專利名稱：對(duì)密碼分析的邊信道攻擊的防護(hù)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種用于對(duì)按照?qǐng)?zhí)行指令被設(shè)置用于執(zhí)行功能性密碼操作的電路來防護(hù)密碼分析的邊信道攻擊的方法，所述密碼分析的邊信道攻擊尤其是借助差分功率分析 (DPA)、簡單功率分析(SPA)或者電磁分析(EM)的攻擊，以及涉及一種相應(yīng)的裝置、尤其是一種微處理器。
背景技術(shù)：
雖然本發(fā)明在下文中主要參照汽車中的密碼系統(tǒng)來闡述，但是應(yīng)強(qiáng)調(diào)的是，根據(jù)本發(fā)明的措施并不局限于在機(jī)動(dòng)車領(lǐng)域所采用的裝置及方法，而是可以應(yīng)用于信息技術(shù) (IT)的所有領(lǐng)域。信息技術(shù)尤其在汽車領(lǐng)域變得越來越重要。其一方面涉及基本的車輛功能如發(fā)動(dòng)機(jī)控制、剎車、轉(zhuǎn)向等，然而還涉及次要功能如防盜或氣囊，以及諸如在線道路導(dǎo)向以及所謂車內(nèi)娛樂的應(yīng)用。在此背景下，保護(hù)這類IT應(yīng)用的課題也變得越來越重要。其中需要這種保護(hù)的領(lǐng)域比如包括訪問控制、防盜保護(hù)、在聯(lián)網(wǎng)汽車中的匿名、通信的保密與可靠性、所謂的內(nèi)容保護(hù)(也即數(shù)字版權(quán)的保護(hù))以及法律方面比如計(jì)速儀的防篡改。對(duì)IT保護(hù)的威脅比如可能來自于對(duì)汽車進(jìn)行物理訪問的車主、管理人員或外部
第三者。IT保護(hù)應(yīng)用的中心部件是密碼方法。在此通常給要保護(hù)的單元(比如發(fā)動(dòng)機(jī)控制設(shè)備或信息娛樂單元)設(shè)置一個(gè)密碼密鑰。要保護(hù)的單元通常包含有密碼的微處理器。在汽車中的IT保護(hù)在此與常規(guī)計(jì)算機(jī)網(wǎng)絡(luò)中的那些有根本的不同。在機(jī)動(dòng)車中的資源是有限的，因?yàn)閮H采用相對(duì)弱的嵌入處理器(比如8或16比特微控制器)。許多所謂的攻擊者都有對(duì)機(jī)動(dòng)車的物理訪問，由此比如能夠進(jìn)行邊信道攻擊，這在下文中詳細(xì)解釋。 在機(jī)動(dòng)車IT安全領(lǐng)域中越來越嚴(yán)重的是，被已知的安全漏洞(比如被窺探的密鑰)僅能夠困難地借助事后的改變而被封閉。通過針對(duì)現(xiàn)代汽車的復(fù)雜制造工藝在機(jī)動(dòng)車中建立充分的 IT安全同樣變得困難，其中許多不同的各方(供應(yīng)商、制造商、經(jīng)銷商、管理人員)都參與其中。所謂的邊信道攻擊(Side Channel Attack)是密碼分析方法，其攻擊在裝置中(比如芯片卡、安全令牌或控制設(shè)備的硬件安全模塊)中的密碼系統(tǒng)的物理實(shí)現(xiàn)。其原理主要基于的是，在相應(yīng)的算法處理時(shí)觀測(cè)相應(yīng)的密碼裝置、比如微處理器，并找出在相應(yīng)觀測(cè)的數(shù)據(jù)與可能的密鑰之間的關(guān)系。電流消耗分析(功率分析，Power Analysis)方法在此檢查在密碼計(jì)算期間微處理器的能量消耗。能量消耗根據(jù)相應(yīng)所執(zhí)行的微處理器指令而變化。由此能夠推斷所執(zhí)行的操作以及基于此的密鑰。由此所獲得的“痕跡”(由密碼操作在時(shí)間上所獲得的一定數(shù)量或數(shù)目的能量消耗測(cè)量)可以被用于揭示模式，諸如DES巡查或RSA操作。在相應(yīng)痕跡中的差別可以推斷出所使用的密鑰。除了簡單的電流消耗分析之外，所謂的差分電流消耗分析(差分功率分析，Differential Power Analysis)尤其可以進(jìn)行這種推斷。電磁分析(Electromagnetic Analysis, EM)基于的是對(duì)電磁輻射的相應(yīng)評(píng)估。為了防止對(duì)安全有限的模塊或密碼系統(tǒng)的密碼攻擊，已知有不同的方法，但是其通常或者沒有產(chǎn)生所期望的成功，或者與增加的造價(jià)和/或?qū)嵤┖馁M(fèi)相關(guān)聯(lián)。從而需要簡化的方法來保護(hù)密碼電路，尤其防止邊信道攻擊、優(yōu)選地防止借助差分電流消耗分析的邊信道攻擊。

發(fā)明內(nèi)容
根據(jù)本發(fā)明，推薦了一種用于對(duì)按照?qǐng)?zhí)行指令被設(shè)置用于執(zhí)行功能性密碼操作的電路來防護(hù)密碼分析的邊信道攻擊的方法，所述密碼分析的邊信道攻擊尤其是借助差分功率分析(DPA)、簡單功率分析(SPA)或者電磁分析(EM)的攻擊，以及推薦了具有獨(dú)立權(quán)利要求所述特征的一種相應(yīng)的裝置。有利的擴(kuò)展是從屬權(quán)利要求以及下文說明的主題。根據(jù)本發(fā)明的措施包含有技術(shù)教導(dǎo)，除了功能性密碼操作之外還執(zhí)行非功能性密碼操作，以掩飾功能性密碼操作。在本發(fā)明的范疇內(nèi)，“功能性密碼操作”應(yīng)理解為如下的操作，其與相應(yīng)電路的功能相關(guān)聯(lián)。在此比如可以是用于對(duì)發(fā)動(dòng)機(jī)控制設(shè)備、相應(yīng)的娛樂系統(tǒng)或在用戶之間的通信的指令進(jìn)行加密的密碼操作。相反，“非功能性密碼操作”應(yīng)理解為如下的操作，其在相應(yīng)的設(shè)備或相應(yīng)的電路中不滿足功能目的，而是比如基于隨機(jī)生成的密鑰或模擬的密鑰，或者提供隨機(jī)數(shù)據(jù)?？蛇x地，這種非功能性密碼操作也可以稱作所謂的“假”操作。如前所述， 這種非功能性密碼操作在本發(fā)明的范疇內(nèi)被執(zhí)行主要或者僅僅用于掩飾功能性密碼操作。前面所解釋的密碼分析方法基于的是對(duì)所獲得的測(cè)量的求平均，以從系統(tǒng)信號(hào)中分離隨機(jī)噪聲。通過本發(fā)明的措施，通過除功能性密碼操作之外還執(zhí)行非功能性密碼操作來使可能的攻擊者難以進(jìn)行這種分離。從而使比如窺探密鑰變得更費(fèi)事。應(yīng)該闡明的是， 本發(fā)明的措施并不是必須對(duì)相應(yīng)的電路來進(jìn)行完全保護(hù)以防這種攻擊。相反，如果攻擊或進(jìn)攻的耗費(fèi)以如下方式被提高，即能夠給可能的攻擊者顯現(xiàn)出攻擊不再有成功希望或者遭受太高的耗費(fèi)，那么就認(rèn)為是足夠的了。通過中間插入非功能性密碼操作，也就是說，相應(yīng)密碼密鑰的窺探變得明顯困難。在此認(rèn)為尤其有利的是，根據(jù)本發(fā)明所推薦的實(shí)施本身并未改變密碼算法的特性，使得不涉及所有的認(rèn)證(比如在AES方法范疇內(nèi)的FIPS、NESSIE、CRYPTREC等)，并由此保持有效。尤其有利的是本發(fā)明比如可以應(yīng)用于硬件安全模塊(HSM)的AES微處理器或協(xié)處理器中，也即應(yīng)用于在發(fā)動(dòng)機(jī)控制設(shè)備的范疇內(nèi)所采用的密碼系統(tǒng)中。本發(fā)明的其他優(yōu)點(diǎn)和擴(kuò)展由說明和附圖得出。要理解的是，前述的以及在下文中還要解釋的特征不僅能夠以相應(yīng)說明的組合、 而且還能夠以其他的組合或單獨(dú)地來應(yīng)用，而不脫離本發(fā)明的范疇。本發(fā)明借助附圖中的實(shí)施例來示意性示出，并在下文中參照附圖來詳細(xì)闡述。


圖1示出了根據(jù)本發(fā)明一個(gè)尤其優(yōu)選實(shí)施方式的方法的流程圖。
圖2示出了根據(jù)本發(fā)明一個(gè)尤其優(yōu)選實(shí)施方式的方法步驟。圖3非常概況地示出本發(fā)明的裝置的一個(gè)優(yōu)選實(shí)施方式。
具體實(shí)施例方式本發(fā)明的實(shí)施方式借助圖1來示出，其中用100來示意性表示根據(jù)該實(shí)施方式所實(shí)施的方法。在圖1中所示的方法100的構(gòu)造包含有兩個(gè)方法步驟或子方法，其能夠相互分離地被影響和/或被激活。該方法100在步驟1中處于基本狀態(tài)或空閑。在步驟2中檢驗(yàn)在相應(yīng)的密碼系統(tǒng)中是否存在用于執(zhí)行功能性密碼操作的指令、也即比如用于對(duì)電子通信進(jìn)行加密的指令。如果其不符合(在圖1中用“_”來表示，在下文中“2_”表示為不存在執(zhí)行指令)，那么在另一方法步驟3中就檢驗(yàn)是否存在用于執(zhí)行非功能性密碼操作的第一請(qǐng)求。該指令可以由相應(yīng)裝置或相應(yīng)方法的用戶或編程者有選擇地激活或去激活。在此尤其設(shè)想把一指令根據(jù)隨機(jī)數(shù)發(fā)生器來隨機(jī)地激活或去激活。非功能性密碼操作比如也可以被激活或去激活以節(jié)省能量。也可以設(shè)置一系統(tǒng)，該系統(tǒng)對(duì)所嘗試進(jìn)行的解密進(jìn)行探測(cè)， 并于是引入或請(qǐng)求執(zhí)行非功能性密碼操作11。如果在步驟3中確定存在用于執(zhí)行非功能性密碼操作的指令(相應(yīng)地如上用“3+” 所示)，那么就通過相應(yīng)的密碼處理器或密碼模塊來隨機(jī)地實(shí)施加密/解密。相反，如果確定不存在(3_)用于執(zhí)行非功能性密碼操作11的請(qǐng)求，那么該系統(tǒng)就返回到基本狀態(tài)1中。對(duì)于如下情況，即在步驟2中確定存在(2+)用于執(zhí)行功能性密碼操作的執(zhí)行指令，那么就在步驟4中檢驗(yàn)是否存在用于執(zhí)行非功能性密碼操作的第二請(qǐng)求。該第二請(qǐng)求也可以有選擇地被激活或去激活。如果不存在請(qǐng)求(4_)，那么僅執(zhí)行一個(gè)功能性密碼函數(shù)或操作10，也即比如通信的加密，并且該系統(tǒng)于是返回到該基本狀態(tài)1中。對(duì)于如下情況，即存在(4+)相應(yīng)的第二請(qǐng)求，那么就可以中間插入一個(gè)隨機(jī)條件， 該隨機(jī)條件在下面的圖2中被解釋。如果滿足該隨機(jī)條件(5+)，那么就處理該功能性密碼操作10，并且該系統(tǒng)返回到該基本狀態(tài)中。但是如果不滿足該隨機(jī)條件(5_)，那么就執(zhí)行一個(gè)非功能性密碼操作11，并且該系統(tǒng)同樣返回到該基本狀態(tài)1中。但是因?yàn)樵谠撉闆r下繼續(xù)存在用于執(zhí)行該功能性密碼操作10的一個(gè)執(zhí)行指令，那么該方法就重新繼續(xù)直至步驟5，也即直至滿足該隨機(jī)條件5，并且處理該功能性密碼操作10。在圖2中詳細(xì)示出了在圖1的步驟5中所示的隨機(jī)方法，并整體用200來表示。 該方法比如包含有一個(gè)隨機(jī)數(shù)發(fā)生器21，其設(shè)置用于生成22具有確定比特長度的隨機(jī)數(shù)。 該隨機(jī)數(shù)與之前所確定并輸出的數(shù)20相比較，其中該數(shù)20在系統(tǒng)中可以變化(在圖2中用 “=0x01 ？”來給出)。如果該隨機(jī)數(shù)等于預(yù)定義的數(shù)，那么就滿足該隨機(jī)條件(5+)，并執(zhí)行該功能性密碼操作10。否則就不滿足該隨機(jī)條件(5_)，并執(zhí)行一個(gè)非功能性密碼操作11。 對(duì)于專業(yè)人員可理解的是，或者一方面執(zhí)行功能性密碼操作10、或者另一方面執(zhí)行非功能性密碼操作11的比例可以通過由該隨機(jī)數(shù)發(fā)生器21在22中所生成的隨機(jī)數(shù)以及預(yù)定義的數(shù)20的長度(比特長度)來調(diào)節(jié)。與預(yù)定義的數(shù)20相比的相應(yīng)隨機(jī)數(shù)的比特長度越大， 這兩個(gè)數(shù)的比較將越少地得到一致性，并從而導(dǎo)致執(zhí)行該功能性密碼操作10。從而對(duì)該功能性密碼操作10的掩飾度可以簡單地基于控制該隨機(jī)數(shù)的比特長度來調(diào)節(jié)，并與相應(yīng)的要求相匹配。根據(jù)本發(fā)明的措施可以有針對(duì)地總結(jié)為除了功能性密碼操作之外還執(zhí)行非功能性密碼操作，也即不僅在一個(gè)相應(yīng)系統(tǒng)的不存在功能性密碼操作執(zhí)行指令的狀態(tài)中、而且在存在相應(yīng)指令的情況中。在后一情況中，指令混合有非功能性密碼操作。關(guān)于是否執(zhí)行實(shí)際的(功能性的)或非功能性操作的所述判斷通過隨機(jī)數(shù)發(fā)生器(比如連續(xù)運(yùn)行的LFSR (Linear Feedback Shift Register，線性反饋移位寄存器)或者另外的隨機(jī)數(shù)發(fā)生器來進(jìn)行。通過本發(fā)明的措施，尤其通過調(diào)節(jié)隨機(jī)數(shù)的比特長度(其中該隨機(jī)數(shù)與預(yù)先調(diào)節(jié)的值相比較)，成功進(jìn)行差分電流消耗分析所需的測(cè)量的數(shù)量明顯提高。尤其一種偽隨機(jī)數(shù)發(fā)生器(Pseudo Random Number Generator, PRNG)可以在本發(fā)明的范疇內(nèi)被有利地采用。在該P(yáng)RNG中可以按照實(shí)施來保證在一定的時(shí)間段或詢問數(shù)量內(nèi)執(zhí)行功能性密碼操作。在圖3中示意性示出了根據(jù)本發(fā)明的裝置的一個(gè)優(yōu)選實(shí)施方式，并用300來表示。 該裝置在此作為AES協(xié)處理器300來實(shí)施，比如它可以應(yīng)用于在機(jī)動(dòng)車的控制設(shè)備中的密碼系統(tǒng)中。該協(xié)處理器300除了其他未示出的端子之外還支配有一系列數(shù)據(jù)輸入D、數(shù)據(jù)輸出R和地址輸入A。該協(xié)處理器300尤其具有狀態(tài)機(jī)301，該狀態(tài)機(jī)主要用于解釋指令以及用于控制執(zhí)行這些指令。該協(xié)處理器300另外還具有一個(gè)存儲(chǔ)器模塊302比如RAM存儲(chǔ)器單元或者相應(yīng)的寄存器。該協(xié)處理器300另外還具有用于處理任務(wù)的處理單元或密碼單元303以及用于生成偽隨機(jī)數(shù)的PRNG 304。在該協(xié)處理器300中，該密碼單元303按照該狀態(tài)機(jī)301，如按照?qǐng)D1和2所述的， 來執(zhí)行功能性密碼操作以及附加的非功能性密碼操作，以掩飾功能性密碼操作。
權(quán)利要求
1.用于對(duì)按照?qǐng)?zhí)行指令而被設(shè)置用于執(zhí)行功能性密碼操作(10)的電路來防護(hù)密碼分析的邊信道攻擊的方法，尤其防護(hù)借助差分功率分析(DPA)、簡單功率分析(SPA)或電磁分析(EM)的邊信道攻擊，其特征在于，除了功能性密碼操作(10)之外還執(zhí)行非功能性密碼操作(11 )，以掩飾所述功能性密碼操作(10)。
2.根據(jù)權(quán)利要求1所述的方法，其中，在不存在(2_)用于執(zhí)行功能性密碼操作(10)的執(zhí)行指令、并且同時(shí)存在(3+)用于執(zhí)行非功能性密碼操作(11)的第一請(qǐng)求的情況下，執(zhí)行所述的非功能性密碼操作(11)。
3.根據(jù)權(quán)利要求1或2所述的方法，其中，在存在(2+)用于執(zhí)行功能性密碼操作(10) 的執(zhí)行指令、并同時(shí)存在(4+，5_)附加執(zhí)行條件的情況下，執(zhí)行所述的非功能性密碼操作 (11)。
4.根據(jù)權(quán)利要求3所述的方法，其中所述附加的執(zhí)行條件包含有存在(4+)用于執(zhí)行非功能性密碼操作(11)的第二請(qǐng)求。
5.根據(jù)權(quán)利要求3或4所述的方法，其中所述附加的執(zhí)行條件包含隨機(jī)條件(5_)。
6.根據(jù)權(quán)利要求5所述的方法，其中，在執(zhí)行功能性密碼操作(10)與執(zhí)行非功能性密碼操作(11)之間的頻率比通過該隨機(jī)條件(5-)的匹配來控制。
7.根據(jù)權(quán)利要求5或6所述的方法，其中，該隨機(jī)條件(5_)在采用由偽隨機(jī)數(shù)發(fā)生器 (21)所生成的值(22)的情況下被提供。
8.用于實(shí)施根據(jù)前述權(quán)利要求之一所述的方法的裝置，尤其是微處理器(300)，其具有第一密碼單元(303)，其被設(shè)置用于按照?qǐng)?zhí)行指令來執(zhí)行功能性密碼操作(10)，并具有至少一個(gè)第二密碼單元(303)，其設(shè)置用于除了功能性密碼操作(10)之外還用于執(zhí)行非功能性密碼操作(11)，以掩飾功能性密碼操作(10)。
9.根據(jù)權(quán)利要求8所述的裝置(300)，其中所述至少一個(gè)第二密碼單元(303)設(shè)置用于在不存在(2_)用于執(zhí)行功能性密碼操作(10)的執(zhí)行指令、并同時(shí)存在(3+)用于執(zhí)行非功能性密碼操作(11)的情況下來執(zhí)行非功能性密碼操作(11)，和/或在存在(2+)用于執(zhí)行功能性密碼操作(10)的執(zhí)行指令、并同時(shí)存在(4+，5_)附加的執(zhí)行條件的情況下來執(zhí)行非功能性密碼操作。
10.根據(jù)權(quán)利要求8或9所述的裝置(300)，其中該第一密碼單元(303)和所述至少一個(gè)第二密碼單元(303)是相同的。
全文摘要
用于對(duì)按照?qǐng)?zhí)行指令而被設(shè)置用于執(zhí)行功能性密碼操作(10)的電路來防護(hù)密碼分析邊信道攻擊的方法，尤其防護(hù)借助差分功率分析(DPA)、簡單功率分析(SPA)或電磁分析(EM)的邊信道攻擊，其包含除了功能性密碼操作(10)之外還執(zhí)行非功能性密碼操作(11)，以掩飾功能性密碼操作(10)。
文檔編號(hào)H04L9/14GK102238006SQ20111010865
公開日2011年11月9日 申請(qǐng)日期2011年4月28日 優(yōu)先權(quán)日2010年4月29日
發(fā)明者哈耶克 J. 申請(qǐng)人:羅伯特·博世有限公司