42、新鲜密钥重协商：抵御侧信道与故障攻击

新鲜密钥重协商：抵御侧信道与故障攻击

1. 重密钥方案概述

重密钥方案专为物理安全加密设计，可直接用于任何对称密钥挑战 - 响应认证。标签需按图 1 实现新鲜密钥重协商，阅读器实现相同方案，但随机数 r 由标签从外部提供。在通信开销方面，r 值的传输不一定增加协议的交互次数。在三阶段相互认证协议中，r 值可包含在交互传输的数据中，协议交互次数最多增加一次，具体取决于谁发起协议。该方案的一个重要特性是，对手重置设备时不应获得优势，即每次重置后，标签应计算新的随机数 r 和会话密钥（在无源 RFID 场景中，标签离开阅读器范围时会重置）。

2. 函数 g 的选择

为研究新鲜密钥重协商方案的安全性，需确定函数 f 和 g。函数 f 自然选择为分组密码，如 AES，而函数 g 的选择对安全性和性能最为关键。

2.1 期望属性

函数 g 应具备以下属性，这些属性综合考虑了侧信道安全和硬件实现方面：
- P1：扩散性 ：会话密钥 k∗的一位应依赖于主密钥 k 的多位，使猜测会话密钥的一位在计算上困难，防止差分功耗分析（DPA）中的分治技术。
- P2：无需同步 ：函数 g 不应有需要各方保持同步的可变内部状态，唯一的内部状态应为静态部分 k。
- P3：无需额外密钥材料 ：各方预先分发并存储在设备内的对称密钥材料不应大于经典分组加密所需的，主密钥 k 应足以计算函数 f 和 g。
- P4：低硬件开销 ：在硬件中推导会话密钥 k∗的成本应低于通过安全逻辑风