43、超椭圆曲线密码系统差分功耗分析的对策

超椭圆曲线密码系统差分功耗分析的对策

1. 引言

早在1988年，N. Koblitz就提出在离散对数密码系统中使用超椭圆曲线的雅可比簇，将其作为椭圆曲线的替代方案。超椭圆曲线是椭圆曲线的推广，椭圆曲线实际上就是亏格为1的超椭圆曲线。

直到最近，椭圆曲线密码系统（ECC）一直被认为比亏格至少为2的超椭圆曲线密码系统（HECC）速度更快，且能提供相当的安全性。但在2002年9月，飞利浦研究的K. Nguyen在ECC 2002研讨会上报告了他在硬件模拟器上实现T. Lange亏格为2的射影公式，这首次表明HECC的性能可以具有竞争力，甚至适用于智能卡应用。不久后，J. Pelzl等人又为亏格为3的超椭圆雅可比簇获得了高效公式。

这就立即引发了HECC对抗侧信道攻击的安全性问题。侧信道攻击最早以计时攻击的形式出现，随后发展出简单功耗分析（SPA）和差分功耗分析（DPA）。这些攻击通过测量密码设备处理输入时泄露的信息（如计时、功耗、电磁辐射等）来获取秘密信息。

SPA试图通过观察操作序列来恢复秘密标量。例如，在简单的倍加法算法中，连续群加倍的数量减1就是标量二进制表示中两个1之间的零的数量。对于ECC，有两种抗SPA策略：
- 策略一 ：使群操作序列看似与标量无关。例如“始终加倍并加法”方法，即使标量的相应位为0，每次加倍后也进行加法；对于特定形式的奇数特征曲线的“蒙哥马利”方法，可在不使用y坐标的情况下进行快速计算，类似思想在二进制曲线和素域上的椭圆曲线中也有应用。
- 策略二 ：使用难以区分的加法和加倍公式。许多类曲线都存在这样的公式，如黑塞形式或雅可比形式的曲线。E