Camellia暗号回路に対するスキャンべース攻撃手法

摘要

Camelliaは共通鍵ブロック暗号であり，AESよりも高い暗号攻撃耐性と持ち，AESと同等の処理性能を持つ暗号アルゴリズムである.暗号化と復号の処理が共用でき，算術演算を使用しないことから，少ないゲート数でハードウェア実装可能であるため，実用性にも優れている.Camelliaはラウンド関数を18回繰り返す，18段Feistel構造である.一方で，スキヤンパステストで用いるスキヤンチェインから取得可能なスキヤンデータをもとに秘密鍵を特 定するスキャンべース攻撃が報告されている.しかし，Camelliaに対するスキャンベース攻撃手法は報告されていない.本稿では，Camelliaに対するスキャンベース攻撃手法を提案する.提案手法では，2つの特定の平文をCamellia暗号LSIに入力したときの2つのスキヤンデータを取得し，それらをXORすることでラウンド関数のS関数の影響を除去する.また，XORしたスキャンデータの特定のビット列に着目し，対応するレジスタの変化を観察することで第4ラウンドまでの4つの等価鍵を特定し，第3ラウンドと第4ラウンドの等価鍵を用いて秘密鍵を解読する.提案手法を用いてCamelliaの秘密鍵を解読できることをソフトゥェァ実装実験によって示した.%Camellia is a common key cryptosystem and it has higher tolerance for cryptoanalysis than AES. In addition, Camellia has a processing speed which is equivalent to AES. Because Camellia can share encryption processing with decryption processing and it doesn't use arithmetic operation, it can be implemented hardware with the small number of gates. Recently, scan-based attacks are reported which retrieve secret keys with scanned data obtained from scan chain. There are no reports on scan-based attack against Camellia. In this paper, we propose a scan-based attack method against Camellia. Camellia has an 18-round Feistel structure which repeats the round function 18 times. In our proposed method, attackers input two plaintexts to a Camellia cryptosystem LSI and obtain two scanned data. By XORing them, influence of S-funtion in the round function can be removed. We focus on specific bit column data of XORed scanned data and, by observing transition of correspoding registers. Then, attackers retrieve four equivalent keys and restore a secret key in Camellia. We showed that secret keys of Camellia are restored with our proposed method.