19、椭圆曲线密码系统的改进功耗分析攻击

椭圆曲线密码系统的改进功耗分析攻击

1 引言

椭圆曲线密码系统（Elliptic Curve Cryptosystems）越来越受欢迎，并被纳入许多标准中。因此，对于安全实现的需求日益增长，这些实现应能抵御侧信道攻击。近年来，针对功耗分析（Power Analysis）提出了一些通用的对策。

为保护椭圆曲线上的基本标量乘法免受差分功耗分析（Differential Power Analysis，DPA），常推荐使用“随机投影坐标”“随机椭圆曲线同构”或“随机域同构”。然而，对于许多椭圆曲线，这些对策并不足以防止功耗分析攻击。在选择消息场景下，即使使用了上述三种对策之一，功耗分析攻击仍然可能成功。

2 数学背景

2.1 椭圆曲线的参数化

• 一般（仿射）魏尔斯特拉斯形式 ：椭圆曲线 $E$ 由魏尔斯特拉斯方程定义：$E : y^2 + a_1xy + a_3y = x^3 + a_2x^2 + a_4x + a_6$，其中点集 $E(K)$ 满足该方程。引入无穷远点 $O$ 后，$E(K) \cup {O}$ 构成一个阿贝尔群，单位元为 $O$。
• 投影坐标 ：为避免昂贵的求逆运算，使用投影坐标。这里介绍齐次和雅可比投影坐标：
  • 齐次投影坐标 ：通过 $x = X/Z$ 和 $y = Y/Z$ 得到，一般魏尔斯特拉斯方程变为 $E : Y^2Z + a_1XYZ + a_3YZ^2 = X^3 + a_2X^2Z + a_4XZ^2 + a_6Z^3$。无穷远点