40、如何增强最低有效位的安全性

如何增强最低有效位的安全性

1. 引言

椭圆曲线密码系统（ECC）由 Miller 和 Koblitz 在 20 世纪 80 年代中期独立提出，其安全性基于椭圆曲线离散对数问题（ECDLP）。标量乘法，即对于给定的点 $P$ 和标量 $d$ 计算 $dP$，是 ECC 的主要计算部分。简单的标量乘法是二进制算法。

ECC 因能以紧凑的内存和较低的计算成本提供安全保障，吸引了小型设备上各种应用的关注。特别是在智能卡应用中，ECC 需要抵抗侧信道攻击，如简单功耗分析（SPA）、差分功耗分析（DPA）、零值点攻击（ZPA）、精细功耗分析（RPA）、安全错误攻击（SEA）等，同时仍要保持紧凑的内存使用和低计算成本。

目前已经提出了许多标量乘法算法，但在安全性、内存使用和计算成本方面仍有改进空间。下面我们来回顾一些已有的从右到左和从左到右的算法。

• 从右到左算法 ：
  • Joye 提出的常规从右到左算法 [12] 能抵抗 SPA 和 SEA，且无需额外计算，只需重复加倍和加法操作。然而，该算法不能对任意标量正常工作，需要特殊处理使 $d$ 的奇偶性（即 $d_0$）为奇数。其他从右到左算法也存在类似问题，要么不能对任意标量正常工作，要么容易受到 SEA 攻击。
  • 为应对 ZPA 攻击，提出了随机初始点算法（RIP），包括从右到左的 IIT - RIP [10] 和从左到右的 MMM - RIP [19]。这两种算法通过重复加倍和加法操作增强安全性，无需额外计算。但 IIT - RIP 容易受到 SEA 攻击，且比 MMM - RIP 需要更多的点寄存器。