侧信道分析中高阶掩码组合函数优化方案

侧信道分析中高阶掩码组合函数优化方案 Improved Scheme of Combining Functions of Higher-Order Masking in Side Channel Analysis 1 first-author 李煜光，男，硕士生，现从事密码学中侧信道分析理论与方法研究. E-mail:yg.lee@whu.edu.cn 李煜光，男，硕士生，现从事密码学中侧信道分析理论与方法研究. E-mail: yg.lee@whu.edu.cn yg.lee@whu.edu.cn 2 1 corresp 唐明，E-mail:m.tang@126.com 唐明，E-mail:m.tang@126.com m.tang@126.com 武汉大学 计算机学院，湖北 武汉 430072 武汉大学 计算机学院，湖北 武汉 430072 School of Computer, Wuhan University, Wuhan 430072, Hubei, China School of Computer, Wuhan University, Wuhan 430072, Hubei, China 61569部队，北京 100080 61569部队，北京 100080 61569 Troops, Beijing 100080, China 61569 Troops, Beijing 100080, China 功耗掩码是一种抗侧信道攻击的防护方案，是现有最有效的算法级防护方案之一.针对掩码的分析方法主要包括相关性功耗分析CPA与互信息分析MIA，两种分析方法中的关键问题均为泄露模型与组合函数.本文对掩码方案的功耗泄漏与TC(toggle count)泄露模型进行研究，提出了MTC(multicycle toggle count)模型.MTC模型与现有TC模型相比，可对多个周期的功耗泄漏进行刻画，与TC模型相比准确性提高了15.4%.根据MTC模型现有的组合函数进行研究.提出了一种组合函数优化方案.实验结果显示，针对掩码电路使用该组合函数优化方案后，CPA的有效性可提高32.3%，MIA的有效性可提高22.2%. Masking is the most effective countermeasure against SCA (side channel attack) so far. The analysis method for the masking mainly includes CPA (correlation power analysis) and MIA (mutual information analysis) in which the leakage model and the combination function are keys. In this paper, we proposed the MTC (multicycle toggle count) model after studying the power leakage of the masking scheme and the TC (toggle count) leakage model. Compared with the existing TC model, the MTC model can characterize the leakage of multiple cycles, and the accuracy is improved by 15.4% compared with the TC model. In addition, we studied the existing combining function and proposed a combining function optimization scheme, which can significantly improve the effectiveness of CPA and MIA in the masking circuit. The experimental results shows the effectiveness of CPA and MIA can be increased by 32.3% and 22.2% respectively by using the optimized scheme. 侧信道分析 掩码防护 泄露模型 组合函数 side channel analysis masking protection leakage model combining function 引言 1 在过去的十几年内，侧信道分析 [ 1 1 ~ 4 4 1~4 ] 逐渐成为密码分析领域中极有威胁的分析方法之一.掩码 [ 5 5 ~ 7 7 5~7 ] 是一种算法层面的抗侧信道攻击的防护方案，通过将中间值随机化的方法，阻断物理功耗与实际密码算法中中间值的相关性.Ishai等 [ 8 8 ] 提出了一种通用的理论框架(ISW框架)并且给出了电路的安全性证明方法.通过该方法，可以判断一个掩码方案是否存在原理方面的安全性缺陷.然而，即使一个掩码方案是可证明安全的，仍然会在实现过程中产生安全性缺陷. 现有的针对掩码组合电路的分析方法主要分为两类.第一类方法通过分析电路中产生的Glitch来获取泄露信息 [ 9 9 ] .在多数硬件电路中，Glitch是动态功耗的重要组成部分之一，并且在掩码电路中出现的Glitch会导致掩码电路的安全性受到严重的威胁.第二类方法通过构建整个组合电路的泄露模型来实施攻击 [ 10 10 ] .在第二类分析方法中，TC (toggle count)模型是一种非常有效的泄漏模型 [ 10 10 ] .Moradi等 [ 11 11 ] 提出了TC模型的改进模型ETC(enhanced toggle count)模型，相比于TC模型，ETC与模拟仿真结果更加接近.但是现有的TC模型，包括ETC模型，均为瞬时泄露模型，即只对功耗曲线中的某一时间点的泄露信息进行刻画.然而在实际的硬件加密电路中，极有可能产生记忆效应 [ 12 12 ] ，此时一个时间点的泄露信息会延续至之后的多个周期，不同周期的泄漏可能会在一个周期内产生叠加，因此记忆效应可能会导致实际电路中产生额外的泄漏.现有的任意一个泄漏模型均无法满足这样的实际情形. 对产生记忆效应的掩码电路实施高阶攻击时，核心问题在于组合函数是否有效且高效.一个优化的组合函数可以显著提高高阶攻击的成功率.现有的组合函数主要包括乘积组合函数(product combining function), 改进乘积组合函数(improved product combining function)和绝对差组合函数(absolute difference combining function)，其中改进乘积组合函数相对于其他组合函数来说更加有效 [ 13 13 ] .然而根据我们的相关实验，在实际的电路中，由于记忆效应的影响，组合函数的有效性会有所下降. 本文对掩码方案的功耗泄漏特性与TC模型进行研究，提出了MTC (multicycle toggle count)模型.MTC模型相对于现有泄漏模型来说，可对多个周期的功耗泄漏进行刻画，与实际情形更加接近.此外，本文根据MTC模型的特性，对现有分析方法中的组合函数进行研究，提出了一种组合函数优化方案，该优化方案可显著提高现有分析方法的有效性. 高阶分析方法及组合函数 1 在侧信道分析中，掩码方案最大的威胁来自于高阶分析.高阶分析包括一元高阶分析与多元高阶分析 [ 12 12 , 13 13 ] .一元高阶分析通过对泄漏产生叠加的单个功耗采样点进行分析，可有效恢复掩码电路中的正确密钥；多元高阶分析通过对多个产生泄露的功耗采样点使用组合函数进行联立，之后使用与一元高阶分析相同的方法可有效恢复正确密钥.使用一元高阶分析的前提是掩码方案中不同共享因子产生的功耗泄露在单个点产生叠加，若不同共享因子的功耗泄漏并未在单个点产生叠加，或叠加数量较少时，使用多元高阶分析对掩码电路进行攻击时有效性较高. 高阶分析方法 2 现有的高阶分析主要包括DPA(差分功耗分析) [ 1 1 ] 、CPA(相关性功耗分析) [ 3 3 ] 与MIA(互信息分析) [ 4 4 ] .DPA相对于CPA与MIA来说，有效性较低，因此CPA与MIA是现有的被广泛使用的分析方法. 下文对高阶分析基本原理进行叙述. 泄露模型 [ 14 14 ] ： L ( x )为中间值 x = I ( k guess , p )时的泄露信息， k guess ∈ k 为猜测密钥， k 为所有可能密钥的集合， p 为随机明文.在实际加密电路中， p 为有限域 GF (2 n )之上的随机数， n 为明文块字节长度.泄露信息 L ( x )= L [ I ( k guess , p )]，其中 L 为泄露模型. CPA：实测功耗曲线 P N × S 为 N × S 的矩阵，其中： N 为曲线数量， S 为每条曲线的采样点数. P S 为时间采样点 S 处的功耗组成的长度为 N 的向量，CPA区分器 ρ ( P S , L ( x ))表示 P S 与 L ( x )之间的相关性，可表示为 http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257444&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257444&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257444&type=middle 其中：cov( X , Y )为离散随机变量 X 与 Y 的协方差， σ X 与 σ Y 分别为 X 与 Y 的标准差. MIA：与CPA类似，MIA区分器MI( P S , L ( x ))表示 P S 与 L ( x )之间的互信息.互信息的计算方法如下： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257449&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257449&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257449&type=middle http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257454&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257454&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257454&type=middle 其中： X 与 Y 为离散随机变量， x i 与 y j 为 X 与 Y 的任意可能值. 此时互信息可以表示为： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257458&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257458&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257458&type=middle 有效攻击：使用CPA或MIA对实测功耗曲线进行分析，若以下条件恒成立则认为攻击成功，即电路中存在泄漏.其中： k c 为正确密钥，在实际加密电路中， k c 为定值， k ∈ k 为任意可能密钥.当使用CPA进行攻击时，条件如下： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257463&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257463&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257463&type=middle 当使用MIA进行攻击时，条件如下： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257467&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257467&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257467&type=middle 掩码是一种算法级别的防护方案，其主要原理是对加密算法的中间值添加随机数以达到混淆的目的，即 x = x m ⊕ m .其中： x 为加密算法的原始中间值， x m 与 m 分别为掩码型中间值与掩码，也可称作 x 的两个共享因子. 对掩码电路进行分析时，需要使用高阶攻击.在进行二阶攻击时，需要使用组合函数对多个泄漏点使用组合函数进行联立，此时CPA与MIA分析方法分别如下: http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257469&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257469&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257469&type=middle http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257474&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257474&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257474&type=middle 其中： C 为组合函数， P 1 与 P 2 分别表示一阶掩码方案中两个共享因子的泄漏点. 组合函数 2 组合函数是高阶攻击的核心之一.使用多元CPA [ 13 13 ] 对掩码电路进行高阶分析时，必须使用组合函数对多个泄漏点进行联立才能成功实施攻击；而使用多元MIA [ 15 15 ] 时，无须进行联立即可成功实施攻击.一个更加优化的组合函数，可显著提高多元CPA与多元MIA的有效性.因此在本文中，多元CPA与多元MIA均使用组合函数对多点联立之后进行分析. 不同组合函数定义如(9)~(10)式，其中改进乘积组合函数是现有组合函数中有效性最高的 [ 13 13 ] .乘积组合函数： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257478&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257478&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257478&type=middle 改进乘积组合函数： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257482&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257482&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257482&type=middle 绝对差组合函数： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257486&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257486&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257486&type=middle 其中： P i 为 P S 的元素，表示与共享因子 x i 相关的实测功耗曲线的采样点. TC模型与记忆效应 1 TC模型 2 Mangard等 [ 10 10 ] 提出了TC模型，TC模型是一种非常有效的刻画组合电路功耗的泄露模型.构建TC模型需要取得实际电路的设计信息，包括原始Verilog设计或者网表信息.通常情况下，在电路中的一个寄存器发生变化时，位于寄存器之后的一片组合电路中的节点会发生跳变，通过计算这些节点跳变的数量即可构造TC模型. TC模型的定义如下： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257490&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257490&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257490&type=middle 其中： L TC ( X )代表寄存器取值为 X 时的泄露信息， m 表示位于寄存器之后的组合电路中内部信号的数量， g i ( X )表示第 i 个信号在一个周期之内跳变的总数. 记忆效应 2 记忆效应是硬件电路中广泛存在的一种现象.通过差分功耗曲线的特性，可以观察记忆效应对功耗泄漏的影响.如 图 1 图 1 所示，两条曲线分别表示二阶掩码电路中对两个共享因子 x 1 和 x 2 在连续周期依次执行S盒操作的差分功耗曲线 D ( x 1 )与 D ( x 2 )，可以看出 D ( x 1 )在达到峰值之后，并未在一个周期(100个采样点)之内降为0，而是延续到了 D ( x 2 )所在周期和之后的多个周期. 现有的泄露模型，包括汉明重模型、汉明距模型、TC模型等均为瞬时功耗模型，即只能对电路的瞬时功耗特性进行刻画.而实际加密电路中的功耗泄漏并不是瞬时的，而是会延续多个周期.即某一时刻的功耗泄露可能是之前多个周期的泄漏与当前周期的泄漏叠加出现.现有的泄漏模型也可对记忆效应产生的泄漏进行观察，但并未对多个周期产生的泄漏进行叠加，因此现有的泄露模型的有效性均有待提高. MTC模型与组合函数优化 1 MTC模型 2 现有的TC模型通过计算某一时钟周期之内的TC进行模型构建.当实际电路中产生记忆效应时，一个周期之内的TC功耗会延迟多个周期，此时可以根据记忆效应对TC模型的影响，重新构建新的TC模型，我们称为MTC(multicycle toggle count)模型.MTC模型相对于原始TC模型来说将单周期扩展到了多周期，可以对记忆效应产生的泄漏信息进行刻画，因此MTC模型的有效性更高. MTC模型定义如下： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257498&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257498&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257498&type=middle 其中： L MTC ( X )为MTC模型所刻画的泄露信息， X i 为不同的寄存器取值， n 为共享因子个数， α i 为常量系数， L TC ( X )为原始TC模型. 组合函数优化 2 在电路中产生记忆效应的情况下，目标周期的功耗曲线会受到前几周期功耗的影响，在使用多元CPA或多元MIA对实际电路进行分析时，会产生额外的噪声.在 n 阶掩码电路中，假设目标周期某个点的功耗为 P ( X n )，则该点的功耗可以用以下等式表示： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257502&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257502&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257502&type=middle 为了简化分析过程，本文对二阶掩码方案进行研究， n 阶掩码方案的结论可通过相同的分析方法得出.在二阶掩码电路中，原始明文输入 x = x 1 ⊕ x 2 ，其中 x 1 与 x 2 分别为两个共享因子.为了保证电路的安全性，两个共享因子需要在不同周期进行执行.此时二阶掩码电路中 x 1 与 x 2 所在周期的功耗 P ( x 1 )与 P ( x 2 )分别为： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257506&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257506&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257506&type=middle http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257510&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257510&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257510&type=middle 其中： δ i 表示实测功耗中与 x i 无关的功耗常量( i =1, 2)，通常指电路中的静态功耗， N 1 , N 2 均表示实测功耗中的高斯噪声.在进行高阶攻击时，需要使用组合函数对 P ( x 1 )与 P ( x 2 )进行联立，即 P ( x )= C ( P ( x 1 ), P ( x 2 )).根据(16)式可以看出，在计算 P ( x 2 )时， αL ( x 1 )可以通过 P ( x 1 )计算得到， αL ( x 1 )与 x 2 无关，因此若把 αL ( x 1 )当作噪声从 P ( x 2 )中减去，可提高 L TC ( x 2 )在 P ( x 2 )中所占的比例，从而提高攻击的有效性.此时优化之后的功耗如下： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257515&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257515&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257515&type=middle P * ( x 2 )相对于 P ( x 2 )来说，噪声有所降低，因此可有效提高二阶攻击的效率. 根据上述内容，本文提出一种组合函数优化函数，该优化函数相对于原有组合函数来说，可有效降低原始功耗曲线的噪声，提高高阶攻击的有效性.该优化函数定义如下： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257519&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257519&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257519&type=middle http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257523&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257523&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257523&type=middle 有效性分析 2 在执行二阶CPA与二阶MIA时，组合函数的有效性可通过相关系数 ρ 与互信息MI的大小来判断. ρ 或MI的取值与组合函数的有效性之间均呈正相关，计算方法如下所示： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257527&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257527&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4257527&type=middle 对 ρ 与MI的理论值进行分析，选择现有最有效的组合函数，即改进乘积组合函数，之后使用本文改进乘积优化组合函数进行优化并分析.CPA理论结果与MIA理论结果分别如 表 1 表 1 与 表 2 表 2 所示.由于互信息的特性，MIA结果在单比特情况下有效性为0.由 表 1 表 1 和 表 2 表 2 可知，组合函数经优化后，有效性显著提高. 2 组合函数 4 共享因子的位数 1 2 4 8 改进乘积 0.93 0.58 0.36 0.22 改进乘积优化 0.99 0.71 0.50 0.35 2 组合函数 4 共享因子的位数 1 2 4 8 改进乘积 0 0.34 0.31 0.39 改进乘积优化 0 0.56 0.65 0.64 实验 1 实验使用CPA与MIA方法对掩码电路的实测功耗进行分析.所有实验均基于SASEBO-GII开发板 [ 16 16 ] ，该开发板配置有一颗Virtex-5 FPGA芯片.SASEBO-GII开发板可以用于对加密算法硬件实现的侧信道安全性进行评估.实测功耗曲线通过KEYSIGHT InfiniiVision DSOX3034A数字示波器进行采集，采样率为2 GSa/s，将带宽限制设置为20 MHz以减小噪声的影响.实验在二阶掩码方案 [ 6 6 ] 的硬件实现上进行.在该硬件实现中，两个8位共享因子 x 1 与 x 2 在相邻周期执行.由于记忆效应的影响， x 1 产生的功耗延续到 x 2 所在周期并产生额外功耗. 实验为两个部分:1)对MTC模型的有效性进行验证; 2)对改进乘积优化组合函数的有效性进行验证. 1) 对MTC模型的有效性进行验证.在产生记忆效应的情况下，分别使用TC模型和MTC模型与实测功耗曲线计算相关系数，结果如 图 2 图 2 所示.由 图 2 图 2 可以看出，相对于TC模型来说，MTC模型与实测曲线相关系数的绝对值由0.26升高为0.30，提高了15.4%.因此，相对于TC模型，MTC模型的有效性更高. 2) 对改进乘积优化组合函数的有效性进行验证.现有最有效的组合函数为改进乘积组合函数，因此本文中对改进乘积组合函数进行优化并与其他组合函数进行比较.CPA与MIA的实验结论均为曲线量达到30万条时的结果.如 表 3 表 3 所示，可以看出对改进乘积组合函数使用优化函数 C * 之后，用CPA得到的相关系数由0.062增至0.082，提高了32.3%.同样经过优化之后，用MIA得到的互信息由0.009增大至0.011，提高了22.2%. 组合函数 相关系数 互信息 绝对差 0.046 0.002 乘积 0.006 0.006 改进乘积 0.062 0.009 改进乘积优化 0.082 0.011 本文还对其他常见组合函数进行实验比较，实验结果如 表 3 表 3 所示.相关系数或互信息取值越大，说明有效性越高.从 表 3 表 3 可以看出，相对于现有3种组合函数，改进乘积优化组合函数的有效性在CPA与MIA中均为最高的. 当共享因子位数为8时，由 表 3 表 3 可知: CPA中改进乘积组合函数相对于乘积组合函数，有效性的理论结果提高了59.1%，实验结果提高了32.3%；在MIA分析中，MI的理论结果提高了为64.1%，实验结果提高了22.2%.因此在实际情况中，由于噪声等其他因素的影响，该优化方案的效果会有所降低，但是使用该优化方案仍可显著提高原有组合函数的有效性. 结论 1 针对掩码电路进行相关性功能分析与互信息分析时，关键问题之一是泄露模型的有效性.构建一个更加精确的泄漏模型可显著提高分析的有效性.本文对掩码方案的功耗泄漏特性与TC泄露模型进行研究，提出了MTC模型.相对于现有TC模型来说，MTC模型可对多个周期的功耗泄漏进行刻画，准确性相对于TC模型提高15.4%. 组合函数的有效性是高阶分析方法的另一个关键问题.更加有效的组合函数可进一步提升分析方法的有效性.本文对现有的组合函数进行了研究，并结合MTC模型的原理，提出了一种组合函数优化方案，该方案可提高针对掩码电路的CPA与MIA的有效性.使用该方案对组合函数进行优化之后，CPA的有效性可提高32.3%，MIA的有效性可提高22.2%. 本文中所提出的组合函数改进方案为通用的改进方案，即针对于任何组合函数和分析方法均有效.然而在实际的攻击中，不同组合函数和分析方法具有不同的特性.因此未来可行的研究方向是，根据组合函数和分析方法特性的不同，对组合函数优化方案作进一步改进.此外，还可继续对实际电路的功耗泄漏模型进行研究，提出更加有效的组合函数. 参考文献 KOCHER P, JAFFE J, JUN B.Differential power analysis [C] // Advances in Cryptology—CRYPTO '99 ( LNCS 1666). Heidelberg: Springer, 1999: 789-789. DOI: 10.1007/3-540-48405-1_25 http://dx.doi.org/10.1007/3-540-48405-1_25 . CHARI S, RAO J, ROHATGI P.Template attacks [C] // International Workshop on Cryptographic Hardware and Embedded Systems ( LNCS 2523). Heidelberg: Springer, 2003: 51-62. DOI: 10.1007/3-540-36400-5_3 http://dx.doi.org/10.1007/3-540-36400-5_3 . BRIER E, CLAVIER C, OLIVIER F.Correlation power analysis with a leakage model [C] // International Workshop on Cryptographic Hardware and Embedded Systems ( LNCS 3156). Heidelberg: Springer, 2004: 16-29. DOI: 10.1007/978-3-540-28632-5_2 http://dx.doi.org/10.1007/978-3-540-28632-5_2 . GIERLICHS B, BATINA L, TUYLS P, et al . Mutual information analysis [C] // International Workshop on Cryptographic Hardware and Embedded Systems ( LNCS 5154). Heidelberg: Springer, 2008: 426-442. DOI: 10.1007/978-3-540-85053-3_27 http://dx.doi.org/10.1007/978-3-540-85053-3_27 . AKKAR M L, GIRAUD C.An implementation of DES and AES, secure against some attacks [C] // International Workshop on Cryptographic Hardware and Embedded Systems ( LNCS 2162). Heidelberg: Springer, 2001: 309-318. DOI: 10.1007/3-540-44709-1_26 http://dx.doi.org/10.1007/3-540-44709-1_26 . ROCHE T, PROUFF E.Higher-order glitch free implementation of the AES using secure multi-party computation protocols [J]. Journal of Cryptographic Engineering , 2012, 2 (2): 111-127. DOI: 10.1007/s13389-012-0033-3. TANG M, GUO Z P, HEUSER A, et al . PFD-A flexible higher-order masking scheme [J]. IEEE Transactions on Computer-Aided Design of Integrated Circuits and Systems , 2017, 36 (8): 1327-1339. DOI: 10.1109/TCAD.2016.2629441. ISHAI Y, SAHAI A, WAGNER D.Private circuits: Securing hardware against probing attacks [C]// Annual International Cryptology Conference ( LNCS 2729). Heidelberg: Springer, 2003: 463-481. DOI: 10.1007/978-3-540-45146-4_27 http://dx.doi.org/10.1007/978-3-540-45146-4_27 . MANGARD S, POPP T, GAMMEL B M.Side-cha- nnel leakage of masked CMOS gates [C]// Cryptographers' Track at the RSA Conference ( LNCS 3376). Heidelberg: Springer, 2005, 3376: 351-365. DOI: 10.1007/978-3-540-30574-3_24 http://dx.doi.org/10.1007/978-3-540-30574-3_24 . MANGARD S, PRAMSTALLER N, OSWALD E.Successfully attacking masked AES hardware implementations [C]// International Workshop on Cryptographic Hardware and Embedded Systems ( LNCS 3659). Heidelberg: Springer, 2005: 157-171. DOI: 10.1007/11545262_12 http://dx.doi.org/10.1007/11545262_12 . MORADI A, SALMASIZADEH M, SHALMANI M T M, et al . Vulnerability modeling of cryptographic hardware to power analysis attacks [J]. Integration, the VLSI Journal , 2009, 42 (4): 468-478. DOI: 10.1016/j.vlsi.2009.01.001. MORADI A, MISCHKE O.On the simplicity of converting leakages from multivariate to univariate [C] // International Workshop on Cryptographic Hardware and Embedded Systems ( LNCS 8086). Heidelberg: Springer, 2013: 1-20. DOI: 10.1007/978-3-642-40349-1_1 http://dx.doi.org/10.1007/978-3-642-40349-1_1 . PROUFF E, RIVAIN M, BEVAN R.Statistical ana- lysis of second order differential power analysis [J]. IEEE Transactions on Computers , 2009, 58 (6): 799-811. DOI: 10.1109/TC.2009.15. MANGARD S, OSWALD E, POPP T. Power Analysis Attacks: Revealing the Secrets of Smart Cards [M]. Berlin: Springer Science & Business Media, 2008: 31-35. GIERLICHS B, BATINA L, PRENEEL B, et al . Revisiting higher-order DPA attacks: Multivariate mutual information analysis [C]// Cryptographers' Track at the RSA Conference ( LNCS 5985). Heidelberg: Springer, 2010: 221-234. DOI: 10.1007/978-3-642-11925-5_16 http://dx.doi.org/10.1007/978-3-642-11925-5_16 . AIST. Side-channel attack standard evaluation board(sasebo), SASEBO-R/-G/-GII [EB/OL]. [2017-06-05] . http://www.risec.aist.go.jp/project/sasebo/ http://www.risec.aist.go.jp/project/sasebo/ . 10.14188/j.1671-8836.2018.06.002 TP309 whdxxblxb-64-6-485 国家自然科学基金(61472292) 2018-04-07 2018-12-24 2020-11-30 版权所有© 2018 《武汉大学学报(理学版)》编辑部 Copyright © 2018 Journal of Wuhan University(Natural Science Edition). All rights reserved. 2018 武汉大学学报(理学版) 6 64