27、基于码的密码系统中对综合征求逆的时序攻击

基于码的密码系统中对综合征求逆的时序攻击

1. 引言

基于纠错码构建的McEliece PKC和Niederreiter密码系统，被认为能抵御量子计算机攻击，因此作为高安全应用中未来密码系统的候选方案受到了关注。近年来，研究人员对其效率进行了分析，同时也有越来越多的工作研究基于码的密码系统的侧信道安全性。

侧信道安全是任何密码算法实现的重要方面。当在密码设备运行过程中测量的物理可观测数量，能让攻击者获取密码操作中涉及的秘密信息时，就存在侧信道。常见的可观测指标包括操作持续时间（时序攻击）和随时间变化的功耗（功耗分析攻击）。

此前针对McEliece PKC解密操作的时序攻击主要针对明文。有研究提出了针对基于码的密码系统私钥中秘密支撑集的时序攻击，攻击者可从求解密钥方程的时间中获取关于支撑集的线性方程，但该工作存在局限性，所获信息不足以进行实际攻击且未实际实现。

本文在此基础上进行了多方面扩展。发现解密操作中求解密钥方程之前的综合征求逆就存在导致线性方程信息泄露的控制流歧义，之前提出的对策不足。还发现综合征求逆中存在时序侧信道漏洞，攻击者可获取秘密支撑集的零元素。此外，将产生线性方程的攻击扩展为可让攻击者获取三次方程的实际时序攻击。最后，描述了如何有效利用这三个漏洞构建能完全恢复私钥的实际攻击，并给出了在个人计算机上执行时序攻击的实际结果。

2. 预备知识

• Goppa码 ：Goppa码是一类线性纠错码，McEliece PKC使用不可约二元Goppa码。
  • 定义 ：设多项式$g(Y) = \sum_{