Annons

fredag 10 februari 2012vecka 6
twitterfblinkedin
HEM Analogt Digitalt Distribution Energi Fordonselektronik FPGA, asic & EDA Inbyggda system Kommunikation Medicinteknik Opto Passivt & förbindning Produktion Strömförsörjning Test & mät
JAVASCRIPT

Visa endast artikeln (fr utskrift)
Av Pankaj Rohatgi, Cryptography Research
Embedded expert21/6 2010 CRI:

Strömförbrukning
avslöjar kryptot

Mät strömmen som förbrukas när FPGA:n krypterar, och du kan direkt avslöja den kryptonyckel som används. Amerikanska Cryptography Research berättar om den typ av kryptoattack som kallas strömförbrukningsanalys och hur du skyddar dig mot den.


Klicka här
för nedladdning!
PDF, 651 kbyte
.
 embexFler kostnadsfria rapporter finns på etn.se/
Du tror att du är säker mot avlyssning eftersom du använder den senaste generationens kryptoteknik. Men det finns så kallade sidoattacker på kryptering, som inte bryr sig om att försöka utmana kryptomatematiken i sig, utan istället försöker hitta hittar bakvägar i implementeringen. En sådan så kallad ”sidoattack” är att noggrannt mäta strömförbrukningen under det att enskilda bitar i kryptonyckeln processas.
Energin som förbrukas i en FPGA beror på omkopplingsaktiviteten i dess transistorer, vilket i sin tur beror på vilken typ av operationer som genomförs.
Det skriver Pankaj Rohatgi, säkerhetsexpert på amerikanska Cryptography Research, i en artikel exklusivt publicerad i Elektroniktidningens Embedded Expert — en serie tekniska rapporter om inbyggda system. I Pankaj Rohatgis meritlista finns att han en gång var med och utvecklade IBM:s kryptoprocessor 4758.

Ibland är strömförbrukningsanalys så enkel som att en enda gång logga strömförbrukningen under kryptooperationen och sedan närmast i klartext läsa av den hemliga kryptonyckeln. Ibland kan angriparen behöva integrera strömförbrukningsmätningar under flera pass, för att hitta korrelationerna mellan olika steg i kryptobearbetningen under störande brus. Men även i detta fall kan attacken blir framgångsrik med enkla medel.
Processen kan automatiseras och även attacker som omfattar miljoner operationer är relativt enkla att utföra med hjälp av ett vanligt digitalt minnesoscilloskop och en PC.
Pankaj Rohatgi berättar hur du kan försvåra en strömförbrukningsanalys av din krypto-FPGA genom att på olika sätt blanda bort korten för angriparen. Du kan exempelvis ändra på algoritmerna eller introducera slump.

Rapporten finns här (pdf, 651 kbyte).

Artikeln har publicerats i en kortare version i senaste numret av magasinet Elektroniktidningen.
Skribenterna ansvarar för sina egna texter (1)
Sidoattacker och FPGA:er 21/6 2010 JoachimS
Aloha

Jag tycker att den ger en hygglig intro till SPA, DPA och den
här typen av ström/spänningsbaserade sidoattacker. Artikeln ger även en bra, kort
intro till de metoder som vanligen appliceras för att försöka blockera denna typ
av sidoattacker - ex att introducera slumpmässiga operationer, att se till att
samma mängd operationer utförs (och tar lika lång tid) oavsett nyckel och data,
bitmaskningsoperationer etc.

Vad jag tycker sämre om är att Cryptography Research hävdar att det var dom som
hittade på SPA, DPA då denna typ av sidoattacker och infoläckage varit känt sedan
långt tidigare. Vidare missar dom helt att berätta att sidoattacker av den här
typen har varit ett av de mer aktiva forskningsområdena de senaste åren, och att
det pågår närmast ett krig mellan de som hittar på metoder för att attacker och
metoder för att skydda implementationer. Söker man på "power attacks" resp
"masking" på IACR får man upp ett stort antal artiklar. Bla den här som formellt
bevisade att sin metod är säker mot sidoattacker:

http://eprint.iacr.org/2004/101

Och som sedan följdes av ett antal artiklar som visar att det visst går att göra
sidoattacker och som kommer med nya metoder:

http://eprint.iacr.org/2004/134
http://eprint.iacr.org/2005/204

Slutligen noterar jag att Cryptography Research har patent på skyddsmetoder för
SPA, DPA - men utan att ha sett patenttexten skulle jag vara tveksam till om dom
håller med tanke på hur mycket det finns publicerat inom området.

Sedan skall man komma ihåg att de flesta av dessa attacker kräver relativt fysik
närhet till målobjektet - och under en relativt lång tid för att kunna utföra en
attack. Eftersom Cryptography Research pratar om FIPS 140-klassade enheter (nivå
två och uppåt) går det att göra rätt mycket skalskyddmässigt för att se till att
den typen av fysisk access blockeras och att skillnad i energikonsumption syns på
yttre anslutningar. En fet kondensator (eller en bra DC/DC-modul) som tar bort
applikationsbaserat jitter på matningen på insidan skalskyddet är nog mer
effektivt än att lägga in maskningsfunktionalitet i sin FPGA/ASIC.

Den finns ett skäl att säkerhetsmoduler (HSM:er) för högre nivåer av FIPS 140-2
har ett aktivt skal där matning, temperatur etc är kontrollerade på insidan. Se
ex IBMs 4764:

http://www-03.ibm.com/security/cryptocards/pcixcc/overview.shtml

Jag har fö bloggat om sidoattacker, speciellt flera gånger, ex:

http://www.strombergson.com/kryptoblog/2008/08/30/informationslackage-i-register/
http://www.strombergson.com/kryptoblog/2008/06/26/optimerade-implementationer-av-des-och-aes/

Hoppas att detta är till någon hjälp.
 
Mjukvaruingenjör
Försäljningsingenjör Sverige & Danmark
Analogkonstruktör för utveckling av nästa generations eyetracker
Intertek Semko AB söker Ingenjörer
Mjukvaruutvecklare
Elektronikkonstruktörer
KOMMENTERAT
Comments powered by Disqus
MEST LÄST JUST NU

A-C Adam Anna Jan Per
© Elektroniktidningen Sverige AB
Ansvarig utgivare för etn.se är Anna Wennberg, på uppdrag av Elektroniktidningen Sverige AB
Publiceringssystem Joomla • Webbhotell Glesys • Övervakas av mon.itor.us
Administration Jan TångringAnnonser Anne-Charlotte SparrvikRedaktion red@etn.se

Sök komponent




DRIVS AV

Användningsvillkor

Annons
Annons
Annons
Annons