18、基于电磁侧信道的RSA - CRT已知明文攻击研究

基于电磁侧信道的RSA - CRT已知明文攻击研究

1. 主动认证算法

主动认证涉及两个参与方：终端（T）和护照（P）。具体算法流程如下：
1. 终端（T）生成一个随机的8字节值V。
2. 终端（T）将V发送给护照（P）。
3. 护照（P）生成一个随机的106字节值U。
4. 护照（P）计算 s = md mod N ，其中 m = “6A”||U||w||“BC” ， w = SHA - 1(U||V ) ，d是护照安全存储在受保护内存中的秘密AA密钥。
5. 护照（P）将s和U发送给终端（T）。
6. 终端（T）验证 m = se mod N ，其中e是存储在护照内存公共可访问部分的护照公钥。

这个挑战 - 响应协议使得攻击者难以在终端侧方便地选择被签名的格式化消息m，因为m是由终端和护照共同选择的。

2. 电磁侧信道泄漏

电子护照在物理层与ISO 14443兼容，使用近磁场向终端发送数据。护照根据发送的数据，用特定的阻抗电路加载其天线，这种活动会在周围磁场中传播并被终端检测到。

在研究早期，推测在主动认证过程中使用了带有蒙哥马利幂运算的平方 - 乘算法。测量结果部分支持了这一假设，两个重复模式的持续时间之比对应于平方和乘法操作的执行时间，且它们以两个512次的重复序列出现，但该测量未揭示是否使用了蒙哥马利乘法。

由于推测使用了平方 - 乘算法，无法直接从测量中提取秘密指数d。不过，如果有更高精度的测量，有可能提取到关于幂运算的一些信息