特許ウォッチ

公開番号2025112385
公報種別公開特許公報(A)
公開日2025-08-01
出願番号2024006574
出願日2024-01-19
発明の名称情報処理装置及び情報処理方法
出願人株式会社メガチップス
代理人弁理士法人三協国際特許事務所
主分類G06F 21/55 20130101AFI20250725BHJP(計算;計数)
要約【課題】保護対象である同一構成の二つの演算回路に対して同一タイミングで同一値の故障を挿入する攻撃が行われた場合であっても、その攻撃を検知することが可能な、情報処理装置を得る。
【解決手段】情報処理装置は、秘密情報である複数ビットの第1データに基づいて第1演算を行い、第2データを出力する第1演算回路と、前記第1データの各ビットの論理を反転し、第3データを出力する反転回路と、前記第1演算回路と同一の回路構成を有し、前記第3データに基づいて、前記第1演算と同一の第2演算を行い、第4データを出力する第2演算回路と、前記第2データと前記第4データとに基づいて第3演算を行い、第5データを出力する第3演算回路と、前記第5データと、前記第1データのビット数に応じた値に基づく期待値とを比較する比較回路と、を備える。
【選択図】図1
特許請求の範囲【請求項１】
秘密情報である複数ビットの第１データに基づいて第１演算を行い、第２データを出力する第１演算回路と、
前記第１データの各ビットの論理を反転し、第３データを出力する反転回路と、
前記第１演算回路と同一の回路構成を有し、前記第３データに基づいて、前記第１演算と同一の第２演算を行い、第４データを出力する第２演算回路と、
前記第２データと前記第４データとに基づいて第３演算を行い、第５データを出力する第３演算回路と、
前記第５データと、前記第１データのビット数に応じた値に基づく期待値とを比較する比較回路と、
を備える、情報処理装置。
続きを表示（約 1,500 文字）【請求項２】
前記第１演算回路は、前記第１演算として、前記第１データと、任意の有理点を示す座標データとに基づいて、楕円曲線上で定義されるスカラー倍算を行い、
前記第２演算回路は、前記第２演算として、前記第３データと前記座標データとに基づいて、楕円曲線上で定義されるスカラー倍算を行い、
前記第３演算回路は、前記第３演算として、前記第２データと前記第４データとに基づいて、楕円曲線上で定義される点加算を行う、
請求項１に記載の情報処理装置。
【請求項３】
前記第１演算回路は、前記第１演算として、前記第１データと、任意の値を示す値データとに基づいて、べき乗剰余演算を行い、
前記第２演算回路は、前記第２演算として、前記第３データと前記値データとに基づいて、べき乗剰余演算を行い、
前記第３演算回路は、前記第３演算として、前記第２データと前記第４データとに基づいて、乗算を行う、
請求項１に記載の情報処理装置。
【請求項４】
前記第１演算回路は、前記第１演算として、前記第１データと、所定のベースポイントを示す座標データとに基づいて、楕円曲線上で定義されるスカラー倍算を行い、
前記第２演算回路は、前記第２演算として、前記第３データと前記座標データとに基づいて、楕円曲線上で定義されるスカラー倍算を行い、
前記第３演算回路は、前記第３演算として、前記第２データと前記第４データとに基づいて、楕円曲線上で定義される点加算を行う、
請求項１に記載の情報処理装置。
【請求項５】
前記第１演算回路は、前記第１演算として、前記第１データと、所定の原始根を示す値データとに基づいて、べき乗剰余演算を行い、
前記第２演算回路は、前記第２演算として、前記第３データと前記値データとに基づいて、べき乗剰余演算を行い、
前記第３演算回路は、前記第３演算として、前記第２データと前記第４データとに基づいて、乗算を行う、
請求項１に記載の情報処理装置。
【請求項６】
前記第１データのビット数に応じた値に基づいて第４演算を行い、前記期待値を出力する第４演算回路をさらに備える、
請求項２～５のいずれか一つに記載の情報処理装置。
【請求項７】
前記第１データのビット数に応じた値に基づく事前計算によって算出された前記期待値を記憶する記憶回路をさらに備える、
請求項４又は５に記載の情報処理装置。
【請求項８】
前記第１データのビット数に応じた前記値は、当該ビット数をｎとして、２
ｎ
－１で表される、
請求項１に記載の情報処理装置。
【請求項９】
前記第３演算回路は前記第１演算回路又は前記第２演算回路と共用されることにより、前記第３演算は前記第１演算回路又は前記第２演算回路によって行われる、
請求項１に記載の情報処理装置。
【請求項１０】
前記第１演算回路は、前記スカラー倍算において、前記第１データのビットの論理が「０」の場合には点２倍算を行い、前記第１データのビットの論理が「１」の場合には点２倍算と点加算とを行い、前記第１データのビットの論理が「０」の場合には点加算をさらに行い、
前記第２演算回路は、前記スカラー倍算において、前記第３データのビットの論理が「０」の場合には点２倍算を行い、前記第３データのビットの論理が「１」の場合には点２倍算と点加算とを行い、前記第３データのビットの論理が「０」の場合には点加算をさらに行う、
請求項２又は４に記載の情報処理装置。
（【請求項１１】以降は省略されています）
発明の詳細な説明【技術分野】
【０００１】
本発明は、情報処理装置及び情報処理方法に関する。
続きを表示（約 2,200 文字）【背景技術】
【０００２】
近年におけるＩｏＴ技術の発展によって、様々な情報処理装置がネットワークに接続され、これにより、情報処理装置に対する物理的な攻撃によって情報処理装置から秘密情報が窃取される脅威度が高まっている。物理的な攻撃には、サイドチャネル攻撃（Side-Channel Attack、以降「ＳＣＡ」と称す）と故障利用攻撃（Fault Attack、以降「ＦＡ」と称す）とがある。ＳＣＡは、情報処理装置が秘密情報を処理する際に発生する消費電力又は電磁波等のサイドチャネル情報を解析することによって、秘密情報を窃取する攻撃である。ＦＡは、秘密情報の処理を実行中の情報処理装置に物理的な刺激を与えることで、意図的に計算誤りを誘発させ、その挙動を解析することによって秘密情報を窃取する攻撃である。
【０００３】
暗号方式の一つとして、公開鍵暗号がある。公開鍵暗号で使用される様々な演算の中で、演算コストが支配的かつクリティカルなものとして、スカラー倍算又はべき乗剰余演算がある。スカラー倍算又はべき乗剰余演算を高速化するための手法として、バイナリ法が広く実装されている。しかし、バイナリ法では、入力された秘密情報の値に応じてサイドチャネル情報が特徴的な波形となるため、ＳＣＡの一種である単純電力解析（Simple Power Analysis、以降「ＳＰＡ」と称す）等の攻撃に対して脆弱である。ＳＰＡに対する対策としては、ダミー演算を挿入する方法、又はモンゴメリラダー法がある。これらは、サイドチャネル情報の波形を、秘密情報の値によらずに一定の形とする。
【０００４】
一方、ＦＡには、演算途中の値の一部を書き換えることで得られた誤った計算結果を解析することによって、秘密情報を特定する攻撃が存在する。かかる攻撃への対策としては、保護対象の演算回路を二重化し、二つの演算回路の演算結果を比較する方法がある。二つの演算回路は同一の回路構成を有するため、同一値を入力すれば同一結果が得られる。ＦＡによっていずれか一方の演算回路が攻撃されると、攻撃された演算回路に計算誤りが発生する。従って、二つの演算回路の演算結果を比較し、両演算結果が異なることによって、ＦＡによる攻撃を受けていることを検知できる。情報処理装置は、両演算結果が一致すれば正しい演算結果を出力し、一方、両演算結果が一致しなければ、演算結果を出力しない、又は、無関係な値を出力する。
【０００５】
なお、特許文献１には、背景技術に係る半導体装置が開示されている。当該半導体装置は、複数のＩＣチップが積層されて、暗号計算を含むデータ処理を実行可能な半導体装置であって、複数のＩＣチップは、同一の暗号計算を並列に実行してそれぞれの計算結果を算出し、前記複数のＩＣチップのうちの１個のＩＣチップは、他のＩＣチップによって素子面が被覆され、且つ、前記複数のＩＣチップに対応する前記複数の計算結果を互いに比較し、その比較結果に基づいて後続のデータ処理の内容を制御する。
【先行技術文献】
【特許文献】
【０００６】
特開２０１６－５８７７７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ＦＡに対する対策として保護対象の演算回路を二重化する方法によると、同一の回路構成を有する二つの演算回路が同一タイミングで同一値の演算を行う。そのため、演算途中の二つの演算回路の双方に対して、同一タイミングで同一値の故障が挿入された場合には、二つの演算回路は同一の計算誤りを発生する。このような、二つの演算回路に対して同一タイミングで同一値の故障を挿入する攻撃を、以降「ダブルＦＡ」と称す。その結果、二つの演算回路の演算結果が一致することとなり、ＦＡを検知することができない。
【０００８】
本発明はかかる事情に鑑みて成されたものであり、保護対象である同一構成の二つの演算回路に対して同一タイミングで同一値の故障を挿入する攻撃が行われた場合であっても、その攻撃を検知することが可能な、情報処理装置及び情報処理方法を得ることを目的とする。
【課題を解決するための手段】
【０００９】
本発明の第１態様に係る情報処理装置は、秘密情報である複数ビットの第１データに基づいて第１演算を行い、第２データを出力する第１演算回路と、前記第１データの各ビットの論理を反転し、第３データを出力する反転回路と、前記第１演算回路と同一の回路構成を有し、前記第３データに基づいて、前記第１演算と同一の第２演算を行い、第４データを出力する第２演算回路と、前記第２データと前記第４データとに基づいて第３演算を行い、第５データを出力する第３演算回路と、前記第５データと、前記第１データのビット数に応じた値に基づく期待値とを比較する比較回路と、を備える。
【００１０】
第１態様によれば、第１演算回路は、第１データに基づいて第１演算を行い、第２演算回路は、第１データの各ビットの論理を反転した第３データに基づいて第２演算を行う。従って、同一の回路構成を有する第１演算回路及び第２演算回路に対して、同一タイミングで同一値の故障を挿入する攻撃が行われた場合であっても、その攻撃を検知できる。
（【００１１】以降は省略されています）

関連特許