[发明专利]抗CPA攻击的密文分组链接模式MAC算法的实现方法

说明书

抗CPA攻击的密文分组链接模式MAC算法的实现方法，涉及智能卡安全领域，每个DES模块生成一个随机数列r，由0～7共8个数字组成，数字的顺序随机设置，除第一个DES模块外，根据input[r_i]＝C_n‑1[r_i]⊕P_n[r_i]，计算每个DES模块输入中的每个字节input[r_i]，i表示数列r中的序号，0≤i≤7，r_i表示数列r中的第i个数据，input[r_i]表示数列input中的第r_i个字节，C_n‑1表示前一个DES的密文输出，P_n表示当前DES模块的明文输入，n为整数，且2≤n≤5；本发明不限制算法应用的情况下，简单有效的抵抗CPA攻击。

技术领域

本发明涉及智能卡安全领域，具体来讲是抗CPA攻击的密文分组链接模式MAC算法的实现方法。

背景技术

智能卡的应用日益广泛，其安全问题显得更加重要，尤其是在金融应用领域。智能卡除了面临传统的密码学攻击外，还面临侧信道攻击的威胁。侧信道攻击的主要方法之一就是CPA(correlation power analysis，相关电能分析)。

2014年，在国际密码学研究会的网站(http://eprint.iacr.org/2014/702)上发表了一篇论文，作者攻击了标准ISO/IEC9797-1中的MAC3(Message authenticationcodealgorithm 3，消息验证码算法3)。MAC3算法是一种CBC(密文分组链接，Cipher-blockchaining)模式的MAC算法，如图1所示，包括四个单个的DES(Data Encryption Standard，数据加密标准)模块以及一个3DES(3重数据加密标准)模块，3DES模块可以看做第五个DES模块。第一个DES模块，采用了IV(Initial Vector，初始向量)和其输入明文P₁进行模2加作为其输入，即第一个DES模块的输入input为：IV⊕P₁。之后每一个DES模块的输入input，都由其前面一个DES模块的密文输出C_n(n为整数，1≤n≤4)和该DES模块的明文输入P_n+1进行模2加运算得到。最后3DES模块的输入，由第四个DES模块的密文输出C₄和3DES模块的明文输入P₅进行模2加运算得到，3DES模块运算结果作为MAC。

其中，明文输入P_n+1和密文输出C_n都可以看做由8字节组成的数组。以第二个DES模块为例，其输入input＝C₁⊕P₂，实际上由8步运算组成，即input[m]＝C₁[m]⊕P₂[m],(m＝0,1,...,7)，m为字节的序号，比如input[m]表示数列input的第m个字节。在用CPA方法攻击C₁⊕P₂运算过程时，需要假设信号采集设备所采集的能量轨迹集合，在某一时刻所操作的数据是同一个序号的数据。由于C₁⊕P₂的汉明重量和轨迹有相关性，进行相关电能分析，便可以获得密文输出C₁，在知道单个DES的输入明文和输出密文的情况下，目前的计算能力可以穷举出密钥K₁。

论文中还针对CPA攻击给出了隐藏(hiding)或掩盖(masking)轨迹的防护措施、限制MAC运算的总数的防护措施、K₁和K₂采用会话密钥而不是主密钥的防护措施。但是，隐藏(hiding)或掩盖(masking)轨迹的防护措施属于原则性的防护措施，过于抽象，很难进行实际应用；限制MAC运算的总数的防护措施和K₁采用会话密钥而不是主密钥的防护措施，则限制了算法的应用。

发明内容