은 본 발명에서의 기능을 고려하여 정의된 용어들로서 이는 사용자, 운용자의 의도 또는 관례 등에 따라 달라질 수 있다. 그러므로 그 정의는 본 명세서 전반에 걸친 내용을 토대로 내려져야 할 것이다. 상세한 설명에서 사용되는 용어는 단지 본 발명의 실시예들을 기술하기 위한 것이며, 결코 제한적이어서는 안 된다. 명확하게 달리 사용되지 않는 한, 단수 형태의 표현은 복수 형태의 의미를 포함한다. 본 설명에서, "포함" 또는 "구비"와 같은 표현은 어떤 특성들, 숫자들, 단계들, 동작들, 요소들, 이들의 일부 또는 조합을 가리키기 위한 것이며, 기술된 것 이외에 하나 또는 그 이상의 다른 특성, 숫자, 단계, 동작, 요소, 이들의 일부 또는 조합의 존재 또는 가능성을 배제하도록 해석되어서는 안 된다.

도 1은 일 실시예에 따른 컴퓨팅 장치를 포함하는 컴퓨팅 환경을 예시하여 설명하기 위한 블록도이다. 도시된 실시예에서, 각 컴포넌트들은 이하에 기술된 것 이외에 상이한 기능 및 능력을 가질 수 있고, 이하에 기술된 것 이외에도 추가적인 컴포넌트를 포함할 수 있다.

도시된 컴퓨팅 환경(110)은 컴퓨팅 장치(12)를 포함한다. 컴퓨팅 장치(12)는 일 실시예에 따른 부채널 공격 방지 방법을 수행하기 위한 장치에 포함된 하나 이상의 컴포넌트일 수 있다.

컴퓨팅 장치(12)는 적어도 하나의 프로세서(14), 컴퓨터 판독 가능 저장 매체(16) 및 통신 버스(18)를 포함한다. 프로세서(14)는 컴퓨팅 장치(12)로 하여금 앞서 언급된 예시적인 실시예에 따라 동작하도록 할 수 있다. 예컨대, 프로세서(14)는 컴퓨터 판독 가능 저장 매체(16)에 저장된 하나 이상의 프로그램들을 실행할 수 있다. 상기 하나 이상의 프로그램들은 하나 이상의 컴퓨터 실행 가능 명령어를 포함할 수 있으며, 상기 컴퓨터 실행 가능 명령어는 프로세서(14)에 의해 실행되는 경우 컴퓨팅 장치(12)로 하여금 예시적인 실시예에 따른 동작들을 수행하도록 구성될 수 있다.

컴퓨터 판독 가능 저장 매체(16)는 컴퓨터 실행 가능 명령어 내지 프로그램 코드, 프로그램 데이터 및/또는 다른 적합한 형태의 정보를 저장하도록 구성된다. 컴퓨터 판독 가능 저장 매체(16)에 저장된 프로그램(20)은 프로세서(14)에 의해 실행 가능한 명령어의 집합을 포함한다. 일 실시예에서, 컴퓨터 판독 가능 저장 매체(16)는 메모리(랜덤 액세스 메모리와 같은 휘발성 메모리, 비휘발성 메모리, 또는 이들의 적절한 조합), 하나 이상의 자기 디스크 저장 디바이스들, 광학 디스크 저장 디바이스들, 플래시 메모리 디바이스들, 그 밖에 컴퓨팅 장치(12)에 의해 액세스되고 원하는 정보를 저장할 수 있는 다른 형태의 저장 매체, 또는 이들의 적합한 조합일 수 있다.

통신 버스(18)는 프로세서(14), 컴퓨터 판독 가능 저장 매체(16)를 포함하여 컴퓨팅 장치(12)의 다른 다양한 컴포넌트들을 상호 연결한다.

컴퓨팅 장치(12)는 또한 하나 이상의 입출력 장치(24)를 위한 인터페이스를 제공하는 하나 이상의 입출력 인터페이스(22) 및 하나 이상의 네트워크 통신 인터페이스(26)를 포함할 수 있다. 입출력 인터페이스(22) 및 네트워크 통신 인터페이스(26)는 통신 버스(18)에 연결된다. 입출력 장치(24)는 입출력 인터페이스(22)를 통해 컴퓨팅 장치(12)의 다른 컴포넌트들에 연결될 수 있다. 예시적인 입출력 장치(24)는 포인팅 장치(마우스 또는 트랙패드 등), 키보드, 터치 입력 장치(터치패드 또는 터치스크린 등), 음성 또는 소리 입력 장치, 다양한 종류의 센서 장치 및/또는 촬영 장치와 같은 입력 장치, 및/또는 디스플레이 장치, 프린터, 스피커 및/또는 네트워크 카드와 같은 출력 장치를 포함할 수 있다. 예시적인 입출력 장치(24)는 컴퓨팅 장치(12)를 구성하는 일 컴포넌트로서 컴퓨팅 장치(12)의 내부에 포함될 수도 있고, 컴퓨팅 장치(12)와는 구별되는 별개의 장치로 컴퓨팅 장치(12)와 연결될 수도 있다.

도 2는 일 실시예에 따른 부채널 공격 방어 방법의 순서도이다.

도 2에 도시된 방법은 예를 들어, 도 1에 도시된 컴퓨팅 장치(12)에 의해 수행될 수 있다.

도 2를 참조하면, 우선 컴퓨팅 장치(12)는 NTRU (Nth degree Truncated polynomial Ring Units) LPrime 알고리즘의 복호화 알고리즘(이하, 복호화 알고리즘)을 통해 생성될 비밀 정보인 비트 열(bit string)의 각 비트 값에 대한 위치 인덱스 값을 포함하는 순서 테이블을 생성한다(210).

일 실시예에 따르면, 복호화 알고리즘을 통해 생성될 비밀 정보가 L(이때, L은 1보다 큰 정수) 비트의 비트 열인 경우, 비트 열의 구성하는 L개의 비트 값 각각의 위치 인덱스 값은 각 비트 값의 비트 열 내 위치를 나타내는 정보를 의미할 수 있다.

예를 들어, 비밀 정보가 4 비트의 비트 열 r=(r₀,r₁,r₃,r₄)∈{0,1}인 것으로 가정하면, 비트 열 r의 첫 번째 비트 값인 'r₀'의 위치 인덱스 값은 '0', 두 번째 비트 값인 'r₁'의 위치 인덱스 값은 '1', 세 번째 비트 값인 'r₂'의 위치 인덱스 값은 '2', 네 번째 비트 값인 'r₃'의 위치 인덱스 값은 '3'일 수 있다. 그러나, 위치 인덱스 값은 반드시 상술한 예에 한정되는 것은 아니며, 상술한 예 외에도 비트 열 내 특정 위치를 식별하기 위해 이용될 수 있는 다양한 값이 위치 인덱스 값으로 이용될 수 있다.

한편, 일 실시예에 따르면, 순서 테이블에 포함된 각 위치 인덱스 값은 비트 열 내 대응되는 위치의 순서대로 정렬될 수 있다. 구체적으로, 상술한 예와 같이 비밀 정보가 비트 열 r=(r₀,r₁,r₃,r₄)인 것으로 가정하면, 컴퓨팅 장치(12)는 예를 들어, 아래의 표 1과 같은 순서 테이블을 생성할 수 있다.

Order	0	1	2	3	4
Index	0	1	2	3	4

구체적으로, 표 1에 도시된 순서 테이블에서 'Index' 행에 기재된 값은 비트 열 r에 포함된 각 비트 값의 위치 인덱스 값을 나타내며, "Order' 행에 기재된 값은 각 위치 인덱스 값의 순서 테이블 내 정렬 순서를 나타내는 순서 인덱스 값을 나타낸다.

이후, 컴퓨팅 장치(12)는 임의의 수(random number)에 기초하여 순서 테이블에 포함된 각 위치 인덱스 값의 순서 테이블 내 정렬 순서를 셔플링(shuffling)한다(220).

이후, 컴퓨팅 장치(12)는 셔플링을 통해 결정된 순서 테이블 내 각 위치 인덱스 값의 정렬 순서에 따라 복호화 알고리즘을 통해 생성될 비밀 정보의 각 비트 값에 대한 생성 순서를 결정한다(230).

이후, 컴퓨팅 장치(12)는 복호화 알고리즘을 이용하여 비밀 정보를 생성하되, 230 단계에서 결정된 생성 순서에 따라 비밀 정보의 각 비트 값을 생성한다(240).

예를 들어, 셔플링을 통해 상술한 표 1의 순서 테이블에 포함된 위치 인덱스 값이 아래의 표 2에 도시된 순서 테이블과 같이 셔플링된 경우, 컴퓨팅 장치(12)는 r₄, r₁, r₃, r₂,r₀의 순서대로 비밀 정보의 비트 값을 생성할 수 있다.

Order	0	1	2	3	4
Index	4	1	3	2	0

도 3은 일 실시예에 따른 셔플링 과정을 나타낸 도면이다.

도 3에 도시된 셔플링 과정은 예를 들어, 도 2에 도시된 220 단계에서 수행될 수 있다.

우선, 컴퓨팅 장치(12)는 순서 테이블에 포함된 각 위치 인덱스 값의 정렬 순서를 나타내는 순서 인덱스 값 i를 i=L-1로 초기화한다(310).

이후, 컴퓨팅 장치(12)는 임의의 수 R_i(이때, R_i는 0≤R_i인 정수)를 생성한다(320).

이후, 컴퓨팅 장치(12)는 순서 인덱스 값 i 및 임의의 수 R_i에 기초하여 순서 테이블 내 순서 인덱스 값이 j(이때, j는 0≤j≤i인 정수)인 위치 인덱스 값을 선택한다(330).

이때, 일 실시예에 따르면, 컴퓨팅 장치(12)는 아래의 수학식 1을 이용하여 순서 인덱스 값 j를 결정할 수 있다.

[수학식 1]

j=R_i mod (i +1)

이후, 컴퓨팅 장치(12)는 i 번째 위치 인덱스 값과 j 번째 위치 인덱스 값의 순서 테이블 내 정렬 순서를 교환(swap)한다(340).

예를 들어, 순서 테이블이 표 1과 동일하고, i=4, j=1인 것으로 가정하면 컴퓨팅 장치(12)는 순서 테이블 내 4번째 위치 인덱스 값인 '4'와 1번째 위치 인덱스 값인 '1'의 정렬 순서를 변경할 수 있으며, 이에 따라 표 1에 도시된 순서 테이블은 아래의 표 3과 같이 변경될 수 있다.

Order	0	1	2	3	4
Index	0	4	2	3	1

이후, 컴퓨팅 장치(12)는 순서 인덱스 값 i를 1만큼 감소시킨 후(350), i=0인지 여부를 판단한다(360).

이때, i>0인 경우, 컴퓨팅 장치(12)는 i=0을 만족할 때까지 310 내지 360 단계를 반복 수행하고, i=0인 경우, 셔플링을 종료한다.

도 4는 NTRU LPRime 알고리즘의 디캡슐화(decapsulation) 알고리즘의 유사 코드(pseudo code)를 나타낸 도면이다.

도 4에 도시된 유사 코드를 참조하면, 유사 코드의 5번째 줄과 6번째 줄에 기재된 과정은 복호화 알고리즘이 수행되는 과정이며, Right 함수는 양의 정수(positive integer) τ에 의해

(이때, q는 소수(prime number))로 사전 정의된 함수를 나타낸다.

한편, 도 5는 도 4에 도시된 복호화 알고리즘의 수행을 위해 구현된 소스 코드를 도시한 도면, 도 6은 도 5에 포함된 마스크 알고리즘의 수행을 위해 구현된 소스 코드를 도시한 도면이다.

도 5 및 도 6을 참조하면, r=(r₀,r₁,…,r_L-1)∈{0,1}에 포함된 각 비트 r_i(=r[i])를 마스크 알고리즘 'int16_negative_mask'의 입력으로 이용하여 생성된 출력 값을 -u라 할 때 L 비트의 비밀 정보 r'= r=(r'₀,r'₁,…,r'_L-1)∈{0,1}에 포함되는 각 비트 값은 r'_i=-(-u)이다.

한편, 도 5 및 도 6에 도시된 예에서, 단일 파형 공격에 의한 공격 위치가 마스크 알고리즘을 이용하여 비밀 정보 r'의 각 비트 값 r'_i를 반환하는 위치이고, 전력 소비 모델이 해밍 웨이트(HW, Hamming weight) 정보에 의존한다고 가정하면, 중간 값이 x일 때 소비하는 전력량은 P=ε·HW(x)+P_noise(이때, ε는 상수, P_noise는 노이즈)이다. 즉, 중간 값의 HW값과 소비전력은 선형성을 갖는다.

즉, int16_negative_mask(r[i])=0xffff이면 r'_i=1이고, int16_negative_mask(r[i])=0x0000이면 r'_i=0이다. 따라서, r'_i=1일 때 중간값 0xffff의 HW값인 16에 비례한 전력 소비가 발생하고, r'_i=0일 때 중간값 0x0000의 HW값인 0에 비례하는 전력 소비가 발생하므로, 단일 파형 공격에 의해 비밀 정보 r'가 노출될 수 있다.

한편, 도 7은 일 실시예에 따른 부채널 공격 방어 방법이 적용되도록 수정된 복호화 알고리즘의 소스 코드를 도시한 도면이다.

구체적으로, 도 7에 도시된 소스 코드는 순서 테이블의 생성 및 셔플링 과정(710)이 수행되도록 도 5에 도시된 소스 코드를 수정한 소스 코드이다.

도 7에 도시된 소스 코드에 따르면, 순서 테이블의 생성 및 셔플링 과정(710)을 통해 생성된 순서 테이블에서 각 위치 인덱스 값의 정렬 순서에 따라 각 위치 인덱스 값에 대응되는 비밀 정보 r'의 비트 값이 생성되도록 int_negative_mask 연산 과정(720)이 수행된다.

즉, 도 7에 도시된 소스 코드에 따르면, int_negative_mask 연산 과정(620)에서 비밀 정보 r'의 각 비트 값은 서로 독립으로 생성되므로 단일 파형 공격을 통해 현재 생성된 비트 값이 0인지 1인지 여부를 알 수 있으나, 현재 생성된 비트 값이 r'의 비트 열 내 어떤 위치의 비트 값인지 알 수 없다. 따라서, 현재 생성된 비트 값이 r'의 비트 열 내 어떤 위치의 비트 값인지를 파악하려면 r'의 비트 열 내 각 비트 값의 생성 순서를 파악하기 위한 공격이 추가로 필요하므로 공격 복잡도가 높아지게 된다.

이상에서 대표적인 실시예를 통하여 본 발명에 대하여 상세하게 설명하였으나, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자는 전술한 실시예에 대하여 본 발명의 범주에서 벗어나지 않는 한도 내에서 다양한 변형이 가능함을 이해할 것이다. 그러므로 본 발명의 권리범위는 설명된 실시예에 국한되어 정해져서는 안 되며, 후술하는 특허청구범위뿐만 아니라 이 특허청구범위와 균등한 것들에 의해 정해져야 한다.

10: 컴퓨팅 환경
12: 컴퓨팅 장치
14: 프로세서
16: 컴퓨터 판독 가능 저장 매체
18: 통신 버스
20: 프로그램
22: 입출력 인터페이스
24: 입출력 장치
26: 네트워크 통신 인터페이스

Claims

NTRU (Nth degree Truncated polynomial Ring Units) LPrime 알고리즘의 복호화 알고리즘을 통해 생성될 비밀 정보인 비트 열(bit string)의 각 비트 값에 대한 위치 인덱스 값을 포함하는 순서 테이블을 생성하는 단계;
임의의 수(random number)에 기초하여 상기 각 비트 값에 대한 위치 인덱스 값의 상기 순서 테이블 내 정렬 순서를 셔플링(shuffling)하는 단계;
상기 각 비트 값에 대한 위치 인덱스 값의 상기 순서 테이블 내 정렬 순서에 따라 상기 각 비트 값의 생성 순서를 결정하는 단계; 및
상기 복호화 알고리즘을 통해 상기 비밀 정보를 생성하되, 상기 결정된 생성 순서에 따라 상기 각 비트 값을 생성하여 상기 비밀 정보를 생성하는 단계를 포함하는 부채널 공격 방지 방법.
청구항 1에 있어서,
상기 셔플링하는 단계는, 상기 순서 테이블 내에 포함된 i(이때, i는 상기 정렬 순서로서 1≤i≤L-1인 정수, L은 상기 비트 열의 길이) 번째 위치 인덱스 값에 대한 임의의 수 R_i(이때, R_i는 0≤R_i인 정수)를 생성하는 단계;
상기 i 및 상기 임의의 수 R_i에 기초하여 상기 순서 테이블 내 j(이때, j는 0≤j≤i인 정수) 번째 위치 인덱스 값을 선택하는 단계; 및
상기 i 번째 위치 인덱스 값과 상기 j 번째 위치 인덱스 값의 상기 순서 테이블 내 정렬 순서를 교환(swap)하는 단계를 포함하는 부채널 공격 방지 방법.
청구항 2에 있어서,
상기 순서 테이블을 생성하는 단계는, 상기 비트 열 내 대응되는 위치의 순서에 따라 상기 각 비트 값에 대한 위치 인덱스 값이 정렬된 순서 테이블을 생성하는 부채널 공격 방지 방법.
청구항 2에 있어서,
상기 선택하는 단계는, 아래의 수학식 1
[수학식 1]
j=R_i mod (i+1)
에 기초하여 상기 j번째 위치 인덱스 값을 선택하는 부채널 공격 방지 방법.
하나 이상의 명령어를 저장하는 메모리; 및
상기 하나 이상의 명령어를 실행하는 하나 이상의 프로세서를 포함하고,
상기 하나 이상의 프로세서는,
NTRU (Nth degree Truncated polynomial Ring Units) LPrime 알고리즘의 복호화 알고리즘을 통해 생성될 비밀 정보인 비트 열(bit string)의 각 비트 값에 대한 위치 인덱스 값을 포함하는 순서 테이블을 생성하는 단계;
임의의 수(random number)에 기초하여 상기 각 비트 값에 대한 위치 인덱스 값의 상기 순서 테이블 내 정렬 순서를 셔플링(shuffling)하는 단계;
상기 각 비트 값에 대한 위치 인덱스 값의 상기 순서 테이블 내 정렬 순서에 따라 상기 각 비트 값의 생성 순서를 결정하는 단계; 및
상기 복호화 알고리즘을 통해 상기 비밀 정보를 생성하되, 상기 결정된 생성 순서에 따라 상기 각 비트 값을 생성하여 상기 비밀 정보를 생성하는 단계를 수행하는 부채널 공격 방지 장치.
청구항 5에 있어서,
상기 셔플링하는 단계는, 상기 순서 테이블 내에 포함된 i(이때, i는 상기 정렬 순서로서 1≤i≤L-1인 정수, L은 상기 비트 열의 길이) 번째 위치 인덱스 값에 대한 임의의 수 R_i(이때, R_i는 0≤R_i인 정수)를 생성하는 단계;
상기 i 및 상기 임의의 수 R_i에 기초하여 상기 순서 테이블 내 j(이때, j는 0≤j≤i인 정수) 번째 위치 인덱스 값을 선택하는 단계; 및
상기 i 번째 위치 인덱스 값과 상기 j 번째 위치 인덱스 값의 상기 순서 테이블 내 정렬 순서를 교환(swap)하는 단계를 포함하는 부채널 공격 방지 장치.
청구항 6에 있어서,
상기 순서 테이블을 생성하는 단계는, 상기 비트 열 내 대응되는 위치의 순서에 따라 상기 각 비트 값에 대한 위치 인덱스 값이 정렬된 순서 테이블을 생성하는 부채널 공격 방지 장치.
청구항 6에 있어서,
상기 선택하는 단계는, 아래의 수학식 1
[수학식 1]
j=R_i mod (i+1)
에 기초하여 상기 j번째 위치 인덱스 값을 선택하는 부채널 공격 방지 장치.