Атака по побочному каналу

«Боковые каналы» перенаправляются сюда. О концепции йоги см. Нади (йога) § Боковые каналы . Информацию об услугах интерактивного телевидения см. в разделе «Красная кнопка» (цифровое телевидение) .

Попытка декодировать RSA ключевые биты с помощью анализа мощности . Левый пик представляет собой изменение мощности процессора на этапе работы алгоритма без умножения, правый (более широкий) пик — на этапе с умножением, позволяющим злоумышленнику прочитать биты 0, 1.

В компьютерной безопасности атака по побочному каналу — это любая атака, основанная на дополнительной информации, которая может быть собрана из-за фундаментального способа протокола или алгоритма компьютерного реализации , а не недостатков в конструкции самого протокола или алгоритма (например, недостатков, обнаруженных в криптоанализ алгоритма криптографического ) или незначительные, но потенциально разрушительные ошибки или упущения в реализации . (Криптоанализ также включает поиск атак по побочным каналам.) Информация о времени, энергопотреблении, электромагнитных утечках и звуке являются примерами дополнительной информации, которая может быть использована для облегчения атак по побочным каналам.

Некоторые атаки по побочным каналам требуют технических знаний о внутренней работе системы, хотя другие, такие как дифференциальный анализ мощности, эффективны как атаки «черного ящика» . Рост количества приложений Web 2.0 и программного обеспечения как услуги также значительно повысил возможность атак по побочным каналам в сети, даже если передача данных между веб-браузером и сервером зашифрована (например, с помощью HTTPS или WiFi шифрования ), согласно данным исследователям из Microsoft Research и Университета Индианы .

Попытки взломать криптосистему путем обмана или принуждения людей, имеющих законный доступ, обычно не считаются атаками по побочным каналам: см. социальную инженерию и криптоанализ с помощью резинового шланга .

Общие классы атак по побочным каналам включают:

• Атака кеша — атаки, основанные на способности злоумышленника отслеживать доступ к кешу, осуществляемый жертвой в общей физической системе, например, в виртуализированной среде или в виде облачной службы.
• Атака по времени — атаки, основанные на измерении того, сколько времени требуется для выполнения различных вычислений (например, сравнения заданного пароля злоумышленника с неизвестным паролем жертвы).
• Атака с мониторингом мощности — атаки, в которых используется различное энергопотребление оборудования во время вычислений.
• Электромагнитная атака — атаки, основанные на утечке электромагнитного излучения, которое может напрямую предоставлять открытый текст и другую информацию. Такие измерения могут использоваться для вывода криптографических ключей с использованием методов, эквивалентных методам анализа мощности, или могут использоваться в некриптографических атаках, например, атаках TEMPEST (также известных как фрикинг Ван Экка или радиационный мониторинг).
• Акустический криптоанализ — атаки, использующие звук, создаваемый во время вычислений (аналогично анализу мощности).
• Дифференциальный анализ ошибок — при котором секреты обнаруживаются путем внесения ошибок в вычисления.
• Остаточность данных — при которой конфиденциальные данные считываются после предположительного удаления. (например, атака с холодной загрузкой )
• Атаки по сбою, инициируемые программным обеспечением. В настоящее время это редкий класс побочных каналов. Row Hammer является примером, в котором запрещенная память может быть изменена путем слишком частого доступа к соседней памяти (что приводит к потере сохранения состояния).
• Список разрешений — атаки, основанные на том, что устройства из белого списка будут вести себя по-разному при общении с устройствами из белого списка (отправка ответов) и с устройствами из белого списка (вообще не отвечающими на устройства). Побочный канал на основе белого списка может использоваться для отслеживания MAC-адресов Bluetooth.
• Оптический — при котором секреты и конфиденциальные данные могут быть считаны путем визуальной записи с помощью камеры высокого разрешения или других устройств, обладающих такими возможностями (см. примеры ниже).

Во всех случаях основополагающий принцип заключается в том, что физические эффекты, вызванные работой криптосистемы ( на стороне ), могут предоставить полезную дополнительную информацию о секретах в системе, например, криптографический ключ , частичную информацию о состоянии, полные или частичные открытые тексты и и так далее. Термин криптофтора (секретная деградация) иногда используется для обозначения деградации материала секретного ключа в результате утечки по побочным каналам.

Примеры

А Атака по побочному каналу кэша работает путем мониторинга критических для безопасности операций, таких как AES. запись в T-таблице или модульное возведение в степень, или умножение, или доступ к памяти. Затем злоумышленник может восстановить секретный ключ в зависимости от доступа, сделанного (или не сделанного) жертвой, определяя ключ шифрования. Кроме того, в отличие от некоторых других атак по побочным каналам, этот метод не создает сбоев в текущей криптографической операции и невидим для жертвы.

В 2017 году были обнаружены две ЦП уязвимости (получившие название Meltdown и Spectre ), которые могут использовать побочный канал на основе кэша, чтобы позволить злоумышленнику утечь содержимое памяти других процессов и самой операционной системы.

Атака по времени отслеживает перемещение данных в процессор или память и из них на оборудовании, на котором работает криптосистема или алгоритм. Просто наблюдая за изменениями в продолжительности выполнения криптографических операций, можно было бы определить весь секретный ключ. Такие атаки включают статистический анализ измерений времени и были продемонстрированы в различных сетях.

Атака с анализом мощности может предоставить еще более подробную информацию, наблюдая за энергопотреблением аппаратного устройства, такого как процессор или криптографическая схема. Эти атаки грубо делятся на простой анализ мощности (SPA) и дифференциальный анализ мощности (DPA). Одним из примеров является Collide+Power, который затрагивает почти все процессоры. В других примерах используются подходы машинного обучения .

Колебания тока также генерируют радиоволны , что позволяет проводить атаки, анализирующие измерения электромагнитных (ЭМ) излучений. Эти атаки обычно используют те же статистические методы, что и атаки с анализом мощности.

Атака по побочному каналу на основе глубокого обучения , Было продемонстрировано, что использование информации о питании и электромагнитной совместимости на нескольких устройствах может привести к взлому секретного ключа другого, но идентичного устройства всего за одну трассировку.

Известны исторические аналоги современных атак по побочным каналам. Недавно рассекреченный документ АНБ показывает, что еще в 1943 году инженер с телефоном Bell наблюдал на осциллографе расшифровываемые всплески, связанные с расшифрованными выходными данными определенного шифрующего телетайпа. По словам бывшего МИ5 офицера Питера Райта , британская служба безопасности проанализировала выбросы французского шифровального оборудования в 1960-х годах. В 1980-х годах советских шпионов подозревали в установке жучков внутри пишущих машинок IBM Selectric для отслеживания электрического шума, возникающего при вращении и наклоне печатного шарика, ударяющего о бумагу; характеристики этих сигналов могли определить, какая клавиша была нажата.

Потребляемая мощность устройств вызывает нагрев, который компенсируется эффектом охлаждения. Изменения температуры создают термически вызванное механическое напряжение. Это напряжение может привести к низкому уровню акустического излучения от работающих процессоров (в некоторых случаях около 10 кГц). Недавнее исследование Шамира и др. предположил, что таким же способом можно получить информацию о работе криптосистем и алгоритмов. Это атака акустического криптоанализа .

Если можно наблюдать поверхность чипа ЦП или, в некоторых случаях, корпуса ЦП, инфракрасные изображения также могут предоставить информацию о коде, исполняемом на ЦП, что известно как атака с использованием тепловизионного изображения .

Примеры атак по оптическому побочному каналу включают сбор информации из индикатора активности жесткого диска. считыванию небольшого количества фотонов, испускаемых транзисторами при изменении их состояния.

Также существуют побочные каналы, основанные на распределении, и они относятся к информации, которая просачивается в результате выделения (а не использования) ресурса, такого как пропускная способность сети, клиентам, которые одновременно запрашивают конкурирующий ресурс.

Контрмеры

Поскольку атаки по побочным каналам основаны на взаимосвязи между информацией, передаваемой (утечкой) через побочный канал, и секретными данными, контрмеры делятся на две основные категории: (1) устранить или сократить выпуск такой информации и (2) устранить связь между утечка информации и секретные данные, то есть сделать утечку информации несвязанной или, скорее, некоррелированной с секретными данными, обычно посредством некоторой формы рандомизации зашифрованного текста, которая преобразует данные таким образом, что их можно отменить после криптографической операции. (например, дешифрование) завершено.

В первой категории TEMPEST теперь коммерчески доступны дисплеи со специальной защитой для уменьшения электромагнитного излучения и снижения восприимчивости к атакам . Кондиционирование и фильтрация линий электропередачи могут помочь предотвратить атаки по мониторингу электропитания, хотя такие меры следует использовать осторожно, поскольку даже очень небольшие корреляции могут остаться и поставить под угрозу безопасность. Физические корпуса могут снизить риск тайной установки микрофонов (для противодействия акустическим атакам) и других устройств микромониторинга (против атак, связанных с потреблением энергии процессором или тепловизионными атаками).

Другая мера противодействия (пока из первой категории) — заглушить излучаемый канал шумом. Например, для предотвращения атак по времени можно добавить случайную задержку, хотя злоумышленники могут компенсировать эти задержки путем усреднения нескольких измерений (или, в более общем смысле, использования большего количества измерений в анализе). Когда количество шума в побочном канале увеличивается, злоумышленнику необходимо собрать больше измерений.

Еще одной контрмерой из первой категории является использование программного обеспечения для анализа безопасности для выявления определенных классов атак по побочным каналам, которые можно обнаружить на этапах проектирования самого базового оборудования. Атаки по времени и атаки с помощью кэша можно идентифицировать с помощью определенных коммерчески доступных программных платформ для анализа безопасности, которые позволяют при тестировании идентифицировать саму уязвимость атаки, а также эффективность архитектурных изменений для обхода уязвимости. Наиболее комплексным методом применения этой контрмеры является создание безопасного жизненного цикла разработки оборудования, который включает в себя использование всех доступных платформ анализа безопасности на соответствующих этапах жизненного цикла разработки оборудования.

В случае атак по времени против целей, время вычислений которых квантовано в дискретные количества тактовых циклов, эффективной контрмерой является разработка изохронного программного обеспечения, то есть запускаемого в течение точно постоянного периода времени, независимо от секретных значений. Это делает невозможными временные атаки. Такие контрмеры может быть трудно реализовать на практике, поскольку на некоторых процессорах даже отдельные инструкции могут иметь переменное время.

Одной из частичных мер противодействия простым энергетическим атакам, но не атакам с дифференциальным анализом мощности, является разработка программного обеспечения так, чтобы оно было «безопасным для ПК» в «модели безопасности программного противодействия». В программе, защищенной ПК, путь выполнения не зависит от секретных значений. Другими словами, все условные ветвления зависят только от публичной информации. (Это более строгое условие, чем изохронный код, но менее строгое, чем код без ветвей.) Несмотря на то, что операции умножения потребляют больше энергии, чем NOP, практически на всех процессорах, использование постоянного пути выполнения предотвращает такие зависящие от операции различия в мощности ( различия во власти из-за выбора одной ветви над другой) от утечки любой секретной информации. В архитектурах, где время выполнения инструкций не зависит от данных, программа, защищенная ПК, также невосприимчива к атакам по времени.

Другой способ, которым код может быть неизохронным, заключается в том, что современные процессоры имеют кэш памяти: доступ к редко используемой информации влечет за собой большие потери времени, раскрывая некоторую информацию о частоте использования блоков памяти. Криптографический код, предназначенный для защиты от атак кэша, пытается использовать память только предсказуемым образом (например, получать доступ только к входным, выходным данным и данным программы и делать это в соответствии с фиксированным шаблоном). Например, следует избегать поиска в таблице, зависящего от данных , поскольку кэш может выявить, к какой части таблицы поиска осуществлялся доступ.

Другие частичные контрмеры направлены на уменьшение количества информации, утекающей из-за разницы в мощности, зависящей от данных. Некоторые операции используют мощность, которая коррелирует с количеством битов 1 в секретном значении. Использование кода с постоянным весом (например, использование вентилей Фредкина или двухканального кодирования) может уменьшить утечку информации о весе Хэмминга секретного значения, хотя корреляции, которые можно использовать, вероятно, останутся, если балансировка не будет идеальной. Этот «сбалансированный дизайн» можно аппроксимировать в программном обеспечении, совместно манипулируя данными и их дополнением.

Несколько «безопасных ЦП» были построены как асинхронные ЦП ; у них нет глобальной привязки времени. Хотя эти процессоры были предназначены для того, чтобы затруднить тайминговые и силовые атаки, последующие исследования показали, что изменения времени в асинхронных схемах устранить труднее.

Типичным примером второй категории (декорреляции) является метод, известный как ослепление . В случае расшифровки RSA с секретным показателем $d$ и соответствующий показатель шифрования $e$ и модуль $m$, методика применяется следующим образом (для простоты в формулах опущено модульное сокращение на m ): перед расшифровкой, т. е. перед вычислением результата $y^{d}$ для данного зашифрованного текста $y$, система выбирает случайное число $r$ и шифрует его с помощью публичного показателя $e$ чтобы получить $r^{e}$. Затем происходит расшифровка $y\cdot r^{e}$ к получать ${(y\cdot r^{e})}^{d}=y^{d}\cdot r^{e\cdot d}=y^{d}\cdot r$. Поскольку система дешифрования выбрала $r$, он может вычислить его обратный по модулю $m$ чтобы исключить фактор $r$ в результате и получить $y^{d}$, фактический результат расшифровки. Для атак, требующих сбора информации по побочным каналам в результате операций с данными , контролируемыми злоумышленником , ослепление является эффективной контрмерой, поскольку фактическая операция выполняется над рандомизированной версией данных, над которой злоумышленник не имеет никакого контроля или даже знания.

Более общей мерой противодействия (поскольку она эффективна против всех атак по побочным каналам) является мера маскировочного противодействия. Принцип маскировки заключается в том, чтобы избежать манипулирования любыми конфиденциальными значениями. $y$ напрямую, а скорее манипулировать его разделением: набором переменных (называемых «долями») $y_{1},...,y_{d}$ такой, что $y=y_{1}\oplus ...\oplus y_{d}$ (где $\oplus$ это операция XOR ). Злоумышленнику необходимо восстановить все значения общих ресурсов, чтобы получить какую-либо значимую информацию.

Недавно моделирование белого ящика было использовано для разработки общих мер противодействия на уровне схемы с низкими издержками. как против ЭМ, так и против атак по побочным каналам мощности. Чтобы минимизировать влияние металлических слоев более высокого уровня в ИС, действующих как более эффективные антенны, идея состоит в том, чтобы внедрить в криптоядро схему подавления подписи, прокладываются локально внутри металлических слоев нижнего уровня, что обеспечивает устойчивость как к силовым, так и к электромагнитным атакам по боковым каналам.

См. также

• Атака грубой силой
• Компьютерное и сетевое наблюдение
• Скрытый канал
• Побочный эффект
• Изображение провода (сеть)

Дальнейшее чтение

Книги

• Эмброуз, Джуд; и др. (2010). Атаки по побочным каналам анализа энергопотребления: контекст уровня проектирования процессора . ВДМ Верлаг. ISBN  978-3-8364-8508-1 .

Статьи

• [1] «Анализ дифференциальной мощности», П. Кохер, Дж. Яффе, Б. Джун, появилось в CRYPTO'99.
• [2] , Атака по побочному каналу: подход, основанный на машинном обучении, 2011, Л. Лерман, Г. Бонтемпи, О. Маркович.
• [3] , Временные атаки на реализации Диффи-Хеллмана, RSA, DSS и других систем, П. Кохер.
• [4] , Введение в дифференциальный анализ мощности и связанные с ним атаки, 1998, П. Кохер, Дж. Яффе, Б. Джун.
• Nist.gov , предостережение относительно оценки кандидатов AES на смарт-картах, 1999 г., С. Чари, С. Ютла, Дж. Р. Рао, П. Рохатги.
• DES и дифференциальный анализ мощности, Л. Губен и Дж. Патарин, в материалах CHES'99, конспекты лекций по информатике № 1717, Springer-Verlag
• Грабхер, Филипп; и др. (2007). «Криптографические побочные каналы из кэш-памяти малой мощности» . В Гэлбрейте, Стивен Д. (ред.). Криптография и кодирование: 11-я Международная конференция IMA, Сайренсестер, Великобритания, 18–20 декабря 2007 г.: материалы, том 11 . Спрингер. ISBN  978-3-540-77271-2 .
• Камаль, Абдель Алим; Юсеф, Амр М. (2012). «Анализ неисправностей схемы цифровой подписи NTRUSign». Криптография и связь . 4 (2): 131–144. дои : 10.1007/s12095-011-0061-3 . S2CID   2901175 .
• Дэниел Генкин; Ади Шамир; Эран Тромер (18 декабря 2013 г.). «Извлечение ключей RSA с помощью акустического криптоанализа с низкой пропускной способностью» . Тель-Авивский университет . Проверено 15 октября 2014 г.

Внешние ссылки

• Сима, Михай; Бриссон, Андре (2015), Реализация шифрования белого шума с повышенной устойчивостью к атакам по побочным каналам
• Бриссон, Андре (2015), Университет Виктории, Британская Колумбия, исследование устойчивости белого шума к атакам по боковым каналам
• Новые методы атаки по побочным каналам
• COSADE Workshop Международный семинар по конструктивному анализу побочных каналов и безопасному проектированию