IntroductionElliptic Curve Cryptosy

Introduction
Elliptic Curve Cryptosystems (ECC) offer the same level security with much shorter key length than RSA cryptosystems, so that they are suitable for implementing on resource-constraint devices such as smart cards. In recent years, a new class of attacks has been proposed to extract some secret information from a cryptographic device using side channel information (execution time, power consumption), that are called side channel attacks. Power analysis attacks, the most typical side channel attacks, are real threats to smart cards since the power consumption during cryptographic protocols is relatively dominant in such devices. These attacks include Simple Power Analysis and Differential Power Analysis. SPA utilizes a power consumption trace during a single execution,where as DPA requires many power consumption traces and analyzes them with statistical tools. For ECC, many SPA/DPA attacks and countermeasures have been investigated since Coron generalized power analysis attacks to a scalar multiplication dP, where d is a secret scalar and P is a point on an elliptic curve. In 2002, Brier and Joye proposed unified addition formulae that make a point addition and a point doubling indistinguishable on an elliptic curve with Weierstrass form. This indistinguishability guarantees SPA-resistance and enables the use of efficient addition chains such as Non-Adjacent Form (NAF) and so-called window methods. In the meantime, Montgomery ladder always repeats a point addition and doubling, thus an SPA attacker cannot know any bit information of a secret scalar [16]. Montgomery ladder on an elliptic curve with Montgomery form requires much less costs than that on an elliptic curve with Weierstrass form [15, 16]. One can easily enhance these two SPA countermeasures to be DPA-resistant by combining them to randomized projective representation [5, 17] or randomized curve isomorphism [9]. In this paper, we propose a novel attack to these DPA countermeasures. We firstly describe the difference of power consumption between modular multiplication and modular squaring. Messerges et al. experimented DPA attacks to modular exponentiation using distinguishability between multiplication and squaring, but there is no investigation about this bias in CMOS circuits. We give detailed descriptions of the bias by estimating the transition probability for each gate in carry-save adder tree, which is a main component of a multiplier, during Montgomery modular multiplication algorithm. We performed a net-list timing simulation of our ECC co-processor and confirmed sharp peaks in the difference between Montgomery modular multiplication and Montgomery modular
squaring. Secondly, we apply this bias to the above mentioned two SPA/DPA countermeasures.
For unified addition formulae, an attacker can distinguish whether the formulae work as a point addition or doubling, and detect a secret scalar. For Montgomery ladder on a Montgomery-form curve, we utilize a “special” point that equalizes both inputs of a certain modular multiplication in a point doubling. The point satisfies x 2 + (A − 4)x + 1 = 0, and the proposed attack is effective to ECC on any curve that has this point. The rest of this paper is organized as follows: in section 2 we briefly review power analysis attacks and countermeasures to ECC. Section 3 provides detailed description of the bias between Montgomery modular multiplication and Montgomery modular squaring together with a simulation result. In section 4, we apply the bias to two power analysis countermeasures. Finally, we conclude in section 5.

Kết quả (Việt) 1:

Giới thiệuElliptic Curve Cryptosystems (ECC) cung cấp an ninh cấp cao cùng với nhiều chiều dài khóa ngắn hơn so với RSA cryptosystems, do đó họ rất thích hợp cho việc thực hiện trên các thiết bị nguồn lực hạn chế như thẻ thông minh. Những năm gần đây, một lớp mới của cuộc tấn công đã được đề xuất để trích xuất một số thông tin bí mật từ một thiết bị mật mã bằng cách sử dụng thông tin kênh bên (thời gian thực hiện, công suất tiêu thụ), được gọi là cuộc tấn công bên kênh. Các cuộc tấn công sức mạnh phân tích, các cuộc tấn công bên kênh tiêu biểu nhất, là mối đe dọa thực sự thông minh thẻ vì tiêu thụ điện năng trong giao thức mật mã là tương đối chiếm ưu thế trong các thiết bị như vậy. Các cuộc tấn công bao gồm các vi sai điện phân tích và phân tích sức mạnh đơn giản. SPA sử dụng một dấu vết mức tiêu thụ năng lượng trong một thực hiện duy nhất, nơi mà như yêu cầu DPA tiêu thụ điện năng nhiều dấu vết và phân tích chúng với các công cụ thống kê. Cho ECC, nhiều cuộc tấn công của SPA/DPA và các biện pháp đối phó đã được nghiên cứu vì Coron tổng quát hóa cuộc tấn công phân tích sức mạnh để nhân vô hướng dP, nơi d là một bí mật vô hướng và P là một điểm nằm trên một đường cong elip. Năm 2002, Brier và Joye đề nghị thống nhất bổ sung công thức mà làm cho một bổ sung điểm và điểm tăng gấp đôi không thể phân biệt trên một đường cong elip với hình thức Weierstrass. Indistinguishability này đảm bảo các SPA-sức đề kháng và cho phép sử dụng hiệu quả bổ sung xích như phòng không liền nhau hình thức (NAF) và các phương pháp như vậy gọi là cửa sổ. Cùng lúc đó, bậc thang Montgomery luôn lặp đi lặp lại một điểm bổ sung và tăng gấp đôi, do đó kẻ SPA không biết bất kỳ bit thông tin của một bí mật vô hướng [16]. Montgomery bậc thang trên một đường cong elip với hình thức Montgomery đòi hỏi chi phí ít hơn nhiều so với trên một đường cong elip với hình thức Weierstrass [15, 16]. Một có thể dễ dàng tăng cường các biện pháp đối phó SPA hai được kháng DPA bằng cách kết hợp chúng để ngẫu nhiên đại diện projective [5, 17] hoặc đẳng cấu ngẫu nhiên các đường cong [9]. Trong bài báo này, chúng tôi đề xuất một cuộc tấn công mới lạ với những biện pháp đối phó DPA. Trước hết, chúng tôi mô tả sự khác biệt của điện năng tiêu thụ giữa các mô đun nhân và mô-đun bình phương và nhân. Thử nghiệm Messerges et al. DPA cuộc tấn công để lũy thừa mô-đun bằng cách sử dụng distinguishability giữa phép nhân và bình phương, nhưng không có cuộc điều tra về này thiên vị trong CMOS mạch. Chúng tôi cung cấp cho các mô tả chi tiết của thiên vị bởi ước tính xác suất chuyển đổi cho mỗi cổng trong thực hiện-save adder cây, đó là một thành phần chính của một số nhân, trong thuật toán mô-đun nhân Montgomery. Chúng tôi thực hiện một mô phỏng thời gian mạng-danh sách của chúng tôi xử lý đồng ECC và xác nhận sắc nét đỉnh trong sự khác biệt giữa Montgomery mô-đun nhân và mô-đun Montgomerybình phương và nhân. Thứ hai, chúng tôi áp dụng xu hướng này để các nêu hai SPA/DPA biện pháp đối phó.Cho công thức thống nhất bổ sung, một kẻ tấn công có thể phân biệt cho dù các công thức làm việc như là một bổ sung điểm hoặc tăng gấp đôi, và phát hiện một bí mật vô hướng. Cho Montgomery các bậc thang trên một đường cong hình thức Montgomery, chúng tôi sử dụng một điểm "đặc biệt" equalizes cả hai đầu vào của một số nhân mô-đun trong một thời điểm tăng gấp đôi. Điểm thỏa mãn x 2 + (một − 4) x + 1 = 0, và các cuộc tấn công được đề xuất là hiệu quả cho ECC trên bất kỳ đường cong có thời điểm này. Phần còn lại của bài báo này được tổ chức như sau: trong phần 2 chúng tôi một thời gian ngắn xem xét sức mạnh phân tích cuộc tấn công và biện pháp đối phó để ECC. Phần 3 cung cấp các mô tả chi tiết của thiên vị giữa Montgomery mô-đun nhân và Montgomery mô-đun bình phương và nhân cùng với một kết quả mô phỏng. Trong phần 4, chúng tôi áp dụng thiên vị cho hai quyền lực phân tích biện pháp đối phó. Cuối cùng, chúng tôi kết luận trong phần 5.

Kết quả (Việt) 2:

Giới thiệu
Elliptic Curve hệ mật (ECC) cung cấp mức độ bảo mật cùng với chiều dài khóa ngắn hơn nhiều so với các hệ mật RSA, vì vậy mà họ rất thích hợp cho việc thực hiện trên các thiết bị có nguồn lực hạn chế như thẻ thông minh. Trong những năm gần đây, một lớp học mới của các cuộc tấn công đã được đề xuất để trích xuất một số thông tin bí mật từ một thiết bị mật mã sử dụng thông tin bên kênh (thời gian thực hiện, tiêu thụ điện năng), được gọi là cuộc tấn công kênh bên. Sức mạnh tấn công phân tích, các cuộc tấn công kênh bên điển hình nhất, là mối đe dọa thực sự đối với các thẻ thông minh kể từ khi điện năng tiêu thụ trong các giao thức mã hóa là tương đối lớn trong các thiết bị như vậy. Những cuộc tấn công bao gồm Simple điện Phân tích và Power Phân tích sai. SPA sử dụng một dấu vết điện năng tiêu thụ trong một thực thi duy nhất, nơi như DPA đòi hỏi nhiều dấu vết điện năng tiêu thụ và phân tích chúng với các công cụ thống kê. Đối với ECC, nhiều cuộc tấn SPA / DPA và biện pháp đối phó đã được nghiên cứu từ năm Coron tấn công phân tích năng lượng tổng quát để một phép nhân vô hướng dP, trong đó d là một vô hướng bí mật và P là một điểm trên một đường cong elliptic. Năm 2002, Brier và Joye đề xuất công thức bổ sung thống nhất mà làm cho một bổ sung điểm và tăng gấp đôi điểm không thể phân biệt trên một đường cong elliptic với hình thức Weierstrass. việc không phân biệt này đảm bảo SPA-kháng và cho phép việc sử dụng các chuỗi bổ sung hiệu quả như mẫu không liền kề (NAF) và cái gọi là phương pháp cửa sổ. Trong khi đó, Montgomery thang luôn lặp đi lặp lại một bổ sung điểm và tăng gấp đôi, do đó kẻ tấn công SPA không thể biết bất kỳ thông tin chút một vô hướng bí mật [16]. Montgomery thang trên một đường cong elliptic với hình thức Montgomery đòi hỏi chi phí ít hơn nhiều so với trên một đường cong elliptic với Weierstrass hình thức [15, 16]. Người ta có thể dễ dàng tăng cường các biện pháp đối phó hai SPA là DPA-kháng bằng cách kết hợp chúng để đại diện ngẫu nhiên projective [5, 17] hoặc ngẫu nhiên đường cong đẳng cấu [9]. Trong bài báo này, chúng tôi đề xuất một cuộc tấn công mới để các biện pháp đối phó DPA. Trước hết chúng ta mô tả sự khác biệt của điện năng tiêu thụ giữa nhân mô-đun và bình phương mô-đun. Messerges et al. thử nghiệm tấn DPA cho lũy thừa modulo sử dụng distinguishability giữa nhân và bình phương, nhưng không có điều tra về sự thiên lệch này trong mạch CMOS. Chúng tôi cung cấp mô tả chi tiết của sự thiên vị bằng cách ước lượng xác suất chuyển cho mỗi cổng trong cây bộ cộng carry-tiết kiệm, mà là một thành phần chính của một số nhân, trong Montgomery thuật toán mô đun nhân.
Chúng tôi thực hiện một mô phỏng thời gian net-list của ECC đồng xử lý của chúng tôi và khẳng định đỉnh nhọn trong sự khác biệt giữa Montgomery nhân mô-đun và Montgomery modular bình phương. Thứ hai, chúng tôi áp dụng thiên vị này để đề cập ở trên hai biện pháp đối phó SPA / DPA.
Đối với công thức bổ sung thống nhất, một kẻ tấn công có thể phân biệt được các công thức làm việc như là một bổ sung điểm hoặc tăng gấp đôi, và phát hiện một vô hướng bí mật. Đối với Montgomery thang trên một đường cong Montgomery-hình thức, chúng tôi sử dụng một điểm "đặc biệt" mà equalizes cả đầu vào của một phép nhân modul nhất định trong tăng gấp đôi điểm. Các điểm thỏa mãn x 2 + (A - 4) x + 1 = 0, và các cuộc tấn công được đề xuất là hiệu quả để ECC trên bất kỳ đường cong có điểm này. Phần còn lại của bài viết này được tổ chức như sau: trong phần 2, chúng ta xem xét một thời gian ngắn các cuộc tấn công phân tích năng lượng và biện pháp đối phó với ECC. Phần 3 mô tả chi tiết của sự thiên vị giữa Montgomery nhân mô-đun và Montgomery modular bình phương cùng với một kết quả mô phỏng. Trong phần 4, chúng tôi áp dụng các biện pháp đối phó thiên vị cho hai phân tích năng lượng. Cuối cùng, chúng tôi kết luận trong phần 5.

Kết quả (Việt) 3:

ProfileĐường cong elip (ECC) cùng một hệ thống cung cấp mật khẩu độ có chiều dài ít hơn thế an toàn hơn hệ thống mật mã khóa RSA, làm cho nó phù hợp với nguồn lực hạn chế như thẻ thông minh thiết bị đã trở thành hiện thực.Trong những năm gần đây, một loại mới tấn công đã được chiết ra từ các thiết bị sử dụng vài bí mật thông tin mã hóa kênh bên thông tin (thực hiện thời gian, công Hao), được gọi là kênh bên tấn công.Tấn công phân tích điện, điển hình nhất của kênh bên tấn công, là thẻ thông minh thực sự đe dọa, vì trong giao thức mã hóa tương đối công hao là dominant, trong thiết bị như vậy.Những cuộc tấn công bao gồm đơn giản công hao Analysis and Difference công hao phân tích.Suối nước nóng được sử dụng trong quá trình thực thi công hao trace đơn, như DPA cần rất nhiều dấu vết và công cụ phân tích thống kê công Hao.ECC, nhiều cuộc tấn công chiến lược DPA spa, và đã tiến hành nghiên cứu, due to nên thuyết phân tích năng lượng tấn công một đại lượng vô hướng của nhân DP, D là một bí mật của đại lượng vô hướng và P là một điểm trên đường cong elip.2002; gai gốc và Joye đề nghị thống nhất công thức cộng, khiến hơn gấp đôi chút khác biệt với phép cộng và Weierstrass tạo thành một đường cong elip.Nó không thể đảm bảo cho hiệu quả Cộng kháng spa chuỗi gần như phi loại sử dụng (NaF) và được gọi là phương pháp của cửa sổ.Trong khi đó, Montgomery bậc thang luôn nhắc lại một chút sẽ tăng gấp đôi, và tấn công bất cứ một spa không biết bí mật của đại lượng vô hướng [16] chút thông tin.Montgomery thang đường cong elip trên hình thức của Montgomery cần chi phí ít hơn nhiều so Weierstrass đường cong elip hơn trong hình thức [15, 16).Các biện pháp này có thể tăng cường hai giai đoạn Spa của chiếu kết hợp ngẫu nhiên nghĩa là [5], 17 tấn công chống DPA ngẫu nhiên, hoặc đường cong với cấu trúc [9].Trong bài viết này, chúng ta đã đưa ra một chiến lược mới DPA tấn công.Chúng tôi đầu tiên miêu tả khuôn bằng khuôn vuông, giữa tiêu hao sức mạnh khác nhau.Messerges et al.Cố gắng để sử dụng DPA tấn công khuôn vuông của hoạt động điện và nhân giữa phân biệt, nhưng không có điều tra những định kiến trong mạch CMOS.Chúng ta sẽ được mô tả chi tiết độ lệch của mọi cánh cửa ước tính xác suất chuyển vào để giữ cộng cây, đây là một phần chính của nhân, Montgomery trong khuôn bằng thuật toán.Chúng ta đã tiến hành bàn mô hình mạng của chúng ta ECC processor và chắc chắn của Montgomery chết đi và Montgomery mô - đun sắc phong là khác nhau.REE.Thứ hai, chúng ta sẽ có độ lệch này phải nêu trên hai DPA spa, biện pháp đối phó.Đối với cộng đồng của công thức, kẻ tấn công có thể phân biệt công thức có như một chút phép cộng hay tăng gấp đôi, và phát hiện một bí mật đại lượng vô hướng.Montgomery ở Montgomery thang hình cong, chúng ta sử dụng một điểm đặc biệt trong lần. Phải, làm khuôn phép nhân nhập.Giờ gặp x 2 + (một − 4) x + 1 = 0, và đề nghị là cuộc tấn công hiệu quả ECC ở bất cứ đường cong, có một chút.Phần còn lại của tờ báo này được sắp xếp như sau: số 2 phần Brief review of rồi tấn công và phân tích chiến lược công hao ECC.3 hải lý cung cấp ngựa Mông Kha bằng ngựa và Mông Kha với mô hình vuông kết quả của độ lệch giữa mô tả chi tiết.Vào ngày thứ 4 trong thiên vị, chúng ta sẽ sử dụng hai loại phân tích điện Biện pháp đối phó.Cuối cùng, chúng tôi ở số 5 phần kết luận.