[發(fā)明專利]一種SM4二階門限掩碼方法

在審

• 申請?zhí)枺?/td>: 202211323310.8
• 申請日: 2022-10-27
• 公開（公告）號: CN115694781A
• 公開（公告）日: 2023-02-03
• 發(fā)明（設(shè)計(jì)）人: 韋永壯;邵天溢;武小年;張潤蓮
• 申請（專利權(quán)）人: 桂林電子科技大學(xué)
• 主分類號: H04L9/00
• 分類號: H04L9/00;H04L9/06
• 代理公司: 桂林市華杰專利商標(biāo)事務(wù)所有限責(zé)任公司 45112
• 代理人: 楊雪梅

1.一種SM4二階門限掩碼方法，其特征在于，包括如下步驟：

(1)將SM4算法拆解為組件

分析SM4算法不同模塊的功能和輸入輸出結(jié)果，將SM4算法按照線性和非線性的特點(diǎn)，拆解為非線性組件和線性組件；對于SM4算法，其非線性組件為算法的S盒，線性組件包括：有限狀態(tài)機(jī)、密鑰和狀態(tài)寄存器、隨機(jī)數(shù)生成器、線性層、反序輸出序列；

(2)基于塔域分解和門限掩碼方法，設(shè)計(jì)非線性組件的掩碼方案

使用塔域分解的方法，將非線性S盒拆分為4比特求逆器和4比特乘法器；

針對4比特求逆器，使用自動(dòng)化搜索工具搜索掩碼方案；

針對4比特乘法器，采用三共享掩碼方案保證算法抵抗二階功耗攻擊，并設(shè)計(jì)環(huán)掩碼器，減小乘法器電路面積；

(3)基于布爾掩碼方法，設(shè)計(jì)線性組件的掩碼方案

SM4算法線性組件中有限狀態(tài)機(jī)用于生成控制信號，控制其他模塊執(zhí)行操作，其功耗變化不會(huì)導(dǎo)致秘密信息泄露，因此不需要進(jìn)行掩碼防護(hù)；其它線性組件，使用直接布爾掩碼的方法設(shè)計(jì)掩碼方案；

(4)完成SM4算法掩碼方案構(gòu)造

根據(jù)SM4算法執(zhí)行過程連接各個(gè)組件，重用算法中的隨機(jī)數(shù)，優(yōu)化電路布局，形成最終的掩碼方案。

2.根據(jù)權(quán)利要求1所述的SM4二階門限掩碼方法，其特征在于，步驟(2)所述基于塔域分解和門限掩碼方法，設(shè)計(jì)非線性組件的掩碼方案，具體過程如下：

(2.1)使用基于多項(xiàng)式基的方法對S盒進(jìn)行塔域分解，為了實(shí)現(xiàn)從有限域GF(2⁸)到塔域GF(2⁴)²上的塔域分解，首先需要求解一次同構(gòu)映射矩陣，使用該矩陣將有限域中的元素映射為塔域中的元素，然后推導(dǎo)有限域GF(2⁸)中的求逆元計(jì)算公式在塔域GF(2⁴)²中的表示形式；

(2.2)求解一次同構(gòu)映射矩陣

同構(gòu)映射矩陣用于將有限域GF(2⁸)中的元素映射為塔域GF(2⁴)²中的元素，使用遍歷驗(yàn)證的方法求解同構(gòu)映射矩陣；

(2.2.1)初始化搜索參數(shù)，設(shè)同構(gòu)映射矩陣T的初始值為：

設(shè)待驗(yàn)證的集合A＝{1，2，3，…，2^k-1}，其中k代表該域的規(guī)模，在SM4算法中，取k＝8；

(2.2.2)從集合A中依次選取第t個(gè)元素t，t∈{1，2，3，…，2^k-1}；

(2.2.3)檢查元素t的值是否與2^k-1互素，若互素，則t不滿足要求，令t＝t+1，返回(2.2.2)；若不互素，則繼續(xù)執(zhí)行(2.2.4)；

(2.2.4)設(shè)Q(y)是構(gòu)建有限域GF(2⁸)的二進(jìn)制多項(xiàng)式，P(z)是構(gòu)建復(fù)合域GF(2⁴)²的二進(jìn)制多項(xiàng)式，多項(xiàng)式Q(y)、P(z)分別表示為：

其中v＝1001，y∈GF(2)，z∈GF(2⁴)，設(shè)δ是GF(2⁴)²的一個(gè)素元，令P(δ)＝δ²+δ+v＝0；假設(shè)多項(xiàng)式Q(y)和P(z)之間的映射關(guān)系可以表示為二進(jìn)制多項(xiàng)式R(w)＝w⁴+w+1，將δ^t代入R(w)中，計(jì)算R(δ^t)(modQ(y)，P(z))，若R(δ^t)(modQ(y)，P(z))≠0，令t＝t+1跳轉(zhuǎn)到(2.2.2)，否則繼續(xù)執(zhí)行(2.2.5)；

(2.2.5)計(jì)算δ⁰，δ^t，δ^2×t，δ^3×t，δ^4×t，δ^5×t，δ^6×t，δ^7×t的值，將所得結(jié)果填充到同構(gòu)映射矩陣T的表達(dá)式：

T＝[δ^7×t，δ^6×t，δ^5×t，δ^4×t，δ^3×t，δ^2×t，δ^t，δ⁰]；

得到同構(gòu)映射矩陣T的值為：

(2.3)根據(jù)同構(gòu)映射T矩陣，推導(dǎo)塔域分解下的元素逆元計(jì)算公式，設(shè)GF((2⁴)²)上的元素X＝e₀×δ+e₁，e_i∈GF(2⁴)，i∈{0，1}，其逆元X^-1＝d₀×δ+d₁，d_i∈GF(2⁴)，i∈{0，1}，則有：

X×X^-1＝(e₁×δ+e₀)(d₁×δ+d₀)＝(e₁×d₁)×δ²+(e₁×d₀+e₀×d₁)×δ+e₀×d₀＝1；

又因?yàn)棣臐M足P(δ)＝δ²+δ+v＝0，代入X×X^-1得到：

(2.4)根據(jù)(2.3)中的推導(dǎo)，將塔域分解后的SM4算法S盒可以拆分為兩個(gè)組件，即4比特求逆器和4比特乘法器；

(2.5)針對4比特乘法器，使用三共享方法構(gòu)建掩碼方案，為保證方案的二階抗側(cè)信道安全，首先使用4個(gè)4比特隨機(jī)數(shù){r₀，r₁，r₂，r₃}對2個(gè)4比特的輸入{x_in，y_in}進(jìn)行三共享掩碼，其表達(dá)式為：

將兩個(gè)分量形式的輸入相乘得到乘法器的表達(dá)式為：

為了保證二階不完整性，將掩碼計(jì)算結(jié)果拆分為組件函數(shù)：

式中{R₁，R₂，R₃，R₄，R₅，R₆}分別代表一個(gè)4比特額外隨機(jī)數(shù)，用于保證輸出結(jié)果的均勻性，額外的隨機(jī)數(shù)通過環(huán)掩碼器添加到計(jì)算結(jié)果中；const_i代表加密過程中的常數(shù)；使用寄存器分別存儲三個(gè)組件函數(shù)的運(yùn)算結(jié)果；

(2.6)針對4比特求逆器設(shè)計(jì)掩碼方案，已知4比特求逆器的真值表為：

[0×0，0×1，0×3，0×2，0×f，0×c，0×9，0×b，0×a，0×6，0×8，0×7，0×5，0×e，0×d，0×4]；

(2.6.1)根據(jù)真值表計(jì)算4比特求逆器的布爾表達(dá)式為：

y₀＝x₂x₁x₀+x₃x₀+x₀+x₁

y₁＝x₂x₁x₀+x₃x₁x₀+x₂x₁+x₃x₀+x₁

y₂＝x₂x₁x₀+x₃x₂x₀+x₃x₁+x₀+x₁+x₂

y₃＝x₂x₁x₀+x₃x₁x₀+x₃x₂x₀+x₃x₂x₁+x₂x₀+x₂x₁+x₃x₀+x₁+x₂+x₃；

式中i∈{0，1，2，3}，x_i表示求逆器輸入值的第i個(gè)比特，y_i表示求逆器輸出值的第i個(gè)比特，為了降低4比特求逆器掩碼方案的設(shè)計(jì)難度，采用自動(dòng)化搜索技術(shù)尋找該4比特求逆器的掩碼方案，設(shè)i的初始值為0，j的初始值為0，j∈{0，1，…，15}；

(2.6.2)設(shè)輸出分量y_i對應(yīng)的組件函數(shù)表達(dá)式為初始化為空；

(2.6.3)將j表示為4位的二進(jìn)制數(shù)，將其每個(gè)比特從高位到低位分別賦值給輸入變量x₀，x₁，x₂，x₃；

(2.6.4)將x₀，x₁，x₂，x₃的值代入(2.6.1)中的布爾表達(dá)式，并將計(jì)算結(jié)果添加到中；

(2.6.5)若j＜15，則令j＝j(luò)+1，跳轉(zhuǎn)至(2.6.3)，否則繼續(xù)執(zhí)行(2.6.6)；

(2.6.6)令組件函數(shù)表達(dá)式與對應(yīng)的輸出分量y_i表達(dá)式相乘，得到輸出分量y_i掩碼后的表達(dá)式：

y_imask＝f_yi×y_i；

(2.6.7)若i＜3，則令i＝i+1，跳轉(zhuǎn)至(2.6.2)，否則繼續(xù)執(zhí)行(2.6.8)；

(2.6.8)根據(jù)布爾函數(shù)表達(dá)式生成邏輯電路。