一种全新旁路攻击的分析与防御策略的分析-analysis of a new bypass attack and analysis of defense strategy.docxVIP

1 绪论1.1 研究的目的和意义现代密码学以 C.E.Shannon 于 1949 年发表的《必威体育官网网址系统的通信理论》为开端， 将信息论及相关分析方法引入密码学，开始使用统计学的方法对密码算法进行分析， 随后越来越多的数学理论成果以及信息理论、技术的在密码学上的应用，逐步使密 码学成为研究密码系统及通信安全的一门科学。1971 年，在 H.Feistel 的主持下，IBM 公司成功设计了 Lucifer 算法并用于商业 领域，该算法后于 1977 年被美国国家标准局正式使用，成为数据加密标准(Data Encryption Standard，DES)。随着计算机技术的不断进步，DES 原有的 64 位加密已 经不能满足必威体育精装版的要求，2001 年，美国国家标准与技术研究院发布了 FIPS PUB 197， 将该算法为比利时密码学家 Joan Daemen 和 Vincent Rijmen所设计的 Rijndael 算法正 式定为高级加密标准（Advanced Encryption Standard，AES）。现代密码体制主要由两种构成：对称密码体制和非对称密码体制。对称密码体 制又称为私钥密码体制，以 DES、AES 等为代表的分组密码算法就是典型的对称密 码。非对称密码体制又称为公钥密码体制，RSA 即是最著名的经典公钥密码算法。 与密码技术相伴相生的密码分析学发展到现在，已经超越了原有的以基础数学 分析。传统意义上的密码分析学在分析某个加密算法的安全性能时，并不依赖对算 法本身的细节必威体育官网网址，而是公开算法的所有细节。例如在公钥密码体制中，对某个加 密算法进行安全性能分析时，通常假设攻击者获知算法的流程、数学构成以及所有 的公钥信息。另外一种情况下，攻击者可能会被假设可以向加密算法输入任意明文（或密文）。密码算法的本身安全性建立在数学上不可破解或者难以寻找完美解的 难度，攻击者一般被要求研究密码的数学基础或者寻找加密协议设计的数学建模漏 洞。因此，一般意义上的信息安全模型所采取的防御策略，均是针对密码算法的数 学基础以及攻击者可能采取的数学方法进行分析。随着 1999 年第一届 CHES 会议的召开，研究者发现攻击者可能利用密码算法的具体实现以及加密设备的物理操作中泄露的各种物理信息对密码算法进行分析[1]。旁路攻击即是对加密协议执行时的各 种物理信息的泄漏进行分析。加密设备的运算并不是抽象的数学运算，而是在具体 物理环境下进行各种电路操作，因此包括执行时间、能量、电磁辐射等或者分析当 遇到特定错误时密码设备的举动都是攻击者可以加以利用的信息[2]。攻击者通过收 集这些信息，结合统计分析方法就能快速地破解密码系统。旁路攻击不包括通常的 编程和操作错误，如缓冲溢出、可预测的随机数生成器，紊乱情况和口令选择不当 等。本论文根据一种旁路攻击的算法，分析该算法的理论与实现，以及现有的防御 手段，最终提出针对该算法的旁路攻击防御策略，分析其增加的时间开销，硬件和 存储资源消耗，完善对于旁路攻击的防御。1.2 国内外研究现状1999年开始每年举办一次的”Cryptographic Hardware and Embedded Systems”[2]会议给出大量关于旁路攻击和相应对策的研究报告。SPA 和 DPA 攻击在 1998 年由 kocher，Jaffe 和 Jun[3]提出。Coron[4]首先将这些 攻击应用到椭圆曲线密码方案，并对点乘提出了抵抗简单能量攻击的方法，以及抵 抗 DPA 随机投影坐标方法。Chari 等[5]也给出了一些普通 SPA 和 DPA 的防御对策。1996 年，kocher 介绍了时间分析攻击[6]，他描述了针对 RSA 乘方取模的攻击。 Schinder 给出了针对使用中国剩余定理得 RSA 指数运算实现的时间攻击。Hevia 和 Kiwi[7]描述了针对 DES 的时间攻击，得出了密钥的汉明重量。2003 年，Brumley 和 Boneh 展示了时间攻击能够通过局域网从基于 OpenSSL 的 Web 服务器上窃取 RSA 私钥[8]。必威体育精装版的文献已经给出对于 RSA 和 DES 实现时间攻击的试验结果，但是没有 对于椭圆曲线系统实现时间攻击的公开报道。时间攻击对于现有的椭圆曲线签名方 案，如对 ECDSA 体系的时间攻击，在理论与实现过程中都特别困难，因为每次调 用签名生成程序时都会选择一个新的消息的秘密 k。利用错误消息的旁路攻击的第一个突出的实例是 1998 年 Bleichenbacher[8]对于PKCS#1v1.5 标准的 RSA 加密方案的攻击。该版本使用 RSA 函数之前对于明文消息进行格式化。该版本的 RSA 加密在包括安全网络通信的 SSL 协议在内的实践中被 广泛应用。对于 1024 位的