20、从噪声版本恢复RSA密钥的数学方法

从噪声版本恢复RSA密钥的数学方法

1. 引言

在密码学领域，侧信道攻击是公钥密码学和对称密码学安全分析中一个重要的关注点。自Kocher等人提出差分功率分析（DPA）以来，关于侧信道攻击的研究广泛开展。本文主要聚焦于对RSA密码系统的侧信道攻击。

在RSA密码系统中，公钥模数 $N$ 是两个不同素数 $p$ 和 $q$ 的乘积，密钥对 $(e, d) \in Z^2$ 满足 $ed \equiv 1 \pmod{(p - 1)(q - 1)}$。加密密钥是 $(N, e)$，解密密钥是 $(N, d)$。PKCS#1标准规定，RSA私钥除了 $d$ 之外，还包括 $(p, q, d, dp, dq, q^{-1} \bmod p)$，这允许使用中国剩余定理进行快速解密。

前人在从噪声版本恢复RSA私钥方面做了很多工作。Halderman等人提出了冷启动攻击，展示了DRAM残留效应可以实现从计算机内存中恢复噪声版本的私钥，并对一些加密方案（如DES、AES、可调整加密模式和RSA）展示了如何从噪声版本重建完整私钥。后续也有许多研究提出了不同的算法，如Heninger和Shacham提出的算法表明，如果随机泄露超过27%的私钥位，就可以恢复完整私钥；Henecka等人提出了纠正对称错误位的算法；Paterson等人提出了纠正非对称错误位的算法；Kunihiro等人提出了综合考虑擦除和错误情况的算法等。此外，还有关于模拟泄露的研究。

2. 预备知识

2.1 符号说明

对于一个 $n$ 位序列 $x = (x_{n - 1}, \ldots, x_0) \in {0, 1}^n$，用 $x[i] = x_i$ 表示 $