容忍密钥篡改的公钥加密算法

刘胜利

上海交通大学电子信息与电气工程学院

教授

1　概要描述

随着智能卡和移动电话等智能设备的广泛普及和应用，越来越多的设备都使用了密码算法对设备中所存储信息以及和外界交互的信息进行保护。本预见所使用的密码算法的安全性建议在如图1所示的基础上：敌手只能看到设备的输入和输出，不能篡改设备的内部状态。特别是存储在设备中的密钥，敌手不但看不到，而且不能影响密钥的数值。

随着智能设备兴起，设备丢失、病毒入侵、硬件被篡改等问题层出不穷，密码算法遭受密钥篡改攻击的风险。敌手很有可能通过硬件干扰、硬件故障、硬件暴力篡改等手段改变硬件里所存储的密钥。然而，传统密码算法抵御密钥篡改攻击的能力是非常脆弱的，当前迫切需要研究新的密码技术保护设备免受此类攻击。

硬件防密钥篡改的能力可以由篡改函数集合来刻画。可以容忍篡改的函数集合越大，那么硬件防篡改能力也越大。本研究的关键问题是如何对密钥进行有效编码，针对特定的篡改函数集合，保证篡改密钥在译码时验证出错，而正确编码后的密钥则可以有效地恢复。

图1　敌手对只能观察设备的输入和输出

图2　敌手对设备内部的密钥进行篡改

图3　使用编码技术防止篡改

本研究探讨合理的密钥篡改攻击模型及相互之间的区别和存在的联系，分析不同模型中密钥篡改函数范围的存在性及必要或充分条件，从而系统地解决抗密钥篡改公钥密码方案的效率问题、参数受限问题以及篡改函数范围问题。

2　应用意义与前景

对抗密钥篡改方案的研究及其安全性证明必将丰富和完备抗密钥篡改密码学理论，也为将来更广泛实现安全的密码设备提供理论、方法和技术支持。同时，防篡改算法也可能用于其他密码体制及复杂的密码协议中。

密钥防篡改技术的直接应用是密码硬件芯片，芯片中的密码算法的运行有效地抵抗外界对芯片的故障分析攻击、密钥的损害和篡改。具体可以包括：

●对银行芯片卡中的密钥/口令的保护；

●对USB Key中的密钥/口令的保护；

●对手机SIM卡中的密钥/口令的保护等。