타원곡선 암호시스템에서 랜덤 m-ary 방법을 사용한 전력분석 공격의 대응방법

A Random M-ary Method-Based Countermeasure against Power Analysis Attacks on ECC

Abstract

타원곡선 암호시스템에서 스칼라 곱셈의 랜덤화는 부-채널공격 대응방법의 기본적인 개념 중의 하나이다. 본 논문에서는 랜덤 m-ary 리코딩 알고리듬에 기반한 랜덤 m-ary 방법으로 단순/차분 전력분석 공격의 대응 방법을 제안한다. 제안 방법은 표준의 m-ary 방법보다 부가적인 연산량이 요구되지만 비밀키와 독립적인 소모전력을 생성한다. 따라서 랜덤한 윈도우 사이즈를 이용한 연산 과정이 SPA/DPA 공격에 대응할 수 있으므로 제안하는 대응방법은 스마트카드의 부-채널공격에 향상된 안전성을 제공한다.

The randomization of scalar multiplication in ECC is one of the fundamental concepts in defense methods against side-channel attacks. This paper proposes a countermeasure against simple and differential power analysis attacks through randomizing the transformed m-ary method based on a random m-ary receding algorithm. The proposed method requires an additional computational load compared to the standard m-ary method, yet the power consumption is independent of the secret key. Accordingly, since computational tracks using random window width can resist against SPA and DPA, the proposed countermeasure can improve the security for smart cards.

Ⅰ.서론

스마트카드(smartcard)란 마이크로프로세서와 메모리를 내장하고 카드 내에서 데이터 연산 처리와 저장이 가능한 플라스틱 카드를 말한다. 특히, 접촉식 카드는 칩의 동작을 위한 전원과 클럭 신호를 얻기 위하여 리더기와 물리적인 접촉이 필요하다. 따라서 암호 알고리듬 설계 단계에서 고려되지 못한 부가적인 정보 누출로부터 비밀 정보를 알아내는 부-채널 공격(sidevhannel attack)S] 대상이 될 수 있다. 이러한 부-채널공격은 시차 공격(timing attack)111, 오류주입 공격(fault insertion attack)闵, 전력분석 공격 (power analysis attack)131 그리고 전자기 누출 공격 (electroma­ gnetic emission attack)®등으로 나눌 수 있다. 전력분석 공격은 스마트카드에 물리적 변환을 가하지 않고 직접 소모전력 신호의 특성을 파악하여 비밀키에 대한 정보를 알아내는 SPA(simple power 取lalysis)와 SPA에 통계적인 분석 방법 및 에러 정정 기술을 도입한 DPA(differential power analysis)로 분류된다.

T. S. Messerges는 RSA 멱승 알고리듬에 대하여 Single exponent multiple data(SEMD) 공격, Multiple exponent single data(MESD) 공격, 그리고 Zero ex­ ponent multiple data(ZEMD) 공격 등을 적용하였다.闵 RSA 암호 시스템问과 타원곡선 암호 시스템 (Elliptic Curve Cryptosystem, ECC)'"에서 MESD 공격은 두 개의 스마트카드(공격대상 카드와 키 값을 변경할 수있는 비교용 카드)를 이용하여 공격하는 기술로서, 동일한 메시지를 적용하여 비밀키를 모르는 공격대상카드의 평균전력 파형과 비밀키 변경이 가능한 비교용 카드의 평균전력 파형을 차분함으로써 키 비트를 순차적으로 알아내는 방법이다.

본 논문에서는 타원곡선 암호시스템이 소프트웨어적으로 내장된 스마트카드에서 NffiSD공격이 가능함을 검증하고 전력분석 공격에 대한 대응방법을 제시한다. 타원곡선 상의 임의의 한 점에 대한 스칼라 곱셈 연산에 대한 전력분석 공격을 적용한 후, 이에 대한 대응방법으로 랜덤 진 방법을 사용한 스칼라곱셈 알고리듬을 제안하고자 한다. 또한 제안하는 리코딩(recoding)알고리듬, 스칼라 곱셈 알고리듬의 연산 과정, 안전성, 연산량 등을 분석하고 MESD공격을 실험적으로 분석하고자 한다.

Ⅱ. 스칼라 곱셈에 대한 전력분석 공격 실험

2.1 두배-덧셈 알고리듬

타원곡선 암호 알고리듬은 타원곡선 상의 한 점 P 에 대해서 Q=d・ P를 계산하는 비밀키 江에 대한스칼라 곱셈 연산을 행한다. 일반적으로 스칼라 곱셈 연산은 구현이 용이한 두배-덧셈 알고리듬을 사용한다. 따라서 공격자는 [그림 1]와 같은 left-to-right(LR) 방법의 두배-덧셈 알고리듬이 수행될 때, 소비되는 전력을 조사함으로써 전력 공격을 적용할 수 있다. 공격자는 비밀키를 제외한 나머지 공개 정보는 알고 있다고 가정한다.

(그림 1) 스칼라 곱셈 알고리듬

공격 대상의 비밀키를 한 비트씩 추측하는 과정은비밀키의 두 번째 비트를 '0'으로 가정하고 점 F가두배 연산이 된 후 소모전력을 측정한다. 이때 한 점을 두배하는 연산 (2Q) 과 두 점을 더하는 연산 (F+Q)의 소모전력이 다르게 나타날 것이다. 그러나 실제 비밀 키 비트가 “1”이라면 조건문을 수행할때 Q가 2Q+F가 되어 소모전력의 차이로 SPA 공격이 가능하다. 또한 두배와 덧셈의 수행 시간 차이로 시차공격도 가능하다.

암호시스템 설계자는 랜덤 수를 생성하여 잡음을 첨가하거나 부가(dummy) 명령어를 삽입하여 쉽게 SPA 공격을 방어할 수 있다. Coron은 [그림 2]과 같은 방법을 제안했다团 하지만 이 방법은 항상 두 배와 덧셈 연산을 실시하기 때문에 연산량의 증가를 가져오며, 연산되는 중간값들의 변화에 따른 DPA 공격에는 대응할 수 없다.

(그림 2) SPA에 대응하는 두배-덧셈 알고리듬

2.2 Coron의 방법에 대한 MESD 공격

비밀키 刁=(如1.力_2...., 减라 할 때 dji는 최상위 비트이며 '「로 가정한다. 공격자는 공격 대상의 스마트카드에서 소모전력 s。) 를 수집한다. 마찬가지로 키 값을 변경할 수 있는 비교용 스마트카드에서 소모전력 T, 。)를 수집한다. 위의 두 소모전력파형들을 평균하고 차분한다.

#(1)

여기서 /?는 소모전력 측정회수이다. 공격자는 △(/)에서 피크(peak)를 확인하여 추측의 정확성을 판단한다. 추측한 비트의 다음 비트 위치부터 피크를 확인함으로써 정확한 비트를 알 수 있다.

스마트카드에 사용된 ECC가 GF3)상에서 비밀키 d= 10010……(2)로 설정할 때, 한 비트를 추측하기 위해 에서 = 까지 Zz회를 실시한다. 이때 점 R는 스마트카드에서 고정된 점이다. [표 1]에서 두 번째 비트 dif 을 추측한다고 가정하면 실제 비트와 추측한 비트가 동일하면 전력 파형에는 피크가 나타나지 않는다. 만약 실제 비트와 추측한 비트가 力—2에서 다르다면 두 번째 비트의 선택(selection) 단계가 끝나고 세 번째 비트와 관련한 연산을 수행할 때부터 전력 파형이 달라진다. 따라서 세 번째 비트에 해당하는 연산을 수행할 때부터 피크 값을 볼 수 있다.

(표 1) 스칼라 곱셈 알고리듬에 의한 연산되는 과정 (X는 예상할 수 없는 값)

[그림 3]은 측정회수 /;=300으로 측정한 두 소모전력 파형을 평균하고 차분한 결과이다. 실험 결과에서잘못 예측된 경우 세 번째 비트부터 피크가 생성되어 추측한 두 번째 비트 값이 T이 아님을 알 수 있다. 따라서 공격자는 비교용 스마트카드의 두 번째비트를 수정한 후, 나머지 비트에 대해서도 반복적인공격을 실시한다.

(그림 3) SPA 대응하는 두배-덧셈 과정의 소모전력 파형

Ⅲ. ECC에서 전력분석 공격의 새로운 대응방법 제안

3.1 제안하는 리코딩 알고리듬(recoding algorithm)

두배-덧셈 방법은 비트의 비밀키 d를 이진수로 표현하여 스칼라 곱셈 연산을 수행한다.

#(2)

이러한 비밀키를 LR 방식의 彻-진수(也=29로 확장한다. 이때 랜덤 윈도우 사이즈(window size) "은 1, 2, 3 중에서 선택되어진다. k는 생성된 배열 쌍의 길이로 항상 가변적이다. [그림 4]는 비밀키를 새로운 배열로 변형하는 과정을 보여준다. 각각의 七.와 array[i]^: 하나의 배열쌍(array pairs)으로 구성된다. 는 랜덤 윈도우 사이즈의 값이며, 는 윈도우 사이즈가 정해질 때 해당 비트열의 값으로 사전 계산된 점尸言""顼屈]를 저장하고 읽을 경우에 사용된다. 보조인자 c, 는 SPA에 대응하는 알고리듬을 설계하기 위해 사용되는데 점 F의 값이 O이면 O 의 값을 가지며 그 외에는 T의 값을 가진다.

#(3)

#(4)

#(5)

(그림 4) 새로운 배열쌍의 구성

제안하는 리코딩 알고리듬은 [표 2] 와 같은 비트열을 생성한다. 연속적인 '0'이 생성되더라도 각각의비트에 대해 진 방식을 사용한다. 각각의 윈도우사이즈는 랜덤수 생성기에 의해 선택되어진다. 그러나 선택한 윈도우 사이즈가 남은 비밀키의 비트열보다 클 경우에는 윈도우 사이즈를 T로 선택하여 만들 수 있다. 비트열의 경우가 다르므로 각각의 발생확률은 다르게 설계한다. 즉, 尸1은 2가지의 비트열이 있는 반면, 尸3일 때는 8가지의 비트열이 있어랜덤수가 동일한 발생 확률을 가질 경우에는 최소윈도우 사이즈인, 。, 과 T이 상대적으로 많이 생성되게 된다. 이는 스칼라 곱셈 알고리듬을 설계할 때안전성과 연산량 측면에서 비효율적이다. 따라서 r 을 효과적으로 선택하기 위하여 [그림 5]과 같은 의사코드(PseudoYode)의 알고리듬을 구성한다. 입력되는 X는 임의 양의 정수이다. 따라서 랜덤 윈도우 사이즈의 발생확률은 (6)식과 같으며 이는 배열쌍의 길이 京게 영향을 주며 각각의 비트열들이 선택될 경우가 비슷해진다.

#(6)

(그림 5) 랜덤 윈도우 사이즈를 발생하는 알고리듬

(표 2) 랜덤한 m-arv 방법에 따른 비트열의 분류

따라서 尸1일 때, 。, 의 비트열이 발생할 확률은 #일 때 '111'의 비트열이 발생할 확률은 #이다.

3.2 제안하는 스칼라 곱셈 알고리듬

3.2.1 DPAOII 대응하는 알고리듬

타원곡선 암호시스템에서 기존의 所-진 방법은 점을 사전계산하고 임의 메모리에 저장한 후, 점 Q를 nQ하는 연산과 사전 계산된 점 를 덧셈하는 연산을 반복한다. 그러나 제안하는 새로운 스칼라 곱셈 알고리듬은 동일하게 사전계산을 하지만 연산하는 과정이 다르다. 즉, 이진 방식의 두배 연산을윈도우 사이즈만큼 수행하여 두배-덧셈 연산을 실행하도록 [그림 6]과 같이 구성하였다. 배열쌍을 생성하는 리코딩 수행시간은 스칼라 곱셈 연산 시간에비해 무시해도 될 정도의 빠른 시간이므로 연산량측면에서는 고려하지 않는다. 그러나 사전 연산 과정에서 실시한 두배-덧셈의 연산량(3D+3A)은 고려해야한다. 배열쌍은 스마트카드가 실행될 때마다 랜덤하게 생성되므로 DPA 공격에 대응할 수 있으며, 수행시간도 배열쌍의 개수에 따라 유동적이다. 그러나 [그림 6]의 알고리듬은 공격자가 두배 연산과 덧셈연산의 소모전력 파형을 구분할 수 있으면 SPA 공격에는 대응할 수 없다.

(그림 6) DPA에 대응하는 스칼라 곱셈 알고리듬

3.2.2 SPA/DPA에 대응하는 알고리듬

SPA/DPA에 대응하는 알고리듬은 조건문이 없이 항상 세 번의 두배 연산과 한번의 덧셈 연산을 실시하도록 [그림 기과 같이 구성한다. 두배 연산과 덧셈 연산 과정의 소모전력이 구분되어도 SPA 공격을 방어할 수 있다. Q[l], Q[2] 그리고 Q[3]은 무조건 두 배씩 연산된 값을 가진다. 덧셈 연산은 array卩]가, 。, 일 때도 항상 수행되지만 최종적인 결과 값은 Q[0J = Q[c;+n]에서 선택되어진다. 즉, c, .이 '0'일 때는 덧셈 연산된 값이 선택되지 않고 두배 연산을 한 결과만 선택한다. 이러한 방법은 비밀키 열과 무관하게 항상 "Doubling, Doubling, Doubling, Addition (DDDA)" 의 순으로 연산하여 연산량이 약간 증가하지만 SPA 공격에도 방어할 수 있다.

〔그림 7) SPA/DPA에 대응하는 스칼라 곱셈 알고리듬

Ⅳ. 제안 방법 분석

제안된 리코딩 알고리듬에서 배열쌍의 생성 과정을 살펴하고, 기존의 스칼라 곱셈 알고리듬의 연산 과정과 비교하여 제안된 스칼라 곱셈 알고리듬을 분석한다. 그리고 전력분석 공격에 대한 대응방법의 안전성과 연산량을 분석한다. 마지막으로 MESD 공격의 대응 여부를 실험적으로 검증한다.

4.1 리코딩 알고리듬의 분석

初-비트 이진 비밀키가 [0, 2 "「勺의 범위 내에서이진 랜덤수 생성기에 의해 '0'과 T로 생성될 때확률 #을 가진다고 가정한다. 실험을 위하여 하나의 비밀키마다 10, 000회씩반복하여 새로운 배열쌍을 생성하였다. 10, 000개의경우에 대해 생성된 배열쌍의 분포는 [표 3]과 같았다.

(표 3) 160비트의 비밀키에 대한 새로운 배열쌍의 개수

결론적으로 160비트의 비밀키들은 평균 69개의 배열 쌍이 가장 많이 생성되는 것을 표에서 볼 수 있다. 이러한 실험은 정확도를 높이기 위해 총 100개의 서로 다른 비밀키를 선택하여 10, 000번씩 시도하여 이를 평균한 것이다. 또한 비밀키 길이 〃을 변화시키면서 평균 배열쌍의 개수를 조사하였는데 [표 4] 와 같은 결과를 가지는 것을 실험을 통하여 확인하였다.

(표 4) 비밀키의 비트수에 따른 배열쌍의 생성 비율

4.2 스칼라 곱셈 알고리듬의 분석

4.2.1 연산 과정 분석

제안된 랜덤 진 방법의 스칼라 곱셈 알고리듬의 연산 과정을 이진 스칼라 곱셈 알고리듬과 비교하면 [표 5]와 같다. SPA 공격에 대응할 때 이진 알고리듬은 비트열에 따라 항상 “Doubling, Addition (DA)”를 실시하지만 제안된 알고리듬은 비트열에 무관하게 항상 동일한 “DDDA”를 실시하므로 SPA/ DPA 공격으로 정확한 비트열을 얻기 힘들다.

(표 5) 비트열에 따른 연산과정의 비교

예를 들어, 비밀키 8=1011001101(2)일 때 리코딩 알고리듬에 의해 연산 과정의 순서는 다양하다. 즉, 스칼라 곱셈 알고리듬이 최상위 비트(MSB)를 제외한 두 번째 비트부터 연산을 실시하면 최소 3개부터 최대 9개의 배열쌍이 나올 수 있다. 만약 5개의 배열 쌍에서 윈도우 사이즈의 값이 [표 6]과 같을 때 생성될 연산 순서의 경우는 45가지이다. 따라서 3개와 9개의 배열 쌍은 한번만 생성되지만 기타 다른 경우는 다양하게 분포되어 공격자는 비트열의 연산 순서를 추측하기 힘들다. 스마트카드가 실행될 때마다 리코딩 알고리듬에 의해 배열쌍의 생성 개수와 생성된 배열 쌍의 연산 순서도 다양하다.

〔표 6] 생성된 배열쌍이 5개일 경우의 연산 순서

4.2.2 안전성 분석

비밀키의 리코딩과 스칼라 곱셈 과정에서 비트에대한 정보를 누출할 가능성이 있는지 분석하도록 한다. 다음은 부-채널 공격의 안전성에 요구되는 두 가지 조건으로 Okeya와 Sakurai가 제안하였다.回

1. 비밀정보와 연산 과정의 독립성.

2. 연산되는 정보의 표현과정에서 랜덤성.

요구사항 1은 SPA 공격에 대응하는 방법으로 간단하게 구현될 수 있다. 따라서 비밀키와 관련된 연산 과정이 항상 일정하고 독립적으로 동작하는 제안된 [그림 기의 알고리듬은 요구사항 1을 만족한다. 또한 연산하는 대상의 표현과정에서 랜덤성이 요구된다. 이는 비밀정보와 관련된 과정이 서로 무관하게 동작하여도 연산하는 대상이 랜덤성이 없으면 DPA 공격에 대응할 수 없다. 이러한 요구사항 2도 랜덤한 m-ary 리코딩 알고리듬을 이용하여 만족시킬 수 있다. 비밀키를 랜덤한 새로운 배열쌍으로 생성하여 비밀키를 추측하기 어렵도록 한다. 따라서 정확한 비트나 비트열을 차분 전력분석 공격으로 얻고자 하여 도두 소모전력의 차분 파형에서 랜덤한 피크가 모든 영역에 나타난다.

4.2.3 연산량 분석

제안된 스칼라 곱셈 방법의 연산량을 아핀 좌표계에서 이진 방법과 윈도우 방법의 연산량과 비교한다. DPA에만 대응하는 [그림 6]의 알고리듬은 배열쌍 중에서 arrays가이면 덧셈 연산을 실시하지 않는다.

#

따라서 사전계산의 3A와 3D를 포함한 연산량은 ⑺식과 같다.

#(7)

그러나 SPA/DPA에 대응하는 [그림 기의 스칼라곱셈 알고리듬을 사용하면 array]/]의 값에 무관하게세 번의 두배 연산과 한번의 덧셈 연산을 항상 실시하기 때문에 연산량이 약간 증가한다.

#(8)

[표 기은 DR.7A"1 일 때 제안된 랜덤 진 방법과 기존의 다른 대응방법을 보여주고 있다. 160 비트의 비밀키를 NAF(non-adjacent form)로 구성하고 새로운 심벌(symbol)로 만들어 스칼라 곱셈하는 알고리듬 回와 비교할 때 랜덤 진 방법은 DPA 공격에 대응하면서도 비슷한 연산량을 가진다. 또한 비밀키를 랜덤하게 새로운 NAF 형태로 구성하고 스칼라 곱셈하는 Ha-Moon's method "이보다 DPA만 대응하는 방법은 연산량이 12%정도 감소하며, SPA /DPA에 대응하는 방법은 21%정도 감소한다. 또한 [11]의 알고리듬에 비해 연산량은 많지만 [11]은 2차 DPA 공격이 가능하며, 1차 DPA 공격 가능성에 대해서도 논란의 여지가 있다.'国 그리고 부호화된 진 윈도우 재배열 리코딩과 부호화된 %-진 윈도우 방식의 알고리듬12〕冋에 비해 제안하는 방법은 SPA에도 대응할 수 있다. O-WM(overlapping window method )'风과 비교할 때 [14]의 방법은 세 배 정도의 사전 연산을 실시하여 메모리를 많이 차지하며 고정된 윈도우를 사용할 경우 DPA 공격의 가능성이 있다. 이와같이 제안된 방법은 변형된 스칼라 곱셈으로 SPA 공격을 방어하며 랜덤 리코딩 방법으로 DPA 공격에도 대응할 수 있어 기존의 대응방법과 비교하여 효과적인 것을 볼 수 있다. 그러나 사전계산을 위한 메모리가 증가하게 된다. 이는 사전연산을 하지 않는 알고리듬에 비해 8개 정도의 점 (point)을 저장할 레지스터를 더 사용한다.

(표 7) 제안된 대응방법과 대응여부에 따른 연산량 (o:대응함, △ :공격 가능성이 있음, X : 대응하지 못함 )

4.2.4 제안된 SPA/DPA에 대응하는 알고리듬의 MESD 공격 분석

SPA의 대응방법은 두배 연산과 덧셈 연산이 서로 다른 소모전력 파형을 가진다면 연산 과정을 항상 동일하게 실행하여 공격자가 비밀키의 비트열을 추측하지 못하도록 하는 것이다. 그러나 이러한 대응책은 DPA 공격에 대응할 수 없다. 따라서 DPA에 대응 방안으로 스마트카드의 암호 알고리듬이 실행될 때마다 제안된 리코딩 알고리듬을 사용하여 소모전력 파형을 랜덤하게 분포시키는 것이다. [그림 8]은 GF(J>) 상에서 비밀키가 랜덤하게 재배열되어질 때 공격자가 측정회수 九=300으로 설정하고 MESD 공격을 실시한 파형이다. 실험 조건은 비밀키를 제외하고 2.2 절에서 언급한 내용과 같다. 제안된 SPA/DPA에 대응하는 스칼라 곱셈 알고리듬과 리코딩 알고리듬을 적용할 때 두 번째 비트를 추측해도 [그림 3]의 차분 소모전력 파형과 차이가 있음을 알 수 있다. 즉, 공격자가 예상하는 비트의 위치 외에서도 피크가 생성되지 않아 공격자는 정확한 비밀키의 비트를 추측할 수 없으며 다시 소모전력을 재구성하여 분류해도 연관성이 없는 소모전력 파형이 차분되어 정확하게 비밀키를 추측할 수 없다. 이는 배열쌍이 랜덤하게 생성되고 비트열, 。'에서까지 항상 “DDDA”의 연산을 수행하기 때문이다.

(그림 8) 제안된 SPA/DPA에 대응하는 스칼라 곱셈 알고리듬의 소모전력 파형

Ⅴ. 결론

본 논문에서는 부-채널 공격 중에서 가장 핵심이되는 전력분석 공격의 대응방법으로 랜덤 윈도우를사용하여 비밀키를 새로운 배열쌍으로 구성하는 리코딩 알고리듬과 항상 규칙적인 스칼라 곱셈 연산을실시하는 방법을 제안하였다. 기존의 이진 방법을 사용하는 대응방법과 비교할 때, 사전 계산을 위한 메모리가 약간 증가하지만 연산량은 감소하며 규칙적인 연산 과정을 통해 SPA를 방어하도록 설계하였고연산되는 중간값을 랜덤화하여 DPA에 효과적으로 대응하도록 하였다. 또한 실험을 통하여 SPA/DPA 공격의 대응방법이 될 수 있음을 검증하였다. 그러므로기존의 대응방법보다 효과적인 방법이 될 수 있다.

본 연구는 대학 IT 연구센터 육성 • 지원 사업의 연구 결과로 수행되었습니다