JP7710936B2 - 情報処理装置、情報処理方法およびプログラム - Google Patents

Description

本発明は、暗号処理を行う情報処理装置、情報処理方法およびプログラムに関する。

暗号処理において、暗号鍵は重要な情報である。ＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）などの対象鍵暗号においては、共通の暗号鍵が暗号化時と復号化時の両方に使われる。万一、暗号鍵が漏洩してしまうと、漏洩した暗号鍵によって、第三者が、暗号文を復号することが可能になり、暗号化して第三者から秘匿したかった平文の情報を入手することができてしまう。

一方で、暗号鍵を盗み出す手法としてサイドチャネル攻撃という攻撃手法が考案されている。本攻撃手法では、暗号処理モジュールが、暗号処理中に発生する電磁波や消費電流などのサイドチャネル情報を観測し、観測したサイドチャネル情報を元に、暗号処理で使用されている鍵情報を推定する。具体的なサイドチャネル攻撃の手法について、ＡＥＳを例に説明する。まず、同一の暗号鍵を使用し、複数の平文を用いて、暗号モジュールを動作させ、暗号処理中のサイドチャネル情報（トレース情報）を取得する。取得したトレース情報を元に、鍵を推定し、統計処理を行う。鍵の推定においては、鍵を１Ｂｙｔｅずつ推定する。これは、鍵のパターンの組み合わせを削減し、処理時間を短縮するためである。たとえば、ＡＥＳの鍵長１２８Ｂｉｔの場合には、鍵のパターンの組み合わせは全部で、２＾１２８通りの組み合わせとなる。一方、１Ｂｙｔｅずつ推定することで、鍵のパターンの組み合わせを２＾８通りに削減できる。ＡＥＳにおいては、非線形処理であるＳ－Ｂｏｘを統計処理のターゲットにする。平文が入手可能であれば、ＡＥＳの処理の最初のラウンド処理のＳ－Ｂｏｘ出力をターゲットにする。既知の平文と推定した鍵からＳ－Ｂｏｘ出力との相関を計算する。推定鍵が正しい場合、高い相関が得られ、推定鍵が誤っている場合には、低い相関が得られる。一方、暗号文が入手可能であれば、ＡＥＳの処理の最終ラウンドの処理のＳ－Ｂｏｘ入力をターゲットにする。この時には、既知の暗号文と推定した鍵からＳ－Ｂｏｘ入力との相関を計算する。推定鍵が正しい場合、高い相関が得られ、推定鍵が誤っている場合には、低い相関が得られる。以上の統計処理を、複数のトレースに対して行い、もっとも高い相関の得られた推定鍵が、正しい鍵だと判断される。

サイドチャネル攻撃に対する対策が考案されている。対策の一つに、暗号処理モジュールのクロックをランダムにゲーティングする対策が特許文献１や特許文献２で開示されている。本対策では、ランダムにクロックをゲーティングすることで、暗号処理の処理タイミングをランダムに変動させる。これによって、複数のトレース情報を解析する際に、トレースごとに高い相関が取れる位置を変動させることによって、高い相関を得ることができなくすることで、鍵の推定を防止する。

特表２０１８－５２８７１９号公報 特開２００１－９４５５０号公報

特許文献１や特許文献２で開示されているクロックゲーティングによるサイドチャネル攻撃対策では、暗号処理中にクロックゲーティングが絶えず行われる。クロックがゲーティングされると、ゲーティング期間中は、暗号処理モジュールは動作を止めることになるため、暗号処理にゲーティングの期間分だけ、余分な時間がかかってしまい、性能が低下してしまう。本発明は、上記課題を鑑みてなされたものであり、クロック変動による性能低下を抑えつつ、サイドチャネル攻撃対策を行うことを目的とする。

以上の課題を解決するために本発明に係る暗号処理装置は、暗号処理を行う情報処理装置であって、平文を取得する取得手段と、前記取得手段で取得された平文の暗号処理を行う暗号処理手段と、前記暗号処理手段のクロックの制御をする制御手段と、を有し、前記制御手段は、前記暗号処理手段の処理が特定の暗号処理のステートである場合のクロックと、前記暗号処理手段の処理が特定の暗号処理のステートでない場合のクロックとを異ならせることを特徴とする。

本発明によれば、クロック変動による性能低下を抑えつつ、サイドチャネル攻撃対策を行うことが出来る。

システムの構成図である。 第一の実施形態の構成を示す図である。 暗号処理ステートを示す図である。 クロックゲーティングするラウンドを示す図である。 クロック制御部２０４の処理のフローチャートを示す図である。 クロック制御部２０４の処理のタイミングチャートを示す図である。

（第一の実施形態）
以下に、図面を参照して、本発明の好適な実施の形態を詳しく説明する。なお、以下の実施の形態はあくまで例示であり、本発明の範囲を限定する趣旨のものではない。

図１は、通信処理用集積回路の構成を示すブロック図である。通信処理用集積回路において、ＣＰＵ１０、暗号処理装置２０、ＤＲＡＭコントローラ３０、通信処理装置４０、ＳＲＡＭ６０は、バスシステム５０に接続され、相互にデータ転送を行う。この構成はＳｙｓｔｅｍ－Ｏｎ－Ａ－Ｃｈｉｐとよばれる集積回路で代表的な構成であり、一般的なパーソナルコンピュータなどの情報処理装置で代替することも可能である。ＤＲＡＭコントローラ３０が通信用集積回路外部のＤＲＡＭ２に接続され、データ転送を行う。通信処理装置４０通信用集積回路外部のＬＡＮ３に接続され、他の機器との通信を行う。

図２は、本実施形態に係る暗号処理装置の構成図を示す。暗号処理装置２０は、データ入力部２００、暗号処理部２０１、データ出力部２０２、乱数生成部２０３、クロック制御部２０４、全体制御部２０５で構成される。

暗号処理装置２０における典型的な暗号処理の流れを説明する。全体制御部２０５は、ＣＰＵ１０から、暗号処理か復号処理かを示すモードや暗号処理で使用するアルゴリズムや入力データや出力データの転送アドレスなどの設定値や暗号処理で使われる鍵情報が設定される。全体制御部２０５は、ＣＰＵ１０から設定された各種設定値を、データ入力部２００、暗号処理部２０１、データ出力部２０２、クロック制御部２０４に転送する。その後、全体制御部２０５は、ＣＰＵ１０から処理開始要求を受けて、各モジュールに対して、処理の開始を指示する。処理開始の指示を受けて、データ入力部２００は、全体制御部２０５から指示された入力データの転送元アドレスが示す外部メモリＳＲＡＭ６０またはＤＲＡＭ２から、バスシステム５０を経由して入力データを読む。入力データは、暗号化する際には、平文であり、復号化する際には暗号文である。データ入力部２００は、読み込んだ入力データを暗号処理部２０１に出力する。暗号処理部２０１は、データ入力部から入力されたデータの暗号化もしくは復号化の処理を行う。暗号化するか、復号化するか、また使用するアルゴリズムや鍵情報は、全体制御部２０５からの設定に従う。暗号処理部２０１は、暗号処理中に暗号処理ステートをクロック制御部２０４に出力する。暗号処理ステートの例を、図３に示す。暗号処理部２０１は、最初処理待ち状態を示すＩｄｌｅステートである。その後、データ入力部２００から入力データが入力されると、データ入力状態であるＩｎステートに遷移する。その後、暗号処理のラウンド処理の各ラウンドにおいて、各ラウンド処理状態を表す、ＲＸ（Ｘはラウンド数を表す）に遷移する。ラウンド数は、図４に示すようにアルゴリズム・鍵長によって異なる。例えば、ＡＥＳの鍵長１２８Ｂｉｔであれば、全部で１０ラウンド、ＡＥＳの鍵長２５６Ｂｉｔであれば、全部で１４ラウンドである。クロック制御部２０４は、暗号処理部２０１からの処理の暗号処理ステートを元に、暗号処理部２０１へ供給するクロックをゲーティングする。クロック制御部２０４は、暗号処理部２０１からの暗号処理ステートが、特定のラウンド状態を示す場合に、乱数生成部２０３からの乱数の示すサイクルだけ、クロックをゲーティングする。クロックゲーティングを行う特定のラウンド状態は、解析のターゲットとなる処理ラウンドである。図４にクロックゲーティングをするラウンド数を示す。最終ラウンドのラウンド数は、アルゴリズム及び使用される鍵長に応じて異なる。１ラウンド目の処理タイミングをずらすために、１ラウンド目及び２ラウンド目の処理のタイミングでゲーティングする。また、最終ラウンドの処理のタイミングをずらすために、最終ラウンド及び最終ラウンドの直前のラウンド処理のタイミングでゲーティングする。暗号処理部２０１は暗号化処理もしくは復号化処理が完了すると、データをデータ出力部２０２に出力する。この時の暗号処理ステートはＯｕｔである。暗号処理部２０１が出力するデータは、暗号化処理時は暗号文、復号化処理時は平文である。データ出力部２０２は、受信したデータをバスシステム５０経由で、全体制御部２０５から指示された出力データの転送先アドレスが示す外部メモリＳＲＡＭ６０または、ＤＲＡＭ２に出力する。データ出力部２０２は、全データの出力が完了すると、全体制御部２０５に処理完了を通知する。全体制御部２０５は処理完了の通知を受けて、ＣＰＵ１０に処理完了を割り込みで通知する。

図５を用いて、クロック制御部２０４の処理フローを説明する。Ｓ１００においてＣＰＵ１０からクロックゲーティングを行うラウンドが設定される。クロックゲーティングを行うラウンドは図４に示したとおりである。続いて、ステップＳ１０１及びステップＳ１０２において、暗号処理ステートがクロックゲーティングを行うラウンドかどうかの判定を行う。ステップＳ１０１においては、暗号処理ステートが最初のラウンド及び次のラウンドを示すＲ１かＲ２かの判定を行う。一方、ステップＳ１０２においては、暗号処理ステートが最終ラウンド及び最終ラウンドの１ラウンド前を示すＲ（Ｎ－１）かＲＮかの判定を行う。ここで、Ｎはアルゴリズムと鍵長で決まる暗号処理の総ラウンド数を表し、Ｓ１０１において、ＣＰＵ１０から設定される。Ｓ１０１または、Ｓ１０２において、クロックゲーティングを行うラウンドと判定されなかった場合には、Ｓ１０３において、暗号処理部２０１へクロックの供給を行う。一方、Ｓ１０１または、Ｓ１０２において、クロックゲーティングを行うラウンドと判定された場合には、Ｓ１０４において、内部のカウンタを乱数生成部２０３の出力する乱数で初期化する。続いて、Ｓ１０５おいてカウンタが０か、否かの判定を行う。カウンタが０でなければ、Ｓ１０６において、暗号処理部２０１へのクロックのゲーティングを行う。続いてＳ１０７においてカウンタ値を１減算し、再びＳ１０５において、カウンタ値が０か否かの判定を行う。Ｓ１０５において、カウンタ値が０と判定された場合は、Ｓ１０３で、暗号処理部２０１へクロックの供給を行う。続いて、Ｓ１０８において、暗号処理が完了したかどうかの判定を行う。暗号処理が完了したかどうかの判定は、暗号処理ステートがＲＮの後、ＯｕｔさらにはＩｄｌｅに遷移したことで判定される。Ｓ１０８において、暗号処理が完了したと判定されなければ、再びＳ１０１に戻り、暗号処理ステートが、クロックゲーティングを行うステートかどうかの判定を再び行う。一方、Ｓ１０８において、暗号処理が完了したと判定されれば、処理が完了となる。

図６にクロック制御部２０４の処理の例をタイミングチャートで示す。本実施形態では、ＡＥＳの鍵長１２８Ｂｉｔの例を示す。サイクル１では、暗号処理ステートはＩｄｌｅであり、暗号処理部２０１へクロックを供給すべきと判定されるため、暗号処理部２０１へクロックを供給する。サイクル２では、暗号処理ステートはＩｎであり、暗号処理部２０１へクロックを供給すべきと判定されるため、暗号処理部２０１へクロックを供給する。サイクル３では、暗号処理ステートがＲ１でありクロックをゲーティングするべきと判定され、クロック制御信号がアサートされる。また、同一サイクルにおいて、乱数生成部２０３の乱数出力である２がカウンタにセットされ、カウンタ値が０ではないので、暗号処理部２０１へのクロックをゲーティングする。サイクル４では、カウンタの値が２から１に１減算されるが、カウンタ値が０ではないので、暗号処理部２０１へのクロックをゲーティングする。サイクル３とサイクル４では、暗号処理部２０１へのクロックがゲーティングされており、暗号処理部２０１の処理は停止状態となる。そのため、暗号処理ステートもＲ１の状態を保持し続ける。サイクル５において、カウンタの値が１から０に１減算され、カウンタ値が０になるので、暗号処理部２０１へクロックを供給する。続いて、サイクル６では、暗号処理ステートがＲ２であり、クロックをゲーティングするべきと判定され、クロック制御信号がアサートされる。サイクル３と同様に、乱数生成部２０３の乱数出力である１がカウンタにセットされ、カウンタ値が０ではないので、暗号処理部２０１へのクロックをゲーティングする。続いて、サイクル７において、カウンタの値が１から０に１減算され、カウンタ値が０になるので、暗号処理部２０１へクロックを供給する。続いて、サイクル８からサイクル１３までは、暗号処理ステートが、クロックをゲーティングすべきでないラウンドＲ３からＲ８を示すので、クロック制御信号はデアサートされ、暗号処理部２０１へクロックを供給し続ける。続いて、サイクル１４において、暗号処理ステートがＲ９であり、クロックをゲーティングするべきと判定され、クロック制御信号がアサートされる。同一サイクルにおいて、乱数生成部２０３の乱数出力である０がカウンタにセットされるが、カウンタ値が０であるので、暗号処理部２０１へ、クロックを供給する。続いて、サイクル１５では、暗号処理ステートがＲ１０であり、クロックをゲーティングするべきと判定され、クロック制御信号がアサートされる。同一サイクルにおいて、乱数生成部２０３の乱数出力である３がカウンタにセットされ、カウンタ値が０ではないので、暗号処理部２０１へのクロックをゲーティングする。後続のサイクル１６及びサイクル１７では、それぞれカウンタ値が１ずつ減算されるが、カウンタ値は０ではないので、暗号処理部２０１へのクロックをゲーティングする。続いて、サイクル１８で、カウンタ値が０になるので、暗号処理部２０１へクロックを供給する。続いて、サイクル１９及びサイクル２０において、暗号処理ステートが、クロックをゲーティングすべきでないＯｕｔ及びＩｄｌｅを示すので、クロック制御信号はデアサートされ、暗号処理部２０１へ、クロックを供給し続ける。

発明の効果について説明する。従来技術においては、全ラウンドにおいてクロックがランダムにゲーティングされていた。各ラウンドにおける、平均クロックゲーティングサイクルをＮ、暗号処理の総ラウンド数をＭとすると、従来技術における暗号処理の処理サイクルは、Ｍ×（１＋Ｎ）＝Ｍ＋Ｍ×Ｎサイクルとなる。一方、本実施形態における処理サイクルは、Ｍ－４＋４（１＋Ｎ）＝Ｍ＋４×Ｎサイクルとなる。例えば、ＡＥＳの鍵長１２８Ｂｉｔの処理であれば、Ｍ＝１０となり、Ｎ＝８サイクルであれば、従来技術における処理サイクルは、８８サイクルとなる。一方、本実施形態における処理サイクルは、４２サイクルであり、従来例と比較するとサイクル数を約５２％削減することが可能になる。

本実施形態においては、クロックゲーティングするサイクルを暗号処理のラウンドの１ラウンド目と２ラウンド目と最終ラウンドと最終ラウンドの１ラウンド前の４ラウンドとして説明した。しかし、クロックゲーティングするラウンド数を１ラウンド目と最終ラウンドのみに限定しても構わない。また、ラウンド３から最終ラウンドの２ラウンド目までをゲーティングしても構わないが、ゲーティングするラウンド数が増加するほど、本実施形態による性能低下を抑える効果は減少してく。

また、本実施形態では、クロックをゲーティングする例を示したが、クロックゲーティングではない手段でクロックの周期を変動させても構わない。また、本実施形態では、暗号アルゴリズムとしてＡＥＳを用いる例を示したが、ＤＥＳやＴｒｉｐｌｅ ＤＥＳといった他のアルゴリズムでも構わない。

（その他の実施形態）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

２００ データ入力部
２０１ 暗号処理部
２０２ データ出力部
２０３ 乱数生成部
２０４ クロック制御部
２０５ 全体制御部

Claims (9)

1. 暗号処理を行う情報処理装置であって、
   平文を取得する取得手段と、
   前記取得手段で取得された平文の暗号処理を行う暗号処理手段と、
   前記暗号処理手段のクロックの制御をする制御手段と、を有し、
   前記制御手段は、前記暗号処理手段の処理が特定の暗号処理のステートである場合のクロックと、前記暗号処理手段の処理が特定の暗号処理のステートでない場合のクロックとを異ならせることを特徴とする情報処理装置。
2. 乱数生成を行う乱数生成手段を更に有し、
   前記制御手段は、前記乱数生成手段によって生成された乱数に応じて、前記暗号処理手段のクロックをゲーティングすることを特徴とする請求項１に記載の情報処理装置。
3. 前記暗号処理手段は、前記暗号処理手段の処理が前記特定の暗号処理のステートである場合、暗号処理のステートを示す信号を生成し、
   前記制御手段は、前記暗号処理のステートを示す信号に基づき、前記暗号処理手段のクロックの制御をすることを特徴とする請求項１または請求項２に記載の情報処理装置。
4. 前記暗号処理手段における暗号処理のアルゴリズムは、ＡＥＳであることを特徴とする請求項１乃至請求項３のいずれか１項に記載の情報処理装置。
5. 前記特定の暗号処理のステートは、ＡＥＳの１ラウンド目の処理及びＡＥＳの最終ラウンドの処理であることを特徴とする請求項４に記載の情報処理装置。
6. 前記特定の暗号処理のステートは、ＡＥＳの１ラウンド目の処理、ＡＥＳの２ラウンド目の処理、ＡＥＳの最終ラウンドの処理、ＡＥＳの最終ラウンドの処理の直前の処理の少なくともいずれか一つを含むことを特徴とする請求項４に記載の情報処理装置。
7. 前記暗号処理手段における暗号処理のアルゴリズムは、ＤＥＳまたはＴｒｉｐｌｅ ＤＥＳであることを特徴とする請求項１乃至請求項３のいずれか１項に記載の情報処理装置。
8. 暗号処理を行う情報処理方法であって、
   取得手段が、平文を取得する取得工程と、
   暗号処理手段が、前記取得工程で取得された平文の暗号処理を行う暗号処理工程と、
   制御手段が、前記暗号処理工程におけるクロックの制御をする制御工程と、を有し、
   前記制御工程では、前記暗号処理工程の処理が特定の暗号処理のステートである場合のクロックと、前記暗号処理工程の処理が特定の暗号処理のステートでない場合のクロックとを異ならせることを特徴とする情報処理方法。
9. コンピュータを、
   暗号処理を行う情報処理装置であって、
   平文を取得する取得手段と、
   前記取得手段で取得された平文の暗号処理を行う暗号処理手段と、
   前記暗号処理手段のクロックの制御をする制御手段と、を有し、
   前記制御手段は、前記暗号処理手段の処理が特定の暗号処理のステートである場合のクロックと、前記暗号処理手段の処理が特定の暗号処理のステートでない場合のクロックとを異ならせることを特徴とする情報処理装置として機能させるためのコンピュータのプログラム。