JP7680941B2

JP7680941B2 - 半導体装置

Info

Publication number: JP7680941B2
Application number: JP2021186709A
Authority: JP
Inventors: 大輔森山
Original assignee: Renesas Electronics Corp
Current assignee: Renesas Electronics Corp
Priority date: 2021-11-16
Filing date: 2021-11-16
Publication date: 2025-05-21
Anticipated expiration: 2041-11-16
Also published as: CN116136914A; US12095461B2; KR20230071738A; US20230155592A1; JP2023073928A

Description

本開示は半導体装置に関し、例えば、暗号処理回路を備える半導体装置に適用可能である。

暗号アルゴリズムには、例えば、ＡＥＳ（Advanced Encryption Standard）がある。ＡＥＳは、鍵長やブロック長が可変の共通鍵方式のブロック暗号である。パラメーターとしては、鍵長は３種類あり、１２８ビット、１９２ビット、２５６ビットのいずれかで、ブロック長は１種類、１２８ビットのみである。そのため、鍵長によって「ＡＥＳ－１２８」、「ＡＥＳ－１９２」、「ＡＥＳ－２５６」という３種類の表記がある。

暗号アルゴリズムに規定されている処理において、既定のループ数を下回っている場合にどの程度安全性が低下するかは、広く研究が行われている。例えば、最新の研究成果では、以下の報告が行われている。ＡＥＳ－１２８においては、通常のループ数は１１ラウンドであるが、これが５ラウンドに削減されたならば、２^２２程度の計算量で鍵復元攻撃が可能である。また、ＳＨＡ－２５６（Secure Hash Algorithm 256-bits）においては、通常のループ数は６４ラウンドであるが、これが３１ラウンドに削減されたならば、２^６５．５程度の計算量で衝突が発見される。研究レベルではどのようなことが起きた場合に規定のループ数（ラウンド数）を下回る動作になるかについては議論の対象とされていない。

特開２０１６－５８７７７号公報

特許文献１に記載されるように、レーザ等によるフォルトインジェクション（Fault Injection）を行う装置を利用することで、特定のビットを反転するなどの攻撃を行うことができる。したがって、暗号アルゴリズムの仕様をそのまま実装すると、フォルトインジェクション攻撃によりラウンド数を下回る挙動が実現されてしまう。

その他の課題と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。

本開示のうち代表的なものの概要を簡単に説明すれば次の通りである。すなわち、半導体装置は、暗号処理に関する演算を所定ラウンド数繰り返す演算回路と、演算回路の演算のラウンド数に関するデータを保持する保持回路と、ラウンド数が所定ラウンド数かどうかを判定する判定回路と、ラウンド数が所定ラウンド数であると判定回路が判定したとき、演算回路の演算結果データを出力する出力バッファ回路と、を備える。保持回路を二重化し、二重化された保持回路の二つの出力が一致しないとき、演算結果データを出力しないよう構成される。

上記半導体装置によれば、フォルトインジェクション攻撃によりラウンド数を下回る挙動を低減することができる。

図１は比較例における暗号ＩＰコアの構成を示すブロック図である。図２は第一実施例における暗号ＩＰコアの構成を示すブロック図である。図３は第二実施例における暗号ＩＰコアの構成を示すブロック図である。図４は第三実施例における暗号ＩＰコアの構成を示すブロック図である。図５は第四実施例における暗号ＩＰコアの構成を示すブロック図である。図６は第五実施例における暗号ＩＰコアの構成を示すブロック図である。

以下、比較例および実施例について、図面を用いて説明する。ただし、以下の説明において、同一構成要素には同一符号を付し繰り返しの説明を省略することがある。

まず、本実施形態をより明確にするため、暗号化処理の流れの概要についてＡＥＳを例に説明する。暗号化は下記の処理から構成される。

（ａ）入力データの分割し、分割されたデータの置き換え（サブバイト（SubBytes））
（ｂ）データ位置のバイト単位での入れ替え（シフトロウズ（ShiftRows）
（ｃ）演算処理（ミックスコラムス（MixColumns））によるデータ変換
（ｄ）演算処理（アッドラウンドキー（AddRoundKey））

上記（ａ）～（ｄ）の処理を１ラウンドとして、鍵長に応じた所定ラウンド数を繰り返して暗号化が行われる。復号は上記（ａ）～（ｄ）の処理の逆変換を逆順序で行われる。

次に、上述の暗号化処理を実現する暗号ＩＰコア（Intellectual Property Core）の構成について図１を用いて説明する。図１は比較例における暗号ＩＰコアの構成を示すブロック図である。

暗号ＩＰコア１０はマイクロコントローラ等の半導体装置に内蔵される。暗号ＩＰコア１０は第一のフリップフロップ１１と、第二のフリップフロップ１２と、第三のフリップフロップ１３と、ラウンド関数回路（ＲＮＦ）１４と、判定回路（ＪＤＧ）１５と、を備える。

第一のフリップフロップ１１は第一のデータ入力端子（Ｄ１）１１ａと第二のデータ入力端子（Ｄ２）１１ｂと第一のイネーブル入力端子（ＥＮ１）１１ｃと第二のイネーブル入力端子（ＥＮ２）１１ｄとクロック入力端子（ＣＫ）１１ｅとデータ出力端子（ＤＯ）１１ｆとを有する。第一のデータ入力端子（Ｄ１）１１ａにはラウンド関数回路１４の出力データ（Ｄｒ）が入力される。第二のデータ入力端子（Ｄ２）１１ｂには初期データ（Ｄｉ）が入力される。第一のイネーブル入力端子（ＥＮ１）１１ｃには演算中を示す信号（Ｓ１）が入力される。第二のイネーブル入力端子（ＥＮ２）１１ｄには演算開始を示す信号（Ｓ０）が入力される。クロック入力端子（ＣＫ）１１ｅにはクロック信号（ＣＬＫ）が入力される。

第一のフリップフロップ１１は、クロック信号（ＣＬＫ）の立上りまたは立下りにおいて、演算中を示す信号（Ｓ１）が活性化されている（例えば、ハイレベルである）とき、第一のデータ入力端子（Ｄ１）１１ａからラウンド関数回路１４の出力データを取り込む。また、第一のフリップフロップ１１は、クロック信号（ＣＬＫ）の立上りまたは立下りにおいて、演算開始を示す信号（Ｓ０）が活性化されている（例えば、ハイレベルである）とき、第二のデータ入力端子（Ｄ２）１１ｂから初期データ（Ｄｉ）を取り込む。第一のフリップフロップ１１は、暗号化処理の中間データまたは最終データを保持し、データ出力端子（ＤＯ）１１ｆから中間データまたは最終データを出力データ（Ｄｍ）として出力する。

第二のフリップフロップ１２はインクリメントイネーブル入力端子（＋１）１２ａとクロック入力端子（ＣＫ）１２ｂとデータ出力端子（ＤＯ）１２ｃとを有する。インクリメントイネーブル入力端子（＋１）１２ａには演算開始を示す信号（Ｓ０）と演算中を示す信号（Ｓ１）とが論理和された入力信号（Ｓ０１）が入力される。クロック入力端子（ＣＫ）１２ｂにはクロック信号（ＣＬＫ）が入力される。

第二のフリップフロップ１２は、クロック信号（ＣＬＫ）の立上りまたは立下りにおいて、入力信号（Ｓ０１）を取り込む。入力信号（Ｓ０１）が活性化されている（例えば、ハイレベルである）とき、インクリメントする。第二のフリップフロップ１２は、ラウンド数を保持し、データ出力端子（ＤＯ）１２ｃからラウンド数（ＲＮ）を出力する。

第三のフリップフロップ１３はデータ入力端子（Ｄ）１３ａとイネーブル入力端子（ＥＮ）１３ｂとクロック入力端子（ＣＫ）１３ｃとデータ出力端子（ＤＯ）１３ｄとを有する。データ入力端子（Ｄ）１３ａには第一のフリップフロップ１１の出力データ（Ｄｍ）が入力される。イネーブル入力端子（ＥＮ）１３ｂには判定回路１５の出力信号である演算終了信号（Ｓ３）が入力される。クロック入力端子（ＣＫ）１３ｃにはクロック信号（ＣＬＫ）が入力される。

第三のフリップフロップ１３は、クロック信号（ＣＬＫ）の立上りまたは立下りにおいて、演算終了信号（Ｓ３）が活性化されている（例えば、ハイレベルである）とき、データ入力端子（Ｄ）１３ａから第一のフリップフロップ１１の出力データ（Ｄｍ）を取り込む。第三のフリップフロップ１３は、出力バッファを構成し、データ出力端子（ＤＯ）１３ｄからデータ（Ｄｏｕｔ）を出力する。

ラウンド関数回路１４は初期データ（Ｄｉ）および中間データとしての出力データ（Ｄｍ）に対して上記（ａ）～（ｄ）の処理を行う演算回路である。

判定回路１５は鍵長に対応したラウンド数の最大値（ＲＮｍａｘ）が格納される回路１５ａと比較回路１５ｂとを備え、ラウンド数が所定値（最大値）に達したかどうかを判定する回路である。判定回路１５は、ラウンド数が所定値に達した場合、演算終了信号（Ｓ３）を活性化する。

第二のフリップフロップ１２にフォルトインジェクション攻撃が実行されると、例えば、４ビットの二進数のデータにおいて下記の異常動作ように最上位ビット（最も左側のビット）にビット反転が発生し得る。

正常動作：００００→０００１→００１０→００１１
異常動作：００００→０００１→１０１０→１０１１

そうなると、８ラウンド分処理が短い出力が観測され、ラウンド削減（Reduced Round）攻撃が可能になる。

そこで、本実施形態では、比較例における暗号ＩＰコアのうち下記（Ａ）の回路、下記（Ａ）および下記（Ｂ）の回路、または下記（Ａ）から下記（Ｃ）の回路を二重化する。すなわち、本実施形態における暗号ＩＰコアは全ての回路を二重化するものではない。

（Ａ）ラウンド数を管理する回路（第二のフリップフロップ１２）
（Ｂ）仕様に規定されているラウンド数が演算されたかを比較する回路（判定回路１５）
（Ｃ）出力バッファを構成する回路（第三のフリップフロップ）

本実施形態では、暗号ＩＰコアの一部の回路を二重化するので、面積増加は１～２％程度であるが、フォルトインジェクション攻撃によるセキュリティリスクを低減することができる。そのため、面積増加に伴うコストをほとんど増やすことなく、サイドチャネル対策の１つを防ぐことができるセキュリティの高い暗号ＩＰコアを提供することができる。

第一実施例における暗号ＩＰコアについて図２を用いて説明する。図２は第一実施例における暗号ＩＰコアの構成を示すブロック図である。

第一実施例における暗号ＩＰコア１０は、上記（Ａ）の回路である第二のフリップフロップ１２を二重化する構成である。第一実施例における暗号ＩＰコア１０は、比較例における暗号ＩＰコアに対して、さらに、もう一つの第二のフリップフロップ１２と、比較回路（ＣＭＰ）１６と、を備える。比較回路１６は、二つの第二のフリップフロップ１２の出力を比較し、二つの出力が一致する場合は、第二のフリップフロップ１２の出力（ＲＮ）を判定回路１５に出力する。二つの出力が一致しない場合、比較回路１６は、判定回路１５が演算終了信号（Ｓ３）を活性化しないようにする。

フォルトインジェクション攻撃により第二のフリップフロップ１２の出力が変化した場合、二つの第二のフリップフロップ１２の出力は一致しない可能性が高くなる。二つの出力が一致しないことを検出することにより、第三のフリップフロップ１３から演算結果が出力させれず、ラウンド削減を抑制し得る。

第二実施例における暗号ＩＰコアについて図３を用いて説明する。図３は第二実施例における暗号ＩＰコアの構成を示すブロック図である。

第二実施例における暗号ＩＰコア１０は、上記（Ａ）の回路である第二のフリップフロップ１２と上記（Ｂ）の回路である判定回路１５を二重化する構成である。第二実施例における暗号コアＩＰ１０は、比較例における暗号ＩＰコアに対して、さらに、もう一つの第二のフリップフロップ１２と、もう一つの判定回路１５と、比較回路（ＣＭＰ）２６と、を備える。比較回路２６は、二つの判定回路１５の出力を比較し、二つの出力が一致する場合は、判定回路１５の出力である演算終了信号（Ｓ３）を第三のフリップフロップ１３に出力する。二つの出力が一致しない場合、比較回路２６は、演算終了信号（Ｓ３）を不活性化して出力する。

フォルトインジェクション攻撃により第二のフリップフロップ１２または判定回路１５の出力が変化した場合、二つの判定回路１５の出力は一致しない可能性がより高くなる。二つの出力が一致しないことを検出することにより、第三のフリップフロップ１３から演算結果が出力させれず、ラウンド削減を抑制し得る。

第三実施例における暗号ＩＰコアについて図４を用いて説明する。図４は第三実施例における暗号ＩＰコアの構成を示すブロック図である。

第三実施例における暗号ＩＰコア１０は、上記（Ａ）の回路である第二のフリップフロップ１２と上記（Ｂ）の回路である判定回路１５と上記（Ｃ）の回路である第三のフリップフロップ１３を二重化する構成である。第三実施例における暗号コアＩＰ１０は、比較例における暗号ＩＰコアに対して、さらに、もう一つの第二のフリップフロップ１２と、もう一つの判定回路１５と、もう一つの第三のフリップフロップ１３と、比較回路（ＣＭＰ）３６と、を備える。比較回路３６は、二つの第三のフリップフロップ１３の出力を比較し、二つの出力が一致する場合は、第三のフリップフロップ１３の出力であるデータ（Ｄｏｕｔ）を出力する。二つの出力が一致しない場合、比較回路３６は、データ（Ｄｏｕｔ）の出力を止める。

フォルトインジェクション攻撃により第二のフリップフロップ１２または判定回路１５または第三のフリップフロップ１３の出力が変化した場合、二つの第三のフリップフロップ１３の出力は一致しない可能性がより高くなる。二つの出力が一致しないことを検出することにより、第三のフリップフロップ１３から演算結果が出力させれず、ラウンド削減を抑制し得る。

第四実施例における暗号ＩＰコアについて図５を用いて説明する。図５は第四実施例における暗号ＩＰコアの構成を示すブロック図である。

第四実施例における暗号ＩＰコア１０は、第二実施例と同様に、上記（Ａ）と上記（Ｂ）の回路を二重化する構成である。ただし、第四実施例における暗号コアＩＰ１０は、第二実施例における暗号ＩＰコアの第二のフリップフロップ１２を第二のフリップフロップ２２に代え、判定回路１５を判定回路２５に代え、比較回路２６を削除し、第三のフリップフロップ１３を第三のフリップフロップ２３に代えるものである。

第二のフリップフロップ１２はデクリメントイネーブル入力端子（－１）２２ａとクロック入力端子（ＣＫ）２２ｂとデータ出力端子（ＤＯ）２２ｃとデータ入力端子（Ｄ）２２ｄを有する。デクリメントイネーブル入力端子（－１）２２ａには演算開始を示す信号（Ｓ０）と演算中を示す信号（Ｓ１）とが論理和された入力信号（Ｓ０１）が入力される。クロック入力端子（ＣＫ）２２ｂにはクロック信号（ＣＬＫ）が入力される。データ入力端子（Ｄ）２２ｄには初期値（ＲＮｉ）が入力される。ここで、初期値（ＲＮｉ）は鍵長に対応したラウンド数の最大値（ＲＮｍａｘ）である。

第二のフリップフロップ２２は、クロック信号（ＣＬＫ）の立上りまたは立下りにおいて、入力信号（Ｓ０１）が非活性化されている（例えば、ローレベルである）とき、データ入力端子（Ｄ）２２ｄから初期値（ＲＮｉ）を取り込む。また、第二のフリップフロップ２２は、クロック信号（ＣＬＫ）の立上りまたは立下りにおいて、入力信号（Ｓ０１）を取り込む。入力信号（Ｓ０１）が活性化されている（例えば、ハイレベルである）とき、デクリメントする。第二のフリップフロップ２２は、ラウンド数に関する値（ＲＭ＝ＲＮｍａｘ－ＲＮ）を保持し、データ出力端子（ＤＯ）２２ｃからラウンド数に関する値（ＲＭ）を出力する。

第三のフリップフロップ２３はデータ入力端子（Ｄ）２３ａと第一のイネーブル入力端子（ＥＮ１）２３ｂと第二のイネーブル入力端子（ＥＮ２）２３ｅとクロック入力端子（ＣＫ）２３ｃとデータ出力端子（ＤＯ）２３ｄとを有する。データ入力端子（Ｄ）２３ａには第一のフリップフロップ１１の出力データ（Ｄｍ）が入力される。第一のイネーブル入力端子（ＥＮ１）２３ｂには一つの判定回路２５の出力信号である演算終了信号（Ｓ３）が入力される。第二のイネーブル入力端子（ＥＮ２）２３ｅにはもう一つの判定回路２５の出力信号である演算終了信号（Ｓ３）が入力される。クロック入力端子（ＣＫ）１３ｃにはクロック信号（ＣＬＫ）が入力される。

第三のフリップフロップ２３は、クロック信号（ＣＬＫ）の立上りまたは立下りにおいて、二つの演算終了信号（Ｓ３）の両方が活性化されている（例えば、ハイレベルである）とき、データ入力端子（Ｄ）２３ａから第一のフリップフロップ１１の出力データ（Ｄｍ）を取り込む。第三のフリップフロップ１３は、出力バッファを構成し、データ出力端子（ＤＯ）２３ｄからデータ（Ｄｏｕｔ）を出力する。

判定回路２５は第二のフリップフロップ２２の出力（ＲＭ）と「０」とを比較する比較回路を備え、ラウンド数が所定値（最大値）に達したかどうかを判定する回路である。判定回路２５は、ラウンド数が所定値に達した場合、演算終了信号（Ｓ３）を活性化する。

第三のフリップフロップ２３は、二つの判定回路１５の出力である演算終了信号（Ｓ３）が一致する場合は、演算結果（Ｄｍ）を取り込む。二つの演算終了信号（Ｓ３）が一致しない場合、第三のフリップフロップ２３は、演算結果（Ｄｍ）を取り込まない。これにより、第二実施例における比較回路２６は不要になる。

フォルトインジェクション攻撃により第二のフリップフロップ２２または判定回路２５の出力が変化した場合、二つの判定回路２５の出力は一致しない可能性がより高くなる。二つの出力が一致しないことを検出することにより、第三のフリップフロップ１３から演算結果が出力させれず、ラウンド削減を抑制し得る。

第五実施例における暗号ＩＰコアについて図６を用いて説明する。図６は第五実施例における暗号ＩＰコアの構成を示すブロック図である。

第五実施例における暗号ＩＰコア１０は、第三実施例と同様に、上記（Ａ）と上記（Ｂ）と上記（Ｃ）の回路を二重化する構成である。ただし、第五実施例における暗号コアＩＰ１０は、第三実施例における暗号ＩＰコアの第二のフリップフロップ１２を第四実施例の第二のフリップフロップ２２に代え、判定回路１５を第四実施例の判定回路２５に代えるものである。

フォルトインジェクション攻撃により第二のフリップフロップ２２または判定回路２５または第三のフリップフロップ１３の出力が変化した場合、二つの第三のフリップフロップ１３の出力は一致しない可能性がより高くなる。二つの出力が一致しないことを検出することにより、第三のフリップフロップ１３から演算結果が出力させれず、ラウンド削減を抑制し得る。

なお、第一実施例における暗号ＩＰコア１０において、第二のフリップフロップ１２を第四実施例の第二のフリップフロップ２２に代える構成の暗号ＩＰコアであってもよい。また、第二実施例における暗号ＩＰコア１０において、第二のフリップフロップ１２を第四実施例の第二のフリップフロップ２２に代え、判定回路１５を第四実施例の判定回路２５に代える構成の暗号ＩＰコアであってもよい。また、第三実施例における暗号ＩＰコア１０において、第二のフリップフロップ１２を第四実施例の第二のフリップフロップ２２に代え、判定回路１５を第四実施例の判定回路２５に代える構成の暗号ＩＰコアであってもよい。また、第四実施例における暗号ＩＰコア１０において、第二のフリップフロップ２２を第二実施例の第二のフリップフロップ１２に代え、判定回路２５を第二実施例の判定回路１５に代える構成の暗号ＩＰコアであってもよい。

以上、本開示者によってなされた開示を実施形態および実施例に基づき具体的に説明したが、本開示は上記実施形態および実施例に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。

例えば、実施形態および実施例ではＡＥＳを例に説明したが、所定ループ繰り返す演算を行う暗号アルゴリズム、例えば、ＳＨＡにも適用できる。

１２第二のフリップフロップ（保持回路）
１３第三のフリップフロップ（出力バッファ回路）
１４ラウンド関数回路（演算回路）
１５判定回路

Claims

暗号処理に関する演算を所定ラウンド数繰り返す演算回路と、
前記演算回路の演算のラウンド数に関するデータを保持する保持回路と、
前記ラウンド数が前記所定ラウンド数かどうかを判定する判定回路と、
前記ラウンド数が前記所定ラウンド数であると前記判定回路が判定したとき、前記演算回路の演算結果データを出力する出力バッファ回路と、
を備え、
前記保持回路および前記判定回路を二重化し、
二重化された前記判定回路の二つの出力が一致しないとき、前記演算結果データを出力しないよう構成される半導体装置。
暗号処理に関する演算を所定ラウンド数繰り返す演算回路と、
前記演算回路の演算のラウンド数に関するデータを保持する保持回路と、
前記ラウンド数が前記所定ラウンド数かどうかを判定する判定回路と、
前記ラウンド数が前記所定ラウンド数であると前記判定回路が判定したとき、前記演算回路の演算結果データを出力する出力バッファ回路と、
を備え、
前記保持回路、前記判定回路および前記出力バッファ回路を二重化し、
二重化された前記出力バッファ回路の二つの出力が一致しないとき、前記演算結果データを出力しないよう構成される半導体装置。
請求項１の半導体装置において、
前記出力バッファ回路は、第一のイネーブル入力端子と第二のイネーブル入力端子とを有するフリップフロップ回路で構成され、
二重化された前記判定回路の一つの出力は前記第一のイネーブル入力端子に入力され、二重化された前記判定回路のもう一つの出力は前記第二のイネーブル入力端子に入力され、
前記出力バッファ回路は、前記第一のイネーブル入力端子および前記第一のイネーブル入力端子のイネーブル条件が成立したとき、前記演算結果データを取り込むよう構成される半導体装置。
請求項１から３の何れか１項の半導体装置において、
前記保持回路はインクリメント回路またはデクリメント回路を有する半導体装置。
請求項１の半導体装置において、
二重化された前記判定回路の二つの出力を比較する比較回路を備える半導体装置。
請求項２の半導体装置において、
二重化された前記出力バッファ回路の二つの出力を比較する比較回路を備える半導体装置。
請求項１または２の半導体装置において、
さらに、前記演算回路の中間演算結果を保持する中間値保持回路を備え、
前記中間値保持回路は前記演算結果データを出力するよう構成される半導体装置。