Arithmetic and Architectures for Secure Hardware - COSIC

247 Pages·2013·1.97 MB·English

KATHOLIEKE UNIVERSITEITLEUVEN
FACULTEITINGENIEURSWETENSCHAPPEN
DEPARTEMENTELEKTROTECHNIEK{ESAT
KasteelparkArenberg10,3001Leuven-Heverlee
Arithmetic and Architectures
for Secure Hardware Implementations
of Public-Key Cryptography
Promotors: Proefschriftvoorgedragentot
Prof.Dr.ir.BartPreneel hetbehalenvanhetdoctoraat
Prof.Dr.ir.IngridVerbauwhede indeingenieurswetenschappen
door
Lejla BATINA
December2005

KATHOLIEKE UNIVERSITEITLEUVEN
FACULTEITINGENIEURSWETENSCHAPPEN
DEPARTEMENTELEKTROTECHNIEK{ESAT
KasteelparkArenberg10,3001Leuven-Heverlee
Arithmetic and Architectures
for Secure Hardware Implementations
of Public-Key Cryptography
Jury: Proefschriftvoorgedragentot
Prof.Dr.YvesWillems,voorzitter hetbehalenvanhetdoctoraat
Prof.Dr.ir.BartPreneel,promotor indeingenieurswetenschappen
Prof.Dr.ir.IngridVerbauwhede,promotor
door
Prof.Dr.ir.FranckyCatthoor
Prof.Dr.ir.GeorgesGielen Lejla BATINA
Prof.Dr.ir.DavidNaccache,ENS,Paris
Prof. Dr. ir. Henk C.A. van Tilborg, T.U. Eind-
hoven
Dr. Pim Tuyls, PhilipsResearch, Eindhoven,The
Netherlands
Prof.Dr.ir.JoosVandewalle
U.D.C.681.3*D46 December2005
c Katholieke Universiteit Leuven { Faculteit Toegepaste Wetenschappen
(cid:13)
Arenbergkasteel, B-3001Heverlee (Belgium)
Alle rechten voorbehouden. Niets uit deze uitgave mag vermenigvuldigd en/of
openbaargemaaktwordendoormiddelvandruk,fotocopie,micro(cid:12)lm,elektronisch
of op welke andere wijze ook zonder voorafgaande schriftelijke toestemming van
de uitgever.
All rightsreserved. No part of the publication may be reproduced in any form by
print, photoprint, micro(cid:12)lm or any other means without written permission from
the publisher.
D/2005/7515/98
ISBN 90-5682-670-0
Acknowledgments
First of all I would like to thank my promotors Bart Preneel and Ingrid Ver-
bauwhede for their constant guidance and support that resulted in this thesis.
Bart is especially thanked for giving me the chance to pursue a Ph.D. at COSIC
and for his help and advice around the clock. Ingrid is thanked for giving me
directions and freedom. They both provided a number of helpful comments on
this text and I thank them for that as well.
I would also like to thank Prof. Francky Catthoor, Prof. Georges Gielen and
Prof. Joos Vandewalle for careful reading of the manuscript, many valuable sug-
gestions and comments.
I thank Prof. David Naccache, Prof. Henk van Tilborg and Dr. Pim Tuyls for
accepting to be members of the jury, and Prof. Yves Willems for chairing it.
I am very grateful to Henk van Tilborg, who was my advisor at T.U. Eind-
hoven for always being friendly and supportive. I would also like to thank Berry
Schoenmakers for his encouragement and help with my MTD thesis.
Furthermore, I would like to express my gratitude to Dr. Cees Jansen, who
madeitpossibleformetostartwith myPh.D.studieswhileIwasstillworkingat
Pijnenburg, Securealink. I would like to thank Geeke Bruin-Muurling for being a
wonderful colleague back there and my (cid:12)rst co-author. We put together our (cid:12)rst
RSA-conference paper and we had a lot of fun working together.
Many thanks to Nele Mentens for being a great colleague, travel mate, co-
author and my best friend at COSIC. Of my other COSIC colleagues, special
thanks go to Berna O(cid:127)rs for her friendship and kindness and many, many other
things in which she helped me ever since I joined COSIC. Kazuo Sakiyama and
Elke De Mulder are a great addition to our hardware group, which we hope to
see growing. I very much appreciated a pleasant and fruitful collaboration with
Alireza Hodjat and David Hwang from UCLA.
IthankFr(cid:19)eVercauterenforhisinsightfulcommentsandcriticismandforread-
ing a large part of the text. I add also Jasper Scholten who was alwayswilling to
helpmewith allkindsof questions,frommathematicaltotechnical. Abig thanks
for P(cid:19)elaNo(cid:127)e, Elvira Wouters and Marleen Somers for taking care of all those ad-
ministrativethingsandalwayshavinginterestandcompassionforallotherthings
i
aswell. SpecialthanksgotoKarelWoutersformakingmylongridestoworkand
back much shorter. I thank all COSIC fellows for their friendliness and help, in
particular Claudia Diaz, Svetla Nikova, Stefaan Seys and Christopher Wolf.
Chapter 6 in this thesis is joint work with Dr. Pim Tuyls and our cooperation
resultedinmorebroadnessinmywork,whichwastrulyrewarding. GregoryNeven
is also acknowledged for his generous help and advice relating to this part of my
work.
I thank my long-time friends for putting up with me through all these years
and for having interest in all I do and cope with. Finally, I would like to thank
my family for their unconditional support and love, especially to my mum and to
my son Davor I thank for everything, everything, everything.
Thelast(cid:12)fteenmonthsofmydoctoralstudieswerefundedbyaresearchgrant
of the Katholieke Universiteit Leuven, Belgium.
Lejla Batina
December 2005
Abstract
Thisthesis studiesimplementationsofcryptographicalgorithmsandprotocolsfor
embeddedsystems,whichcontributetowardsthedevelopmentofthefuturesecure
pervasive computing environment; this context puts tight constraints on perfor-
mance, memory, power, area and bandwidth. E(cid:11)ective information protection
against eavesdropping and modi(cid:12)cations in open systems can only be achieved
using Public Key Cryptography (PKC). Implementing PKC requires detailed in-
sights in the algorithms and the underlying arithmetic for all application plat-
forms. While software platforms typically provide low-cost and (cid:13)exible solutions,
onlyhardwareimplementationso(cid:11)erasuitableleveloftamperresistanceandpro-
tection against side-channel attacks. In these attacks, information that is based
onphysicalcharacteristicsoftheimplementation(suchastiming,powerconsump-
tion or electromagnetic radiation) is exploited to deduce secret information (e.g.
keys). This thesis investigatesalgorithmsthat aresuitable fore(cid:14)cient and secure
hardwareimplementationsof PKC. Theemphasisis onconstrainedenvironments
and increased resistance to side-channel attacks.
In the (cid:12)rst part of our research, we focus on a hardware architecture for the
modularmultiplicationoperation,whichise(cid:14)cientforbit-lengthssuitableforboth
commonly used types of PKC i.e. RSA and Elliptic Curve Cryptography (ECC).
We reconsider Montgomery’s Modular Multiplication (MMM) algorithm and we
make some adjustments for both RSA and ECC implementations on an FPGA
platform. As a follow-up we develop a one common architecture for RSA and
ECC. Fields of characteristictwoi.e. binary (cid:12)elds for ECC arealso addressed. A
completeECCimplementationisdevelopedforwhichthepointoperationsarede-
signed topreclude simple side-channelattacks. However,it should be pointed out
that the hardwareimplementations presented in the thesis servemainly as\proof
ofconcept"fortheproposedalgorithms,hencefurtherarchitecturaloptimizations
are certainly possible.
Furthermore,weinvestigateimplementationsofHyperellipticCurvesCryptog-
raphy (HECC). HECC was proposed in 1988 as a generalization of ECC. We
describe the (cid:12)rst HECC implementation using a hardware/software co-design on
the 8051 micro-processor, which uses a small hardware co-processor to optimize
iii
the performance.
RFID-tags are becoming very popular tools for the identi(cid:12)cation of products.
Astheyhaveasmallmicrochiponboard,theyo(cid:11)erfunctionalitythatcanbeused
for security purposes. In particular, this functionality makes it possible to verify
the authenticity of a product and hence to detect and prevent counterfeiting. In
order to be suitable for these security purposes RFID-tags have to be resistant
against many attacks, including cloning of the tag. It is shown that our solution
for authentication of RFID-tags prevents counterfeiting and is feasible for both
on-line and o(cid:11)-line scenarios.
We also propose an information theoretic model for side-channel leakage. In
particular,weinvestigatethesituationinwhichtheHammingweightofthesecret
data is disclosed. Our conclusion is that this particular leakage does not have a
substantial impact on the security of a cryptosystem.
Among many proposed PKCalternatives, one of the most recent ones is torus
based cryptography. In this thesis we also investigatee(cid:14)cient implementations of
the CEILIDH cryptosystem. A concept of a hardware architecture and the (cid:12)rst
estimates for performance are presented. Furthermore, we compare this imple-
mentation with implementations of ECC and RSA.
Samenvatting
Ditproefschriftbeschrijftimplementatiesvancryptogra(cid:12)schealgoritmenenproto-
collenvooringebeddesystemen. Hetdraagtbijtotdeontwikkelingvantoepassin-
gen voorbeveiligde gegevensverwerking. Ingebedde systemen leggenstrengeeisen
op aan de performantie, het geheugengebruik, het vermogenverbruik, de opper-
vlakte en de bandbreedte.
E(cid:11)ectievebeschermingvangevoeligeinformatietegenluistervinkenenwijzigin-
gen van open systemen kan enkel bereikt worden met behulp van publieke sleutel
cryptogra(cid:12)e(PKC).HetimplementerenvanPKCopdiverseplatformen vergteen
grondig inzicht in de algoritmen en de onderliggende wiskunde. Software imple-
mentaties bieden meestal lage-kost en (cid:13)exibele oplossingen, maar enkel hardware
platformenkunnenvoldoendebeschermentegentamperingenaanvallenvianeven-
kanalen. In dit soort aanvallen worden de fysische eigenschappen van de imple-
mentatie (zoals de tijdsduur van bewerkingen, het vermogenverbruik of de elek-
tromagnetische straling) uitgebuit om zo geheime informatie te achterhalen (bv.
sleutels). In dit project wordt er gezochtnaar passende algoritmen voore(cid:14)ci(cid:127)ente
en veilige hardware implementaties van PKC. De nadruk ligt op toepassingen
met beperkte implementatie-mogelijkheden en verhoogde weerstand tegen neven-
kanaal aanvallen.
In het eerste deel van ons onderzoek, richten we ons op een hardware ar-
chitectuur voor modulaire vermenigvuldiging, die e(cid:14)ci(cid:127)ent is voor bit-lengtes die
gebruikt worden door de twee meest gebruikte types van PKC d.i. RSA en el-
liptische kromme cryptogra(cid:12)e (ECC). We bekijken Montgomery’s algoritme voor
modulaire vermenigvuldiging (MMM) en maken enkele aanpassingen voor zowel
RSA als ECC implementaties op FPGA platformen. Vervolgens ontwikkelen we
een enige architectuur die kan gebruikt worden voor zowel RSA als ECC. Velden
van karakteristiektwee d.i. binaire velden voorECC worden eveneens behandeld.
Een volledige ECC implementatie werd ontwikkeld waarbij de punt bewerkingen
ontworpen zijn om te weerstaan aan enkelvoudige neven-kanaal aanvallen. Hier-
bij wensen we te benadrukken dat de hardware implementaties die in dit project
worden voorgesteld vooral een concept willen bewijzen, waardoor verdere archi-
tecturale verbeteringen zeker nog mogelijk zijn.
v
Verder worden in dit proefschrift implementaties van hyperelliptische kromme
cryptogra(cid:12)e (HECC) bestudeerd. HECC werd in 1988 voorgesteld als een veral-
gemening van ECC. We beschrijven de eerste HECC implementatie met behulp
van een hardware/softwareco-ontwerpopeen 8051micro-processordie een kleine
hardware co-processorgebruikt om de performantie te optimaliseren.
Radiofrequentie-identi(cid:12)catie(RFID)wintaanpopulariteitvoordeidenti(cid:12)catie
vanproducten. Omdatdeze\tags"eenkleinemicrochipaanboordhebben,bieden
zij de mogelijkheid om bewerkingen uit te voeren voor beveiligingsdoeleinden.
Deze functionaliteit maakt het mogelijk om de authenticiteit van een product te
veri(cid:12)(cid:127)eren en zo vervalsingen tegen te gaan. Om geschikt te kunnen zijn voor
dezebeveilingsdoeleindenmoetenRFID tagsbestandzijntegendiverseaanvallen,
waaronderhetklonenvandetag. Zoalsaangetoond,voorkomtonzeoplossingvoor
authenticatievervalsingenenkanzeaangewendwordeninzowelon-linealso(cid:11)-line
omstandigheden.
Weintroducereneveneenseeninformatietheoretischmodeldathetlekkenvan
neven-kanaalinformatiebecshrijft. WeonderzoekendesituatiewaarhetHamming
gewichtvandegeheimegegevensonthuldwordt. Onsbesluitisdatditsoortlekken
geen substanti(cid:127)ele impact hebben op de veiligheid van een cryptosysteem.
HetmeestrecentevanallenieuwePKCalternatievenistorus-gebaseerdecryp-
togra(cid:12)e. In dit project zoeken we daarom naar e(cid:14)ci(cid:127)ente implementaties van het
CEILIDH cryptosysteem. Een eerste versie van een hardware architectuur en de
eersteschattingenvoordeperformantiewordenbeschreven. Verdervergelijkenwe
deze implementatie met ECC en RSA implementaties.