[論文レビュー] Adversary Model: Adaptive Chosen Ciphertext Attack with Timing Attack

Mohd Anuar Mat Isa, Habibah Hashim|arXiv (Cornell University)|Jan 1, 2014

Cryptographic Implementations and Security参考文献 7被引用数 1

ひとこと要約

本論文は、標準的なCCA2モデルにタイミング側信道情報を取り入れることで拡張された、新たな敵モデルである適応選択暗号文攻撃＋タイミング攻撃（CCA2-TA）を提案する。暗号化および復号処理が有効な入力および無効な入力の両方に対して一定時間で実行される場合、敵がタイミング情報にアクセス可能であっても、その利得が無視できるほど小さいことから、暗号システムがCCA2-TAのもとで安全であることが示されている。

ABSTRACT

We have introduced a novel adversary model in Chosen-Ciphertext Attack with Timing Attack (CCA2-TA) and it was a practical model because the model incorporates the timing attack. This paper is an extended paper for 'A Secure TFTP Protocol with Security Proofs'. Keywords - Timing Attack, Random Oracle Model, Indistinguishabilit, Chosen Plaintext Attack, CPA, Chosen Ciphertext Attack, IND-CCA1, Adaptive Chosen Ciphertext Attack, IND-CCA2, Trivial File Transfer Protocol, TFTP, Security, Trust, Privacy, Trusted Computing, UBOOT, AES, IOT, Lightweight, Asymmetric, Symmetric, Raspberry Pi, ARM.

研究の動機と目的

• 適応選択暗号文攻撃とタイミング側信道漏洩を組み合わせた実用的な敵モデルの開発。
• 組み込みシステムやIoTデバイスで使用される軽量プロトコル（例：TFTP）のセキュリティ強化。
• 暗号実装における現実世界のタイミング側信道脆弱性を反映するセキュリティモデルの形式化。
• 暗号化および復号関数の固定時間実行が、ランダムオラクルモデル下でCCA2-TAに対して安全性を提供することの証明。

提案手法

• 敵が暗号化および復号処理の実行時間情報を得られるように、IND-CCA2モデルを拡張する。
• 暗号化および復号関数の実行時間を知る敵を想定したCCA2-TA敵モデルを導入。ネットワーク遅延も含む。
• 固定時間実行のもとでランダムオラクルモデルにおける不変性に基づくセキュリティを定義。
• 有効な入力および無効な入力の両方が、タイミング側信道漏洩を防ぐために一定時間で処理される必要がある。
• 敵が2つの平文のうちどれかを当てる挑戦ベースの不変性実験を用いる。
• 定理1.0により安全性を証明。固定時間で暗号化および復号が実行される場合、敵の利得が無視できるほど小さいことを示す。

実験結果

リサーチクエスチョン

• RQ1 タイミング側信道情報は、現実世界の攻撃を反映するために、標準的なCCA2敵モデルにどのように統合できるか？
• RQ2 暗号システムがCCA2-TAのもとで安全であるために満たすべき条件は何か？
• RQ3 暗号化および復号関数の固定時間実行は、CCA2-TAにおけるタイミングに基づく利得を防げるか？
• RQ4 ネットワーク伝送遅延の取り込みが、CCA2-TAにおけるセキュリティモデルに与える影響は何か？
• RQ5 ランダムオラクルモデルは、CCA2-TAのもとでの安全性の証明において果たす役割は何か？

主な発見

• 提案されたCCA2-TAモデルは、現実世界の攻撃を反映する実用的なCCA2の拡張である。
• 暗号システムがCCA2-TAのもとで安全であるためには、暗号化および復号がすべての入力に対して固定時間で実行される必要がある。
• 固定時間実行が保証されれば、挑戦用暗号文の区別における敵の利得は無視できるほど小さい。
• 無効な入力に対しても固定時間で処理される必要があり、タイミングに基づく漏洩を防ぐ。
• 最悪ケースのタイミングを固定時間として使用することでセキュリティは保証されるが、パフォーマンスが低下する可能性がある。
• このモデルはランダムオラクルモデルにおける形式的証明をサポートし、Cramer-Shoupなどのプロトコルがこの拡張された脅威モデルのもとで安全であることを検証する。