6] S3:對擴展密鑰進行異或。
[0037] S4:使用Ν位輸入、Ρ位輸出的S盒進行數據替換，其中，Ρ為自然數且Ρ被Ν整除。其 中，Ρ為8。
[0038] S5:與擴展密鑰進行異或。
[0039] S6:輸出密文數據。
[0040] 根據本發明實施例的AES加密方法，各個操作主要所需的操作只有查表、移位和異 或，運在邏輯實現上是較為簡單且高效的，與傳統算法實現的不同之處是"改進的S盒變換、 行移位、32位數據異或"運Ξ個操作。
[0041] 圖3是本發明一個實施例的ΑΕ巧日密方法中部分操作的數據變換圖，在本發明的一 個示例中，圖3中每一個Sxx均代表一個字節數據，字節數據前的系數代表G(2~8)有限域上 的乘法運算(乘W該系數），"+"為G(2~8)有限域上的加法(邏輯上即異或)運算，{a，b，c，d} 代表a，b，c，d運四個字節數據拼接成的32位數據。
[0042] W下將結合附圖描述根據本發明實施例的一種基于AE巧日密方法的抗功耗攻擊方 法。
[0043] 請參考圖4,一種基于AE巧日密方法的抗功耗攻擊方法，包括W下步驟：
[0044] SA:獲取明文數據。
[0045] SB:通過上述的AE巧日密方法對所述明文數據進行加密，在對所述明文數據進行加 密的過程中引入一個互補操作W使得加密操作產生的功耗和所述互補操作產生的功耗的 和為一個常數，所述互補操作包括與擴展密鑰的反進行異或、反S盒數據替換、反數據的行 位移和同或運算。
[0046] 具體地，在上述實施例的AE巧日密方法中，隨著輸入數據的不同，運算過程產生中 間數據的漢明重量會有很大區別，通過漢明重量模型可知，相應的運算功耗差別也會很明 顯。典型的功耗攻擊方法(如DPA)，便是通過捕捉不同猜測密鑰時產生的功耗曲線，利用運 算不同中間數據的過程中產生功耗的差別來得W實現。針對上文提出的運種改進AES算法 的實現，通過在加密運算執行過程中同時引入一個互補操作。
[0047] 加密過程中假定某次操作可視為函數F(x)，產生的漢明重量為HW(F(x))，相應的 功耗為：
[004引 P-k冊(F(x))+d
[0049] 與此同時，互補操作進行F'（x)運算，產生的漢明重量為HW(F'（x))并且F'和F所做 的操作方式近似一樣(也即下式k相同），相應的功耗為：
[0050] P' -kHW(F'(x))+d
[0051] 運個過程整個硬件功耗為L = L1+L'，運樣只要保證：
[0052] 冊(F(x))+冊(F' (X)) =C
[0053] 就使得互補操作和正常加密操作，運二者的產生的功耗之和近似恒定，而與加密 運算產生的中間數據數值無關，運就隱藏了運算過程中的功耗和數據信息并實現抗功耗攻 擊的目的。
[0054] 在平衡功耗的互補操作中，具體需要引入的運算為:與擴展密鑰的反進行異或、反 S盒字節替換、反數據的行移位W及同或運算。
[0055] 互補操作一：與擴展密鑰的反進行異或。擴展密鑰異或操作同時，執行互補操作 "與擴展密鑰的反進行異或"，二者的輸出互為反數據，則二者的漢明重量之和將恒定為一 個常數，由此實現功耗近似平衡。
[0056] 數據X與密鑰進行異或：
[0057] Fl(x)=x?kl [0化引互補操作：
[0059] F1'尚二 X泌好
[0060] 即可保證
[0061 ]冊化l(x)) 0冊化 1'(x))=Cl
[0062] 其中，kl為擴展密鑰，Cl為常數。
[0063] 互補操作二:反S盒字節替換。在上述實施例的AE巧日密方法中，改進的S盒替換是8 位輸入32位輸出，運個過程往往通過一個矩陣查找表來實現，變換函數記為F2 (X )，則：
[0064] F2(x) = {x'，x'，3x'，2x'}
[0065] 取互補操作使其輸出均為正常加密輸出的反：
[0066] F2(x) = {x\x',3x',2x'}
[0067] 其中，X'代表傳統的字節輸入經過S盒變換得到的字節輸出。"{}"代表數據的拼 接，運樣同樣能保證：
[006引 HW(F2(x))+HW(F2^ (x))=C2
[0069] 如此一來同樣實現了漢明重量恒定，相應的總功耗近似恒定，而與加密數據的中 間值無關。
[0070] 互補操作Ξ:反數據的行移位。在執行行移位的過程中，由于上一級操作的輸出 中，除了一個正常輸出，還有一個反數據的輸出，由此，在對數據行移位的同時引入額外操 作，即對其反數據執行相同的行移位，二者的功耗之和在漢明重量的模型下也實現了平衡。
[0071] 互補操作四：同或運算。在上述實施例的AE巧日密方法中，32位數據異或是針對4個 數據進行異或操作，需要順序執行Ξ次異或，在執行第一次異或的同時，互補操作執行同或 運算，操作的輸入數據與正常加密操作輸入數據相同，后兩次加密異或操作的同時互補操 作也為異或運算，則引入操作所得的中間數據和有用的加密中間數據一直處于互補關系。 同樣能實現恒定的漢明重量，仍有近似的運算功耗恒定，而與中間數據無關。
[0072] 另外，本發明實施例的一種AE巧日密方法和基于及的抗功耗攻擊方法的其它構成 W及作用對于本領域的技術人員而言都是已知的，為了減少冗余，不做寶述。
[0073] 在本說明書的描述中，參考術語"一個實施例"、"一些實施例"、"示例"、"具體示 例"、或"一些示例"等的描述意指結合該實施例或示例描述的具體特征、結構、材料或者特 點包含于本發明的至少一個實施例或示例中。在本說明書中，對上述術語的示意性表述不 一定指的是相同的實施例或示例。而且，描述的具體特征、結構、材料或者特點可W在任何 的一個或多個實施例或示例中W合適的方式結合。
[0074] 盡管已經示出和描述了本發明的實施例，本領域的普通技術人員可W理解:在不 脫離本發明的原理和宗旨的情況下可W對運些實施例進行多種變化、修改、替換和變型，本 發明的范圍由權利要求及其等同限定。
【主權項】
1. 一種AES加密方法，其特征在于，包括如下步驟： S1:對明文數據進行分組； S200:初始化循環次數為0; S201:將輪函數的輸入與擴展的密鑰進行異或操作； S202:使用N位輸入、Μ位輸出的S盒進行數據替換，其中，N和Μ均為自然數，M>N且Μ被N整 除； S203:通過所述S盒輸出的Μ位數據進行移位，得到分組矩陣列混淆操作的一個列的數 據； S204:對行移位操作輸出的Μ位數據對應地進行異或操作，得到一次輪函數的輸出值， 循環次數加1; S205:判斷當前循環次數是否達到預設次數，如果沒有當前循環次數達到預設次數則 進入步驟S3,否則返回步驟S201; S3:對擴展密鑰進行異或； S4:使用Ν位輸入、Ρ位輸出的S盒進行數據替換，其中，Ρ為自然數且Ρ被Ν整除； S5:與擴展密鑰進行異或； S6:輸出密文數據。2. 根據權利要求1所述的AES加密方法，其特征在于，Ν為8，Μ為32且Ρ為8。3. -種基于AES加密方法的抗功耗攻擊方法，其特征在于，包括以下步驟： SA:獲取明文數據； SB:通過權利要求1或2所述的AES加密方法對所述明文數據進行加密，在對所述明文數 據進行加密的過程中引入一個互補操作以使得加密操作產生的功耗和所述互補操作產生 的功耗的和近似為一個常數，所述互補操作包括與擴展密鑰的反進行異或、反S盒數據替 換、反數據的行位移和同或運算； SC:輸出密文。
【專利摘要】本發明公開了一種AES加密方法和基于及的抗功耗攻擊方法，AES加密方法包括：對明文數據進行分組；將輪函數的輸入與擴展的密鑰進行異或操作；使用8位輸入、32位輸出的S盒進行數據替換；通過S盒輸出的32位數據進行移位；對行移位操作輸出的32位數據對應地進行異或操作；對擴展密鑰進行異或；使用8位輸入、8位輸出的S盒進行數據替換；與擴展密鑰進行異或；輸出密文數據。本發明具有如下優點：加密方法中各個操作主要所需的操作只有查表、移位和異或，這在邏輯實現上是較為簡單且高效的。抗功耗攻擊方法帶有列混淆，抗功耗攻擊效果好。
【IPC分類】H04L9/06, H04L29/06
【公開號】CN105656619
【申請號】
【發明人】劉雷波, 朱敏, 吳有余, 羅凱, 尹首一, 魏少軍
【申請人】清華大學無錫應用技術研究院
【公開日】2016年6月8日
【申請日】2016年2月2日