基于Pell型序列的快速安全标量乘算法

2019，55（4）1引言椭圆曲线密码系统（Elliptic Curve Cryptogram ，ECC ）是基于椭圆曲线数学的一种公钥密码体制，是在1985年分别由Miller [1]和Koblitz [2]独立提出来的。

相比于RSA 公钥密码体制，椭圆曲线密码系统可以在相同安全等级的情况下提供更短的密钥。

短的密钥意味着更小的功耗、计算成本和存储空间。

标量乘kP 是ECC 中最耗时的运算，其中P 是椭圆曲线上的一点，k 是一个整数[3]。

在进行标量乘算法的优化时，通常从两方面进行：一方面是改进整数k 的有效表达，缩短链长，减少上层运算量；另一方面是对底层域运算进行优化，降低底层的运算耗时。

边信道攻击（Side-Channel Attacks ，SCA ）[4]是1996年由Kocher 首次提出的，是通过分析加密过程中时间或能量消耗而获得密钥的攻击思想，基本可以分为两类：简单能量分析（Simple Power Analysis ，SPA ）[5]和差分能量分析（Differential Power Analysis ，DPA ）[6-7]。

其中SPA 是仅对算法一次运算中所泄露的信息进行分析，通过算法中点加倍点执行所需能量不同而分析得出密钥。

DPA 是通过对算法多次的执行，搜集好信息，将密钥比特、密文和功率消耗之间的相关性进行分析统计而得出密钥。

相比之下比DPA 更高级一些，因此SPA 更好实现[8]。

通常利用以下两种措施来抵抗SPA 攻击。

一种方法是在标量乘算法中采用无法区分的点加基于Pell 型序列的快速安全标量乘算法刘双根，赵辉西安邮电大学通信与信息工程学院，西安710121摘要：提出了一种新的椭圆曲线快速安全的标量乘算法。

利用佩尔序列前后项分割比产生新的佩尔型点加-倍点链（Pell Type Double-and-Add Chain ，PTDAC ），其循环固定的“倍点-点加”操作可天然抵抗简单能量分析（Simple Power Analysis ，SPA ）攻击。

PTDAC 算法结合Edwards 椭圆曲线可从底层域减少运算时间，进一步优化算法。

经过理论分析和仿真实验表明，PTDAC 算法在最优情况下比EAC-270和GRAC-258算法在时间效率上分别提高了2.6%和22.8%。

关键词：标量乘；佩尔序列；简单能量攻击；Pell 型点加-倍点链（PTDAC ）文献标志码：A 中图分类号：TP 309.7doi ：10.3778/j.issn.1002-8331.1712-0029刘双根，赵辉.基于Pell 型序列的快速安全标量乘算法.计算机工程与应用，2019，55（4）：125-129.LIU Shuanggen,ZHAO Hui.Fast and secure scalar multiplication based on pell puter Engineering and Applications,2019,55（4）：125-129.Fast and Secure Scalar Multiplication Based on Pell SequenceLIU Shuanggen,ZHAO HuiSchool of Telecommunication and Information Engineering,Xi ’an University of Posts and Telecommunications,Xi ’an 710121,ChinaAbstract ：A new fast and secure elliptic curve scalar multiplication algorithm is presented.The method utilizes the front and back ratio coefficient of Pell sequence to produce new Pell Type Double-and-Add Chain （PTDAC ）,its circulation fixed on simple operation like “double-and-addition ”,which can be natural resistance to Simple Power Analysis （SPA ）attack.PTDAC algorithm combined with Edwards elliptic curve can reduce the underlying operation time.Theoretical analysis and simulation experiments show that the PTDAC algorithm is 2.6%faster than the Euclid Addition Chain （EAC ）,and 22.8%faster than the Golden Ratio Addition Chain （GRAC ）.Key words ：scalar multiplication;Pell sequence;simple power attack;Pell Type Double-and-Add Chain （PTDAC ）基金项目：国家自然科学基金（No.61272525）；陕西省自然科学基础研究计划项目（No.2017JQ6010）。

作者简介：刘双根（1979—），男，博士，副教授，硕士生导师，CCF 会员，中国密码学会会员，研究领域为密码学与信息安全，E-mail ：liusgxupt@ ；赵辉（1991—），女，硕士生，研究领域为密码学与信息安全。

收稿日期：2017-12-04修回日期：2018-04-27文章编号：1002-8331（2019）04-0125-05Computer Engineering and Applications 计算机工程与应用125Computer Engineering and Applications 计算机工程与应用2019，55（4）或倍点算法，使能量曲线趋于平滑。

比如黄金加法链（Gold Ratio Addition Chain ，GRAC ）[9]和Montgomery 阶梯[10]算法。

另一种方法是将标量乘算法规则化，无论处理怎样的信息，使仪器所检测到的信息都是规则和一致的，典型的例子就是Montgomery [10]方法和Double-and-Add 方法。

2007年，在欧拉和高斯的研究基础上，Edwards 提出了一种新的Edwards 椭圆曲线标准形式，并且详细叙述分析了一种新的加法规则[11]。

之后Panchbhai 和Ghodeswar 将Edwards 曲线进行了改进，并将其运用于各种坐标下得出运算效率[12]。

同年Bernstein 和Lange 引入了反向Edwards 坐标，降低了Edwards 椭圆曲线上分组操作的成本[13]。

之后，Bernstein 和Birkner 等人[14]又提出了Twists Edwards 曲线，将Edwards 曲线进一步推广。

Edwards 椭圆曲线因其高度统一的点加-倍点公式，在密码界引起了高度重视，不断有人为了降低其底层运算量做着努力。

Hisil 等人[15]用快速分组的方法，将Twists Edwards 曲线下的点加算法降低了2M 。

Mao 等人[16]提出了Twists Edwards 曲线下的点压缩算法。

丁红发等人[17]通过对二进制Edwards 曲线的研究，将算法效率降低了1M 。

张海灵[18]提出一种仅依赖于y 轴的Edwards 椭圆曲线点加-倍点公式。

在椭圆曲线标量乘算法中，降低底层运算量，提高标量乘法的计算效率一直是密码研究的重点研究对象。

本文在将佩尔序列的性质结合2P +Q 的基础上提出了佩尔型标量乘算法，结合有天然抗SPA 攻击特性的Edwards 曲线，上层运算缩减的同时提高了底层运算效率，也保证了算法的安全性。

2基础知识2.1Edwards 椭圆曲线Edwards 曲线最大的特点就是在群运算中的规则较为简单，点加和倍点公式相同。

文献[12]对Edwards 曲线上的群运算规则有详细的分析。

点加倍点形式规则的Edwards 曲线有着很大的优势，其安全性高于常常用到的比如Weierstrass 、Hessian 、Jacobi quartics 等其他椭圆曲线。

在特征值不等于2的域K 下，Edwards 曲线方程为：x 2+y 2=c 2(1+dx 2y 2)其中c ,d ∈K ,c ,d ≠0且cd 4≠1。

设P 1=(X 1,Y 1),P 2=(X 2,Y 2)通过加法群[12]运算得到P 1+P 2=P 3=(X 3,Y 3)，其点加公式为：ìíîïïïïx 3=x 1y 2+y 1x 2c (1+dx 1x 2y 1y 2)y 3=y 1y 2-x 1x 2c (1-dx 1x 2y 1y 2)将其中的P 2换成P 1，则得到P 4=2P 1=(X 4,Y 4)，因为Edwards 曲线群运算的性质[12]，所以只需将点加公式中的x 2、y 2都用x 1、y 1代替就可得到倍点公式：ìíîïïïïx 4=x 1y 1+y 1x 1c (1+dx 1x 1y 1y 1)y 4=y 1y 1-x 1x 1c (1-dx 1x 1y 1y 1)在标量乘算法中I 、M 、S 分别代表求逆、乘法与平方运算，之间的关系为I =10M ，S =0.8M 。

为了避免求逆运算耗时长问题，通常采用投影坐标[19]。

文献[18]中分析得出投影坐标下的Edwards 曲线，点加效率为6M +4S ，倍点为1M +4S 。

2.2Pell 序列从参考文献[20-21]中了解到广义Fibonacci 数列的定义和性质，从而可以得出Pell 序列：P 0=1,P 1=2,P n =2P n -1+P n -2(n ≥2)文献[22]中得出Pell 序列的通项公式为：U n =a n-b na -b (a =1-2,b =1+2)前后项比：lim n →∞U n U n +1=lim n →∞(a n -b n )(a -b )(a n +1-b n +1)(a -b )=1δs可以看出，Pell 序列的前后项比例无限接近白银分割比δs ，其值为1+2。

早在希腊时期就有数学家开始研究白银比，现在，白银比在日本等国家开始得到广泛的应用和关注，很神奇的是白银比类似于黄金比例也可以用连续分数[2，2，…]表示。