WO2008013083A1 - Générateur de nombres pseudo-aléatoires, dispositif de cryptage de flux et programme - Google Patents

Générateur de nombres pseudo-aléatoires, dispositif de cryptage de flux et programme Download PDF

Info

Publication number
WO2008013083A1
WO2008013083A1 PCT/JP2007/064148 JP2007064148W WO2008013083A1 WO 2008013083 A1 WO2008013083 A1 WO 2008013083A1 JP 2007064148 W JP2007064148 W JP 2007064148W WO 2008013083 A1 WO2008013083 A1 WO 2008013083A1
Authority
WO
WIPO (PCT)
Prior art keywords
feedback shift
linear feedback
shift register
pseudo
generation
Prior art date
Application number
PCT/JP2007/064148
Other languages
English (en)
French (fr)
Inventor
Toru Hisakado
Original Assignee
Nec Corporation
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nec Corporation filed Critical Nec Corporation
Priority to EP07790903A priority Critical patent/EP2056275A4/en
Priority to JP2008526733A priority patent/JP5136416B2/ja
Priority to US12/374,987 priority patent/US20090327382A1/en
Publication of WO2008013083A1 publication Critical patent/WO2008013083A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/002—Countermeasures against attacks on cryptographic mechanisms
    • H04L9/003—Countermeasures against attacks on cryptographic mechanisms for power analysis, e.g. differential power analysis [DPA] or simple power analysis [SPA]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/58—Random or pseudo-random number generators
    • G06F7/582—Pseudo-random number generators
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/065—Encryption by serially and continuously modifying data stream elements, e.g. stream cipher systems, RC4, SEAL or A5/3
    • H04L9/0656—Pseudorandom key sequence combined element-for-element with data sequence, e.g. one-time-pad [OTP] or Vernam's cipher
    • H04L9/0662—Pseudorandom key sequence combined element-for-element with data sequence, e.g. one-time-pad [OTP] or Vernam's cipher with particular pseudorandom sequence generator
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2207/00—Indexing scheme relating to methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F2207/58—Indexing scheme relating to groups G06F7/58 - G06F7/588
    • G06F2207/581—Generating an LFSR sequence, e.g. an m-sequence; sequence may be generated without LFSR, e.g. using Galois Field arithmetic
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2207/00—Indexing scheme relating to methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F2207/72—Indexing scheme relating to groups G06F7/72 - G06F7/729
    • G06F2207/7219—Countermeasures against side channel or fault attacks
    • G06F2207/7223—Randomisation as countermeasure against side channel attacks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2207/00—Indexing scheme relating to methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F2207/72—Indexing scheme relating to groups G06F7/72 - G06F7/729
    • G06F2207/7219—Countermeasures against side channel or fault attacks
    • G06F2207/7261—Uniform execution, e.g. avoiding jumps, or using formulae with the same power profile
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/58—Random or pseudo-random number generators
    • G06F7/582—Pseudo-random number generators
    • G06F7/584—Pseudo-random number generators using finite field arithmetic, e.g. using a linear feedback shift register

Definitions

  • the present invention relates to a pseudo-random number generator, a stream cipher processor, and a program, and in particular, uses a plurality of linear feedback registers (hereinafter also referred to as “LFSR”), and controls the operation of the LFSR according to its internal state.
  • LFSR linear feedback registers
  • the present invention relates to a so-called clock-controlled pseudorandom number generator, a stream cipher processor, and a program.
  • Ciphers can be broadly divided into common key ciphers and public key ciphers.
  • the former common key encryption is an encryption method that uses the same common key for encryption and decryption, and the key is kept secret.
  • the other public key cipher has different keys for encryption and decryption, and either key can be made public.
  • Common key cryptography is generally used for high-capacity data communication because of its high speed, and public key cryptography is slow but easy to manage keys.
  • Block ciphers encryption is performed by transposition or computation on data divided into blocks, while stream ciphers use pseudorandom numbers output from a pseudorandom number generator to generate a predetermined output unit. Encryption is performed sequentially (eg, 1 to several bits). Of the stream ciphers
  • A5Z 1 is a typical algorithm of clock control system that operates LSFR discontinuously.
  • A5Z1 is an operation control type algorithm having three LFSRs as components.
  • LFSR is used as a pseudo-random number generator, but since it can be easily analyzed mathematically, it cannot be used as it is for encryption. Therefore, in A5 / 1, multiple LFSRs are combined.
  • A5Z1 many stream ciphers with multiple LFSRs and operation control units that control their clocks have been proposed.
  • FIG. 13 shows a configuration diagram of a stream encryption method using a clock-controlled pseudo-random number generator equipped with N LFSRs and an operation control unit.
  • the pseudo random number generator 4 includes LFSRs 801 to 80N, an operation control unit 9 that controls the operation of each LFSR, and an output processing unit 10 that determines an output from N LFSRs.
  • the LFSRs 801 to 80N are LFSRs having different bit widths and transition functions, and the operation control unit 9 controls the shift operation of each LFSR based on the respective internal states. After the shift control of each LFSR is completed, the output of each LFSR is processed by the output processing unit and output as the output of the pseudo random number generator 4.
  • the pseudo-random number output from the pseudo-random number generator 4 is used for encryption / decryption with the plaintext 5 or ciphertext 6 in the decryption / decryption processing unit 7.
  • Specific attack methods for the side channel attack include a timing attack focusing on processing time (see Non-Patent Document 1) and a power analysis attack focusing on power consumption! /
  • Power analysis attacks include simple power analysis (SPA) and differential power analysis (DPA) (see Non-Patent Document 2).
  • SPA simple power analysis
  • DPA differential power analysis
  • the document also describes specific attack methods for DPA against DES, a known block cipher.
  • Patent Document 1 describes a countermeasure against vulnerability to power analysis attack of the block cipher.
  • a dummy round function part that performs dummy operations is provided to make power analysis difficult and attack A common key block cipher encryption device with improved resistance is disclosed.
  • Patent Document 1 Japanese Unexamined Patent Publication No. 2006-54568
  • Non-patent literature 1 Paul Kocher fimmg Attacks on Implementations of Diffie-Hellman, RSA, DSS, and Other Systems ", Crypto '96, pp. 104-113, 1996.
  • Non-Patent Document 2 P. Kocher, J. Jaffe, B. Jun, “Introduction to Different Power Analysis and Related Attacks, 1998”
  • Patent Document 1 Note that the entire disclosure of Patent Document 1 and Non-Patent Documents 1 and 2 are incorporated herein by reference.
  • the present inventor has discovered a very effective attack method for a stream encryption method using a clock-controlled pseudorandom number generator typified by A5Z1. First, this attack method is explained.
  • each LFSR 831 to 833 may have an arbitrary bit length.
  • the operation control unit 9 makes a majority decision on the register value of an arbitrary bit of each LFSR, and operates the majority LFSR.
  • Arbitrary registers (C 1 to C 3 in FIG. 14) referred to in clock control in the operation control unit 9 are referred to as clocking taps.
  • Figure 15 shows the relationship between the Clocking tap value and the operating LFSR.
  • the number of LFSRs is 3
  • the number of LFSRs (number of moves) to be operated by the majority decision is 2 or 3.
  • the clocking tap is a node and the time t— Move number power at 1 and time t Use tree search that determines the number of branches.
  • the tree search uses a depth-first search. When the depth reaches a certain depth, the contradiction with the output is checked. If a contradiction is confirmed, the branch search is stopped and the next branch is searched. The search is performed until the internal state of all LFSRs is determined.
  • Fig. 16 shows the relationship between the number of branches (combination of internal states) determined when the number of moves at time t-1 is 3 (hereinafter, combinations of internal states).
  • (X ⁇ ) Y in the move [t] column indicates the move number X at a certain time and the move number Y at the next time;).
  • the operation of the LFSR at the next time t + 1 largely depends on the state of the Clocking tap at time t.
  • the number of branches is usually eight. However, if the number of moves at time t-1 and time t is used, the maximum is six and the minimum is 1 The number of branches can be greatly reduced with books.
  • FIG. 18 is a flowchart showing the flow of processing in a computer program that operates the LFSR by the clock control method and generates pseudo-random numbers.
  • the operation of each LFSR is executed sequentially according to the program. For this reason, there is a difference in the amount of processing when the number of moves is 2 and when the number of moves is 3, and the difference appears as a difference in the processing time required for one output generation process. . Therefore, in the case of software implementation, the difference in processing time can be determined from the power waveform, and the number of moves can be determined.
  • the pseudo random number generator that operates with the A5Z1 algorithm is configured by hardware such as LSI or FPGA, all processing is executed almost simultaneously.
  • the number of LFSRs that operate at the same time changes due to the difference in the number of moves, resulting in a difference in the amount of power consumed for one output generation process (one output unit). Therefore, even in the case of hardware implementation, the number of moves can be determined using the amount of power consumption.
  • the stream encryption method that uses the above has the problem that the difficulty of cryptographic analysis is reduced by the attack method using the number of moves.
  • the present invention has been made in view of the vulnerability of the clock-controlled pseudo-random number generator, and is a pseudo-random number generator having resistance to the attack method proposed by the inventor.
  • An object of the present invention is to provide a stream cipher processing apparatus and program.
  • a clock-controlled pseudo-loop that has N LFSRs and generates pseudo-random numbers by controlling the operation of each LFSR according to the internal state of each LFSR.
  • a pseudo-random number generating apparatus comprising: means for equalizing a generation processing time of one output unit related to the number of operations of the LFSR, using the pseudo-random number output by the apparatus ⁇ ⁇ ⁇ ⁇ ⁇
  • a stream encryption processing device that performs decryption processing and a program that realizes these are provided.
  • a clock-controlled pseudo-loop that has N LFSRs and generates pseudo-random numbers by controlling the operation of each LFSR according to the internal state of each LFSR.
  • a pseudo-random number generation device comprising a means for varying a generation processing time of one output unit with a fluctuation range larger than a processing time required for at least one LFSR operation,
  • a stream encryption processing apparatus that performs a trap decryption process using a pseudo-random number output from the apparatus, and a program for realizing the same.
  • a clock-controlled pseudo-loop that has N LFSRs and generates pseudo-random numbers by controlling the operation of each LFSR according to the internal state of each LFSR.
  • the random number generation device there is provided a pseudo random number generation device characterized by comprising means for keeping a constant amount of power consumed in the generation processing of one output unit, and the device power performs the decoding process using the pseudo random number output
  • a stream cipher processing apparatus and a program for realizing the same are provided.
  • a clock-controlled pseudo-loop that has N LFSRs and generates pseudo-random numbers by controlling the operation of each LFSR according to the internal state of each LFSR.
  • the random number generator there is provided means for varying the power consumed for the generation process of one output unit with a fluctuation range larger than the power consumption required for at least one LFSR operation.
  • a stream cipher processing apparatus that performs encryption / decryption processing using pseudorandom numbers output from the apparatus, and a program for realizing the same.
  • the number of LFSR operations required to generate one output unit can be concealed, so that an encryption system with improved resistance to the attack method proposed by the present inventor is obtained. It becomes possible.
  • FIG. 1 is a diagram showing a schematic configuration of a wrinkle decoding processing apparatus to which the present invention can be applied.
  • FIG. 2 is a block diagram of a stream encryption method according to the first embodiment of the present invention.
  • FIG. 3 is a flowchart showing the operation of the pseudo random number generator according to the first embodiment of the present invention.
  • FIG. 4 is a configuration diagram of a stream encryption method according to a second embodiment of the present invention.
  • FIG. 5 is a flowchart showing the operation of the pseudorandom number generator according to the second embodiment of the present invention.
  • FIG. 6 is a configuration diagram of a stream encryption method according to a third embodiment of the present invention.
  • FIG. 7 is a flowchart showing the operation of the pseudorandom number generator according to the third embodiment of the present invention.
  • FIG. 8 is a block diagram of a stream encryption method according to a fourth embodiment of the present invention.
  • FIG. 9 is a configuration diagram of a stream encryption method according to a fifth embodiment of the present invention.
  • FIG. 10 is a configuration diagram of a stream encryption method according to the sixth embodiment of the present invention.
  • FIG. 11 is a flowchart for explaining a modified embodiment of the present invention.
  • FIG. 12 is a configuration diagram for explaining a modified embodiment of the present invention.
  • V the stream encryption system
  • FIG. 14 is a diagram for explaining a stream cipher system attack method proposed by the present inventors.
  • FIG. 16 A table showing the relationship between the number of branches (combination of internal states) determined when the number of moves at time t-1 is three.
  • FIG. 17 A table showing the relationship between the number of branches determined when only LFSR831 and LFSR832 operate at time t and Clocking tap value of R3 is 1.
  • FIG. 18 is a flowchart showing the flow of processing in a computer program that operates LFSR by a clock control method and generates pseudo-random numbers.
  • FIG. 1 is a diagram showing a schematic configuration of a stream decoding processing apparatus to which the present invention can be applied.
  • the stream decoding processing device includes an arithmetic processing device 1 that executes arithmetic processing described later under program control, and an input / output device 2 that exchanges ciphertext and data with an external device. And a storage device 3 having a data storage unit 31 and a program storage unit 32.
  • the data storage unit 31 of the storage device 3 is a place where various parameters necessary for executing the program are stored, and the secret key 311 for encryption is stored here.
  • the program storage unit 32 is a place where various programs necessary for the decryption processing device are stored, and an encryption program (stream encryption processing program) 3 21 for realizing the processing means of each embodiment described later is provided here. In the thread.
  • the above-described decryption processing device can be realized in various information processing devices such as a personal computer (PC), a portable terminal, an IC card, and a reader / writer by installing software or hardware as described later. It is.
  • PC personal computer
  • the arithmetic processing is performed by reading the encryption program 321 stored in the auxiliary storage device such as a magnetic disk into the storage device 3 (not shown). Executable on device 1.
  • FIG. 2 is a configuration diagram of the stream encryption method according to the first exemplary embodiment of the present invention.
  • the pseudo random number generator (pseudo random number generator) 4 includes N LFSRs 801 to 80N, N delay processing units 811 to 81N that are the same as LFSR801 to 80N, an operation control unit 9 that controls them, and N It consists of an output processing unit 10 that determines output from one LFSR.
  • the delay processing means 811 to 81N are the delay processing that consumes the same processing time as the shift processing for the LFSRs 801 to 80N for which the shift control is not selected by the operation control unit 9. It is a means to execute the reason.
  • the B-sound decryption processor 7 is means for executing encryption or decryption with the plaintext 5 or the ciphertext 6 by using the pseudorandom number output from the pseudorandom number generator 4.
  • N delay processing means 811 to 81N which are the same number as N LFSRs, are added!
  • FIG. 3 is a flowchart showing the operation of the pseudorandom number generator 4 according to the present embodiment.
  • step A1 when the encryption program 321 is activated by a call from another program (step A1), first, initialization is performed as preparation for generating a pseudo-random number (step A).
  • step A2 When the initialization of step A2 is completed, the operation control unit 9 performs L according to a predetermined selection criterion.
  • the operation control unit 9 operates the delay processing means (811) and operates LFSR-1 (801 in FIG. 2). A delay process with the same processing time as the shift process is performed (step A10).
  • step A5 the above operation determination and each process according to the determination result are performed (step A5, step A6, step All).
  • step A7 a pseudo-random number generation process of a predetermined output unit is performed based on the internal state.
  • step A3 to step A7 A series of processing from step A3 to step A7 is repeatedly executed, and ends when a pseudo-random number of a specified length can be generated (steps A8 and A9).
  • the same amount of delay processing is always performed even when the shift processing is not selected in the operation control unit 9, and therefore the processing time of one operation is All LFSRs have the same processing time as the shift operation, and are made uniform (constant). This makes it difficult to derive a secret key by measuring the processing time from the outside.
  • the delay processing means 811-8IN can be realized by using the LFSR having the same size as the LFSR801-80N and performing the shift control by the operation control unit 9. is there.
  • means for executing delay processing such as Wait processing can be employed.
  • the pseudo random number generation process is performed once by a method different from that of the first embodiment.
  • FIG. 4 is a configuration diagram of a stream encryption method according to the second exemplary embodiment of the present invention.
  • Pseudo random number generator (pseudo random number generator) 4 consists of N LFSR801 ⁇ 80N and delay processing means 82
  • an operation control unit 9 for controlling them, and an output processing unit 10 for determining output from N LFSRs.
  • the delay processing means 820 is the LFSR in which the shift processing is not selected by the operation control unit 9.
  • a delay processing means 820 is provided instead of the N delay processing units 811 to 81N, which is the same number as the N LFSRs.
  • FIG. 5 is a flowchart showing the operation of the pseudorandom number generator 4 according to the present embodiment.
  • the operation of this embodiment shown by steps A1—A6, A8, and A9 in FIG. 5 is the same as that of each step Al—A6, A8, and A9 of the first embodiment.
  • the operation control unit 9 stores the number of LFSRs for which shift processing has been selected by means of a counter or the like in determining the operation of each LFSR.
  • the unit 9 compares whether the number stored in the counter is equal to a predetermined number of shift processes (for example, the number of LFSRs (step A12; delay processing operation determination)).
  • the operation control unit 9 uses the delay processing means 820 while incrementing the number stored in the counter. Perform delay processing (step A13).
  • Steps A12 and A13 are repeated until the number stored in the counter becomes equal to the number of shift processes specified in advance.
  • step A8 a series of processing from step A3 to step A7 (including steps A12 and A13) is repeatedly executed, and ends when a pseudo-random number of a specified length can be generated (step A8, A9).
  • bit width information is transmitted to the operation control unit 9 to the delay processing means 820, and a delay comparable to the LFSR that has not been selected for operation is transmitted. It is desirable to make it operate so that the entire processing time of one operation is uniform (constant).
  • the above delay processing can be realized by using LFSR as the delay processing means 820 and performing shift control by the operation control unit 9.
  • means for executing delay processing such as Wait processing can be employed.
  • FIG. 6 is a configuration diagram of a stream encryption method according to the third exemplary embodiment of the present invention.
  • the pseudo random number generator (pseudo random number generator) 4 includes N LFSRs 801 to 80N, random delay processing means 11, an operation control unit 9 for controlling these, and output processing for determining output from the N LFSRs. Part 10.
  • Random delay processing means 11 is means for executing random delay processing independently of the internal states and behaviors of the N LFSRs 801 to 80N.
  • This type of delay processing can be realized by, for example, processing that randomly selects and executes a plurality of operations with different processing times.
  • the objective power of concealing the number of LFSR operations (the number of moves) is also obvious, and the fluctuation range per time achieved by this delay processing is at least one LFS R operation (shift processing). ) Is longer than the processing time required.
  • FIG. 7 is a flowchart showing the operation of the pseudorandom number generator 4 according to the present embodiment.
  • steps A1-A6 and A7-A9 in FIG. 7 are the same as those of steps A1-A6, A7-A9 in the first embodiment, and therefore will be omitted.
  • step A6 When step A6 is completed, the operation control section 9 operates the random delay processing means 11 (step A14).
  • the processing time of one operation of pseudorandom number generation can be made uneven, and it is difficult to derive a secret key by measuring the processing time from the outside. it can.
  • the processing variation due to the random delay processing is described as being larger than the processing time required for at least one LFSR operation (shift processing). It may be difficult to derive the actual processing time if you have fluctuations. Of course you can.
  • FIG. 8 is a configuration diagram of a stream encryption method according to the fourth exemplary embodiment of the present invention.
  • the pseudo random number generator (pseudo random number generator) 4 includes N LFSR801 to 80N, N dummy LFSR811 to 81N, the number of which is the same as LFSR801 to 80N, and the operation control unit 9 that controls them.
  • Output processing unit 10 that determines the output from the LFSR.
  • the B-sound decryption processing unit 7 is means for executing encryption or decryption with the plaintext 5 or the ciphertext 6 using the pseudorandom number output from the pseudorandom number generator 4 as well.
  • the LFSRs 801 to 80N perform a shift operation based on the operation selection of the operation control unit 9, perform agitation while repeating the shift process on secret information such as a secret key, and the data after the agitation Hold.
  • the dummy LFSRs 811 to 81N are LFSRs that operate with the same bit width as the LFSRs 801 to 80N and operate with the same transition function. Shift operation is performed when the corresponding LFSR is stopped.
  • the power consumption required for one operation of pseudorandom number generation can be made uniform, and even if the power consumption is measured from the outside, the number of LFSR operations It is difficult to estimate (move number). Therefore, derivation of the secret key by power analysis can be made difficult.
  • the dummy LFSRs 811 to 81N have been described as operating with the same bit width and the same transition function as the LFSRs 801 to 80N in order to improve the uniformity of power consumption.
  • the tolerance to power analysis attacks can be maintained, it is possible to cover design changes as appropriate.
  • not only LFSR it is also possible to adopt a shift register that consumes the same amount of power, or an LFSR with an arbitrary bit width and transition function.
  • FIG. 9 is a configuration diagram of a stream encryption method according to the fifth exemplary embodiment of the present invention.
  • Pseudorandom number generator (pseudorandom number generator) 4 has N LFSR801 to 80N, M dummy LFSR821 to 82M of the same number as LFSR stopped by the pseudorandom number generation algorithm, and operation to control these It comprises a control unit 9 and an output processing unit 10 that determines output from N LFSRs.
  • the difference from the fourth embodiment is that there are fewer M dummy LFSRs 821 to 82M than N dummy LFSRs, instead of preparing N dummy LFSRs.
  • the number M of dummy LFSRs can be suppressed to less than half of the total number of LFSRs, for example, when the number of LFSRs to be operated is decided by majority vote.
  • the LFSRs 801 to 80N perform a shift operation based on the operation selection of the operation control unit 9, perform agitation while repeating a shift process on secret information such as a secret key, and perform data after the agitation. Hold.
  • a dummy LFSR is operated in the same way as an LFSR that has not been subjected to shift processing, and the power consumption required for one operation of pseudorandom number generation can be made uniform. Therefore, in this embodiment, it is difficult to estimate the number of LFSR operations (number of moves), and it is difficult to derive a secret key by power analysis.
  • dummy LFSR821 to 81M operating with the same bit width as LFSR801 to 80N and operating with the same transition function may be prepared and selected. This is desirable.
  • the dummy LFSRs 821 to 81M are not limited to the LFSR, and a shift register that consumes the same amount of power can be used.
  • FIG. 10 is a configuration diagram of a stream encryption method according to the sixth exemplary embodiment of the present invention.
  • Pseudo random number generator (pseudo random number generator) 4 consists of N LFSR801 ⁇ 80N and N LFSR801
  • An operation control unit 9 that controls up to 80N, a noise generation source 12, and an output processing unit 10 that determines output from N LFSRs.
  • the LFSRs 801 to 80N perform a shift operation based on the operation selection of the operation control unit 9, perform agitation while repeating the shift process on secret information given in advance such as a secret key, and the data after the agitation Hold.
  • the noise source 12 operates independently of the internal states and behaviors of the N LFSRs 801 to 80N (independently), and has a power larger than that consumed in the shift processing of at least one LFSR. This is a random noise source device with fluctuations of.
  • the power consumption of one operation of pseudorandom number generation can be made non-uniform, and it is difficult to derive a secret key by measuring power consumption from the outside. it can.
  • the fluctuation range of the power generated by the noise source 12 has been described as being greater than the power consumption required for at least one LFSR operation (shift process).
  • derivation of actual LFSR power consumption can be made more difficult by having large fluctuations in power consumption.
  • the delay processing means is operated exclusively from the operation of each LFSR, the processing time per time is made uniform (corresponding to the first embodiment above), and at random It is also possible to operate the delay processing means for further analysis.
  • dummy LF SRs that operate exclusively with the operations of each LFSR are prepared, and the power consumption per time is made uniform (in the fourth embodiment described above).
  • the noise source 12 it is possible to employ a configuration in which the noise source 12 is operated.
  • the present invention can be applied to any field that requires a cryptographic system.
  • the present invention can be suitably applied to a device that requires tamper resistance and a program thereof. .

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Physics & Mathematics (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • Computational Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Pure & Applied Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Description

明 細 書
擬似乱数生成装置、ストリーム暗号処理装置及びプログラム
技術分野
[0001] (関連出願)本願は、先の日本特許出願 2006— 201796号（2006年 7月 25日出 願）の優先権を主張するものであり、前記先の出願の全記載内容は、本書に引用を もって繰込み記載されて 、るものとみなされる。
本発明は、擬似乱数生成装置、ストリーム暗号処理装置及びプログラムに関し、特 に、複数個の線形フィードバックレジスタ（以下、「LFSR」ともいう。）を用い、その内 部状態により LFSRの動作制御を行って擬似乱数を生成する所謂クロック制御型の 擬似乱数生成装置、ストリーム暗号処理装置及びプログラムに関する。
背景技術
[0002] 情報の電子データ化が進む中で、情報の保護、秘匿な通信を実現する暗号は欠 かせな!/ヽ技術となって!/ヽる。暗号はその方式から共通鍵暗号と公開鍵暗号に大きく 分けられる。前者の共通鍵暗号は、暗号化と復号化において、同一な共通の鍵を使 用する暗号方式であり、鍵は秘密に保管される。もう一方の公開鍵暗号は、暗号化と 復号ィ匕において異なる鍵をもたせ、どちらか一方の鍵を公開することができる。一般 に共通鍵暗号は高速なため、大容量のデータ通信に用いられ、公開鍵暗号は低速 だが鍵の管理が容易なため、共通鍵暗号の鍵配送や署名、認証に用いられる。
[0003] 共通鍵暗号は、その構造力もブロック暗号とストリーム暗号に分けることができる。ブ ロック暗号は、ブロック単位に分割されたデータに対して転置や演算等により暗号ィ匕 を行う方式に対し、ストリーム暗号は、擬似乱数生成器より出力される擬似乱数を用 いて所定の出力単位 (例： 1〜数 bit)毎に順次暗号ィ匕を行う。ストリーム暗号のうち、
LSFRを非連続的に動作させるクロック制御方式の代表的なアルゴリズムとして A5Z 1が挙げられる。
[0004] A5Z1は、 3個の LFSRを構成要素とする動作制御型のアルゴリズムである。一般 に LFSRは擬似乱数の発生器として用いられるが、数学的に容易に解析可能なため 、そのまま暗号に使用することはできない。そこで、 A5/1では、複数の LFSRを組 み合わせ、さらに LFSRの動作を非連続的に制御させることで、ある時刻での内部状 態の推測を困難にし、暗号としての強度を持たせている。このような複数の LFSRとそ のクロック制御を行う動作制御部を備えたストリーム暗号は A5Z1以外にも多数提案 されている。
[0005] 図 13に、 N個の LFSRと動作制御部を搭載したクロック制御型の擬似乱数生成装 置を用いるストリーム暗号方式の構成図を示す。擬似乱数生成器 4は、 LFSR801〜 80Nと、各 LFSRの動作を制御する動作制御部 9と、 N個の LFSRから出力を決定す る出力処理部 10とを備えて構成される。 LFSR801〜80Nはそれぞれビット幅ゃ遷 移関数の異なる LFSRであり、それぞれの内部状態を基に動作制御部 9が各 LFSR のシフト動作を制御する。各 LFSRのシフト制御が終了後、各 LFSRの出力が出力処 理部にて処理され、擬似乱数生成器 4の出力として出力される。擬似乱数生成器 4 力も出力された擬似乱数は、喑復号ィ匕処理部 7において、平文 5又は暗号文 6との暗 号ィ匕又は復号ィ匕に用いられる。
[0006] ところで、暗号の安全性を高めるには、鍵等の秘密情報が容易に推測できな ヽよう にする必要がある。鍵の全数探索や数学的に解読を行う線形解読や差分解読等と いった暗号解析方法が知られているが、現実的な時間での解析は不可能な状況と いえる。
[0007] その一方で、暗号機能付きの ICカードや携帯端末のように、攻撃者が処理時間や 消費電力を精密に測定できるとの仮定の下で、これらの情報から秘密情報の取得を 試みるサイドチャネル攻撃とその対策が大きな研究テーマとなっている。
[0008] 上記サイドチャネル攻撃の具体的な攻撃方法としては、処理時間に注目したタイミ ング攻撃 (非特許文献 1参照)や消費電力に注目した電力解析攻撃等が知られて！/ヽ る。
[0009] 電力解析攻撃には、単純電力解析 (SPA: Simple Power Analysis)と電力差分 解析 (DPA: Differential Power Analysis)がある（非特許文献 2参照）。また、同文 献には、既知のブロック暗号である DESに対する DPAについて、具体的な攻撃方 法が記載されている。
[0010] 更に、特許文献 1には、上記ブロック暗号の電力解析攻撃に対する脆弱性への対 処と、処理アルゴリズムの複雑化を回避すベぐ平文データが入力される正規のラウ ンド関数部とは別に、ダミー演算を実行するダミーのラウンド関数部を持たせ、電力 解析を困難にして攻撃耐性を高めた共通鍵ブロック暗号ィ匕装置が開示されている。 特許文献 1：特開 2006 - 54568号公報
非特干文献 1： Paul Kocher fimmg Attacks on Implementations of D iffie-Hellman, RSA, DSS, and Other Systems", Crypto' 96, pp. 104- 113, 1996.
非特許文献 2 : P. Kocher, J. Jaffe, B. Jun, "Introduction to Differe ntial Power Analysis and Related Attacks , 1998
発明の開示
発明が解決しょうとする課題
[0011] なお、上記特許文献 1及び非特許文献 1、 2の全開示内容はその引用をもって本書 に繰込み記載する。
本発明者は、上記 A5Z1に代表されるクロック制御型の擬似乱数生成器を用いる ストリーム暗号方式に対して非常に効果的な攻撃方法を発見した。はじめに、この攻 撃方法について説明する。
[0012] 説明の簡略のため、図 14に示す 3個の LFSRにより構成された A5Z1アルゴリズム と同様にクロック制御にて動作するストリーム暗号システムの解析を試みる場合を考 える。通常の解析は、出力結果を元に内部状態の探索を行うが、本攻撃方法によれ ば、動作制御部より決定された LFSRの動作する個数 (以下、「mOVe数」という）が判 断可能であるとき、上記内部状態の探索数を削減することが可能となる。
[0013] ここで、各 LFSR831〜833は任意のビット長でよい。また、動作制御部 9は、各 LF SRの任意のビットのレジスタ値に対し多数決を行 、、多数派の LFSRを動作する。 上記動作制御部 9におけるクロック制御の際に参照される任意のレジスタ（図 14の C 1〜C 3)を Clocking tapと呼ぶ。図 15は、 Clocking tapの値と、動作する LFSR の関係を表した表である。ここでは、 LFSRの個数は 3個であるため、多数決によって 動作対象となる LFSRの数 (move数）は 2個もしくは 3個となる。
[0014] 各 LFSR831〜833の内部状態の探索には、 Clocking tapをノードとし、時刻 t— 1と時刻 tの move数力 枝の数が決まる木探索を用いる。木探索は深さ優先探索を 採用し、ある程度の深さになると出力との矛盾チェックを行い、矛盾が確認できた場 合はその枝の探索をやめ、次の枝の探索を行う。探索はすべての LFSRの内部状態 が決定するまで行われる。
[0015] 図 16は、時刻 t—1の move数が 3であるとわ力つた場合に決定される枝の数（内部 状態の組み合わせ）の関係を示している（以下、図 16、図 17において、 move [t]欄 の（X→) Yは、ある時刻の move数 Xと、次時刻の move数 Yを示している。；)。例えば 、時刻 tの move数が 2の時、次時刻 t+ 1の LFSRの動作は、時刻 tの Clocking tap の状態に大きく依存する。図 17は、時刻 tにおいて、 LFSR831、 LFSR832のみ力 S 動作し、 R3の Clocking tap値が 1である場合（即ち、図 16の C1 = 0、 C2 = 0、 C3 = 1のケース)に決定される枝の数の関係を示している。以上のように、通常では 3個の LFSRの内部状態の探索では枝の数は 8本であるところ、時刻 t— 1及び時刻 tの mo ve数を用いれば、最大で 6本、最小で 1本と大幅に枝数を削減することができる。
[0016] ここで、上記 move数の判別方法について説明する。図 18は、クロック制御方式に て LFSRを動作し擬似乱数を生成するコンピュータプログラムにおける処理の流れを 表したフローチャートである。図 18を参照すると、各 LFSRの動作はプログラムに従つ て順次実行される。そのため、 move数が 2の時と move数が 3の時とでは処理量に違 いが生じ、その違いは、一回（一出力単位）の出力生成処理に掛かる処理時間の違 いとなって現れる。従って、ソフトウェア実装の場合は、上記処理時間の違いを電力 波形から判別し、 move数を判断することができる。
[0017] 一方、 A5Z1アルゴリズムにて動作する擬似乱数生成器力 LSIや FPGA等のハ 一ドウエアで構成されている場合、すべての処理はほぼ同時に実行される。しかしな がら、この場合も、 move数の違いにより、同時に動作する LFSRの個数が変わること から、一回（一出力単位)の出力生成処理に掛カる消費電力量に違いが生じる。従つ て、ハードウェア実装の場合も、上記消費電力量の大きさを利用して move数を判断 することができる。
[0018] 以上のように、図 13に例示した N個の LFSRにより構成され、その内部状態より各 L FSRの動作を制御するクロック制御型の擬似乱数生成器にて生成された擬似乱数 を用いるストリーム暗号方式は、上記 move数を用いた攻撃方法により、暗号解析の 困難性が低減してしまうという問題点がある。
[0019] 本発明は、上記クロック制御型の擬似乱数生成器の脆弱性に鑑みてなされたもの であって、上記本発明者が提案する攻撃方法に対し耐性を持った擬似乱数生成装 置、ストリーム暗号処理装置及びプログラムを提供することを目的とする。
課題を解決するための手段
[0020] 本発明の第 1の視点によれば、 N個の LFSRを有し、前記各 LFSRの内部状態によ り前記各 LFSRの動作制御を行って擬似乱数を生成するクロック制御型の擬似乱数 生成装置であって、前記 LFSRの動作数に関係なぐ一出力単位の生成処理時間を 均一化する手段を備えることを特徴とする擬似乱数生成装置、該装置力 出力され る擬似乱数を用いて喑復号処理を行うストリーム暗号処理装置及びこれらを実現す るプログラムが提供される。
[0021] 本発明の第 2の視点によれば、 N個の LFSRを有し、前記各 LFSRの内部状態によ り前記各 LFSRの動作制御を行って擬似乱数を生成するクロック制御型の擬似乱数 生成装置であって、少なくとも 1回の LFSRの動作に必要とされる処理時間より大きい 変動幅で、一出力単位の生成処理時間を変動させる手段を備えることを特徴とする 擬似乱数生成装置、該装置から出力される擬似乱数を用いて喑復号処理を行うスト リーム暗号処理装置及びこれらを実現するプログラムが提供される。
[0022] 本発明の第 3の視点によれば、 N個の LFSRを有し、前記各 LFSRの内部状態によ り前記各 LFSRの動作制御を行って擬似乱数を生成するクロック制御型の擬似乱数 生成装置において、一出力単位の生成処理に消費される電力を一定ィ匕する手段を 備えることを特徴とする擬似乱数生成装置及び該装置力 出力される擬似乱数を用 いて喑復号処理を行うストリーム暗号処理装置及びこれを実現するためのプログラム が提供される。
[0023] 本発明の第 4の視点によれば、 N個の LFSRを有し、前記各 LFSRの内部状態によ り前記各 LFSRの動作制御を行って擬似乱数を生成するクロック制御型の擬似乱数 生成装置において、少なくとも 1回の LFSRの動作に必要とされる消費電力より大き い変動幅で、一出力単位の生成処理に消費される電力を変動させる手段を備えるこ とを特徴とする擬似乱数生成装置及び該装置から出力される擬似乱数を用いて暗 復号処理を行うストリーム暗号処理装置及びこれを実現するためのプログラムが提供 される。
発明の効果
[0024] 本発明によれば、一出力単位の生成に要する LFSRの動作数を隠蔽することが可 能となるため、本発明者が提案する攻撃方法に対する耐性が向上された暗号システ ムを得ることが可能となる。
図面の簡単な説明
[0025] [図 1]本発明を適用可能な喑復号処理装置の概略構成を表した図である。
[図 2]本発明の第 1の実施形態に係るストリーム暗号方式の構成図である。
[図 3]本発明の第 1の実施形態に係る擬似乱数生成器の動作を表したフローチャート である。
[図 4]本発明の第 2の実施形態に係るストリーム暗号方式の構成図である。
[図 5]本発明の第 2の実施形態に係る擬似乱数生成器の動作を表したフローチャート である。
[図 6]本発明の第 3の実施形態に係るストリーム暗号方式の構成図である。
[図 7]本発明の第 3の実施形態に係る擬似乱数生成器の動作を表したフローチャート である。
[図 8]本発明の第 4の実施形態に係るストリーム暗号方式の構成図である。
[図 9]本発明の第 5の実施形態に係るストリーム暗号方式の構成図である。
[図 10]本発明の第 6の実施形態に係るストリーム暗号方式の構成図である。
[図 11]本発明の変形実施形態を説明するためのフローチャートである。
[図 12]本発明の変形実施形態を説明するための構成図である。
[図 13]N個の LFSRと動作制御部を搭載したクロック制御型の擬似乱数生成器を用
V、るストリーム暗号方式の構成図である。
[図 14]本発明者が提案するストリーム暗号システムの攻撃方法を説明するための図 である。
[図 15]A5Zlアルゴリズムにおける Clocking tapの値と、動作する LFSRの関係を 表した表である。
[図 16]時刻 t—1の move数が 3であるとわ力つた場合に決定される枝の数（内部状態 の組み合わせ)の関係を示した表である。
[図 17]時刻 tにおいて、 LFSR831、 LFSR832のみが動作し、 R3の Clocking tap 値が 1である場合に決定される枝の数の関係を示した表である。
[図 18]クロック制御方式にて LFSRを動作し擬似乱数を生成するコンピュータプログ ラムにおける処理の流れを表したフローチャートである。
符号の説明
1 演算処理装置
2 入出力装置
3 記憶装置
4 擬似乱数生成器 (擬似乱数生成装置）
5 平文
6 暗号文
7 喑復号化処理部
9 動作制御部
10 出力処理部
11 ランダム遅延処理手段
12 ノイズ発生源
31 データ格納部
32 プログラム格納部
311 秘密鍵
321 暗号プログラム（ストリーム暗号処理プログラム）
801〜80N、 831〜833 LFSR
811〜81N 遅延処理手段 Zダミーの LFSR
820 遅延処理手段
821〜82M ダミーの LFSR
Cl、 C2、 C3 Clocking tap 発明を実施するための最良の形態
[0027] 続いて、本発明を実施するための最良の形態について、図面を参照して詳細に説 明する。図 1は、本発明を適用可能なストリーム喑復号処理装置の概略構成を表した 図である。図 1を参照すると、ストリーム喑復号処理装置は、プログラム制御により後 記する演算処理を実行する演算処理装置 1と、外部機器と暗号文やデータのやり取 りを行うための入出力装置 2と、データ格納部 31及びプログラム格納部 32を有する 記憶装置 3と、を備えて構成されている。
[0028] 記憶装置 3のデータ格納部 31は、プログラム実行上で必要な様々なパラメータが 格納される場所であり、暗号の秘密鍵 311はここに格納される。プログラム格納部 32 は、喑復号処理装置で必要な様々なプログラムが格納される場所であり、後記する 各実施形態の処理手段を実現する暗号プログラム (ストリーム暗号処理プログラム） 3 21はここ〖こ格糸内される。
[0029] 上記喑復号処理装置は、後記するようなソフトウェア又はハードウェアを搭載するこ とにより、パーソナルコンピュータ（PC)、携帯端末、 ICカード、リーダライタ等、種々 の情報処理装置にて実現可能である。例えば、パーソナルコンピュータ（PC)にて暗 復号処理装置が実現される場合、図示しな!ヽ磁気ディスク等の補助記憶装置に格納 されている暗号プログラム 321を記憶装置 3に読み出すことより、演算処理装置 1にて 実行可能となる。
[0030] [第 1の実施例]
続いて、擬似乱数の生成過程における一回（一出力単位)の出力生成処理に要す る処理時間を均一化することにより、一出力あたりの LFSRの動作数 (move数)を隠 蔽するようにした本発明の第 1の実施例について説明する。
[0031] 図 2は、本発明の第 1の実施例に係るストリーム暗号方式の構成図である。擬似乱 数生成器（擬似乱数生成装置） 4は、 N個の LFSR801〜80Nと、 LFSR801〜80N と同数の N個の遅延処理手段 811〜81Nと、これらを制御する動作制御部 9と、 N個 の LFSRから出力を決定する出力処理部 10とから構成される。
[0032] 遅延処理手段 811〜81Nは、動作制御部 9よりシフト処理の選択が行われなかつ た LFSR801〜80Nについてそのシフト処理と同程度の処理時間を費やす遅延処 理を実行する手段である。
[0033] B音復号ィ匕処理部 7は、擬似乱数生成器 4力も出力された擬似乱数を用いて平文 5 又は暗号文 6との暗号化又は復号化を実行する手段である。
[0034] 従って、図 13に示した従来構成との相違点は、 N個の LFSRと同数の N個の遅延 処理手段 811〜81Nが追加されて!、る点である。
[0035] 続いて、上記構成よりなる擬似乱数生成器 4の動作について説明する。図 3は、本 実施例に係る擬似乱数生成器 4の動作を表したフローチャートである。
[0036] まず、暗号プログラム 321が、他のプログラムからの呼び出しによって起動されると（ ステップ A1)、まず、擬似乱数を生成するための準備として初期化を行う (ステップ A
2)。この初期設定では秘密鍵等のパラメータにより内部のデータ攪拌等が行われる
[0037] ステップ A2の初期化が完了すると、動作制御部 9は、所定の選択基準に従って、 L
FSR_1 (図 2の 801)の動作判定を行う（ステップ A3)。
[0038] ここで、 LFSR_1 (図 2の 801)の動作が選択されると、 LFSR_1 (801)について
、任意のビットのシフト処理が行われる（ステップ A4)。
[0039] 一方、 LFSR— 1 (図 2の 801)の動作が選択されな力つた場合、動作制御部 9は、 遅延処理手段（811)を動作させ、 LFSR— 1 (図 2の 801)のシフト処理と同程度の処 理時間の遅延処理を実施する (ステップ A10)。
[0040] 同様に、 LFSR— 2〜N (図 2の 802〜80N)について、上記動作判定と判定結果 に伴う各処理が行われる（ステップ A5、ステップ A6、ステップ Al l)。
[0041] そして、すべての LFSRに対する処理が終了した後、その内部状態を基に、所定の 出力単位の擬似乱数生成処理が行われる (ステップ A7)。
[0042] ステップ A3からステップ A7までの一連の処理は繰り返し実行され、指定長の擬似 乱数が生成できた時点で終了する (ステップ A8、 A9)。
[0043] 以上のように、本実施例によれば、動作制御部 9にてシフト処理が選択されなかつ た場合も同程度の遅延処理が必ず行われるため、一回の動作の処理時間は、すべ ての LFSRがシフト動作した際の処理時間と同一となり、均一化 (一定化)される。こ のため、外部からの処理時間の測定による秘密鍵導出を困難にすることができる。 [0044] また、遅延処理手段 811〜8 INとして、 LFSR801〜80Nと同じサイズの LFSRを 用い、動作制御部 9より、そのシフト制御を行うことにより、上記遅延処理を実現するこ とが可能である。また、その他、各 LFSR801〜80Nのシフト処理時間と等しくなる処 理であれば、 Wait処理等の遅延処理を実行する手段等も採用可能である。
[0045] 特に、前者の LFSRと同じサイズのダミーの LFSRによるシフト処理を実行する場合 は、処理時間だけでなく演算処理装置 1にて実行される命令も等しくなるため、消費 電力波形から内部状態を導出する電力解析に対しても強くなるという利点も実現され る。
[0046] [第 2の実施例]
続いて、上記第 1の実施例とは別の方法にて、擬似乱数の生成過程における一回
(一出力単位)の出力生成処理に要する処理時間を均一化し、 LFSRの動作数 (mo ve数)を隠蔽するようにした本発明の第 2の実施例について説明する。
[0047] 図 4は、本発明の第 2の実施例に係るストリーム暗号方式の構成図である。擬似乱 数生成器 (擬似乱数生成装置) 4は、 N個の LFSR801〜80Nと、遅延処理手段 82
0と、これらを制御する動作制御部 9と、 N個の LFSRから出力を決定する出力処理 部 10とを備えて構成される。
[0048] 遅延処理手段 820は、動作制御部 9よりシフト処理の選択が行われなかった LFSR
801〜80Nについてそのシフト処理と同程度の処理時間を費やす遅延処理を実行 する手段である。
[0049] 従って、上記第 1の実施例との相違点は、 N個の LFSRと同数の N個の遅延処理手 段 811〜81Nに代えて、遅延処理手段 820を備えている点である。
[0050] 続いて、上記構成よりなる擬似乱数生成器 4の動作について説明する。図 5は、本 実施例に係る擬似乱数生成器 4の動作を表したフローチャートである。
[0051] 図 5のステップ A1— A6、 A8及び A9で示される本実施例の動作は、第 1の実施例 の各ステップ Al—A6、 A8及び A9と同様であるが、本実施例では、動作制御部 9は 、各 LFSRの動作判定にぉ 、てシフト処理が選択された LFSRの個数をカウンタ等 により記憶しておく。
[0052] そして、すべての LFSR動作判定とそれに伴うシフト処理が完了したあと、動作制御 部 9は、カウンタに記憶された数が、予め規定したシフト処理回数 (例えば、 LFSRの 個数 と等 ゝか、比較を行う（ステップ A12；遅延処理動作判定)。
[0053] 前記比較の結果、カウンタに記憶された数が、予め規定したシフト処理回数より少 ない場合、動作制御部 9は、カウンタに記憶された数をインクリメントしながら、遅延処 理手段 820による遅延処理を実施する (ステップ A13)。
[0054] 上記ステップ A12、ステップ A13の処理は、カウンタに記憶された数が前記予め規 定したシフト処理回数と等しくなるまで繰り返される。
[0055] 本実施例においても、ステップ A3からステップ A7 (ステップ A12、 A13を含む）ま での一連の処理は繰り返し実行され、指定長の擬似乱数が生成できた時点で終了 する（ステップ A8、 A9)。
[0056] 以上のように、本実施例においても、動作制御部 9にてシフト処理が選択されなか つた場合も同程度の遅延処理が必ず行われるため、一回の動作の処理時間が均一 ィ匕 (一定化)される。このため、外部力 の処理時間の測定による秘密鍵導出を困難 にすることができる。
[0057] もちろん、各 LFSR801〜80Nのビット幅がそれぞれ異なる場合は、動作制御部 9 に、当該ビット幅情報を遅延処理手段 820に送信し、動作選択されな力 た LFSRと 同程度の遅延が生じるよう動作させ、一回の動作の全体の処理時間を均一化（一定 ィ匕)することが望ましい。
[0058] また、本実施例においても、遅延処理手段 820として LFSRを用い、動作制御部 9 より、そのシフト制御を行うことにより、上記遅延処理を実現することが可能である。ま た、その他、各 LFSR801〜80Nのシフト処理時間と等しくなる処理であれば、 Wait 処理等の遅延処理を実行する手段等も採用可能である。
[0059] また、上記遅延処理として LFSRによる偽のシフト処理を実行する場合は、処理時 間だけでなく演算処理装置 1にて実行される命令も等しくなるため、消費電力波形か ら内部状態を導出する電力解析に対しても強くなるという利点も実現される。
[0060] [第 3の実施例]
続いて、擬似乱数の生成過程における一回（一出力単位)の出力生成処理に要す る処理時間を変動させ、 LFSRの動作数 (move数)を隠蔽するようにした本発明の第 3の実施例について説明する。
[0061] 図 6は、本発明の第 3の実施例に係るストリーム暗号方式の構成図である。擬似乱 数生成器 (擬似乱数生成装置) 4は、 N個の LFSR801〜80Nと、ランダム遅延処理 手段 11と、これらを制御する動作制御部 9と、 N個の LFSRから出力を決定する出力 処理部 10とを備えて構成される。
[0062] ランダム遅延処理手段 11は、 N個の LFSR801〜80Nの内部状態や挙動とは独 立して、ランダムな遅延処理を実行する手段である。この種の遅延処理は、例えば、 処理時間が異なる複数の演算をランダムに選択して実行する処理によって実現でき る。なお、前記した LFSRの動作数 (move数)を隠蔽するという目的力もも明らかなと おり、この遅延処理によって達成される 1回当たりの変動幅は、少なくとも 1回の LFS Rの動作 (シフト処理）に必要とされる処理時間より大きいものとする。
[0063] 続いて、上記構成よりなる擬似乱数生成器 4の動作について説明する。図 7は、本 実施例に係る擬似乱数生成器 4の動作を表したフローチャートである。
[0064] 図 7のステップ A1— A6、 A7— A9で示される本実施例の動作は、第 1の実施例の 各ステップ A1— A6、 A7— A9と同様であるので省略する。
[0065] ステップ A6が終了した時点で、動作制御部 9は、ランダム遅延処理手段 11を動作 させる（ステップ A14)。
[0066] 以上のように、本実施例では、擬似乱数生成の一回の動作の処理時間を不均一に することができ、外部からの処理時間の測定による秘密鍵導出を困難にすることがで きる。
[0067] なお、上記した実施例では、すべてのシフト処理が完了した後に、 1回のランダム遅 延処理を行うものとして説明したが、擬似乱数の一出力単位の生成に要する時間を 不均一にし、隠蔽することが目的であるため、ランダム遅延処理の実行タイミングや 回数は、特に限定されるものではない。即ち、図 7のステップ A1— A6の任意の位置 に、任意の回数挿入することができる。
[0068] なお、上記した実施例では、ランダム遅延処理による処理の変動幅は少なくとも 1回 の LFSRの動作 (シフト処理）に必要とされる処理時間よりも大きいものとして説明した 力 より大きな時間の変動を持った方が、実際の処理時間の導出を困難にすることが できることはもちろんである。
[0069] [第 4の実施例]
続いて、擬似乱数の生成過程における一回（一出力単位)の出力生成処理に要す る消費電力を均一化（一定化)することにより、一出力あたりの LFSRの動作数 (mov e数)を隠蔽するようにした本発明の第 4の実施例について説明する。
[0070] 図 8は、本発明の第 4の実施例に係るストリーム暗号方式の構成図である。擬似乱 数生成器（擬似乱数生成装置） 4は、 N個の LFSR801〜80Nと、 LFSR801〜80N と同数の N個のダミーの LFSR811〜81Nと、これらを制御する動作制御部 9と、 N個 の LFSRから出力を決定する出力処理部 10とから構成される。
[0071] B音復号ィ匕処理部 7は、擬似乱数生成器 4力も出力された擬似乱数を用いて平文 5 又は暗号文 6との暗号化又は復号化を実行する手段である。
[0072] LFSR801〜80Nは、動作制御部 9の動作選択に基づいてシフト動作し、秘密鍵 等の予め与えられた秘密の情報に対してシフト処理を繰り返しながら攪拌を行い、攪 拌後のデータを保持する。
[0073] ダミーの LFSR811〜81Nは、 LFSR801〜80Nと同一ビット幅で同一の遷移関 数にて動作する LFSR群であり、動作制御部 9の制御により、 LFSR801〜80Nと排 他的に、即ち、対応する LFSRが停止状態にあるときにシフト動作する。
[0074] 以上のように、本実施例によれば、擬似乱数生成の一回の動作に要する消費電力 を均一にすることができ、仮に外部より消費電力を測定しても、 LFSRの動作数 (mov e数)の推定は困難となる。従って、電力解析による秘密鍵導出を困難にすることがで きる。
[0075] なお、上記した実施例では、消費電力の均一性を高めるため、ダミーの LFSR811 〜81Nは LFSR801〜80Nと同一ビット幅で同一の遷移関数にて動作するものとし て説明したが、上記電力解析攻撃に対する耐性を保持できる範囲で、適宜設計的な 変更をカ卩えることは可能である。例えば、 LFSRに限らず、同程度の電力消費を行う シフトレジスタを採用することや、任意のビット幅、遷移関数を持つ LFSRを採用する ことも可能である。
[0076] [第 5の実施例] 続いて、上記第 4の実施例とは別の構成にて、擬似乱数の生成過程における一回 (一出力単位)の出力生成処理に要する消費電力を均一化し、 LFSRの動作数 (mo ve数)を隠蔽するようにした本発明の第 5の実施例について説明する。
[0077] 図 9は、本発明の第 5の実施例に係るストリーム暗号方式の構成図である。擬似乱 数生成器 (擬似乱数生成装置) 4は、 N個の LFSR801〜80Nと、擬似乱数生成ァ ルゴリズムにて停止する LFSRと同数の M個のダミーの LFSR821〜82Mと、これら を制御する動作制御部 9と、 N個の LFSRから出力を決定する出力処理部 10とから 構成される。
[0078] 従って、上記第 4の実施例との相違点は、 N個のダミーの LFSRを用意するのでは なぐ N個より少ない M個のダミーの LFSR821〜82Mで済むことである。上記ダミー の LFSRの個数 Mは、例えば、動作する LFSRが多数決で決せられる場合、 LFSR 総数の半数未満に抑えることができる。
[0079] LFSR801〜80Nは、動作制御部 9の動作選択に基づいてシフト動作し、秘密鍵 等の予め与えられた秘密の情報に対してシフト処理を繰り返しながら攪拌を行い、攪 拌後のデータを保持する。
[0080] ダミーの LFSR821〜82Mは、動作制御部 9の制御により、 LFSR801〜80Nが動 作選択されなかった場合に、シフト動作する。
[0081] 以上のように、シフト処理が行われなかった LFSRと同等に、ダミーの LFSRを動作 させることとなり、擬似乱数生成の一回の動作に要する消費電力を均一にすることが できる。従って、本実施例もまた、 LFSRの動作数 (move数)の推定は困難であり、 電力解析による秘密鍵の導出も困難化される。
[0082] なお、消費電力の均一性を高めるという観点からは、 LFSR801〜80Nと同一ビッ ト幅で同一の遷移関数にて動作するダミーの LFSR821〜81Mが用意され、選択動 作されることが望ましいといえる。また、ダミーの LFSR821〜81Mとしては、 LFSR に限らず、同程度の電力消費を行うシフトレジスタを採用することも可能である。
[0083] [第 6の実施例]
続いて、擬似乱数の生成過程における一回（一出力単位)の出力生成処理に要す る消費電力を変動させ、 LFSRの動作数 (move数)を隠蔽するようにした本発明の第 6の実施例について説明する。
[0084] 図 10は、本発明の第 6の実施例に係るストリーム暗号方式の構成図である。擬似乱 数生成器 (擬似乱数生成装置） 4は、 N個の LFSR801〜80Nと、 N個の LFSR801
〜80Nを制御する動作制御部 9と、ノイズ発生源 12と、 N個の LFSRから出力を決定 する出力処理部 10とを備えて構成される。
[0085] LFSR801〜80Nは、動作制御部 9の動作選択に基づいてシフト動作し、秘密鍵 等の予め与えられた秘密の情報に対してシフト処理を繰り返しながら攪拌を行い、攪 拌後のデータを保持する。
[0086] ノイズ発生源 12は、 N個の LFSR801〜80Nの内部状態や挙動とは独立して（依 存することなく）動作し、少なくとも 1つの LFSRのシフト処理において消費される電力 よりも大きな電力の変動をもつランダムなノイズ発生源装置である。
[0087] 以上のように、本実施例では、擬似乱数生成の一回の動作の消費電力を不均一に することができ、外部からの消費電力の測定による秘密鍵導出を困難にすることがで きる。
[0088] なお、上記した実施例では、ノイズ発生源 12が生ずる電力の変動幅は少なくとも 1 回の LFSRの動作 (シフト処理）に必要とされる消費電力よりも大きいものとして説明 したが、より大きな電力量の変動を持った方が、実際の LFSRの消費電力の導出を 困難にすることができることはもちろんである。
[0089] 以上本発明の好適な実施形態について説明したが、 LFSRの真の動作数を隠蔽 することにより本発明者提案の攻撃方法を無効化するという本発明の要旨を逸脱し な!、範囲で、本発明に各種の変形をカ卩えることが可能であることは 、うまでもな!/、。
[0090] 例えば、図 11に示すように、各 LFSRの動作と排他的に遅延処理手段を動作させ 、一回あたりの処理時間を均一化する（上記第 1の実施例に相当）とともに、ランダム 遅延処理手段を動作させ、より解析しに《することも可能である。
[0091] また、例えば、図 12に示すように、各 LFSRの動作と排他的に動作するダミーの LF SRを用意し、一回あたりの消費電力を均一化する（上記第 4の実施例に相当）ととも に、ノイズ発生源 12を動作させる構成も採用可能である。
[0092] その他、本発明の全開示 (請求の範囲を含む）の枠内において、さらにその基本的 技術思想に基づいて、実施形態ないし実施例の変更 *調整が可能である。また、本 発明の請求の範囲の枠内において種々の開示要素の多様な組み合わせないし選 択が可能である。
産業上の利用可能性
[0093] 本発明は、暗号システムを必要とするあらゆる分野に適用可能である力 上記本発 明の特徴に鑑みれば、耐タンパ一性を必要とするデバイスやそのプログラムに好適 に適用可能である。
[0094] 本発明の全開示 (請求の範囲を含む)の枠内において、さらにその基本的技術思 想に基づいて、実施形態ないし実施例の変更 '調整が可能である。また、本発明の 請求の範囲の枠内において種々の開示要素の多様な組み合わせないし選択が可 能である。

Claims

請求の範囲
[1] N個の線形フィードバックシフトレジスタを有し、前記各線形フィードバックシフトレジ スタの内部状態により前記各線形フィードバックシフトレジスタの動作制御を行って擬 似乱数を生成するクロック制御型の擬似乱数生成装置であって、
前記線形フィードバックシフトレジスタの動作数に関係なぐ一出力単位の生成処 理時間を均一化する手段を備えることを特徴とする擬似乱数生成装置。
[2] 前記線形フィードバックシフトレジスタの動作処理と同程度の処理時間を費やす遅 延処理を実行する遅延処理手段を備え、
前記遅延処理手段を繰り返し動作させることにより、前記一出力単位の生成処理時 間を、すべての線形フィードバックシフトレジスタが動作した際の生成処理時間に保 持すること、
を特徴とする請求項 1に記載の擬似乱数生成装置。
[3] 前記線形フィードバックシフトレジスタの動作処理と同程度の処理時間を費やす遅 延処理を実行する遅延処理手段を備え、
前記各線形フィードバックシフトレジスタの動作と排他的に前記遅延処理手段を動 作させることにより、前記一出力単位の生成処理時間を、すべての線形フィードバッ クシフトレジスタが動作した際の生成処理時間に保持すること、
を特徴とする請求項 1に記載の擬似乱数生成装置。
[4] 前記遅延処理手段として、前記 N個の線形フィードバックシフトレジスタと同数 '同 サイズのダミー線形フィードバックシフトレジスタを備えること、
を特徴とする請求項 3に記載の擬似乱数生成装置。
[5] 更に、前記均一化された一出力単位の生成処理時間を変動させる手段を備えるこ とを特徴とする請求項 1乃至 4いずれか一に記載の擬似乱数生成装置。
[6] N個の線形フィードバックシフトレジスタを有し、前記各線形フィードバックシフトレジ スタの内部状態により前記各線形フィードバックシフトレジスタの動作制御を行って擬 似乱数を生成するクロック制御型の擬似乱数生成装置であって、
少なくとも 1回の線形フィードバックシフトレジスタの動作に必要とされる処理時間よ り大きい変動幅で、一出力単位の生成処理時間を変動させる手段を備えることを特 徴とする擬似乱数生成装置。
[7] 入力パラメータに依存せずにランダムな処理時間を費やす遅延処理を実行するラ ンダム遅延処理手段を備え、
前記ランダム遅延処理手段を動作させることにより、前記一出力単位の生成処理時 間を変動させること、
を特徴とする請求項 6に記載の擬似乱数生成装置。
[8] N個の線形フィードバックシフトレジスタを有し、前記各線形フィードバックシフトレジ スタの内部状態により前記各線形フィードバックシフトレジスタの動作制御を行って擬 似乱数を生成するクロック制御型の擬似乱数生成装置であって、
一出力単位の生成処理に消費される電力を一定ィ匕する手段を備えることを特徴と する擬似乱数生成装置。
[9] 前記線形フィードバックシフトレジスタと同程度の電力を消費するダミー回路を備え 前記ダミー回路を繰り返し動作させることにより、一出力単位の生成処理に消費さ れる電力を、すべての線形フィードバックシフトレジスタが動作した際の消費電力に 保持すること、
を特徴とする請求項 8に記載の擬似乱数生成装置。
[10] 前記線形フィードバックシフトレジスタと同程度の電力を消費するダミー回路を備え 前記各線形フィードバックシフトレジスタの動作と排他的に前記ダミー回路を動作さ せることにより、一出力単位の生成処理に消費される電力を、すべての線形フィード バックシフトレジスタが動作した際の消費電力に保持すること、
を特徴とする請求項 8に記載の擬似乱数生成装置。
[11] 前記ダミー回路として、前記 N個の線形フィードバックシフトレジスタと同数 '同サイ ズのダミー線形フィードバックシフトレジスタを備えること、
を特徴とする請求項 10に記載の擬似乱数生成装置。
[12] 更に、前記一定化された一出力単位の生成処理に消費される電力を変動させる手 段を備えることを特徴とする請求項 8乃至 11いずれか一に記載の擬似乱数生成装 置。
[13] N個の線形フィードバックシフトレジスタを有し、前記各線形フィードバックシフトレジ スタの内部状態により前記各線形フィードバックシフトレジスタの動作制御を行って擬 似乱数を生成するクロック制御型の擬似乱数生成装置であって、
少なくとも 1回の線形フィードバックシフトレジスタの動作に必要とされる消費電力よ り大きい変動幅で、一出力単位の生成処理に消費される電力を変動させる手段を備 えることを特徴とする擬似乱数生成装置。
[14] 入カノラメータに依存せずにランダムに動作するノイズ発生源を備え、
前記ノイズ発生源の動作により、前記一出力単位の生成処理に消費される電力を 変動させること、
を特徴とする請求項 13に記載の擬似乱数生成装置。
[15] 請求項 1乃至 14いずれか一に記載の擬似乱数生成装置を備えたストリーム暗号処 理装置。
[16] N個の線形フィードバックシフトレジスタを有し、前記各線形フィードバックシフトレジ スタの内部状態により前記各線形フィードバックシフトレジスタの動作制御を行って擬 似乱数を生成するクロック制御型の擬似乱数生成装置に実装するプログラムであつ て、
前記線形フィードバックシフトレジスタの動作数に関係なぐ一出力単位の生成処 理時間を均一化する機能を実現させるためのプログラム。
[17] 前記擬似乱数生成装置に内蔵されたコンピュータに、前記線形フィードバックシフト レジスタの動作処理と、同程度の処理時間を費やす遅延処理を繰り返し実行させる ことにより、前記一出力単位の生成処理時間を、すべての線形フィードバックシフトレ ジスタが動作した際の生成処理時間に保持すること、
を特徴とする請求項 16に記載のプログラム。
[18] 前記擬似乱数生成装置に内蔵されたコンピュータに、前記各線形フィードバックシ フトレジスタの動作と排他的に、前記線形フィードバックシフトレジスタの動作処理と 同程度の処理時間を費やす遅延処理を実行させることにより、前記一出力単位の生 成処理時間を、すべての線形フィードバックシフトレジスタが動作した際の生成処理 時間に保持すること、
を特徴とする請求項 16に記載のプログラム。
[19] 前記 N個の線形フィードバックシフトレジスタと同数 ·同サイズのダミー線形フィード ノ ックシフトレジスタを、前記各線形フィードバックシフトレジスタの動作と排他的に動 作させることにより、前記一出力単位の生成処理時間を均一化すること、
を特徴とする請求項 18に記載のプログラム。
[20] 更に、前記均一化された一出力単位の生成処理時間を変動させる機能を実現させ ることを特徴とする請求項 16乃至 19いずれか一に記載のプログラム。
[21] N個の線形フィードバックシフトレジスタを有し、前記各線形フィードバックシフトレジ スタの内部状態により前記各線形フィードバックシフトレジスタの動作制御を行って擬 似乱数を生成するクロック制御型の擬似乱数生成装置に実装するプログラムであつ て、
少なくとも 1回の線形フィードバックシフトレジスタの動作に必要とされる処理時間よ り大きい変動幅で、一出力単位の生成処理時間を変動させる機能を実現させるため のプログラム。
[22] 入力パラメータに依存せずにランダムな処理時間を費やす遅延処理を実行するこ とにより、前記一出力単位の生成処理時間を変動させること、
を特徴とする請求項 21に記載のプログラム。
[23] 請求項 16乃至 22いずれか一に記載のプログラムを含み、更に、
前記プログラムによって生成された擬似乱数を用いて暗号ストリームを喑復号する 処理を、コンピュータに実行させるためのストリーム暗号処理プログラム。
[24] N個の線形フィードバックシフトレジスタを有し、前記各線形フィードバックシフトレジ スタの内部状態により前記各線形フィードバックシフトレジスタの動作制御を行って擬 似乱数を生成するクロック制御型の擬似乱数生成装置に実装するプログラムであつ て、
一出力単位の生成処理に消費される電力を一定ィ匕する機能を実現させるためのプ ログラム。
[25] N個の線形フィードバックシフトレジスタを有し、前記各線形フィードバックシフトレジ スタの内部状態により前記各線形フィードバックシフトレジスタの動作制御を行って擬 似乱数を生成するクロック制御型の擬似乱数生成装置に実装するプログラムであつ て、
少なくとも 1回の線形フィードバックシフトレジスタの動作に必要とされる消費電力よ り大きい変動幅で、一出力単位の生成処理に消費される電力を変動させる機能を実 現させるためのプログラム。
PCT/JP2007/064148 2006-07-25 2007-07-18 Générateur de nombres pseudo-aléatoires, dispositif de cryptage de flux et programme WO2008013083A1 (fr)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP07790903A EP2056275A4 (en) 2006-07-25 2007-07-18 PSEUDOZUFALLSZAHLENGENERATOR, STREAM ENCRYPTION DEVICE AND PROGRAM
JP2008526733A JP5136416B2 (ja) 2006-07-25 2007-07-18 擬似乱数生成装置、ストリーム暗号処理装置及びプログラム
US12/374,987 US20090327382A1 (en) 2006-07-25 2007-07-18 Pseudo-random number generation device, stream encryption device and program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2006-201796 2006-07-25
JP2006201796 2006-07-25

Publications (1)

Publication Number Publication Date
WO2008013083A1 true WO2008013083A1 (fr) 2008-01-31

Family

ID=38981395

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2007/064148 WO2008013083A1 (fr) 2006-07-25 2007-07-18 Générateur de nombres pseudo-aléatoires, dispositif de cryptage de flux et programme

Country Status (4)

Country Link
US (1) US20090327382A1 (ja)
EP (1) EP2056275A4 (ja)
JP (1) JP5136416B2 (ja)
WO (1) WO2008013083A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106257860A (zh) * 2015-06-18 2016-12-28 松下知识产权经营株式会社 随机数处理装置以及集成电路卡
WO2018076639A1 (zh) * 2016-10-25 2018-05-03 华为技术有限公司 一种用于加解密引擎的防止攻击的方法和装置以及芯片

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8949493B1 (en) * 2010-07-30 2015-02-03 Altera Corporation Configurable multi-lane scrambler for flexible protocol support
US8958550B2 (en) * 2011-09-13 2015-02-17 Combined Conditional Access Development & Support. LLC (CCAD) Encryption operation with real data rounds, dummy data rounds, and delay periods
WO2015146120A1 (ja) 2014-03-28 2015-10-01 パナソニックＩｐマネジメント株式会社 蓄電デバイスおよびその製造方法
JP6542171B2 (ja) * 2016-09-15 2019-07-10 東芝メモリ株式会社 ランダマイザおよび半導体記憶装置
CN106548806B (zh) * 2016-10-13 2019-05-24 宁波大学 一种能够防御dpa攻击的移位寄存器
US10263767B1 (en) * 2018-07-03 2019-04-16 Rajant Corporation System and method for power analysis resistant clock

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH09179726A (ja) * 1995-12-25 1997-07-11 Nec Corp 擬似乱数発生装置
JPH1195984A (ja) * 1997-09-24 1999-04-09 Nec Corp 擬似乱数発生方法および装置
JP2000187619A (ja) * 1998-12-22 2000-07-04 Nintendo Co Ltd 記憶媒体の照合装置
JP2000305453A (ja) * 1999-04-21 2000-11-02 Nec Corp 暗号化装置，復号装置，および暗号化・復号装置
JP2001266103A (ja) * 2000-01-12 2001-09-28 Hitachi Ltd Ｉｃカードとマイクロコンピュータ
JP2002533825A (ja) * 1998-12-28 2002-10-08 ブル・セー・ペー・８ インテリジェントｉｃ
JP2004234153A (ja) * 2003-01-29 2004-08-19 Toshiba Corp シード生成回路、乱数生成回路、半導体集積回路、ｉｃカード及び情報端末機器
JP2006054568A (ja) 2004-08-10 2006-02-23 Sony Corp 暗号化装置、復号化装置、および方法、並びにコンピュータ・プログラム

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS5719806A (en) * 1980-07-09 1982-02-02 Toyota Central Res & Dev Lab Inc Fluctuation driving device
US5436973A (en) * 1988-05-09 1995-07-25 Hughes Aircraft Company Pseudo-random signal synthesizer with smooth, flat power spectrum
US4905176A (en) * 1988-10-28 1990-02-27 International Business Machines Corporation Random number generator circuit
US5057795A (en) * 1990-10-25 1991-10-15 Aydin Corporation Digital gaussian white noise generation system and method of use
JP3358954B2 (ja) * 1996-09-17 2002-12-24 アイオニクス沖縄株式会社 擬似ランダムビット列生成器及びそれを使用する暗号通信方法
JPH10222065A (ja) * 1997-02-03 1998-08-21 Nippon Telegr & Teleph Corp <Ntt> 冪乗剰余演算方法及び装置
EP2280502B1 (en) * 1998-06-03 2018-05-02 Cryptography Research, Inc. Using unpredictable information to Resist Discovery of Secrets by External Monitoring
US6208618B1 (en) * 1998-12-04 2001-03-27 Tellabs Operations, Inc. Method and apparatus for replacing lost PSTN data in a packet network
US6594760B1 (en) * 1998-12-21 2003-07-15 Pitney Bowes Inc. System and method for suppressing conducted emissions by a cryptographic device
FR2801751B1 (fr) * 1999-11-30 2002-01-18 St Microelectronics Sa Composant electronique de securite
EP1111785A1 (en) * 1999-12-22 2001-06-27 TELEFONAKTIEBOLAGET L M ERICSSON (publ) Method and device for self-clock controlled pseudo random noise (PN) sequence generation
DE10003472C1 (de) * 2000-01-27 2001-04-26 Infineon Technologies Ag Zufallszahlengenerator
DE10061998A1 (de) * 2000-12-13 2002-07-18 Infineon Technologies Ag Kryptographieprozessor
JP2005202757A (ja) * 2004-01-16 2005-07-28 Mitsubishi Electric Corp 擬似乱数生成装置及びプログラム
US7940927B2 (en) * 2005-04-27 2011-05-10 Panasonic Corporation Information security device and elliptic curve operating device
JP2010288233A (ja) * 2009-06-15 2010-12-24 Toshiba Corp 暗号処理装置

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH09179726A (ja) * 1995-12-25 1997-07-11 Nec Corp 擬似乱数発生装置
JPH1195984A (ja) * 1997-09-24 1999-04-09 Nec Corp 擬似乱数発生方法および装置
JP2000187619A (ja) * 1998-12-22 2000-07-04 Nintendo Co Ltd 記憶媒体の照合装置
JP2002533825A (ja) * 1998-12-28 2002-10-08 ブル・セー・ペー・８ インテリジェントｉｃ
JP2000305453A (ja) * 1999-04-21 2000-11-02 Nec Corp 暗号化装置，復号装置，および暗号化・復号装置
JP2001266103A (ja) * 2000-01-12 2001-09-28 Hitachi Ltd Ｉｃカードとマイクロコンピュータ
JP2004234153A (ja) * 2003-01-29 2004-08-19 Toshiba Corp シード生成回路、乱数生成回路、半導体集積回路、ｉｃカード及び情報端末機器
JP2006054568A (ja) 2004-08-10 2006-02-23 Sony Corp 暗号化装置、復号化装置、および方法、並びにコンピュータ・プログラム

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
P. KOCHER; J. JAFFE; B. JUN, INTRODUCTION TO DIFFERENTIAL POWER ANALYSIS AND RELATED ATTACKS, 1998
PAUL KOCHER: "Timing Attacks on Implementations of Diffie-HeHman, RSA, DSS, and Other Systems", CRYPTO, vol. 96, 1996, pages 104 - 113
See also references of EP2056275A4

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106257860A (zh) * 2015-06-18 2016-12-28 松下知识产权经营株式会社 随机数处理装置以及集成电路卡
WO2018076639A1 (zh) * 2016-10-25 2018-05-03 华为技术有限公司 一种用于加解密引擎的防止攻击的方法和装置以及芯片

Also Published As

Publication number Publication date
US20090327382A1 (en) 2009-12-31
JPWO2008013083A1 (ja) 2009-12-17
JP5136416B2 (ja) 2013-02-06
EP2056275A1 (en) 2009-05-06
EP2056275A4 (en) 2011-05-04

Similar Documents

Publication Publication Date Title
EP1873671B1 (en) A method for protecting IC Cards against power analysis attacks
Coron et al. Conversion from arithmetic to boolean masking with logarithmic complexity
KR102628466B1 (ko) 메시지 부호화 및 복호화를 위한 블록 암호화 방법 및 이 방법을 구현하기 위한 암호화 장치
KR100594265B1 (ko) 매스킹 방법이 적용된 데이터 암호처리장치, ａｅｓ암호시스템 및 ａｅｓ 암호방법.
US8000473B2 (en) Method and apparatus for generating cryptographic sets of instructions automatically and code generator
WO2008013083A1 (fr) Générateur de nombres pseudo-aléatoires, dispositif de cryptage de flux et programme
WO2018017421A1 (en) Modular exponentiation with side channel attack countermeasures
US20150215117A1 (en) White box encryption apparatus and method
US8976960B2 (en) Methods and apparatus for correlation protected processing of cryptographic operations
Ye et al. On the vulnerability of low entropy masking schemes
Grosso et al. Masking vs. multiparty computation: how large is the gap for AES?
Gallais et al. Hardware trojans for inducing or amplifying side-channel leakage of cryptographic software
Igarashi et al. Concurrent faulty clock detection for crypto circuits against clock glitch based DFA
Martinasek et al. Crucial pitfall of DPA Contest V4. 2 implementation
EP3475825B1 (en) Cryptographic operations employing non-linear share encoding for protecting from external monitoring attacks
Schmidt et al. A probing attack on AES
Müller et al. Low-latency hardware masking of PRINCE
Kinsy et al. Sphinx: A secure architecture based on binary code diversification and execution obfuscation
Masoumi et al. Efficient implementation of power analysis attack resistant advanced encryption standard algorithm on side-channel attack standard evaluation board
Kim et al. New Type of Collision Attack on First‐Order Masked AESs
EP4372548A1 (en) Protecting cryptographic operations againt horizontal side-channel analysis attacks
Zhang et al. Revisiting and Evaluating Software Side-channel Vulnerabilities and Countermeasures in Cryptographic Applications
Oswald et al. Side-channel analysis and its relevance to fault attacks
Mozipo Systematic Characterization of Power Side Channel Attacks for Residual and Added Vulnerabilities
US20210117575A1 (en) Obfuscation of operations in computing devices

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 07790903

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2008526733

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 12374987

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2007790903

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: RU