论文2009/309

对具有部分未知消息的RSA签名的错误攻击

Jean-Sebastien Coron、Antoine Joux、Ilya Kizhvatov、David Naccache和Pascal Paillier

摘要

故障攻击利用硬件故障从嵌入式电子设备中恢复机密。在90年代末，Boneh、DeMillo和Lipton对{\sc crt-rsa}引入了基于故障的攻击。当消息填充时，这些攻击会影响签名者的模量函数是确定性的。但是，当消息部分未知，例如当消息包含只有在以下情况下才能恢复的随机性验证{\sl正确}签名。在本文中，我们成功地将RSA故障攻击扩展到了一个大类部分已知的消息配置。新的攻击依赖于Coppersmith的算法来寻找多元多项式方程的小根。我们通过成功攻击ISO 9796-2编码标准的几个随机版本来说明该方法。实际实验表明，$2048$位的模可以分解在不到一分钟的时间内给出一个包含160美元的错误签名$随机位和未知的160美元位消息摘要。