[論文レビュー] Algorithmic Security is Insufficient: A Comprehensive Survey on Implementation Attacks Haunting Post-Quantum Security

Alvaro Cintas Canto, Jasmin Kaur+2 more|arXiv (Cornell University)|May 22, 2023

Cryptographic Implementations and Security被引用数 6

ひとこと要約

このサーベイは、2022年にNISTが標準化した後量子暗号（PQC）アルゴリズムが、量子攻撃に対して強いアルゴリズム的セキュリティを有するものの、実装攻撃、特にサイドチャネル攻撃（SCAs）に対して依然として脆弱であると特定している。本研究では、Kyber、Dilithium、Falcon、HQCなどのNIST最終候補に対して、電力、タイミング、故障攻撃を含む受動的および能動的SCAsを分析し、マスキング、誤り検出、故障耐性アーキテクチャなどの対策を評価している。その結果、マイコン上で10,000回未満のトレースで秘密鍵を完全に回復可能であることが示された。

ABSTRACT

This survey is on forward-looking, emerging security concerns in post-quantum era, i.e., the implementation attacks for 2022 winners of NIST post-quantum cryptography (PQC) competition and thus the visions, insights, and discussions can be used as a step forward towards scrutinizing the new standards for applications ranging from Metaverse, Web 3.0 to deeply-embedded systems. The rapid advances in quantum computing have brought immense opportunities for scientific discovery and technological progress; however, it poses a major risk to today's security since advanced quantum computers are believed to break all traditional public-key cryptographic algorithms. This has led to active research on PQC algorithms that are believed to be secure against classical and powerful quantum computers. However, algorithmic security is unfortunately insufficient, and many cryptographic algorithms are vulnerable to side-channel attacks (SCA), where an attacker passively or actively gets side-channel data to compromise the security properties that are assumed to be safe theoretically. In this survey, we explore such imminent threats and their countermeasures with respect to PQC. We provide the respective, latest advancements in PQC research, as well as assessments and providing visions on the different types of SCAs.

研究の動機と目的

• 2022年NIST後量子暗号（PQC）最終候補に対する実装攻撃、特にサイドチャネル攻撃（SCAs）の脅威状況を分析すること。
• PQC実装に対する、電力分析、タイミング、故障インジェクションを含む受動的および能動的サイドチャネル攻撃（SCAs）の実現可能性と影響を評価すること。
• マスキング、誤り検出、故障耐性設計などの既存の対策が、PQCアルゴリズムにおけるSCAsからセキュリティを確保する上でどの程度有効であるかを評価すること。
• Web 3.0、メタバース、組み込みシステムなどの実世界の応用分野における新興PQC基準を安全に実装するための知見と提言を提供すること。
• 後量子暗号システムにおける理論的アルゴリズム的セキュリティと実際の実装脆弱性の間のギャップを浮き彫りにすること。

提案手法

• NIST PQC最終候補（Kyber、Dilithium、Falcon、HQC、SPHINCS+）を標的としたサイドチャネル攻撃ベクトルの体系的レビューと分析。
• ARM Cortex-M4マイコンおよびFPGA上で動作する実装に対する、受動的攻撃（電力分析、タイミングサイドチャネル分析）の評価。
• 有限体乗算器および鍵生成モジュールにおける、微分故障分析（DFA）および故障インジェクションを含む能動的攻撃の調査。
• CRCベースの故障検出、パリティおよびハミング符号による誤り検出、サイドチャネル区別子に対するマスキングベースの防御を含む対策の実装とベンチマーク。
• 最小限のトレース要件で鍵回復を支援するサイドチャネルオラクル（例：平文チェック、復号応答オラクル）の使用。
• FPGAおよびマイコンプラットフォーム上で実施したハードウェア実験を通じた攻撃および対策の実証的検証。トレース数とオーバーヘッドを測定。

実験結果

リサーチクエスチョン

• RQ1 PQCアルゴリズムが量子攻撃に対して強いアルゴリズム的抵抗性を有するにもかかわらず、NISTの2022年PQC最終候補はどの程度サイドチャネル攻撃に対して脆弱であるか？
• RQ2 タイミング、電力、故障ベースのサイドチャネル攻撃は、PQC実装からの秘密鍵回復においてどの程度効果的か？
• RQ3 HQC や Kyber などのPQCアルゴリズムにおいて、サイドチャネル鍵回復に必要な最小トレース数またはクエリ数はどれくらいか？
• RQ4 マスキング、誤り検出、故障耐性アーキテクチャなどの対策は、PQCシステムにおけるサイドチャネル脆弱性をどの程度軽減できるか？
• RQ5 組み込みシステムのようなリソース制限環境において、これらの対策のパフォーマンスおよびハードウェアオーバーヘッドはどの程度か？

主な発見

• ARM Cortex-M4マイコン上でHQC暗号方式に対して、10,000回未満の電力トレースで完全な秘密鍵回復が達成された。
• Intel SGX上で実施されたキャッシュタイミングベースの平文チェックオラクル攻撃は、53,857クエリで実行され、従来のタイミング攻撃に比べて著しく少ない回数で実現された。
• HQCのBCHデコーダーに対する新しい電力サイドチャネル攻撃により、10,000回未満の測定で顕著な部分鍵が抽出された。
• CRCおよびハミング符号に基づく故障検出方式は、McEliece暗号方式のFPGA実装において、最大49％の面積および遅延オーバーヘッドを伴いながらも、ほぼ100％の故障検出率を達成した。
• HQCのリード・マラー・デコーディング手順に対するサイドチャネル攻撃により、20,000回未満の電磁トレースで完全な静的秘密鍵が回復された。
• リード・マラー・デコーディングにおけるサイドチャネル区別子に対するマスキングベースの対策が提案され、実用的な防御メカニズムを提供した。