[发明专利]基于改进差分错误攻击的SM2签名算法安全性验证方法

说明书

技术领域

本发明属于椭圆曲线密码算法(ECC)分析和错误攻击领域，具体涉及一种基于改进差分错误攻击的SM2签名算法安全性验证方法，属于信息安全技术领域。

背景技术

自从20世纪80年代，Miller和Koblitz将椭圆曲线引入密码学，以及Lenstra提出了利用椭圆曲线进行因数分解算法以来，椭圆曲线在密码学中的作用越来越大。ECC是基于有限域椭圆曲线离散对数问题(ECDLP)：在一个循环加法群中，G为生成元，且G的阶为n，已知Q＝kG和G,求k的值，其中Q＝kG为有限域上的标量乘运算，具体为有限域上的代数运算。

若F为有限域，则至少含有两个元素，并存在一个加法“+”和一个乘法“·”运算，满足如下条件：

1)(F，+)是一个交换群；

2)(F/{0},·)是一个交换群；

3)满足结合律：(a·b)·c＝a·(b·c)加法和乘法满足分配律，即对任何a,b,c∈R,a·(b+c)＝a·b+a·c,(b+c)·a＝a·b+a·c。

密码应用中最常用的有限域包括：素数域和特征为2的扩张域(二元扩域)，这里主要介绍素数域。若p是素数，F＝{0,1,2,…,p-1}是关于mod p的+和·构成的一个有限域，记为F_p，称为素数域(Galois域)，F_p^*＝F_P/{0}是F_p由中所有非零元构成的乘法群，由于F_p^*是循环群，所以在F_p中至少存在一个元素g，使得F_p中任一非零元都可以由g的一个方幂表示，称g为F_p^*的生成元(或本原元)，即F_p^*＝＜g＞，阶为p-1。

若在素数域F_p(p是大于3的素数)上的椭圆曲线方程为：

y²＝x³+ax+b mod p,a、b∈F_p，且(4a³+27b²)mod p≠0

则有限域F_p上椭圆曲线点集E(F_p)定义为：

E(F_p)＝{(x,y)|x,y∈F_p,y²＝x³+ax+b mod p}∪{O}，其中，O为无穷远点。

若点G∈E(F_p)，且G的阶n为素数，则由G生成的循环群＜G＞＝{O,G,2G,3G,…,(n-1)G}为E(F_p)的循环子群。椭圆曲线点集E(F_p)的元素数目用#E(F_p)表示，称为椭圆曲线E(F_p)的阶。在ECC密码系统中，素数p、域F_p的椭圆曲线方程、基点G及其阶n均为公开的域参数，任选私钥d∈[1,n-1]，则相应的公钥P＝dG。

椭圆曲线上定义的点与点加法运算使用了弦切线法则，则E(F_p)为加法交换群，无穷远点O为单位元，P(x,y)+P(x,-y)＝O。对E(F_p)上两点P、Q之和P+Q，若P≠Q，连接P、Q的直线交E于点R'，则R'关于x轴的对称点R即为P+Q之和，称为点加运算(A)。如图1所示。

若P＝Q，做P点的切线交E于点R'，则R'关于x轴的对称点R即为则2P，称为点倍运算(D)。如图2所示。

由椭圆曲线上的点加和点倍的几何意义，可以推断出E(F_p)在仿射坐标下运算法则，具体如下：

点加:令P＝(x₁,y₁)∈E(F_p)，Q＝(x₂,y₂)∈E(F_p)，且P≠Q，则R(x₃,y₃)＝P+Q，其中，

点倍:令P＝(x₁,y₁)∈E(F_p)，P≠-P,则R(x₃,y₃)＝2P，其中，