[发明专利]基于隐马尔科夫模型的椭圆曲线密码计时攻击方法

摘要

本发明涉及一种基于隐马尔科夫模型（HMM）的ECC计时攻击方法。对美国NIST公布的二进制域上的5条Koblitz安全曲线进行了攻击仿真实验，成功地攻击了除K-571以外的其它4条Koblitz安全曲线，对于每一条安全曲线仅采集一次时间数据、耗时几十分钟就能恢复出几乎全部密钥比特，实验结果表明，该方法实施简单，成功率高，是对当前安全曲线有较大威胁的一种侧信道攻击手段。

主权项

1.一种基于隐马尔科夫模型的针对椭圆曲线密码计时攻击方法，具体操作步骤如下：（1）选取一条NIST推荐的二进制域上的Koblitz安全曲线，确定要签名的参数组，其中表示二进制域的扩展次数，表示次数的约减多项式，为椭圆曲线的系数，为基点，基点的阶，为余因子，以及私钥d，消息m；（2）预计算，计算所选曲线进行“点加”和“倍点”运算所需要的时间，确定阈值；（3）随机选择，k称为临时密钥；（4）利用Double-and-Add算法计算并将转换为整数，其中为基点P的横坐标，表示基点P的纵坐标，表示将取整后的值，kP的计算过程如图1建立隐马尔科夫模型，输入临时密钥k为一个二进制bit序列，表示位置的两种状态，取值为0或1，表示获取的时间数据，最后由采集到的时间序列来猜测未知密钥比特序列，将采集到的计时数据与之前确定的阈值进行比较，猜测临时密钥k’；（5）计算，r表示取模后的值；（6）计算e=H(m)，e表示消息m的哈希值，H表示一个哈希函数，本发明采用的是SHA1算法；（7）计算，s表示输出签名中的一个关键参数；（8）输出签名；（9）私钥d的求解公式为，由于H(m)、签名（r，s）已知，根据计时数据猜测的临时密钥k’，就可以就得猜测密钥d’；（10）与原始密钥d进行比对，如果d=d’，说明攻击成功，否则用Grover搜索算法搜索临时密钥中错误密钥，直到找出所有的错误密钥。