摘  要： 提出了一種針對基于標量乘的公鑰密碼體制的攻擊方法。由于小整數n階點在點加和倍點運算時能夠產生顯著數值變化，即產生顯著功耗變化，因此基于小整數n階點的選擇明文與簡單功耗分析可以有效攻擊橢圓曲線密碼(ECC)這種基于標量乘的公鑰密碼算法。
關鍵詞： 橢圓曲線密碼；簡單功耗分析；標量乘

    與對稱密鑰密碼體系相比，公鑰密碼體系允許更靈活的密鑰管理。目前，應用最廣泛的兩種公鑰密碼算法是RSA以及橢圓曲線密碼(ECC)算法[1-2]。與RSA相比，ECC具有更短的密鑰長度、更快的運算(諸如內存、能量消耗以及帶寬存儲)，從而在學術與工程領域引起持續增長的興趣。
    側信道分析(如時序、功耗、電磁輻射)攻擊已經對公鑰密碼體制的硬件實現產生了威脅。簡單功耗分析SPA(Simple Power Analysis)攻擊已被證明可有效攻擊一些公鑰密碼算法[3]。該技術主要涉及對運行公鑰加密算法的設備功耗進行檢查分析。RSA實現中的模方和模乘運算是可以被區分開的，使得對方可以獲得密鑰。ECC中點加和倍點操作類似于RSA中的模方和模乘操作。如果可以區分ECC實現中的點加和倍點操作，那么攻擊者就可以獲取ECC密鑰。
    目前大多數的RSA算法都使用相同的序列進行模乘和模方操作，大多數ECC算法也使用相同的序列進行點加和倍點運算，這增大了對差異的區分難度。RSA中“一貫的模乘和模方操作”以及ECC中“一貫的點加和倍點操作”似乎成為了對抗SPA攻擊的有效手段。為了從功耗波形中獲得更強的信息泄露，針對特殊輸入數據的RSA的選擇明文攻擊方法得以提出[4-7]，以及采取更為復雜的原子化平衡操作[9]和蒙哥馬利方法[10]等，但都使得在SPA攻擊時得不到點加和倍點運算的顯著功耗變化。
    為了在功耗波形中獲得增強的信息泄露，本文提出了一種針對ECC算法的選擇明文側信道攻擊方法，該方法利用了2階或者其他小整數階點作為特殊輸入點P，以增強點和倍點操作中的顯著變化。
1 ECC概述
1.1 橢圓曲線
    ECC算法把現有的離散對數問題轉化為橢圓曲線上的連續問題。一個生成元為g的n階循環群G的離散對數問題指的是找出群G上使y=gx成立的x。橢圓曲線上的離散對數比其他有限域上的群(諸如乘法群)要困難得多。令E(EP)為一個定義在有限域FP上的橢圓曲線，令P為一個E(EP)上的點。素數p、橢圓曲線方程FP、點P以及其階數n是公共的域參數。私鑰是一個從區間[1，n-1]上均勻隨機選取的整數d，其相應的公鑰是Q=dP。私鑰d的確定問題就是橢圓曲線上的離散對數問題(ECDLP)。
   

    尋找其他階數點的方法可以進一步閱讀參考文獻[10-12]。
    本文提出了一種新的選擇明文的簡單功耗分析攻擊法。在該方法中，選擇階數為2或者其他小整數階點作為特殊點P，是為了利用其在無限域上的特殊性。該方法放大了點倍與點加操作的功耗差。通過該方法，可以對ECC實現中的從左至右或從右至左二進制算法進行有效攻擊。
參考文獻
[1] MILLER V S.Use of elliptic curves in cryptography[C]. Advances in Cryptology，CRYPTO’85 Proceedings，1986，218：417-426.
[2] KOBLITZ N.Elliptic curve cryptosystems[J].Mathematics of Computation，1987，48(177)：203-209.
[3] KOCHER P，JAFFE J，JUN B.Timing attacks on implementations of Diffie-Hellman，RSA，DSS，and other systems[C]. Proceedings of 16th International Advances in Cryptology  Conference，CRYPTO’96，1996，1109：104-113.
[4] MIYAMOTO A，HOMMA N，AOKI T，et al.Enhanced power analysis attack using chosen message against RSA hardware implementations[C].IEEE Intrnational Symposium on Circuits  and Systems，ISCAS 2008，2008：3282-3285.
[5] NOVAK R.SPA-based adaptive chosen-ciphertext attack on RSA implementation[C].International Workshop on Practice and Theory in Public Key Cryptography，LNCS，2002，2274：252-262.
[6] BOER B D，LEMKE K，WICKE G.A DPA attack against  the modular reduction within a CRT implementation of RSA[C]. International Workshop on Cryptographic Hardware and Embedded Systems，CHES 2002，LNCS，2003，2523：228-243.
[7] YEN S M，LIEN W C，MOON S J，et al.Power analysis by exploiting chosen message and internal collisions-vulnerability of checking mechanism for RSA-decryption[J].Proceedings of Progress in Cryptology，Mycrypt 2005，2005，3715：183-195.
[8] Chen Tingding，Li Huiyun，Wu Keke，et al.Countermeasure of ECC against side-channel attacks：balanced point addition and point doubling operation procedure[C].Asia-Pacific Conference on Information Processing,APCIP 2009，2009，2:465-469.
[9] KIHARA S.On the rank of elliptic curves with a rational point of order 4[J].Proceedings of the Japan Academy，Series A，Mathematical Sciences，2004，80(4)：21-34.
[10] KIHARA S.On the rank of elliptic curves with three rational points of order 2.Ⅲ[J].Proceedings of the Japan Academy，Series A，Mathematical Sciences，2004，80(3)：13-20.
[11] KIHARA S. On the rank of elliptic curves with a rational point of order 4.Ⅱ[J].Proceedings of the Japan Academy,Series A，Mathematical Sciences，2004，80(8)：151-168.
[12] Li Huiyun，Wu Keke，Xu Guoqing，et al.Simple power analysis attacks using chosen message against ECC hardware implementations[C].World Congress on Internet Security, 2011:68-72.