29、加法同态环-LWE掩码方案：保护环-LWE解密的新策略

加法同态环-LWE掩码方案：保护环-LWE解密的新策略

1. 引言

如今广泛部署的大多数公钥密码系统难以抵御量子计算机的攻击。Shor算法能够在量子计算机上以多项式时间破解RSA、离散对数和椭圆曲线密码学。美国国家安全局（NSA）已宣布量子计算对现有公钥基础设施构成威胁，并建议向抗量子的公钥算法过渡。

近年来，基于即使在强大量子计算机存在的情况下仍能保持安全的计算问题的公钥密码系统取得了显著进展。Regev的学习误差（LWE）问题及其环变体，即环-LWE问题，在设计公钥加密、密钥交换、数字签名和同态加密方案中变得非常流行。与椭圆曲线密码学（ECC）算法相比，基于环-LWE的加密和数字签名方案更快且相对更容易实现。

然而，基于环-LWE的密码学对侧信道攻击没有内在的保护。差分功耗分析（DPA）是一种从嵌入式设备中提取秘密（如加密密钥或密码）的有效方法。掩码是一种针对DPA的可靠对策，一阶掩码通过将每个中间值概率性地拆分为两个份额，使每个份额与中间值统计独立。但掩码实现会带来面积、时间和能量开销，在公钥密码系统中，解密操作通常是DPA保护的主要目标。

此前有论文提出了一种掩码环-LWE实现方法（CHES 2015方法），该方法将未掩码的环-LWE处理器与定制的掩码解码器相结合，开销约为2.6倍的周期，面积影响较小。本文提出了一种新的掩码方案，用于保护环-LWE密码系统解密操作中的秘密密钥。该方案基于现有环-LWE加密的加法同态性质，通过加密随机消息计算掩码并添加到密文中，随机化密文以减轻侧信道泄漏问题。与CHES 2015方法相比，该方案不需要额外的硬件或软件来进行最终解码操作，适用于硬件和软件实现，但需要对底层算术硬件做出额外假设。

2.