[논문]부채널 공격에 대응하는 경량 블록 암호 CHAM 구현을 위한 마스킹 기법 적용 및 분석

권홍필; 하재철

doi:10.13089/jkiisc.2019.29.4.709

부채널 공격에 대응하는 경량 블록 암호 CHAM 구현을 위한 마스킹 기법 적용 및 분석
Application and Analysis of Masking Method to Implement Secure Lightweight Block Cipher CHAM Against Side-Channel Attack Attacks 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.29 no.4, 2019년, pp.709 - 718

초록
AI-Helper

CHAM은 자원이 제한된 환경에 적합하도록 설계된 경량 블록 암호 알고리즘으로서 안전성과 연산 성능면에서 우수한 특성을 보인다. 그러나 이 알고리즘도 부채널 공격에 대한 취약성을 그대로 내재하고 있기 때문에 마스킹 기법과 같은 대응 기법이 적용되어야 한다. 본 논문에서는 32비트 마이크로프로세서 Cortex-M3 플랫폼에서 부채널 공격에 대응하는 마스킹 기법이 적용된 CHAM 알고리즘을 구현하고 성능을 비교 분석한다. 또한, CHAM 알고리즘이 라운드 수가 많아 연산 효율이 감소되는 점을 고려하여 축소 마스킹 기법을 적용하여 성능을 평가하였다. 축소 라운드 마스킹이 적용된 CHAM-128/128은 구현 결과 마스킹이 없는 경우에 비해 약 4배 정도의 추가 연산이 필요함을 확인하였다.

Abstract ▼ AI-Helper

A lightweight block cipher CHAM designed for suitability in resource-constrained environment has reasonable security level and high computational performance. Since this cipher may contain intrinsic weakness on side channel attack, it should adopt a countermeasure such as masking method. In this paper, we implement the masked CHAM cipher on 32-bit microprosessor Cortex-M3 platform to resist against side channel attack and analyze their computational performance. Based on the shortcoming of having many round functions, we apply reduced masking method to the implementation of CHAM cipher. As a result, we show that the CHAM-128/128 algorithm applied reduced masking technique requires additional operations about four times.

주제어

표/그림 (18)

그림 Fig. 1. Goubin’s BtoA conversion method
그림 Fig. 2. Goubin’s AtoB conversion method
그림 Fig. 3. C-T’s AtoB conversion algorithm
그림 Fig. 4. Debraize’s AtoB conversion algorithm
그림 Fig. 5. KRJ SA masking method
그림 Fig. 6. V-G SA masking method
그림 Fig. 7. CGTV SA masking method
그림 Fig. 8. Two round functions beginning with the even i-th round
그림 Fig. 9. Round function with AtoB and BtoA masking conversion method
그림 Fig. 10. Round function with SA masking method
표 Table 1. CHAM cipher parameters
그림 Fig. 11. Computational cycles for encryption on masked CHAM-128/128
표 Table 2. Performance comparison of masking methods applied on CHAM
표 Table 3. Performance comparison of masking methods applied on some lightweight block ciphers
그림 Fig. 12. Comparison of cycles for one round computation on non-masked and masked (Goubin method) CHAM
표 Table 4. Reduced masking specification for CHAM
표 Table 5. Performance comparison of reduced masking methods applied on CHAM
그림 Fig. 13. Reduced Masked CHAM-128/128

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

따라서 마스킹 기법을 적용함에 있어 CHAM이 갖는 설계적 약점을 보완하기 위해 본 논문에서는 축소 마스킹을 적용하였다. 특히, 8개 또는 16개의 라운드 키를 생성하여 라운드 연산이 진행되는 동안 반복하여 사용하는 CHAM 암호의 특징을 이용하여 라운드 키 전체가 암호화 단계의 처음과 마지막에 한번씩 사용되는 부분에 대한 축소 마스킹을 적용하였다.
CHAM 암호 알고리즘은 버전에 따라 8개 또는 16개의 라운드 키를 생성하여 이를 반복 사용하는 구조로 이루어져 있다. 따라서 본 논문에서는 이러한 CHAM 암호 라운드의 특성을 이용하여 생성된 라운드 키 전체가 처음 한번 사용되는 구간과 마지막 한번 사용되는 구간에만 마스킹을 적용하는 축소 마스킹 적용 방법을 제안한다. 즉, 제안하는 축소 마스킹 방법에서는 CHAM 암호의 버전에 따라 16라운드 또는 32라운드에만 마스킹을 적용하게 된다.
본 논문에서는 초경량 블록 암호 CHAM에 대한 부채널 분석 공격의 대응 방법 중 하나인 마스킹 기법을 적용하기 위한 설계 방법을 제시하였으며, 여러 마스킹 기법들을 CHAM 암호에 적용하여 효율성을 비교·분석하였다.
본 논문에서는 최근 국내에서 개발된 초경량 블록 암호 CHAM에 대해 마스킹 기법을 적용하기 위한 설계 기법을 제시한다. 또한, 여러 가지 마스킹 기법들을 CHAM 암호에 적용하여 32비트 마이크로프로 세서인 Cortex-M3 보드에 구현하고 CHAM 암호에 적용된 마스킹 기법간의 효율성을 비교 분석한다.
본 장에서는 경량 블록 암호 CHAM을 설명하고, CHAM 암호에 마스킹을 적용하기 위해 꼭 필요한 과정인 산술-부울 상호 마스킹 변환 과정과 SA 마스킹 과정을 어떻게 적용할 것인지 제안한다.

제안 방법

상기한 바와 같이 CHAM 블록 암호에 마스킹 기법을 전체 라운드에 적용한 결과 추가되는 연산량이 과중하여 경량 디바이스 환경에 활용하기 부적합한 면이 있다. 따라서 본 논문에서는 CHAM 암호의 보안 강도를 그대로 유지하면서 연산 속도를 개선하기 위해 일부 라운드에만 마스킹을 적용하는 축소 마스킹을 적용하였다. 일반적으로 축소 마스킹 기법은 암호 라운드의 처음 부분과 마지막 부분의 라운드에 마스킹을 적용하고 있다.
컴파일 시 속도 및 메모리 최적화 옵션은 별도로 지정하지 않았다. 또 한각 마스킹 기법을 CHAM에 적용하여 각각의 성능을 비교 분석하기 위해 컴파일러 디버깅 모드에서 제공하는 클럭 사이클 수를 측정하였다. 다음 Table 2는 상기한 6가지 마스킹 기법을 CHAM-128/128 에 적용하여 구현한 후 측정한 수행 속도를 나타낸 것이다.
본 논문에서는 최근 국내에서 개발된 초경량 블록 암호 CHAM에 대해 마스킹 기법을 적용하기 위한 설계 기법을 제시한다. 또한, 여러 가지 마스킹 기법들을 CHAM 암호에 적용하여 32비트 마이크로프로 세서인 Cortex-M3 보드에 구현하고 CHAM 암호에 적용된 마스킹 기법간의 효율성을 비교 분석한다. 마지막으로 마스킹을 적용한 CHAM 블록 암호 알고리즘의 연산량 증가 원인을 분석하고 전체 연산 속도를 줄일 수 있는 축소 라운드 마스킹 기법을 적용하여 그 효율성을 알아본다.
또한, 여러 가지 마스킹 기법들을 CHAM 암호에 적용하여 32비트 마이크로프로 세서인 Cortex-M3 보드에 구현하고 CHAM 암호에 적용된 마스킹 기법간의 효율성을 비교 분석한다. 마지막으로 마스킹을 적용한 CHAM 블록 암호 알고리즘의 연산량 증가 원인을 분석하고 전체 연산 속도를 줄일 수 있는 축소 라운드 마스킹 기법을 적용하여 그 효율성을 알아본다.
본 논문에서는 2장 및 3장에서 설명한 총 6가지 마스킹 기법을 CHAM-128/128 암호 알고리즘에 적용하였으며, 실제 32비트 마이크로프로세서인 Cortex-M3 플랫폼에 구현하여 효율성을 분석하였다. Cortex-M3 보드 구현에는 IAREW-ARM에서 제공하는 컴파일러를 사용하였다.
따라서 본 논문에서는 이러한 CHAM 암호 라운드의 특성을 이용하여 생성된 라운드 키 전체가 처음 한번 사용되는 구간과 마지막 한번 사용되는 구간에만 마스킹을 적용하는 축소 마스킹 적용 방법을 제안한다. 즉, 제안하는 축소 마스킹 방법에서는 CHAM 암호의 버전에 따라 16라운드 또는 32라운드에만 마스킹을 적용하게 된다. 다음 Table 4는 본 논문에서 적용한 CHAM 암호에 대한 축소 마스킹 사양을 나타낸 것인데 전체 암호화 과정에서 라운드 키가 처음 사용되는 구간과 마지막 사용되는 구간에만 마스킹을 적용하게 된다.
따라서 마스킹 기법을 적용함에 있어 CHAM이 갖는 설계적 약점을 보완하기 위해 본 논문에서는 축소 마스킹을 적용하였다. 특히, 8개 또는 16개의 라운드 키를 생성하여 라운드 연산이 진행되는 동안 반복하여 사용하는 CHAM 암호의 특징을 이용하여 라운드 키 전체가 암호화 단계의 처음과 마지막에 한번씩 사용되는 부분에 대한 축소 마스킹을 적용하였다. CHAM-128/128의 경우 축소 마스킹을 적용하였을 때가 4~5배 정도의 추가 연산량만 필요하게 되어 전체 라운드 마스킹을 했을 때보다 효율적으로 부채널 공격에 대응할 수 있음을 확인하였다.

이론/모형

1은 Goubin에 의해 제안된 부울-산술 마스킹 변환 기법으로 부울 마스킹 된 값 x' = x⊕r_x과 난수 \(r \)을 입력받아 연산을 통해 산술 마스킹 된 \(A=x-r\)값을 출력한다. 본 논문에서는 CHAM 암호에 대한 부울-산술 마스킹 변환 기법으로 Goubin이 제안한 기법을 적용하였다.
산술-부울 마스킹 변환 기법은 산술 마스킹 된 중간 값을 부울 연산을 위해 부울 마스킹 된 중간 값으로 변환하는 기법이다. 본 논문에서는 CHAM 암호에 대한 산술-부울 마스킹 변환 기법으로 Goubin 기법, C-T 기법, Debraize 기법을 적용한다.

성능/효과

국내에서 개발된 CHAM 블록 암호 알고리즘은 입력된 평문을 4개의 블록으로 나누어 처리하는 Feistel 구조의 초경량 블록 암호이다. CHAM 암호는 키 스케줄 과정에서 키 상태를 업데이트하지 않는 특징이 있고, 특히, 라운드 키의 수를 라운드 수보다 적게 하여 라운드 키가 재사용되도록 설계함으로서 라운드 키를 저장하는데 필요한 메모리 크기를 크게 줄였다.
특히, 8개 또는 16개의 라운드 키를 생성하여 라운드 연산이 진행되는 동안 반복하여 사용하는 CHAM 암호의 특징을 이용하여 라운드 키 전체가 암호화 단계의 처음과 마지막에 한번씩 사용되는 부분에 대한 축소 마스킹을 적용하였다. CHAM-128/128의 경우 축소 마스킹을 적용하였을 때가 4~5배 정도의 추가 연산량만 필요하게 되어 전체 라운드 마스킹을 했을 때보다 효율적으로 부채널 공격에 대응할 수 있음을 확인하였다.
본 논문에서는 초경량 블록 암호 CHAM에 대한 부채널 분석 공격의 대응 방법 중 하나인 마스킹 기법을 적용하기 위한 설계 방법을 제시하였으며, 여러 마스킹 기법들을 CHAM 암호에 적용하여 효율성을 비교·분석하였다. 그러나 32비트 마이크로프로세서 Cortex-M3 보드에 6가지 마스킹 기법들이 적용된 CHAM-128/128을 구동시킨 결과 15배에서 25배로 사실상 마스킹 기법을 CHAM 암호 전체 라운드에 적용하는 것이 가용성면에서 부적합하다는 것을 확인할 수 있었다.
즉, 원래의 CHAM 암호 라운드 연산량과 비교하였을 때 마스킹 적용 시 연산량이 급증하는 것을 볼 수 있다. 또한, 80번 또는 96번의 라운드 수만큼 마스킹 연산이 다른 경량 암호들에 비해 비교적 많이 반복되어 연산량이 크게 가중되는 것으로 분석된다.
블록 암호 알고리듬은 대부분 암호 운영 모드를 사용하게 되므로 전체적인 속도는 사전 계산량을 제외하고 수행속도를 비교해 볼 필요가 있다. 사전 계산 연산량을 제외했을 때, 전체 라운드 마스킹은 C-T 기법의 경우 마스킹을 하지 않은 경우(1,408 사이클) 보다 약 15배(21,127 사이클) 정도의 많은 연산량이 필요했지만 축소 마스킹 기법을 적용했을 때에는 3.86배(5,439 사이클)의 연산량이 소요되어 여러 마스킹 기법 중 가장 효율적인 기법으로 CHAM 암호에 적용될 수 있음을 확인하였다. 단, C-T 기법은 사전 계산된 캐리 값을 저장하는 메모리 공간 256~512 바이트 정도가 필요하였다.
이렇게 축소 마스킹을 적용한 CHAM-128/128을 Cortex-M3 보드 상에서 구현한 결과 Table 5와 같이 4~5배 정도의 추가 연산량만 필요하게 된다. 이 결과는 Table 2의 전체 라운드에 마스킹을 적용한 결과 값과 비교해 볼 때 효율적으로 암호 중간 값에 대한 추측을 방지하여 부채널 공격에 대응할 수 있음을 확인할 수 있다.

질의응답

핵심어	질문	논문에서 추출한 답변
	부울-산술 마스킹 변환 기법이란?	부울-산술 마스킹 변환 기법은 부울 마스킹 된 중간 값을 산술 연산을 위해 산술 마스킹 된 중간 값으로 변환하는 기법이다. 지금까지 부울-산술 마스킹 변환 기법 가운데 Goubin이 제안한 부울-산술 마스킹 변환 알고리즘의 연산량이 매우 적고 효율적이기 때문에 많은 암호 알고리즘에서 사용되어지고 있다 [10].
	외국에서 개발한 경량 블록 암호 알고리즘에는 무엇이 있는가?	하지만 소형 디바이스는 전력, 메모리 등의 물리적 가용자원이 제한되어 있어 기존에 일반적인 암호 알고리즘을 사용한 경우에는 연산 속도가 느리고, 필요한 데이터 저장 공간이 부족하여 효율성과 가용성이 떨어진다. 따라서 소형 디바이스의 환경 에서도 고속 암호가 가능한 경량 암호 알고리즘 설계가 필요하게 되었고 이미 외국에서는 PRESENT[1], CLEFIA[2], SIMON/SPECK[3]와 같은 경량 블록 암호 알고리즘을 개발하여 표준화 작업을 진행하고 있다. 국내에서도 독자적인 암호 기술로 LEA[4, 5], HIGHT[6] 등의 경량 블록 암호 알고리즘을 개발하였으며 2017년 말에 CHAM [7, 8]이라는 초경량 암호 알고리즘을 개발한 바 있다.
	CHAM에서 대응 기법이 적용되어야 하는 이유는 무엇 때문인가?	CHAM은 자원이 제한된 환경에 적합하도록 설계된 경량 블록 암호 알고리즘으로서 안전성과 연산 성능면에서 우수한 특성을 보인다. 그러나 이 알고리즘도 부채널 공격에 대한 취약성을 그대로 내재하고 있기 때문에 마스킹 기법과 같은 대응 기법이 적용되어야 한다. 본 논문에서는 32비트 마이크로프로세서 Cortex-M3 플랫폼에서 부채널 공격에 대응하는 마스킹 기법이 적용된 CHAM 알고리즘을 구현하고 성능을 비교 분석한다.

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증