22、基于ARM NEON的掩码AES向量实现

基于ARM NEON的掩码AES向量实现

1 现有算法回顾

1.1 可证明安全的高阶AES掩码方案

Rivain和Prouff在2010年提出了保护AES免受高阶差分功耗分析（DPA）攻击的技术。该方法基于Ishai、Sahai和Wagner（ISW）提出的高阶掩码方案，旨在保护任何电路免受d限界对手的攻击，对手在给定时间内可以窃听电路中的任意d根导线。

ISW框架的主要思想是将执行加密操作的电路表示为布尔与（AND）门和非（NOT）门的组合，因为与非（NAND）门是通用门，所以这种表示是可行的，并独立保护这些门。保护非门很简单，因为 NOT(x1 ⊕ x2 ⊕ · · · ⊕ xn) = NOT(x1) ⊕ x2 ⊕ · · · ⊕ xn 。为了保护与门，他们引入了一种优雅的技术，需要将两个输入位分别拆分为 2d + 1 个份额。Rivain和Prouff证明了这种方法可以从GF(2)中的乘法扩展到任何特征为2的域中的乘法，包括GF(28)。他们的解决方案如算法1所示：

Algorithm 1. SecMult: Masked multiplication in GF(28) with n shares
Input: Shares xi satisfying x1 ⊕ · · · ⊕ xn = x, shares yi satisfying y1 ⊕ · · · ⊕ yn = y
Output: Shares zi satisfying z1 ⊕ · · · ⊕ zn = xy
1: for i = 1 to n do
2: