饶金涛，李 军，何卫国

0 引 言

能量攻击分析自1996年被提出后[1]，各种能量攻击方法被提出，包括简单能量攻击分析、差分能量攻击分析[2]、相关性能量攻击分析[3]、碰撞攻击[4]、互信息能量攻击分析和模板攻击分析[5]等。利用这些攻击方法可以直接对密码设备进行攻击，进而提取密码设备的密钥。

针对以上各种攻击方法，各种防护方法也被提出。常见的防护方法有掩码防护、随机伪轮防护等。这些防护方法的主要目的是减弱敏感中间值和能耗之间的相关性，从而达到防护的目的。其中，掩码防护是常见的防护措施之一，基本原理是通过在密码模块的输入中加入随机数掩码数据，从而掩盖真实数据，同时设计相应的掩码脱掩电路，并将两种电路的输出结果结合运算进行消除掩码，以消除掩码技术对结果的影响。常见的两种掩码方法是布尔异或掩码和算法加法掩码。布尔异或掩码主要是异或运算设计的掩码，算术加法掩码的主要是加法或者减法运算设计的掩码。密码算法安全设计过程中，两种运算之间通常需要相互转换，实现掩码的脱掩。针对不同的密码算法，具体的设计方法不同[6-10]。

在CHES 2000会议上，Louis Goubin提出了一种布尔异或掩码转算术减法掩码算法。在CHES 2001会议上，Louis Goubin提出了两种掩码互转的方案。同时，Robert McEvoy在SHA1-256设计掩码方案时也提出了两种掩码互转的方案。以上掩码方案都是从布尔代数的数学基础出发，进行理论推导得出的。

本文针对掩码防护中的布尔异或掩码转算术加法掩码进行深入研究，站在电路设计的角度，提出了一种高效的转换方法。……