张金中，寇应展，王韬，郭世泽，赵新杰

(1. 军械工程学院 计算机工程系，河北 石家庄 050003；

2. 北方电子设备研究所，北京 100083)

1 引言

现代密码算法可用于保证数据传送的保密性、完整性和真实性，因而被广泛应用于政治、经济和军事活动等领域。但是密码算法的实际安全性不等同于设计安全性，密码算法执行所依附的物理平台会泄露出时间、电磁、功耗、声音、故障等与密钥密切相关的旁路信息，利用这些旁路信息进行密钥破解的方法称为旁路攻击[1]。其中，故障攻击主要利用密码算法执行过程中的故障信息，结合算法结构破解密钥。从故障攻击提出至今，研究者先后对 RSA[2]，AES[3]、SMS4[4]、MIBS[5]、RC4[6]等密码进行了故障攻击。显然，不论公钥密码、分组密码还是流密码，都面临着故障攻击的严重威胁。

椭圆曲线密码（ECC，elliptic curve cryptosystem）是近年来密码学领域研究的热点之一，有密钥短、安全性高、计算速度快的特点，已被广泛应用于移动通信、电子商务等领域，也是卫星网络、物联网等新型网络的首选，对其安全性进行研究显得尤为重要。自1999年Coron[7]提出针对 ECC的简单功耗分析（SPA, simple power analysis）和差分功耗分析（DPA, differential power analysis）开始，ECC的功耗攻击及相关的防御措施已经逐步走向成熟，但ECC故障攻击相关研究相对较少。

1.1 相关工作

目前针对ECC故障攻击方法主要有3类。

1) ECC差分故障攻击[8]。通过注入故障改变基点、基域或曲线参数，使得破解密钥变为解决非安全椭圆曲线上的离散对数问题。研究者先后攻击了 IEEE 802.15制定的加密方案（ECDH、ECIES和 ECMQV）[9]和蒙哥马利算法实现的ECC[10]。……