具有防御功耗攻击性能的双域椭圆曲线密码处理器设计_吴永一

收稿日期:2005-09-27　基金项目:国家“八六三”高技术项目(2003AA1Z1270)资助;国家自然科学基金项目(90407002)资助.　作者简介:吴永一,男,1982年出生,硕士研究生,主要研究方向为椭圆曲线密码处理器设计;李　庆,男,1981年出生,硕士研究生,主要研究方向为密码算法VLSI 实现;曾晓洋,男,1972年出生,副教授,主要研究方向为信息安全SoC 设计及数字信号处理算法VLSI 实现.具有防御功耗攻击性能的双域椭圆曲线密码处理器设计吴永一,李　庆,曾晓洋(复旦大学专用集成电路与系统国家重点实验室,上海201203)E-mail:yongyi _w u@摘　要:提出了一种新型椭圆曲线密码处理器设计方案.采用OJW (最优联合权重)点乘调度算法加速点乘运算,该方法对椭圆曲线数字签名算法的验证运算尤为有效.通过引入双域求逆与M ontgo mer y 模乘相统一的算法和数据通路,处理器能进行任意GF (p)和GF (2n )域上的有限域运算.同时针对简单功耗攻击和差分功耗攻击,本文提出了有效的抗攻击措施.基于SM IC 0.18CM O S 工艺的实现结果表明,该设计在面积、速度、芯片抗攻击性能方面较同类设计有明显优势.关键词:椭圆曲线密码学;有限域(Galois 域)运算;处理器;抗攻击中图分类号:T P 332 文献标识码:A 文章编号:1000-1220(2006)12-2321-05Dual -Field Elliptic Curve Cryptography Processor with Countermeasures Against Power Anal -ysisWU Yo ng-yi,L I Q ing,ZEN G X iao -yang(S tate K e y L ab .o f AS I C &Syste m ,F udan Univ ersity ,S hang hai 200433,Ch ina )Abstract :A new Elliptic Curv e Cry pt og raphy (ECC)pro cessor is pr oposed in this paper,w hich suppor ts Galois fields G F (p)and G F (2n )a rit hm etic fo r arbit rar y pr ime number s and ir reducible poly no mials by intr oducing a dual -field unified a lg or ithmand data -path.T o speed up the scalar mult iplicat ion,a new technique is used,w hich is especially useful for t he v erify ing o per -atio n of EC Digit al Signatur e Alg or ithm .A t the same time ,the EC ar ithmetic is ex ecuted in an anti -attack fo rm .T he imple-mentatio n result based on SM IC 0.18CM O S techno lo gy sho w s t he adva nt ages of t his desig n in t he aspects o f ar ea,speed and anti -attack per fo rmance .Key words :elliptic curv e cry pt og raphy;finite field (g alois F ield)arithmetic;pr ocessor ;anti-attack1　引　言随着网络以及无线通信技术的迅速发展,对信息安全提出了越来越多的需求.基于椭圆曲线离散对数难题的椭圆曲线密码系统(Elliptic Cur ve Cr yptog r aphy ,简称ECC),在上世纪80年代由M iller [13]和K oblitz [14]分别提出.这种公钥密码算法有如下优点:低功耗,对存储容量的需求更小,以及单比特密钥长度能提供更高的安全强度.2005年02月份,ECC 被N SA (美国国家安全局)提名为今后美国政府机构之间密钥交换和数字签名使用的公钥制密码算法.已有不少关于ECC 处理器硬件结构设计的论文发表[1,2,3,4].尽管在椭圆曲线数字签名算法中必须用到求逆运算,目前为止仍没有具备双域求逆功能的处理器设计报道.同时,考虑到快速求逆运算指令的引入会加速椭圆曲线点乘运算,因此提出一种新型的ECC 处理器,在不增加很多硬件成本的前提下引入双域求逆功能,显得非常必要.近些年来,旁道攻击技术给信息安全芯片带来了很大的威胁,其攻击效率远远高于对算法本身的攻击.与之相应的,目前也有不少防御攻击的方法相继被提出[6,7],但它们都是以牺牲较多处理器速度和面积为代价,限制了处理器的性能.2　点乘调度椭圆曲线密码系统具有明显的层次化特征,ECC 协议调用椭圆曲线群上的点乘运算,点乘通过一系列点加、倍点完成,而点加、倍点最终转换成模乘、模除等有限域运算.点乘调度算法对椭圆曲线处理器的性能有很大的影响.2.1　OJW 形式实时转换算法点乘运算k ・P 可以通过把k 转换成NA F (N on-AdjacentFo rm )形式,采用加法-减法链的方法有效地进行计算.N A F 形式表示的有符号二进制数,每一位可以取值{1,0,-1},而且保证“1”和“-1”不相邻.这种表示方法的优势就是可以降低非零位数量,平均只有整数长度的1/3,因此在计算k ・P 时,降低了所需点加/点减的次数,从而有效地加速k ・P 的计算.　第27卷第12期 2006年12月小型微型计算机系统M IN I-M ICR O SY ST EM S Vo l.27No.12 Dec.2006 在椭圆曲线数字签名的验证算法中,需要计算两个连续的点乘运算hP+iQ.Shamir给出了一个并行计算hP+iQ的简单方法,下面举例加以说明.例:假设h=28的有符号二进制形式表示为(100-10 0);i=11为(10-10-1).表1给出了用Shamir方法计算R =hP+iQ的过程.表1　SHA M IR方法h100-100i010-10-1R P 2P+Q4P+2Q7P+3Q14P+6Q28P+11Q单个点乘k・P的计算也可以采用这种方法,对k・P进行如下转化:kP=hP+iQ,其中h和i满足k=h+i2s,Q= 2s P,s取k长度值的一半.下面引入“联合权重”的概念,把用有符号比特形式表示的整数对上下对齐排成两行,非零列的数量定义为“联合权重”.很明显,用Sha mir方法计算hP+iQ时所需的点加或者点减数由h、i构成的整数对的联合权重决定,而所需的倍点数由h或者i的长度决定.因此,降低整数对的联合权重,能加速hP+iQ的计算.把具有最小联合权重的整数对表示形式称为O JW形式.Xiaoy u Ruan和R.K atti[9]提出了一种采用从左到右扫描的方式把整数对转换到O JW形式的方法,这种方法基于下面列出的一组置换,其中x,y可以取值{1,-1}.T1:x0x0y0→0x x0y0　T2:x0xyy0→0x x0y0T3:x xyy→0x0y　T4:0x→yy→0x0yor00 yy →00yy算法1O JW形式实时转换算法In put: Output:L+1-bit binary expansion of h and i h=(0,h L-1,h L-2,…h1,h0)　i=(0,i L-1,i L-2,…i1,i0)L+1-bit signed-binary number　u0,u1in OJW repres en tation for j from L dow n to0do u0,j=h j-1-h j u1,j=i j-1-i j for i from0to1do if(u i,j+1u i,j=-1)th en u i,j+1=0 u i,j=-u i,j en d if if(u i,j+1u i,j-1=-1&u1-i,j≠0) u i,j=u i,j+1 u i,j+1=0 u i,j-1=-u i,j-1 en d if next i next j然而,这种置换并不适合硬件实现.因此,本文提出了一种适合硬件的转换算法,如算法1所示,算法通过C程序验证,限于篇幅,不在此给出证明.该算法在计算点乘的过程中表2　G F(P)域点加、点减、倍点实现方法G F(P)O perationPoint Add Point Sub Point Double Square t1=y12t1=y12t1=x12Add t2=2t1t2=2t1t2=2t1Add t3=t2+t1t3=t2+t1t3=t2+t1Add/s ub =y1-y2 =y1+y2 =t3+aAdd/s ub w=x1-x2w=x1-x2w=y1+y1Div = /w = /w = /wSquare x3= 2x3= 2x3= 2Sub x3=x3-x1x3=x3-x1x3=x3-x1Sub x3=x3-x2x3=x3-x2x3=x3-x1Sub y3=x2-x3y3=x2-x3y3=x1-x3Multiply y3= y3y3= y3y3= y3Add/s ub y3=y3-y2y3=y3+y2y3=y3-y1把整数对(h,i)实时转换成OJW形式(u0,u1),不需要在计算点乘之前预先转换,这样h和i的值就可以存放在RA M中,每次读出一个字进行转换,不必添加寄存器来保存h和i,由于h 和i为有符号比特数,每一位需要两bit来表示,采用实时转换的算法可以节省4个n位寄存器(n为椭圆曲线参数位数). 2.2　防御功耗分析设计在一些ECC协议中,私钥被用作标量k来计算点乘k・p ,这种情形下,芯片很容易被一些旁道攻击方法比如SP A(简单功耗攻击)、DPA(差分功耗攻击)所功破.关于这两种功耗攻击的原理,在[6]中有详细解释,本文不再给出.针对DPA,本文提出一种简单而有效的解决方案.在前一小节提到k・p的计算可以通过转化k・P=hP+iQ(其中k=g+h2s,Q=2sP,s一般取标量k长度值n的一半),然后采用Shamir方法计算得到.现在对s值的选取进行随机化,让它在区间[n/2-2m-1,n/2+2m-1-1]内随机取值,而不是固定为n/ 2,s的随机化可以通过引入一个m-bit真随机数RN来实现,把RN视为有符号数,并作必要的符号位扩展,则s=n/2+ RN.这种方法使得差分功耗攻击所需要的样本容量增加为原来的2m倍,有效地防御了差分功耗攻击.为了抵抗简单功耗攻击以及时序攻击(T iming A tta ck),加入了一些冗余运算,使得点加跟点乘以相同地操作顺序完成,以G F(P)域的点加、点减、倍点为例,实现的方法如表2所示,灰色字体的操作为冗余操作.这样保证了点加、点减、倍点运算所需的时间跟产生的功率谱和所需时间都是一致的,采用简单功耗攻击和时序攻击无法得到密钥信息.3　双域ALU设计3.1　Montgomery乘法M ontg omer y乘法[10]是一种计算模乘的有效算法,只需作就可以计算出模乘,而不需较为费时因此是一种简单而有效的方法,在模乘器设计中2322 小　型　微　型　计　算　机　系　统 2006年被广泛采用.M o nt go mery 乘法计算C=A B2-nmo d p,其中0≤A ,B <p <2n ,g cd(p,2)= 1.可以设想,如果乘积A B 的最低n 位全为0,则C =A B 2-n mod p 可以通过先计算AB ,再把乘积右移n 位得到,而不需要除法来进行模约.M ontg omer y 乘法算法的核心思想就是给乘积A B 加上一个p 的整数倍的数,使得结果的最低n 位全为0,最终结果并不受这一加法运算的影响,因为是模为p 的有限域运算.GF (p )域M ontg omer y 乘法算法可以推广到G F (2n )域[5].M o nt go mery 乘法器的设计有多种方案,包括高基分组可扩展M ontg omer y 乘法器[11]和基于整数乘法器的高速M o nt go mery 乘法器[2].这些乘法器具有很好的可扩展性能,然而关键路径都较长,而且很难与求逆电路共享硬件.3.2　有限域求逆算法一般情况,求逆方法有以下两种:1)基于F ermat 小定理的求逆方法,2)基于扩展Euclidea n 算法(EEA )和二进制(Stein s)最大公约数算法及其变形的方法.Fer mat s 小定理通过把算法2模逆和M o nt go mery 模乘统一的算法In put :Output:0≤X <p,0<Y <p,2n-1<p <2n ,Field,Op,nZ =XY 2-n mod p w hen Op =mult,Z =X /Y mod p w hen Op =div .C =Y.if (Op =mult)th en /*M ultiplication M ode */　D =0,U =0,W =X , =nelse/*Division M ode */　D =p ,U =X ,W =0, =0end if ;w hile [(C ≠0&Op =div)or ( ≠0&Op =mult)]　if C 0=0th en C :=C >>1 := -1/*Integer Operation */　else k =1 If (Op =div)then if ( <0)/*Sw app ing */ then C <=>D,U<=>W , :=- en d if; if ((C +D)mod 4≠0and Field =GF (p)) then k =-1 else := -1 en d if; else /*Op =m ult */ := -1　end if ;C :=(C +k ・D )>>1,U :=(U +k ?W )end if;U:=(U +U 0・p)>>1end w h ile ;if (Op =div )then Z :=W els e Z :=U end if if (Op =div &D=-1)th en Z:=p-W end if if (Z>=p)th en Z:=Z-p end if.有限域求逆转化为一系列模乘运算,是一种非常简单的方法,然而效率非常低.Euclidea n 算法和二进制(Stein s)最大公约数算法是计算模逆的最为有效的算法,但是硬件设计较为复杂.扩展Euclidean 算法和二进制最大公约数算法也存在一些改进,比如多位同时扫描的可扩展求逆算法[12].3.3　双域模乘、求逆统一的算法上述M ontg omer y 乘法器和求逆器必须单独设计,而不能复用硬件电路,使得ECC 处理器的面积大幅度增加.T aw albeh [8]提出一种新颖的双域有限域求逆和M ontg omer y 乘法统一的算法,结合了二进制扩展最大公约数算法和M ontg omer y 乘法算法,可以用来高效地实现椭圆曲线上的运算.然而该算法本身存在一些问题,某些情况下得出的不是最终结果,经过本文改进后的算法如算法2所示,主要的改动是在算法的最后增加两个if 条件判断项.表3　实验结果(P 为256-BIT ,N =233)Nu m of iteration s GF(P)GF(2N )M aximum 570467M inimu m 509464Average550466为了验证改进后的算法,本文采用C++实现算法2,通过10,000组随机数据得到统计信息.实验结果表明GF (p )和GF (2n)域的求逆每比特分别需要2次和2.15次迭代.详细结果如表3所示.3.4　双域运算单元(ALU )电路基于改进后的双域模乘与求逆统一算法2,本文提出了一个统一的双域运算单元A L U ,其结构如图1所示,包含有寄存器堆、统一的求逆和模乘(U M DM )数据通路、以及控制单元,通过控制模块的输入信号O p 指定要执行的运算,通过N 设置数据宽度,F ield 为域选择信号.算法2中存在四个变量(C ,D,图1　双域A L U 硬件结构U ,W)和一个常量模P ,每个变量都采用分段保留进位(每8位只保留一个进位)的形式进行,数据通路最大支持256位的运算,因此寄存器堆的容量为5*(256+32)bit s.U M DM 数据通路能够以分段保留进位的形式运算各种算术运算包括B>>1,A +B,A -B,(A +B)>>1和(A -B)>>1.中间结果保存到寄存器堆,为了减少对存储容量的需求,每段(8位)只保留一个进位,而8位内部是进位传递的.数据通路结构如如图2所示,电路设计采用了bit-slice 形式,图3给出了bit-slice 的门级电路图,其中DF A 表示双域全加器,232312期 吴永一等:具有防御功耗攻击性能的双域椭圆曲线密码处理器设计 DHA 表示双域半加器,每组内的第1个bit -slice (左图)由于有低组的进位输入,比其它位要复杂一些,其它位的bit-slice 都可以由此简化得到.由于采用补码形式,做减法运算时最低位需要加上两个“1”,因此最低一组的第二个bit -slice 需要特别设计,具体电路列于如图3的右半部分.图2　求逆和模乘统一的数据通路控制单元产生控制序列信号给数据通路,可以实现不同的功能.求逆运算和M o ntgo mery 模乘运算均由状态机控制数据通路执行算法2实现:执行算法2的求逆运算时,若变量C 为偶数,一次迭代需要2个时钟周期,为奇数则一次迭代需要3个时钟周期;执行M o nt go mery 模乘运算时,一次迭代只需要一个时钟周期.图3　数据通路bit-slice 电路图3.5　处理器结构、实现结果及性能比较本文提出的椭圆曲线密码处理器的架构如图4所示,处理器具有完备的有限域运算指令,表4给出了指令集.图4中T R NG 为真随机数发生器,在k ・P 运算转化为hP +iQ (其中k=g +h2s,Q =2sP )时提供随机数s,折衷点乘速度和抗攻击强度要求,本文选取s 的随机取值区间为[n/2-16,n/2+15].处理器有两种工作模式:一种是指令由外部输入,在外部模块的控制下完成所需运算;另一种是抗攻击模式,执行内部预定义的功能,比如点乘运算,由点乘控制器生成指令流,在这种模式下,不需要外部模块拥有私钥信息.点加、点减、倍点指令由一段微代码指令实现,经两级译码产生A L U 控制信号.处理器支持各种基于椭圆曲线密码算法的协议,比如椭表4　指令集定义类型指令说明数据传送IOtoRAM addr RAM toIO addr RAM toRU addrRUtoRAM addrIOtoRU RUtoIO RE GtoRU r eg RU toREG r eg 总线与RAM 数据交换寄存器RU 与RAM 数据交换总线与RU 数据交换RU 与其它寄存器数据传送椭圆曲线运算E CKP点乘E CADD 点加E CSUB 点减E CDBL倍点双域数据运算ADD reg 1reg2进位保留加SU B reg1reg2进位保留减CM P reg1reg2比较大小CPADD reg 进位传播加,非寄存器RPS HIFT reg 寄存器右移一位GFDIV 有限域求逆M M ULM ontgomery 乘法其它SET FIELD 域选择SET LENGTH设置参数位数圆曲线密钥交换协议以及数字签名协议.图4　椭圆曲线密码处理器结构Fig.4　A rchit ect ur e of ECC pro cessor基于SM IC 0.18-um 标准CM OS 工艺,采用D esign Co m-piler 对核心单元(不含RA M 和RO M )进行逻辑综合,关键路径延迟为2.43ns,面积为658,728um2.文献[2]中A kashi Sato h 等人提出的基于乘法器的高性能椭圆曲线密码处理器,同样采用A SIC 实现,其乘法器的宽度可以根据不同要求选取相应的值,选取速度面积都比较优化的乘法器宽度值32,跟本文提出的处理器进行比较,比较结果如表5所示.2324 小　型　微　型　计　算　机　系　统 2006年表5　A SIC实现结果比较(操作数长度为256-BIT)Satoh s本文工艺0.13CM OS0.18CM OS核心单元面积43,521gates658,728um2(约35,000gates)最高频率178.6M HZ412M HZM ontgomery乘时钟周期数190clock cycles256clock cycles求逆所需时钟周期数97,280cycles(基于Fermat小定理)GF(P):1320clockcyclesGF(2n):1118clockcycles抗攻击能力抗简单功耗攻击抗简单功耗攻击抗差分功耗攻击4　结　论本文提出了一种具有防御功耗攻击特性的椭圆曲线密码处理器设计方案,能处理GF(P)和G F(2^n)域上包括求逆在内的各种运算,采用分段保留进位的运算形式,通过选取不同的分段字长,以及调节s的随机化范围,能满足不同的面积、速度和抗功耗攻击强度要求.能高效地完成各种基于ECC的算法,同样可以用来实现RSA等其它公钥密码算法,以及以有限域运算为基础的编码算法.通过ASI C实现结果比较可以看出,该处理器在功能、面积、安全性上,均有所改进.Ref erences:[1]Goodm an J,Chandrakasan A.An en ergy efficien t reconfig-urable public-key cryptography process or[J].IEEE J ournal ofSolid-State Cir cuits.2001,36(11):1808-1820.[2]Akash i Satoh and Koh ji T ak ano.A s calab le dual-field ellipticcu rve cryptograph ic process or[J].IEE E TRANSACT ION ON COM PUT ERS,2003,52(4):449-460.[3]Daneshb eh A K,Hasan M A.Area efficien t high s peed ellipticcu rve cryptoprocess or for random curves[C].IT CC,2004:456-462.[4]Philip H W Leong,Ivan K H Leung.A microcoded ellipticcurve processor u sing FPGA technology[J].IE EE T ran sactions on Very L arge Scale Integration(VLSI)S ystems,2002,10(5):617-712.[5]KoH G K,Acar T,Kalis ki B S.M on tgom ery multiplication inGF.2k[J].Desig ns,Codes and Cryptography,1998,14(1): 243-250.[6]M amiya H.Efficient counterm easures gain st RPA,DPA,andSPA[C].CHES,LNCS3156,2004:343-356.[7]M ar c J oye.T he montgomery p ow ering lad der[C].CHES,LNCS2523,2002:291-302.[8]Taw albeh.An algorithm an d hardw ar e arch itecture for integrat-ed modu lar divis ion and m ultiplication in GF(p)and GF(2n)[C].ASAP,2004:247-249.[9]Ruan Xiao-yu.“Left-to-Righ t”optimal sign ed-binary rep res en-tation of a pair of integers[J].IEE E Tr ans action on Computers, 2005,54(2):124-131.[10]M ontgomery P L.M ondular m ultiplication withou t tr ial division[J].M puting,1985,44(170):512-519.[11]S avas E,T enca A F,KoH G K.A scalable and u nified mu ltipli-er arch itecture for finite fields GF(p)an d GF(2m)[C].CHES, LNC S1965,2000:277-292.[12]Gutub A A,T enca A F.S calab le an d unifield h ardw are to com-pute montgomer y inverse in GF(p)and GF(2n)[J].CHES, LNCS2523,2002:484-491.[13]M iller V e of elliptic curves in cryptography[Z].CRYP-T O,1986:417-426.[14]Koblitz N.Elliptic curve cryptosys tems[J].M putat.,1987,48:203-209.232512期 吴永一等:具有防御功耗攻击性能的双域椭圆曲线密码处理器设计 。