WO2003034268A2 - Verfahren und vorrichtung zum absichern einer exponentiations-berechnung mittels dem chinesischen restsatz (crt) - Google Patents

Verfahren und vorrichtung zum absichern einer exponentiations-berechnung mittels dem chinesischen restsatz (crt) Download PDF

Info

Publication number
WO2003034268A2
WO2003034268A2 PCT/EP2002/011530 EP0211530W WO03034268A2 WO 2003034268 A2 WO2003034268 A2 WO 2003034268A2 EP 0211530 W EP0211530 W EP 0211530W WO 03034268 A2 WO03034268 A2 WO 03034268A2
Authority
WO
WIPO (PCT)
Prior art keywords
result
algorithm
prime number
auxiliary
calculation
Prior art date
Application number
PCT/EP2002/011530
Other languages
English (en)
French (fr)
Other versions
WO2003034268A3 (de
Inventor
Wieland Fischer
Jean-Pierre Seifert
Original Assignee
Infineon Technologies Ag
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from DE10162584A external-priority patent/DE10162584A1/de
Application filed by Infineon Technologies Ag filed Critical Infineon Technologies Ag
Priority to EP02785220A priority Critical patent/EP1454260B1/de
Priority to DE50203303T priority patent/DE50203303D1/de
Publication of WO2003034268A2 publication Critical patent/WO2003034268A2/de
Priority to US10/825,625 priority patent/US7496758B2/en
Publication of WO2003034268A3 publication Critical patent/WO2003034268A3/de

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G06F17/10—Complex mathematical operations
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
    • G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
    • G06F7/723—Modular exponentiation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2207/00—Indexing scheme relating to methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F2207/72—Indexing scheme relating to groups G06F7/72 - G06F7/729
    • G06F2207/7219—Countermeasures against side channel or fault attacks
    • G06F2207/7271—Fault verification, e.g. comparing two values which should be the same, unless a computational fault occurred

Definitions

  • the present invention relates to cryptography and in particular to methods and devices for securing an exponentiation calculation using a Chinese residual theorem (CRT) against error attacks.
  • CRT Chinese residual theorem
  • Modular exponentiation is one of the core calculations for various cryptographic algorithms.
  • An example of a widely used cryptographic algorithm is the RSA cryptosystem, which is described, for example, in "Handbook of Applied Cryptography", Menezes, van Oorschot, Vanstone, CRC Press,
  • party B encrypts a message m for another party A.
  • Party A is to decrypt the encrypted message received from B.
  • Party B first receives the public key from party A.
  • Party B then represents the message to be encrypted as an integer m.
  • Party B then encrypts message m as follows:
  • m represents the plain text message.
  • E is the public key, n is the module and is also public, c represents the encrypted message.
  • Party B now sends encrypted message c to party A.
  • d party A's private key to protect against attacks.
  • An RSA signature algorithm is also known in the art. The procedure is as follows. Each entity A first creates two large prime numbers p and q and then calculates the module n from the product of p and q. From this, as is also described in the above-mentioned textbook in chapter 11.3, a key is generated so that each party has a public key consisting of n, i.e. the module, and e, while each party also has a private key d Has.
  • Entity A signs a message m for RSA signature generation and verification. Each entity B should then verify A's signature and retrieve the message m from the signature.
  • s is the signature of A for the message m.
  • party B To verify party A's signature and retrieve message m, party B must do the following:
  • party B must get A's public key (s, e). Then party B does the following calculation:
  • Party B will then verify whether m 'is the element from a room M. If this is not the case, the signature is rejected. If so, the
  • the secret key d is used for RSA encryption in equation (2) and for RSA signature generation in equation (3).
  • the modular exponentiation is a relatively complex calculation.
  • CTR Chinese remainder theorem
  • CRT Chinese Remainder Theorem
  • Garner's algorithm is particularly preferred, which is also described in section 14.5.2 of the specialist book described above.
  • the classic algorithm for the CRT typically requires a modular reduction with the module M, while this is not the case with the Garner algorithm.
  • the "large” modular exponentiation is divided into two "small” modular exponents, the results of which are then combined according to the Chinese remainder. Although two exposures are required here, it is still cheaper to calculate two "small” modular exponents than one "large” modular exponents.
  • FIG. 3 illustrates the RSA-CRT method using the Garner algorithm.
  • the input parameters are set out in block 100, all of which only depend on p and q and on the key d, but not on the message m to be signed, for example.
  • the output of the algorithm is represented in a block 102, as has been represented by means of equation (2) or equation (3).
  • a first modular auxiliary exponentiation (sp) is then calculated in a block 104 from the input variables shown in block 100.
  • a second modular auxiliary exponentiation (sq) is then calculated in a block 106.
  • the RSA-CRT method shown in FIG. 3 is about four times faster than the direct calculation of the output shown in block 102, for example using the square-and-multiply algorithm.
  • the RSA-CRT algorithm shown in FIG. 3 is preferable to the square-and-multiply algorithm in any case.
  • a disadvantage of the RSA-CRT algorithm is the fact that it is very susceptible to cryptographic "attacks" in that the secret key d can be determined if an incorrect calculation of the RSA-CRT algorithm is evaluated accordingly. This fact is in "On the Importance of Eliminating Errors in Cryptographic Computations", Boneh, DeMillo, Lipton, J. Cryptology (2001) 14, pp. 101 to 119. It is stated that the secret signature key, which is implemented in an implementation of the RSA method based on the Chinese residual sentence (CRT), can be determined from a single faulty RSA signature.
  • a faulty RSA signature can be obtained by causing the software or hardware that executes the algorithm to fail, for example by suspending zen of the crypto processor against a mechanical or thermal load.
  • the disadvantage is that the public key e is used in conventional protocols, such as B. the ZKA-lib, is not available.
  • the ZKA-lib is a collection of specifications from the central credit committee that regulate which data is available. Only the input data given in block 100 of FIG. 3 are available for the RSA-CRT method.
  • the public key e is not part of the in the
  • a disadvantage of this method is that only the auxiliary parameter r and the intermediate results sp 'and sq' are used for the check, the check not leading to the suppression of an output value if a cryptographic attack has occurred, which may did not affect the intermediate results sp ', sq' or the parameter r, but then, for example in the steps given in equation (9) and the final composition of the algorithm, leads to a hardware error that can be used to find the secret To illegally spy on key d.
  • Boneh et al. a For example, as a countermeasure to safeguard the Fiat Shamir scheme, it has been proposed to ward off register errors that occur while the processor is waiting for an outside response by using error detection bits to protect a processor's internal memory. Other measures to protect RSA signatures are to introduce randomness in the signature process. The randomness ensures that the signer never signs the same message twice. Furthermore, if the verifier has an incorrect signature, it does not know the complete plain text that has been signed.
  • the object of the present invention is to provide an improved concept for securing an exponentiation calculation using a Chinese residual theorem (CRT) against error attacks.
  • CRT Chinese residual theorem
  • the present invention is based on the knowledge that there is a security leak if the combination of two auxiliary variables, which are modular exponentiations with a “small” module, using a Chinese residual sentence, in order to increase the result of a modular exponentiation with a “large” module received, not checked. If only the calculation of the auxiliary variables is checked, but then, in the assembly step, no further checks are carried out an error attack, which only leads to a malfunction of the arithmetic unit in the cryptography processor after the auxiliary variables have been calculated, can lead to incorrect output.
  • RSA calculations using the Chinese residual theorem are desirable for reasons of efficiency, since they enable a computing time gain of a factor of 4.
  • RSA calculations with CRT are particularly vulnerable to security leaks.
  • the checking of the assembly step should not be particularly complex, in order not to save the computing time by using the CRT by the new one
  • the result of the exponentiation calculation is checked by means of a test algorithm which differs from the combining algorithm and which is based on a first prime number or accesses a second prime number. If the check shows that the check algorithm delivers a result other than a predetermined result, the output of the result of the exponentiation calculation is suppressed. Otherwise it can be assumed that no hardware attack has taken place, so that the result of the exponentiation calculation can be output.
  • a further advantage of the present invention is that no re-computation has to take place for the check, but that the exponentiation calculation can be checked with simple means using the first or the second prime number.
  • Another advantage of the present invention is that now not somewhere in the middle of the RSA CRT Algorithm, but a security check is carried out immediately before the result relevant to an attacker is output.
  • a further advantage of the present invention is that the checking of the assembly step according to the present invention readily involves further checking measures, for example to check the results of the auxiliary exponentiations or to ward off hardware attacks by checking the input data after the cryptographic Computation can be combined in order to obtain an all-round secured RSA-CRT algorithm, in which the additional effort to protect the algorithm against hardware attacks is small compared to the gain by using the RSA-CRT method.
  • FIG. 1 shows a block diagram of the concept according to the invention
  • FIG. 2 shows a preferred exemplary embodiment of a secure RSA-CRT method, in which, in addition to checking the assembly step, a change in input data and a check of intermediate results are also carried out;
  • Fig. 3 is a block diagram of the RSA-CRT method using the Garner algorithm.
  • FIG. 1 shows a block diagram of the concept according to the invention for securing an exponentiation calculation using a Chinese residual theorem.
  • two prime numbers p, q are provided, the product of which is equal to the module n (block 10).
  • a first auxiliary quantity sp is calculated using the Chinese residual theorem (block 12).
  • a second auxiliary variable sq is also calculated using the CRT.
  • the first and second auxiliary variables sp, sq are now combined (block 16) in order to obtain an exponentiation with "large” module n from the two auxiliary exponentiations sp and sq, each with a "small” module p or q.
  • the best gain is achieved when the two prime numbers p, q have approximately the same length, ie are each half the size of the "large” module n.
  • the combination of the first and the second auxiliary variable is now checked in a block 18 by means of a checking algorithm which differs from the combining algorithm which is carried out in block 16 and which shows the result s of the combination and the first prime number and / or uses the second prime number, as symbolically represented by prime number input lines 20a, 20b. If the check in block 18 shows that the in
  • test algorithm used in block 18 delivers a result other than a predetermined result
  • a jump is made to a block 22, which suppresses an output of the result of the combining step 16.
  • the checking algorithm in block 18 shows that the predetermined result is obtained, then a jump can be made to block 24 in order to cause the result of the combining step 16 to be output.
  • This output can be, for example, a digital signature or a decrypted plain text.
  • the verification algorithm is as follows:
  • This checking algorithm can be applied directly to the joining step in block 108 of FIG. 3.
  • the procedure is as follows. First of all, the intermediate result s, which block 108 supplies and which is present, for example, in an output register of the crypto processor, is used. In addition, access is made to an input data storage location at which the first prime number p is stored. Then s mod p is calculated and the result obtained is buffered. An intermediate result storage location is then accessed at which the result of block 104, as sp, is stored. The result of the calculation s mod p is compared with the stored sp. If it turns out that the equality condition is fulfilled, the first part of the checking algorithm did not lead to an error.
  • the analogous procedure can be carried out with the second prime number q in order to calculate s mod q and then to compare this result with sq. If the equality condition also arises here, it can be assumed that the merging step has taken place correctly, and that also at the input data storage location where p and q are stored and at the intermediate result storage location where sp and sq are stored , no change has occurred that would indicate a hardware attack. If, on the other hand, at least part of the checking algorithm yields an error, the output is suppressed because changes have occurred during the assembly itself and / or at the storage locations for sp, sq, p, q.
  • a preferred exemplary embodiment of the present invention is shown below with reference to FIG. 2, in which the assembly step is identified as block 64, while the first part of the check algorithm is shown in block 66a and the second part of the check algorithm is shown in block 66b.
  • the entire RSA-CRT method shown in FIG. 2 also uses an error check on the basis of the input data and also on the basis of the first and the second auxiliary variable in order to further check the correct calculation of these variables for further protection against error attacks.
  • a check of the input data before the output of output data of a cryptographic algorithm is used at several locations within the algorithm for the safe execution of the RSA-CRT method.
  • the calculation of the cryptographic algorithm is also carried out in the exemplary embodiment shown in FIG. 2 itself, in particular the calculation of the two auxiliary exponentiations.
  • the parameters p, q, dp, dq, qinv are provided, which are the usual input parameters for the RSA-CRT method.
  • the message m to be encrypted as well as a number t and a random number rand are provided as input data.
  • input data are processed in blocks 52a, 52b.
  • the multiplication of the original parameter p or q by the prime number t is used as the processing algorithm.
  • the addition of dp with the product of the random number rand and the number (p-1) or correspondingly for q is used as the processing instruction.
  • the security information p ', dp', q 'and dq' obtained by the processing is stored in a security information storage location.
  • This storage location could, for example, be the working memory of a crypto processor or an inner register which is assigned to the arithmetic unit of the crypto processor.
  • both the first auxiliary exponentiation (sp ') and the second auxiliary exponentiation (sq') are carried out as a calculation within the cryptographic algorithm, as shown in FIG. 2.
  • the output data of the calculations are not either immediately output or passed on for a further calculation, but according to the invention it is first checked in blocks 56a, 56b by means of a control algorithm whether the input - Data for the calculation in blocks 54a, 54b have been changed during the calculation by blocks 54a, 54b.
  • a modular reduction is used as the control algorithm, wherein either 0 is expected as the predetermined result, as shown in the first lines of the two blocks 56a, 56b, or either dp or dq is expected as the predetermined result.
  • the predetermined result is obtained if the size p ', which is the security information in the terminology of the present invention, has not been changed, for example, by an error attack. The same applies to the further security information dp '.
  • blocks 56a, 56b If the checks in blocks 56a, 56b are successful, ie predetermined results are obtained by the control algorithm, the process continues to blocks 58a, 58b.
  • the blocks 58a, 58b show preferred precalculations in order to carry out a result data verification concept in addition to the input data verification concept.
  • a result control algorithm (block 60 in FIG. 2) is then used to check whether the calculation of the auxiliary exponentiations in blocks 54a, 54b has taken place correctly.
  • this result is not used immediately, but a check is carried out after the assembly by block 64 to determine whether the assembly was successful.
  • a similar procedure is carried out in a block 66b in order to check the correctness of the result s on the basis of a modular reduction with the prime number q as a module.
  • the buffer location at which the result of block 64 was stored is first accessed to carry out the calculation given in block 66a.
  • the memory location is accessed at which the input data p is stored.
  • the memory location is accessed in which the result of block 62a, that is to say sp, is stored.
  • the same procedure is followed in block 66b for s, q and sq.
  • the example in block 66a shows that this result control algorithm is advantageous in that it uses the result of block 64 directly for checking, but that it also accesses the input data storage area in order to obtain the prime number p or the Contents of the memory location where p should be, and that an intermediate result is also used, namely sp, which was obtained in step 62a.
  • a calculation is thus used to check whether input data have changed and also to check whether composition step 64 of the RSA-CRT method has been carried out correctly by the crypto-arithmetic unit.
  • an interim result sp is also used, so that interim result registers are also included in a single simple calculation.
  • both the processing algorithm to generate the security information and the control algorithm for checking the input data are simple algorithms that are already present in a crypto-calculator, such as. B. a multiplication algorithm or an algorithm for performing a modular reduction.
  • a crypto-calculator such as. B. a multiplication algorithm or an algorithm for performing a modular reduction.
  • the processing algorithms can be designed very simply, and do not require any additional parameters than the parameters that are present anyway.
  • additional parameters such as, for. B. the public key e, first of all to be laboriously calculated and then used for a “counter calculation”, but rather to link as many input data, intermediate result data, etc. as possible, since this enables possible errors in the working memory, in the inner registers, by means of a single checking step or can be detected in the arithmetic unit itself in order to suppress data output in the event of an error, so that no secret information can be determined from an incorrect output.

Abstract

Bei einem Verfahren zum Absichern einer Exponentiations-Berechnung mittels chinesischem Restsatz wird insbesondere der Zusammenfügungsschritt (16), bei dem vorzugsweise der Zusammenfügungsalgorithmus nach Garner verwendet wird, auf seine Korrektheit hin vor der Ausgabe (24) des Ergebnisses des Zusammenfügungs-Schritts überprüft (18). Damit wird unmittelbar vor der Ausgabe des Ergebnisses der Exponentiations-Berechnung der Zusammenfügungs-Algorithmus überprüft, um die Ausgaben eines falschen Ergebnisses beispielsweise aufgrund einer Hardware-Fehlerattacke zu unterbinden, um die Fehlerattacke abzuwehren.

Description

Beschreibung
Verfahren und Vorrichtung zum Absichern einer Exponentiations-Berechnung mittels dem chinesischen Restsatz (CRT)
Die vorliegende Erfindung bezieht sich auf die Kryptographie und insbesondere auf Verfahren und Vorrichtungen zum Absichern einer Exponentiations-Berechnung mittels chinesischem Restsatz (CRT) gegen Fehlerattacken.
Die modulare Exponentiation ist eine der Kernberechnungen für verschiedene kryptographische Algorithmen. Ein Beispiel für einen weit verbreiteten kryptographischen Algorithmus ist das RSA-Kryptosystem, das beispielsweise in „Handbook of Applied Cryptography", Menezes, van Oorschot, Vanstone, CRC Press,
1996, Kapitel 8.2, beschrieben ist. Das RSA-Kryptosystem arbeitet folgendermaßen. Bei der Verschlüsselung verschlüsselt eine Partei B eine Nachricht m für eine andere Partei A. Die Partei A soll die von B erhaltene verschlüsselte Nachricht entschlüsseln. Die Partei B erhält zunächst den öffentlichen Schlüssel von der Partei A. Die Partei B stellt dann die zu verschlüsselnde Nachricht als Ganzzahl m dar. Dann verschlüsselt die Partei B die Nachricht m folgendermaßen:
c = me mod n (1)
In Gleichung (1) stellt m die Klartext-Nachricht dar. e ist der öffentliche Schlüssel, n ist der Modul und ist ebenfalls öffentlich, c stellt die verschlüsselte Nachricht dar.
Die Partei B sendet nun die verschlüsselte Nachricht c zu der Partei A.
Zur Entschlüsselung, also um den Klartext m wieder aus dem Geheimtext c zu erhalten, führt A folgende Berechnung aus:
m = cd mod n (2) In Gleichung (2) stellt d den privaten Schlüssel der Partei A dar, der vor Angriffen zu schützen ist.
In der Technik ist ferner auch ein RSA-Signaturalgorithmus bekannt. Hierbei wird folgendermaßen vorgegangen. Jede Entität A erzeugt zunächst zwei große Primzahlen p und q und berechnet dann den Modul n aus dem Produkt von p und q. Daraus wird dann, wie es ebenfalls im oben bezeichneten Fachbuch im Kapitel 11.3 beschrieben ist, eine Schlüsselerzeugung vorgenommen, so daß jede Partei einen öffentlichen Schlüssel hat, der aus n, also dem Modul, und e besteht, während jede Partei zusätzlich einen privaten Schlüssel d hat.
Zur RSA-Signaturerzeugung und Verifikation signiert die Entität A eine Nachricht m. Jede Entität B soll dann die Signatur von A verifizieren und die Nachricht m aus der Signatur wiedergewinnen.
Bei der Signaturerzeugung berechnet die Entität A zunächst eine Ganzzahl m' = R(m). Danach führt die Entität A folgende Berechnung durch:
s = m d mod n (3)
s ist dabei die Signatur von A für die Nachricht m.
Zur Verifikation der Signatur der Partei A und zum Wiedergewinnen der Nachricht m muß die Partei B folgendermaßen vorge- hen:
Zunächst muß die Partei B den öffentlichen Schlüssel (n, e) von A erhalten. Dann führt die Partei B folgende Berechnung durch:
m = s mod n (4) In Gleichung (4) ist e der öffentliche Schlüssel von A.
Die Partei B wird dann verifizieren, ob m' das Element aus einem Raum M ist. Wenn dies nicht der Fall ist, wird die Signatur zurückgewiesen. Wenn dies der Fall ist, wird die
Nachricht m wiedergewonnen, indem m = R_1(m') berechnet wird.
Aus der obigen Darstellung wird ersichtlich, daß die modulare Exponentiation an vielerlei Stellen benötigt wird. Insbeson- dere wird zur RSA-Verschlüsselung in Gleichung (2) und zur RSA-Signaturerzeugung in Gleichung (3) mit dem geheimen Schlüssel d gerechnet.
Nachdem der geheime Schlüssel - genauso wie der öffentliche Schlüssel - bei typischen RSA-Systemen beträchtliche Längen annehmen kann, wie z. B. 1024 oder 2048 Bits, ist die modulare Exponentiation eine relativ aufwendige Berechnung.
Um die modulare Exponentiation schneller berechnen zu können, ist es bekannt, den sogenannten chinesischen Restsatz (CRT; CRT = Chinese Remainder Theorem) einzusetzen, der im Absatz 2.120 des oben bezeichneten Fachbuchs beschrieben ist. Für RSA-Systeme wird insbesondere der Algorithmus von Garner bevorzugt, der ebenfalls in dem oben beschriebenen Fachbuch im Abschnitt 14.5.2 beschrieben ist. Der klassische Algorithmus für den CRT benötigt typischerweise eine modulare Reduktion mit dem Modul M, während dies bei dem Algorithmus nach Garner nicht der Fall ist. Statt dessen wird hier die eine „große" modulare Exponentiation in zwei „kleine" modulare Exponentia- tionen aufgeteilt, deren Ergebnisse dann gemäß dem chinesischen Restsatz zusammengesetzt werden. Obwohl hier zwei Expo- nentiationen benötigt werden, ist es dennoch günstiger, zwei „kleine" modulare Exponentiationen zu berechnen, als eine „große" modulare Exponentiation.
Zur Darstellung des RSA-CRT-Verfahren unter Verwendung des Algorithmus von Garner wird auf Fig. 3 Bezug genommen. In ei- nem Block 100 sind die Eingangsparameter dargelegt, die alle lediglich von p und q sowie vom Schlüssel d abhängen, jedoch nicht von der beispielsweise zu signierenden Nachricht m. In einem Block 102 ist die Ausgabe des Algorithmus dargestellt, wie sie anhand von Gleichung (2) oder Gleichung (3) dargestellt worden ist.
Aus den im Block 100 dargestellten Eingangsgrößen wird dann in einem Block 104 eine erste modulare Hilfs-Exponentiation (sp) berechnet. Analog dazu wird in einem Block 106 dann eine zweite modulare Hilfs-Exponentiation (sq) berechnet. Die Ergebnisse der ersten und der zweiten modularen Hilfs- Exponentiation werden dann in einem Block 108 gemäß dem chinesischen Restsatz zusammengesetzt, um das Ergebnis s = md mod n zu erhalten. Generell ist das in Fig. 3 dargestellte RSA-CRT-Verfahren etwa um das Vier-fache schneller als die direkte Berechnung der im Block 102 dargestellten Ausgabe beispielsweise mittels des Square-and-Multiply-Algorithmus .
Aufgrund der Recheneffizienz ist der RSA-CRT-Algorithmus, der in Fig. 3 dargestellt ist, dem Square-and-Multiply- Algorithmus in jedem Fall vorzuziehen. Nachteilig am RSA-CRT- Algorithmus ist jedoch die Tatsache, daß er gegenüber kryptographischen „Angriffen" dahingehend sehr anfällig ist, daß der geheime Schlüssel d ermittelt werden kann, wenn eine fehlerhafte Berechnung des RSA-CRT-Algorithmus entsprechend ausgewertet wird. Diese Tatsache ist in „On the Importance of Eliminating Errors in Cryptographic Computations", Boneh, De- Millo, Lipton, J. Cryptology (2001) 14, S. 101 bis 119, be- schrieben. Es wird ausgeführt, daß der geheime Signaturschlüssel, der bei einer Implementation des RSA-Verfahrens, das auf dem chinesischen Restsatz (CRT) basiert, aus einer einzigen fehlerhaften RSA-Signatur ermittelt werden kann.
Eine fehlerhafte RSA-Signatur kann dadurch erhalten werden, daß die Software oder die Hardware, die den Algorithmus ausführt, zu Fehlern gebracht wird, beispielsweise durch Ausset- zen des Kryptoprozessors gegenüber einer mechanischen oder thermischen Belastung.
Als Gegenmaßnahmen gegen solche Angriffe, die auf Hardware- Fehlern basieren, wird vorgeschlagen, die Ausgabe jeder Berechnung zu überprüfen, bevor dieselbe aus dem Chip ausgegeben wird. Obwohl dieser zusätzliche Verifikationsschritt das Systemverhalten verschlechtern kann, wird davon gesprochen, daß diese zusätzliche Verifikation aus Sicherheitsgründen we- sentlich ist.
Die einfachste Art und Weise der Verifikation besteht darin, eine Gegenrechnung mit dem öffentlichen Exponenten e durchzuführen, wobei folgende Identität festgestellt werden soll:
(md) = m mod n (5)
Dieser zusätzliche Verifikationsschritt ist jedoch vom Rechenaufwand her unmittelbar vergleichbar mit dem eigentlichen Signatur- bzw. Entschlüsselungs-Schritt und führt daher zu einer starken Verringerung des Systemverhaltens, liefert jedoch eine hohe Sicherheit.
Nachteilig ist jedoch, daß der öffentliche Schlüssel e in üb- liehen Protokollen, wie z. B. der ZKA-lib, nicht verfügbar ist. Die ZKA-lib ist eine Sammlung von Spezifikationen des zentralen Kreditausschusses, die regeln, welche Daten verfügbar sind. Für das RSA-CRT-Verfahren sind lediglich die im Block 100 von Fig. 3 gegebenen Eingangsdaten verfügbar. Der öffentliche Schlüssel e ist hierbei nicht Teil der in der
ZKA-lib-Beschreibung vorgegebenen Parameter. Der Exponent e müßte daher aufwendig berechnet werden, um die „Gegenrechnung" gemäß Gleichung (5) durchführen zu können. Dies würde die Leistung der Signatur-Chipkarte weiter reduzieren und dürfte dazu führen, daß solche Algorithmen aufgrund ihrer langsamen Arbeitsweise keine Chance auf eine Durchsetzung am Markt haben. In der Fachveröffentlichung von A, Shamir, „How to check mo- dular Exponentiation", Rump Session, Eurocrypt 97, ist ein weiteres Verfahren beschrieben, um Signaturen zu verifizie- ren, die durch RSA-CRT-Verfahren erzeugt werden. In dieser
Fachveröffentlichung wird vorgeschlagen, eine kleine Zufallszahl r (beispielsweise 32 Bits) zu verwenden und statt der Berechnung im Block 104 folgende Berechnung auszuführen:
sp' = md mod pr (6)
Statt dem Block 106 wird folgende Berechnung ausgeführt:
sp' = md mod qr (7)
Dann, unmittelbar nach den Berechnungen gemäß den Gleichungen (6) und (7) werden folgende Überprüfungsberechnungen durchgeführt :
sp' mod r = sq' mod r (8)
Wenn die Überprüfung gemäß Gleichung (8) wahr ist, wird sp und sq aus folgender Gleichung (9) erhalten:
sp' mod p = sp ; sq' mod q = sq (9)
Aus den durch Gleichung (9) erhaltenen Werten sp und sq wird dann die im Block 108 in Fig. 3 dargestellte Berechnung durchgeführt, um aus den modularen Hilfs-Exponentiationen das Gesamtergebnis s mittels des chinesischen Restsatzes zusammenzufügen.
Nachteilig an diesem Verfahren ist, daß zur Überprüfung lediglich der Hilfsparameter r sowie die Zwischenergebnisse sp' und sq' herangezogen werden, wobei die Überprüfung nicht zur Unterdrückung eines Ausgabewerts führt, wenn eine kryp- tographische Attacke stattgefunden hat, die möglicherweise nicht die Zwischenergebnisse sp ' , sq' oder den Parameter r beeinträchtigt hat, aber dann, beispielsweise in den in Gleichung (9) gegebenen Schritten und der abschließenden Zusammensetzung des Algorithmus zu einem Hardware-Fehler führt, der dazu verwendet werden kann, um den geheimen Schlüssel d unerlaubterweise auszuspähen.
Darüber hinaus wird in der zitierten Fachveröffentlichung von Boneh u. a. beispielsweise als Abwehrmaßnahme zur Sicherung des Fiat-Shamir-Schemas vorgeschlagen, Registerfehler, die auftreten, während der Prozessor auf eine Antwort von außen wartet, dadurch abzuwehren, daß Fehlererfassungsbits zum Schutz des internen Speichers eines Prozessors eingesetzt werden. Weitere Maßnahmen, um RSA-Signaturen zu schützen, be- stehen darin, eine Zufälligkeit in das Signaturverfahren einzuführen. Die Zufälligkeit stellt sicher, daß der Unterzeichner niemals die gleiche Nachricht zweimal unterzeichnet. Ferner weiß der Verifizierer, wenn er eine fehlerhafte Signatur vorliegen hat, nicht den vollständigen Klartext, der unter- zeichnet worden ist.
Die Aufgabe der vorliegenden Erfindung besteht darin, ein verbessertes Konzept zum Absichern einer Exponentiations- Berechnung mittels chinesischem Restsatz (CRT) gegen Fehler- attacken zu schaffen.
Diese Aufgabe wird durch ein Verfahren gemäß Anspruch 1 oder eine Vorrichtung gemäß Anspruch 11 gelöst.
Der vorliegenden Erfindung liegt die Erkenntnis zugrunde, daß ein Sicherheitsleck dahingehend besteht, wenn das Zusammenfügen zweier Hilfsgrößen, die modulare Exponentiationen mit einem „kleinen" Modul sind, mittels chinesischem Restsatz, um das Ergebnis einer modularen Exponentiation mit einem „gro- ßen" Modul zu erhalten, nicht überprüft wird. Wenn lediglich die Berechnung der Hilfsgrößen überprüft wird, jedoch dann, im Zusammenfügungsschritt, keine Überprüfung mehr vorgenommen wird, kann eine Fehlerattacke, die erst nach der Berechnung der Hilfsgrößen zu einer Fehlfunktion des Rechenwerks im Kryptographieprozessor führt, zu einer falschen Ausgabe führen. Insbesondere RSA-Berechnungen mittels dem chinesischen Restsatz sind aus Effizienzgründen erwünscht, da sie einen Rechenzeitgewinn um einen Faktor 4 ermöglichen. Andererseits sind RSA Berechnungen mit CRT besonders anfällig für Sicherheitslecks. Schließlich soll die Überprüfung des Zusammenfü- gungsschritts nicht besonders aufwendig sein, um nicht den Rechenzeitgewinn durch Verwendung des CRT durch das erneute
Berechnen des Zusammenfügungsschritts wieder zunichte gemacht werden. Erfindungsgemäß wird daher nach dem Zusammenfügen der ersten Hilfsgröße und der zweiten Hilfsgröße, um ein Ergebnis der Exponentiations-Berechnung zu erhalten, das Ergebnis der Exponentiations-Berechnung mittels eines Prüfalgorithmus ü- berprüft, der sich von dem Zusammenfügungsalgorithmus unterscheidet, und der auf eine erste Primzahl bzw. eine zweite Primzahl zugreift. Falls die Überprüfung ergibt, daß der Prüfalgorithmus ein anderes als ein vorbestimmtes Ergebnis liefert, wird die Ausgabe des Ergebnisses der Exponentiations-Berechnung unterdrückt. Ansonsten kann davon ausgegangen werden, daß keine Hardware-Attacke stattgefunden hat, so daß das Ergebnis der Exponentiations-Berechnung ausgegeben werden kann.
Ein Vorteil der vorliegenden Erfindung besteht darin, daß das Sicherheitsleck, das bisher beim Zusammenfügen mittels chinesischem Restsatz bestand, „gestopft" wird.
Ein weiterer Vorteil der vorliegenden Erfindung besteht darin, daß zur Überprüfung keine erneute Zusammenfügungsberech- nung stattfinden muß, sondern daß mit einfachen Mitteln unter Verwendung der ersten bzw. der zweiten Primzahl eine Überprüfung der Exponentiations-Berechnung durchgeführt werden kann.
Ein weiterer Vorteil der vorliegenden Erfindung besteht darin, daß nunmehr nicht irgendwo in der Mitte des RSA-CRT- Algorithmus, sondern unmittelbar vor der Ausgabe des für einen Angreifer relevanten Ergebnisses eine Sicherheitsüberprüfung durchgeführt wird.
Ein weiterer Vorteil der vorliegenden Erfindung besteht darin, daß die Überprüfung des Zusammenfügungsschritts gemäß der vorliegenden Erfindung ohne weiteres mit weiteren Überprüfungsmaßnahmen, beispielsweise zur Überprüfung der Ergebnisse der Hilfs-Exponentiationen oder aber zur Abwehrung von Hard- ware-Attacken durch Überprüfung der Eingangsdaten nach der kryptographischen Berechnung kombiniert werden können, um einen nach allen Seiten abgesicherten RSA-CRT-Algorithmus zu erhalten, bei dem der Mehraufwand zur Absicherung des Algorithmus gegenüber Hardware-Attacken im Vergleich zum Gewinn durch Verwendung des RSA-CRT-Verfahrens klein ist.
Bevorzugte Ausführungsbeispiele der vorliegenden Erfindung werden nachfolgend Bezug nehmend auf die beiliegenden Zeichnungen detailliert erläutert. Es zeigen:
Fig. 1 ein Blockschaltbild des erfindungsgemäßen Konzepts;
Fig. 2 ein bevorzugtes Ausführungsbeispiel für ein sicheres RSA-CRT-Verfahren, bei dem neben der Überprü- fung des Zusammenfügungsschritts auch eine Überprüfung einer Veränderung von Eingangsdaten und eine Überprüfung von Zwischenergebnissen vorgenommen wird; und
Fig. 3 ein Blockschaltbild des RSA-CRT-Verfahrens unter Verwendung des Algorithmus von Garner.
Fig. 1 zeigt ein Blockdiagramm des erfindungsgemäßen Konzepts zum Absichern einer Exponentiations-Berechnung mittels chine- sischem Restsatz. Zunächst werden zwei Primzahlen p, q bereitgestellt, deren Produkt gleich dem Modul n ist (Block 10) . Hierauf wird unter Verwendung der ersten Primzahl p und unter Verwendung des chinesischen Restsatzes eine erste Hilfsgröße sp berechnet (Block 12) . Analog wird unter Verwendung der zweiten Primzahl q ebenfalls mittels des CRT eine zweite Hilfsgröße sq berechnet. Die erste und die zweite Hilfsgröße sp, sq werden nunmehr zusammengefügt (Block 16) , um aus den beiden Hilfs-Exponentiationen sp und sq mit jeweils „kleinem" Modul p bzw. q eine Exponentiation mit „großem" Modul n zu erhalten. Der beste Gewinn wird dann erreicht, wenn die beiden Primzahlen p, q etwa die gleiche Län- ge haben, also jeweils halb so groß sind wie der „große" Modul n.
Erfindungsgemäß wird nunmehr in einem Block 18 die Zusammenfügung der ersten und der zweiten Hilfsgröße mittels eines Überprüfungsalgorithmus überprüft, der sich von dem Zusammen- fügungsalgorithmus, der im Block 16 ausgeführt wird, unterscheidet, und der das Ergebnis s der Zusammenfügung und die erste Primzahl und/oder die zweite Primzahl verwendet, wie es durch Primzahl-Eingangsleitungen 20a, 20b symbolisch darge- stellt ist. Ergibt die Überprüfung im Block 18, daß der in
Block 18 verwendete Prüfalgorithmus ein anderes als ein vorbestimmtes Ergebnis liefert, wird zu einem Block 22 gesprungen, der eine Ausgabe des Ergebnisses des Zusammenfügungsschritts 16 unterdrückt. Ergibt der Überprüfungsalgorithmus im Block 18 dagegen, daß sich das vorbestimmte Resultat ergibt, so kann zu einem Block 24 gesprungen werden, um eine Ausgabe des Ergebnisses des Zusammenfügungsschritts 16 zu veranlassen. Diese Ausgabe kann beispielsweise eine digitale Signatur oder ein entschlüsselter Klartext sein.
Bei einem bevorzugten Ausführungsbeispiel der vorliegenden Erfindung lautet der Überprüfungsalgorithmus folgendermaßen:
s mod p = sp und/oder (10)
s mod q = sq (11) Dieser Überprüfungsalgorithmus kann unmittelbar auf den Zu- sammenfügungsschritt im Block 108 von Fig. 3 angewendet werden. Hierzu wird folgendermaßen vorgegangen. Zunächst wird das Zwischenergebnis s, das der Block 108 liefert, und das beispielsweise in einem Ausgangsregister des Kryptoprozessors vorliegt, verwendet. Darüber hinaus wird an eine Eingangsdaten-Speicherstelle zugegriffen, an der die erste Primzahl p abgespeichert ist. Hierauf wird s mod p berechnet und das erhaltene Ergebnis zwischengespeichert. Dann wird auf eine Zwi- schenergebnis-Speicherstelle zugegriffen, an der das Ergebnis des Blocks 104, als sp, gespeichert ist. Das Ergebnis der Berechnung s mod p wird mit dem gespeicherten sp verglichen. Stellt sich heraus, daß die Gleichheitsbedingung erfüllt ist, so hat der erste Teil des Überprüfungsalgorithmus zu keinem Fehler geführt. Die analoge Vorgehensweise kann mit der zweiten Primzahl q durchgeführt werden, um s mod q zu berechnen, und um dieses Ergebnis dann mit sq zu vergleichen. Ergibt sich auch hier die Gleichheitsbedingung, so kann davon ausgegangen werden, daß der Zusammenfügungsschritt korrekt statt- gefunden hat, und daß auch an der Eingangsdaten- Speicherstelle, wo p und q gespeichert sind, als auch an der Zwischenergebnisspeicherstelle, wo sp und sq gespeichert sind, keine Veränderung aufgetreten ist, die auf eine Hardware-Attacke hindeuten würde. Ergibt dagegen zumindest ein Teil des Überprüfungsalgorithmus einen Fehler, so wird die Ausgabe unterdrückt, da bei der Zusammenfügung selbst und/oder an den Speicherplätzen für sp, sq, p, q, Veränderungen aufgetreten sind.
Im nachfolgenden wird der erste Teil des Überprüfungsalgorithmus s mod p = sp näher erläutert. Aus der im Block 108 dargestellten Gleichung wird ersichtlich, daß dieselbe nach einer modularen Reduktion mit der ersten Primzahl p zu s = sq + (sp - sq) „entartet", so daß sich die Terme +sq und -sq ge- genseitig aufheben, und daß sp verbleibt. Wird dagegen mit dem zweiten Teil des Überprüfungsalgorithmus mit s mod q = sq gearbeitet, so ergibt sich bei näherer Betrachtung der im Block 108 befindlichen Gleichung, daß diese den Wert sq + einem ganzzahligen Faktor multipliziert mit q ist, wobei die modulare Reduktion mittels des Moduls q von q mal einer konstanten Zahl den Wert 0 ergibt, so daß aus der im Block 108 befindlichen Gleichung noch sq verbleibt.
Aus näherer Analyse der im Block 108 befindlichen Gleichung für s können unter Verwendung der obigen Ausführungen weitere Überprüfungsalgorithmen abgeleitet werden, um das Ergebnis der Zusammenfügung auf irgendeine Art und Weise zu verarbeiten, um ein vorbestimmtes Resultat zu erhalten, wenn kein Fehler aufgetreten ist, bzw. um ein von dem vorbestimmten Re- sultat abweichendes Resultat zu erhalten, wenn ein Fehler beim Zusammenfügen aufgetreten ist.
Im nachfolgenden wird anhand von Fig. 2 ein bevorzugtes Ausführungsbeispiel der vorliegenden Erfindung dargestellt, bei dem der Zusammenfügungsschritt als Block 64 gekennzeichnet ist, während der erste Teil des Überprüfungsalgorithmus im Block 66a dargestellt ist, und der zweite Teil des Überprüfungsalgorithmus im Block 66b dargestellt ist. Das in Fig. 2 gezeigte gesamte RSA-CRT-Verfahren verwendet ferner zur wei- teren Absicherung gegenüber Fehlerattacken eine Fehlerüberprüfung anhand der Eingangsdaten als auch anhand der ersten und der zweiten Hilfsgröße, um die korrekte Berechnung dieser Größen nachzukontrollieren.
Ferner wird zusätzlich bei dem in Fig. 2 gezeigten bevorzugten Ausführungsbeispiel zum sicheren Ausführen des RSA-CRT- Verfahrens eine Überprüfung der Eingangsdaten vor der Ausgabe von Ausgangsdaten eines kryptographischen Algorithmus an mehreren Stellen innerhalb des Algorithmus verwendet.
Des weiteren wird bei dem in Fig. 2 gezeigten Ausführungsbeispiel auch die Berechnung des kryptographischen Algorithmus selbst, und zwar insbesondere die Berechnung der beiden Hilfs-Exponentiationen überprüft .
Zunächst werden, wie es bereits anhand von Fig. 3 dargestellt worden ist, die Parameter p, q, dp, dq, qinv bereitgestellt, die die üblichen Eingabeparameter für das RSA-CRT-Verfahren sind. Ferner werden, wie es in einem Block 50 von Fig. 2 dargestellt ist, die zu verschlüsselnde Nachricht m sowie eine Zahl t und eine Zufallszahl rand als Eingangsdaten bereitge- stellt. Vorzugsweise ist die Zahl t eine Primzahl, und vorzugsweise eine kleine Primzahl, welche beispielsweise nicht länger als 16 Bits ist, um den Vorteil des CRT-Verfahrens nicht zu stark zu schmälern, nämlich daß die beiden Hilfs- Exponentiationen mit kleinerem Modul im Vergleich zu einer einzigen modularen Exponentiation mit dem Modul n = p mal q stattfinden. Ist die Zahl t keine Primzahl, so ist dieser Fall ebenfalls möglich, in den Gleichungen müßte jedoch dann der Ausdruch (t-1) durch die Eulersche Phi-Funktion von t ersetzt werden.
Zunächst werden Eingangsdaten in Blöcken 52a, 52b verarbeitet. Als Verarbeitungsalgorithmus wird die Multiplikation des ursprünglichen Parameters p bzw. q mit der Primzahl t verwendet. Ferner wird als Verarbeitungsvorschrift die Addition von dp mit dem Produkt aus der Zufallszahl rand und der Zahl (p- 1) bzw. entsprechend für q verwendet.
Es sei darauf hingewiesen, daß prinzipiell auch eine einzige der vier in den Blöcken 52a, 52b gegebenen Verarbeitungsvor- Schriften einen erfindungsgemäßen Effekt ergeben würde. Nach der Vollendung der Blöcke 52a, 52b werden die durch die Verarbeitung erhaltenen Sicherheitsinformationen p', dp', q' und dq' an einer Sicherheitsinformationen-Speicherstelle gespeichert. Diese Speicherstelle könnte beispielsweise der Ar- beitsspeicher eines Kryptoprozessors sein, oder ein inneres Register, das dem Rechenwerk des Kryptoprozessors zugeordnet ist. Dann wird durch das Rechenwerk, wie es durch Blöcke 54a, 54b dargestellt ist, als Berechnung innerhalb des kryptographischen Algorithmus sowohl die erste Hilfs- Exponentiation (sp') als auch die zweite Hilfs-Exponentiation (sq') durchgeführt, wie es in Fig. 2 gezeigt ist. Nach dem Durchführen der Blöcke 54a, 54b werden die Ausgangsdaten der Berechnungen, nämlich sp' und sq' nicht unmittelbar entweder ausgegeben bzw. für eine weitere Berechnung weitergegeben, sondern es wird erfindungsgemäß zunächst in Blöcken 56a, 56b mittels eines Kontrollalgorithmus überprüft, ob die Eingangs- daten für die Berechnung in den Blöcken 54a, 54b während der Berechnung durch die Blöcke 54a, 54b verändert worden sind. Hierzu wird als Kontrollalgorithmus eine modulare Reduktion verwendet, wobei als vorbestimmtes Ergebnis entweder 0 erwartet wird, wie es in den ersten Zeilen der beiden Blöcke 56a, 56b dargestellt ist, oder entweder dp oder dq als vorbestimmtes Resultat erwartet wird. Das vorbestimmte Resultat ergibt sich, wenn die Größe p', die in der Terminologie der vorliegenden Erfindung die Sicherheitsinformation ist, nicht beispielsweise durch eine Fehlerattacke verändert worden ist. Dasselbe gilt für die weitere Sicherheitsinformation dp'.
Sind die Überprüfungen in den Blöcken 56a, 56b erfolgreich, also werden vorbestimmte Ergebnisse durch den Kontrollalgorithmus erhalten, so wird zu Blöcken 58a, 58b weitergegangen. Die Blöcke 58a, 58b zeigen bevorzugte Vorberechnungen, um neben dem Eingangsdaten-Überprüfungskonzept auch ein Ergebnisdaten-Überprüfungskonzept durchzuführen. Mittels eines Ergebnis-Kontrollalgorithmus (Block 60 in Fig. 2) wird dann überprüft, ob die Berechnung der Hilfs-Exponentiationen in den Blöcken 54a, 54b korrekt stattgefunden hat.
In Blöcken 62a, 62b werden die Hilfs-Exponentiationen der Blöcke 54a, 54b entsprechend modular reduziert, um den Einfluß des Parameters t bzw. der Zufallszahl zu eliminieren. In einem Block 64 wird schließlich, wie es anhand des Blocks 108 von Fig. 3 klargestellt worden ist, der Zusammensetzungs- schritt ausgeführt, um aus den Hilfs-Exponentiations- ergebnisse sp, sq die signierte Nachricht s zu erzeugen.
Bei einem bevorzugten Ausführungsbeispiel der vorliegenden Erfindung wird dieses Ergebnis jedoch nicht unmittelbar verwendet, sondern es wird nach dem Zusammensetzen durch den Block 64 eine Überprüfung dahingehend durchgeführt, ob das Zusammensetzen erfolgreich war.
Dies wird dadurch erreicht, daß zunächst die erhaltene signierte Nachricht s unter Verwendung der Primzahl p als Modul modular reduziert wird. Dieser Kontrollalgorithmus sollte als Ergebnis sp ergeben, wobei dieses sp gleich dem im Block 62a ausgerechneten Wert sp sein muß.
Analog wird in einem Block 66b vorgegangen, um die Korrektheit des Ergebnisses s auch anhand einer modularen Reduktion mit der Primzahl q als Modul zu überprüfen. Hierzu wird zur Ausführung der in Block 66a gegebenen Berechnung zunächst auf die Zwischenspeicherstelle zugegriffen, an der das Ergebnis des Blocks 64 abgespeichert wurde. Zusätzlich wird auf die Speicherstelle zugegriffen, an der das Eingangsdatum p gespeichert ist. Schließlich wird, um den Vergleich des Blocks 66a durchzuführen, auf die Speicherstelle zugegriffen, in der das Ergebnis des Blocks 62a, also sp, gespeichert ist. Analog wird im Block 66b für s, q und sq vorgegangen.
Liefert die Berechnung im Block 66a ein vorbestimmtes Resultat dahingehend, daß die linke und die rechte Seite der im Block 66a gegebenen Gleichung nicht gleich sind, so wird ein Fehler ausgegeben, und die Ausgabe des Ergebnisses s des Blocks 64 wird unterdrückt. Dieselbe Unterdrückung des Ergebnisses s findet statt, wenn die Berechnung im Block 66b ergibt, daß ein Fehler stattgefunden hat. Eine Unterdrückung findet somit vorzugsweise bereits dann statt, wenn ein einziger Block einen Fehler ergeben hat bzw., in anderen Worten ausgedrückt, findet eine Ergebnisausgabe mittels eines Blocks 68 nur dann statt, wenn sowohl die Berechnung im Block 66a als auch die Berechnung im Block 66b korrekt waren.
Anhand des Beispiels in Block 66a wird deutlich, daß dieser Ergebnis-Kontrollalgorithmus dahingehend vorteilhaft ist, daß er unmittelbar das Ergebnis des Blocks 64 zur Überprüfung verwendet, daß er jedoch auch auf den Eingangsdaten- Speicherbereich zugreift, um die Primzahl p zu erhalten bzw. den Inhalt der Speicherstelle, an der p stehen sollte, und daß zusätzlich auch ein Zwischenergebnis verwendet wird, nämlich sp, das im Schritt 62a erhalten worden ist. Mittels einer Berechnung wird somit sowohl überprüft, ob sich Eingangsdaten verändert haben, als auch wird überprüft, ob der Zusammensetzungsschritt 64 des RSA-CRT-Verfahrens von dem Krypto- Rechenwerk korrekt durchgeführt worden ist. Schließlich wird auch ein Zwischenergebnis sp verwendet, so daß in eine einzige einfache Berechnung auch Zwischenergebnis-Register mit einbezogen werden.
Aus dem in Fig. 2 gezeigten Ausführungsbeispiel wird deutlich, daß sowohl der Verarbeitungsalgorithmus, um die Sicherheitsinformationen zu erzeugen, als auch der Kontrollalgorithmus zum Überprüfen der Eingangsdaten einfache Algorithmen sind, die ohnehin in einem Krypto-Rechenwerk vorhanden sind, wie z. B. ein Multiplikationsalgorithmus oder ein Algorithmus zur Durchführung einer modularen Reduktion. Dasselbe trifft zu für die Verarbeitungsalgorithmen in den Blöcken 62a, 62b, die ebenfalls auf einer modularen Reduktion basieren, und auch für den Kontrollalgorithmus in den Blöcken 66a, 66b, der wiederum auf einer modularen Reduktion basiert.
Obgleich in dem vorhergehenden in Fig. 2 gezeigten Ausführungsbeispiel als Verarbeitungsalgorithmus die Multiplikation einer Zahl mit einer Konstanten, und als - dazu korrespondie- render - Kontrollalgorithmus die modulare Reduktion des Multiplikationsergebnisses mit der ursprünglichen Zahl dargestellt worden sind, ist es für Fachleute offensichtlich, daß eine Vielzahl von miteinander korrespondierenden Verarbeitungsalgorithmen und Kontrollalgorithmen existiert, die es ermöglichen, zu überprüfen, ob Eingangsdaten während der Durchführung einer Berechnung in einem kryptographischen Al- gorithmus z. B. durch Fehlerattacken verändert worden sind.
Aus Fig. 2 wird ferner deutlich, daß die Verarbeitungsalgorithmen genauso wie die Kontrollalgorithmen sehr einfach gestaltet werden können, und keine zusätzlichen Parameter benö- tigen, als die ohnehin vorhandenen Parameter. Insbesondere wird es erfindungsgemäß bevorzugt, nicht zusätzliche Parameter, wie z. B. den öffentlichen Schlüssel e, zunächst aufwendig zu berechnen und dann für eine „Gegenrechnung" zu verwenden, sondern möglichst viele Eingangsdaten, Zwischenergebnis- daten etc. miteinander zu verknüpfen, da damit mittels eines einzigen Überprüfungsschritts mögliche Fehler im Arbeitsspeicher, in den inneren Registern oder in dem Rechenwerk selbst detektiert werden können, um im Falle eines Fehlers eine Datenausgabe zu unterdrücken, damit keine geheimen Informatio- nen aus einer falschen Ausgabe ermittelbar sind.
Bezugszeichenliste
10 Bereitstellen zweier Primzahlen 12 Berechnen einer ersten Hilfsgröße sp 14 Berechnen einer zweiten Hilfsgröße sq
16 Zusammenfügen der ersten und der zweiten Hilfsgröße zu s 18 Überprüfen der Zusammenfügung 20a Leitung für erste Primzahl 20b Leitung für zweite Primzahl 22 Unterdrücken der Ausgabe von s 24 Ausgabe von s
50 Eingangsdaten für RSA-CRT-Algorithmus 52a, 52b Verarbeiten der Eingangsdaten um Sicherheitsinformationen zu erhalten 54a, 54b Rechnung des kryptographischen Algorithmus
56a, 56b Verarbeiten der Sicherheitsinformationen mittels
Kontrollalgorithmus und Überprüfen, ob vorbestimmtes Resultat erreicht ist 58a, 58b Ergebnis-Kontrollalgorithmus 60 Überprüfen mittels Ergebnis-Kontrollalgorithmus 62, 62b Reduzieren von sp' bzw. sq' 64 Zusammenfügungsalgorithmus
66a, 66b erster Teil und zweiter Teil des Prüfalgorithmus 68 Ausgabe der digitalen Signatur s 100 Eingangsdaten in das RSA-CRT-Verfahren 02 Ausgangsdaten des RSA-CRT-Verfahrens 04 Berechnen einer ersten Hilfs-Exponentiation 06 Berechnen einer zweiten Hilfs-Exponentiation 108 Zusammenfügen der ersten und der zweiten Hilfs- Exponentiation

Claims

Patentansprüche
1. Verfahren zum Absichern einer Exponentiations-Berechnung mittels chinesischem Restsatz (CRT) unter Verwendung zweier Primzahlen (p, q) , die Hilfs-Module für eine Berechnung von Hilfsgrößen bilden, die zusammensetzbar sind, um eine modulare Exponentiation für einen Modul zu berechnen, der gleich dem Produkt der Hilfsgrößen ist, mit folgenden Schritten:
Berechnen (12) der ersten Hilfsgröße (sp) unter Verwendung der ersten Primzahl (p) als Modul;
Berechnen (14) der zweiten Hilfsgröße (sq) unter Verwendung der zweiten Primzahl (q) als Modul;
Zusammenfügen (16) der ersten Hilfsgröße (sp) und der zweiten Hilfsgröße (sq) unter Verwendung eines Zusammenfügungsalgo- rithmus, um ein Ergebnis der Exponentiations-Berechnung zu erhalten;
nach dem Schritt des Zusammenfügens, Überprüfen (18) des Ergebnisses der Exponentiations-Berechnung mittels eines Prüfalgorithmus (66a, 66b), der sich von dem Zusammenfügungsalgo- rithmus unterscheidet, unter Verwendung der ersten Primzahl (p) und/oder der zweiten Primzahl (q) , wobei der Prüfalgorithmus ein vorbestimmtes Resultat liefert, wenn der Schritt des Zusammenfügens (16) korrekt abgelaufen ist; und
falls der Schritt des Überprüfens (18) ergibt, daß der Prüf- algorithmus ein anderes als das vorbestimmte Resultat liefert, Unterdrücken (22) einer Ausgabe des Ergebnisses der Exponentiations-Berechnung .
2. Verfahren nach Anspruch 1, bei dem der Prüfalgorithmus als Eingangsdaten neben dem Ergebnis (s) der Exponentiations- Berechnung einen Inhalt einer Speicherstelle verwendet, an der die erste Hilfsgröße (sp), die zweite Hilfsgröße (sq), die erste Primzahl (p) oder die zweite Primzahl (q) gespeichert sind.
3. Verfahren nach Anspruch 1 oder 2,
bei dem die Exponentiations-Berechnung eine RSA- Verschlüsselung, eine RSA-Entschlüsselung, eine RSA- Signaturberechnung oder eine RSA-Signatur- Verfikationsberechnung ist.
4. Verfahren nach einem der vorhergehenden Ansprüche,
bei dem der Zusammenfügungsalgorithmus der Algorithmus nach Garner ist.
5. Verfahren nach einem der vorhergehenden Ansprüche,
bei dem der Prüfalgorithmus eine modulare Reduktion des Ergebnisses der Exponentiations-Berechnung mit der ersten Prim- zahl (p) und/oder der zweiten Primzahl (q) als Modul umfaßt.
6. Verfahren nach einem der vorhergehenden Ansprüche,
bei dem die erste Hilfsgröße folgendermaßen berechnet wird:
sp: = mdp mod p;
bei dem die zweite Hilfsgröße folgendermaßen berechnet wird:
sq = mdq mod q;
bei dem der Zusammenfügungsalgorithmus folgendermaßen definiert ist:
s = sq + {[(5/?
Figure imgf000022_0001
; und bei dem der Überprüfungsalgorithmus folgendermaßen definiert ist :
s mod p = sp; und/oder
s mod q = sq; und
bei dem das vorbestimmte Resultat eine Gleichheitsbedingung in dem Überprüfungsalgorithmus ist.
7. Verfahren nach einem der Ansprüche 1 bis 5, das ferner folgenden Schritt aufweist:
nach dem Schritt des Zusammenfügens der ersten Hilfsgröße und der zweiten Hilfsgröße, Überprüfen, ob Eingangsdaten für die Exponentiations-Berechnung verändert wurden, und, wenn dies der Fall ist, Unterdrücken des Ergebnisses der Exponentiations-Berechnung.
8. Verfahren nach Anspruch 7, bei dem zur Überprüfung von
Hilfs-Exponenten (dp, dq) eine Zufallszahl (rand) verwendet wird.
9. Verfahren nach Anspruch 7 oder 8, bei dem zur Überprüfung der ersten Primzahl (p) und der zweiten Primzahl (q) als Eingangsdaten eine Primzahl (t) verwendet wird.
10. Verfahren nach Anspruch 9, bei der die Primzahl (t) eine Stellenzahl hat, die kleiner als eine Stellenzahl der ersten Primzahl (p) und der zweiten Primzahl (q) ist.
11. Vorrichtung zum Absichern einer Exponentiations- Berechnung mittels chinesischem Restsatz (CRT) unter Verwendung zweier Primzahlen (p, q) , die Hilfs-Module für eine Be- rechnung von Hilfsgrößen bilden, die zusammensetzbar sind, um eine modulare Exponentiation für einen Modul zu berechnen, der gleich dem Produkt der Hilfsgrößen ist, mit folgenden Merkmalen:
einer Einrichtung zum Berechnen (12) der ersten Hilfsgröße (sp) unter Verwendung der ersten Primzahl (p) als Modul;
einer Einrichtung zum Berechnen (14) der zweiten Hilfsgröße (sq) unter Verwendung der zweiten Primzahl (q) als Modul;
einer Einrichtung zum Zusammenfügen (16) der ersten Hilfsgröße (sp) und der zweiten Hilfsgröße (sq) unter Verwendung eines Zusammenfügungsalgorithmus, um ein Ergebnis der Exponentiations-Berechnung zu erhalten;
einer Einrichtung zum Überprüfen (18) des Ergebnisses der Exponentiations-Berechnung mittels eines Prüfalgorithmus (66a, 66b) , der sich von dem Zusammenfügungsalgorithmus unterscheidet, unter Verwendung der ersten Primzahl (p) und/oder der zweiten Primzahl (q) , wobei der Prüfalgorithmus ein vorbe- stimmtes Resultat liefert, wenn die Einrichtung zum Zusammenfügen (16) ein korrektes Ergebnis geliefert hat; und
einer Einrichtung zum Unterdrücken (22) einer Ausgabe des Ergebnisses der Exponentiations-Berechnung, falls die Einrich- tung zum Überprüfen (18) anzeigt, daß der Prüfalgorithmus ein anderes als das vorbestimmte Resultat liefert.
PCT/EP2002/011530 2001-10-17 2002-10-15 Verfahren und vorrichtung zum absichern einer exponentiations-berechnung mittels dem chinesischen restsatz (crt) WO2003034268A2 (de)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP02785220A EP1454260B1 (de) 2001-10-17 2002-10-15 Verfahren und vorrichtung zum absichern einer exponentiations-berechnung mittels dem chinesischen restsatz (crt)
DE50203303T DE50203303D1 (de) 2001-10-17 2002-10-15 Verfahren und vorrichtung zum absichern einer exponentiations-berechnung mittels dem chinesischen restsatz (crt)
US10/825,625 US7496758B2 (en) 2001-10-17 2004-04-15 Method and apparatus for protecting an exponentiation calculation by means of the chinese remainder theorem (CRT)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
DE10151139.6 2001-10-17
DE10151139 2001-10-17
DE10162584A DE10162584A1 (de) 2001-10-17 2001-12-19 Verfahren und Vorrichtung zum Absichern einer Exponentiations-Berechnung mittels dem chinesischen Restsatz (CRT)
DE10162584.7 2001-12-19

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US10/825,625 Continuation US7496758B2 (en) 2001-10-17 2004-04-15 Method and apparatus for protecting an exponentiation calculation by means of the chinese remainder theorem (CRT)

Publications (2)

Publication Number Publication Date
WO2003034268A2 true WO2003034268A2 (de) 2003-04-24
WO2003034268A3 WO2003034268A3 (de) 2004-05-13

Family

ID=26010395

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2002/011530 WO2003034268A2 (de) 2001-10-17 2002-10-15 Verfahren und vorrichtung zum absichern einer exponentiations-berechnung mittels dem chinesischen restsatz (crt)

Country Status (3)

Country Link
US (1) US7496758B2 (de)
EP (1) EP1454260B1 (de)
WO (1) WO2003034268A2 (de)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2879866B1 (fr) * 2004-12-22 2007-07-20 Sagem Procede et dispositif d'execution d'un calcul cryptographique
FR2916113B1 (fr) * 2007-05-07 2009-07-31 Oberthur Card Syst Sa Procede de traitement cryptographique d'un message.
JP4306768B2 (ja) * 2007-06-18 2009-08-05 エプソンイメージングデバイス株式会社 電気光学装置及び電子機器
US7907724B2 (en) 2007-10-25 2011-03-15 Infineon Technologies Ag Method and apparatus for protecting an RSA calculation on an output by means of the chinese remainder theorem
US8774400B2 (en) * 2008-01-03 2014-07-08 Spansion Llc Method for protecting data against differntial fault analysis involved in rivest, shamir, and adleman cryptography using the chinese remainder theorem
GB2456624B (en) * 2008-01-16 2012-05-30 Ibm Method and apparatus for residue modulo checking for arithmetic operations
US8776191B2 (en) * 2008-01-25 2014-07-08 Novell Intellectual Property Holdings, Inc. Techniques for reducing storage space and detecting corruption in hash-based application
KR102180029B1 (ko) 2014-02-03 2020-11-17 삼성전자 주식회사 Crt-rsa 암호화 방법 및 장치와 이를 기록한 컴퓨터 판독가능 저장매체
FR3088452B1 (fr) * 2018-11-08 2023-01-06 Idemia France Procede de verification d'integrite d'une paire de cles cryptographiques et dispositif cryptographique

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5991415A (en) * 1997-05-12 1999-11-23 Yeda Research And Development Co. Ltd. At The Weizmann Institute Of Science Method and apparatus for protecting public key schemes from timing and fault attacks

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE4234165C1 (de) 1992-10-09 1994-03-03 Detecon Gmbh Verfahren zur Ermöglichung der nachträglichen Überprüfung bereits übermittelter Daten
FR2704341B1 (fr) 1993-04-22 1995-06-02 Bull Cp8 Dispositif de protection des clés d'une carte à puce.
GB9510035D0 (en) 1995-05-18 1995-08-02 Cryptech Systems Inc Strengthened public key protocols
US5631960A (en) 1995-08-31 1997-05-20 National Semiconductor Corporation Autotest of encryption algorithms in embedded secure encryption devices
US6092229A (en) 1996-10-09 2000-07-18 Lsi Logic Corporation Single chip systems using general purpose processors
US6282290B1 (en) 1997-03-28 2001-08-28 Mykotronx, Inc. High speed modular exponentiator
DE19725167A1 (de) 1997-06-13 1998-12-17 Utimaco Safeware Ag Verfahren zur sicheren Anzeige bei der Übertragung von Daten oder Dateien zwischen Teilnehmern
US6965673B1 (en) * 1997-09-19 2005-11-15 Telcordia Technologies, Inc. Method of using transient faults to verify the security of a cryptosystem
US6144740A (en) 1998-05-20 2000-11-07 Network Security Technology Co. Method for designing public key cryptosystems against fault-based attacks with an implementation
DE19944991B4 (de) 1999-09-20 2004-04-29 Giesecke & Devrient Gmbh Verfahren zur Sicherung eines Programmablaufs
DE19961838A1 (de) 1999-12-21 2001-07-05 Scm Microsystems Gmbh Verfahren und Vorrichtung zur Überprüfung einer Datei
DE10024325B4 (de) 2000-05-17 2005-12-15 Giesecke & Devrient Gmbh Kryptographisches Verfahren und kryptographische Vorrichtung
US6986050B2 (en) 2001-10-12 2006-01-10 F-Secure Oyj Computer security method and apparatus

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5991415A (en) * 1997-05-12 1999-11-23 Yeda Research And Development Co. Ltd. At The Weizmann Institute Of Science Method and apparatus for protecting public key schemes from timing and fault attacks

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
BONEH D ET AL: "ON THE IMPORTANCE OF CHECKING CRYPTOGRAPHIC PROTOCOLS FOR FAULTS" ADVANCES IN CRYPTOLOGY. EUROCRYPT, XX, XX, 11. Mai 1997 (1997-05-11), Seiten 37-51, XP008018071 *
BONG D ET AL: "OPTIMIZED SOFTWARE IMPLEMENTATIONS OF THE MOLULAR EXPONENTIATION ONGENERAL PURPOSE MICROPROCESSORS" COMPUTERS & SECURITY. INTERNATIONAL JOURNAL DEVOTED TO THE STUDY OF TECHNICAL AND FINANCIAL ASPECTS OF COMPUTER SECURITY, ELSEVIER SCIENCE PUBLISHERS. AMSTERDAM, NL, Bd. 8, Nr. 7, 1. November 1989 (1989-11-01), Seiten 621-630, XP000072275 ISSN: 0167-4048 *
GROSSSCHADL J: "The Chinese Remainder Theorem and its application in a high-speed RSA crypto chip" COMPUTER SECURITY APPLICATIONS, 2000. ACSAC '00. 16TH ANNUAL CONFERENCE NEW ORLEANS, LA, USA 11-15 DEC. 2000, LOS ALAMITOS, CA, USA,IEEE COMPUT. SOC, US, 11. Dezember 2000 (2000-12-11), Seiten 384-393, XP010529836 ISBN: 0-7695-0859-6 *
SCHINDLER W: "A TIMING ATTACK AGAINST RSA WITH THE CHINESE REMAINDER THEOREM" CRYPTOGRAPHIC HARDWARE AND EMBEDDED SYSTEMS. 2ND INTERNATIONAL WORKSHOP, CHES 2000, WORCHESTER, MA, AUG. 17 - 18, 2000 PROCEEDINGS, LECTURE NOTES IN COMPUTER SCIENCE, BERLIN: SPRINGER, DE, Bd. 1965, 17. August 2000 (2000-08-17), Seiten 109-124, XP001049131 ISBN: 3-540-41455-X *

Also Published As

Publication number Publication date
US7496758B2 (en) 2009-02-24
EP1454260B1 (de) 2005-06-01
EP1454260A2 (de) 2004-09-08
US20040260931A1 (en) 2004-12-23
WO2003034268A3 (de) 2004-05-13

Similar Documents

Publication Publication Date Title
DE69828787T2 (de) Verbessertes verfahren und vorrichtung zum schutz eines verschlüsselungsverfahrens mit öffentlichem schlüssel gegen angriffe mit zeitmessung und fehlereinspeisung
DE2843583C2 (de) Verfahren für den zugriffsicheren Nachrichtenverkehr über einen ungesicherten Nachrichtenübertragungskanal
EP2197149B1 (de) Verfahren und Vorrichtung zum Verarbeiten von Daten
EP2901611B1 (de) Seitenkanalgeschützte maskierung
DE10143728B4 (de) Vorrichtung und Verfahren zum Berechnen eines Ergebnisses einer modularen Exponentiation
EP1891512B1 (de) Bestimmung einer modularen inversen
DE102008051447B9 (de) Verfahren und Vorrichtung zum Schützen einer RSA-Berechnung an einer Ausgabe mit Hilfe des chinesischen Restsatzes
DE602004006628T2 (de) Verfahren zur gesicherten ausführung eines rsa kryptographischen algorithmus, sowie diesbezüglicher baustein.
DE102017002153A1 (de) Übergang von einer booleschen Maskierung zu einer arithmetischen Maskierung
DE10304451B3 (de) Modulare Exponentiation mit randomisiertem Exponenten
EP1987421B1 (de) Verfahren, vorrichtung und system zum verifizieren von auf einer elliptischen kurve ermittelten punkten
EP1540880B1 (de) Geschützte kryptographische berechnung
EP1442391B1 (de) Verfahren und vorrichtung zum absichern einer berechnung in einem kryptographischen algorithmus
EP1454260B1 (de) Verfahren und vorrichtung zum absichern einer exponentiations-berechnung mittels dem chinesischen restsatz (crt)
DE60218421T2 (de) Verfahren und Vorrichtung zur Erzeugung von Digitalsignaturen
DE10328860B4 (de) Vorrichtung und Verfahren zum Verschlüsseln von Daten
DE10162496C5 (de) Verfahren und Vorrichtung zum Absichern einer Berechnung in einem kryptographischen Algorithmus
DE10161138B4 (de) Verfahren und Vorrichtung zum Ermitteln einer elliptischen Kurve, Verfahren und Vorrichtung zum Multiplizieren eines Punktes mit einem Skalar
DE10042234C2 (de) Verfahren und Vorrichtung zum Durchführen einer modularen Exponentiation in einem kryptographischen Prozessor
DE102004001659B4 (de) Vorrichtung und Verfahren zum Konvertieren einer ersten Nachricht in eine zweite Nachricht
EP1760929B1 (de) Geschütztes kryptographisches Verfahren
EP2128754A1 (de) Sichere sliding window exponentiation
DE10250810A1 (de) Geschützte kryptographische Berechnung

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A2

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BY BZ CA CH CN CO CR CU CZ DE DM DZ EC EE ES FI GB GD GE GH HR HU ID IL IN IS JP KE KG KP KR LC LK LR LS LT LU LV MA MD MG MN MW MX MZ NO NZ OM PH PL PT RU SD SE SG SI SK SL TJ TM TN TR TZ UA UG US UZ VC VN YU ZA ZM

AL Designated countries for regional patents

Kind code of ref document: A2

Designated state(s): GH GM KE LS MW MZ SD SL SZ UG ZM ZW AM AZ BY KG KZ RU TJ TM AT BE BG CH CY CZ DK EE ES FI FR GB GR IE IT LU MC PT SE SK TR BF BJ CF CG CI GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
DFPE Request for preliminary examination filed prior to expiration of 19th month from priority date (pct application filed before 20040101)
WWE Wipo information: entry into national phase

Ref document number: 10825625

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2002785220

Country of ref document: EP

REG Reference to national code

Ref country code: DE

Ref legal event code: 8642

WWP Wipo information: published in national office

Ref document number: 2002785220

Country of ref document: EP

WWG Wipo information: grant in national office

Ref document number: 2002785220

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: JP

WWW Wipo information: withdrawn in national office

Country of ref document: JP