48、椭圆曲线密码系统与PKCS 11标准的安全分析

椭圆曲线密码系统与PKCS #11标准的安全分析

椭圆曲线密码系统的灵活抗侧信道攻击方案

在椭圆曲线密码系统（ECC）中，侧信道攻击是一个严重的安全威胁。为了抵抗简单功率分析（SPA）攻击，提出了一种更灵活的标量乘法方案。

1. 方案的概率特性
   - 当(LSB_{w_0 + 1}(d)=11 … 1)时，由于(2^{w_0 - 1}<x[i]<2^{w_0})，会执行步骤4.2中的下半部分指令。
   - 因为(x[i]\in B)的概率是(P_w)，所以(r_i = w_0)的概率为(P_w)，(r_i = w_0 - 1)的概率为(1 - P_w)，且该概率与(d)无关。
   - 每个比特(d_w[i])在类(U_{w_0 - 1}\cup B)中不是随机分布的。辅助变量(x[i])和(y[i])分别在(U_{w_0})和(U_{w_0 - 1})中随机分布。结果(d_w[i])以概率(P_w)被赋值为(x[i])，以概率(1 - P_w)被赋值为(y[i])，这使得类(U_{w_0 - 1}\cup B)中的某些点出现的概率更高。但由于(B)是随机选择的，(U_{w_0 - 1})中的点也是随机选择的，攻击者虽然可能揭示分布，但无法检测出高概率点与(d_w[i])值之间的对应关系。
   - 与之相反，如果像分数窗口方法那样简单地选择预定数字，该方案就无法抵抗SPA攻击。例如，当(w = 3+\frac{1}{8})，(B = {±9})时，若连续零比特的长度为3，下一个非零(d_w[i]=±9)的条件概率各为(\frac{1}{4})，而(d_w[i]=±1, ±3, ±5, ±7)的概率