[論文レビュー] Attacking Hardware AES with DFA

Yifan Lu|arXiv (Cornell University)|Feb 22, 2019

Cryptographic Implementations and Security参考文献 17被引用数 7

ひとこと要約

本論文は、物理的に埋め込まれた鍵を備えたハードウェアAES-256アクセラレータに対して、実用的である初めての微分故障分析（DFA）攻撃を提示している。電圧故障注入を用いてPlayStation Vitaのセキュア暗号処理エンジンから278個の実世界の鍵を回復した。ステイクスな暗号文を保持するハードウェア脆弱性を活用し、正確な電圧グルッチとピレットのモデルに基づく最適化されたDFA技術を組み合わせることで、わずか数時間で完全な鍵回復が可能となり、コストも最小限に抑えられた。

ABSTRACT

We present the first practical attack on a hardware AES accelerator with 256 bit embedded keys using DFA. We identify the challenges of adapting well-known theoretical AES DFA models to hardware under attack from voltage fault injection and present solutions to those challenges. As a result, we managed to recover 278 real-world AES-256 keys from a secure computing system in a matter of hours with minimal cost.

研究の動機と目的

• 実世界のシステムに実装されたハードウェア保護付きAES-256鍵が、実用的な微分故障分析（DFA）攻撃に対して脆弱であることを示すこと。
• 電圧故障注入下での制限付きハードウェア環境において、理論的DFAモデルを実ハードウェアに適応させる課題を克服すること。
• PlayStation Vitaのセキュアプロセッサにおけるキースロットロックや埋め込み鍵の難読化といったハードウェア保護を回避すること。
• セキュアアクセラレータからAES鍵を抽出するための低コストで再現可能な攻撃パイプラインの開発と検証すること。

提案手法

• ChipWhispererハードウェアを用いて電圧故障注入を実行し、AES-256アクセラレータに特定のラウンドに特化した故障を正確に誘発した。
• PlayStation VitaのBigmac AESエンジンに存在するハードウェア脆弱性を活用した。この脆弱性により、前回の処理で残った暗号文が内部状態に保持されたままになる。
• ピレットのDFAモデルを適用し、既知の平文と故障した暗号文の分析によってラウンド鍵を回復した。
• まずラウンドNの鍵を回復し、それをもとに故障分析を用いてラウンドN-1の鍵を逆算して回復する反復的鍵回復手法を実施した。
• AWS EC2上でAES-NIアクセラレーションを活用した部分的ブルートフォース法を実装し、2^34の作業を1回あたり約15秒に短縮した。
• RPC実行、故障収集、鍵回復の全プロセスをオープンソーススクリプトで自動化した。

実験結果

リサーチクエスチョン

• RQ1 微分故障分析は、物理的に埋め込まれた鍵を備えたハードウェアAESアクセラレータに実用的に適用可能か？
• RQ2 制限付きハードウェア環境における実世界の電圧故障注入に、理論的DFAモデルをどのように適応できるか？
• RQ3 どのようなハードウェア側の脆弱性が、古くなった暗号文の露出を可能にし、鍵回復を可能にするか？
• RQ4 現代のセキュアSoCに対して成功したDFA攻撃に必要な最小限のコストとリソースオーバーヘッドは何か？
• RQ5 マスターキー・スロットがロックダウンされていても、内部状態のサイドチャネル露出を介して鍵回復が可能か？

主な発見

• 著者らは、PlayStation Vitaの暗号アクセラレータから278個のAES-256鍵（30個のマスターキー・スロットを含む）を正常に回復した。
• ハードウェアに300ドル、クラウド計算に10ドル未満のコストで、数時間で完全な鍵回復が達成された。
• 攻撃は、処理終了後もAESエンジンの内部状態に残った暗号文を保持するハードウェア脆弱性を悪用した。この状態を利用して、既知の鍵を用いたブルートフォースで暗号文を回復した。
• 電圧グルッチの使用により、特定のAESラウンドに正確に故障を誘発でき、必要な故障暗号文の数を削減し、攻撃の効率を向上させた。
• 攻撃パイプライン全体が自動化され、オープンソース化されており、類似した標的に対して再現可能で再利用可能である。
• 本研究は、ハードウェアアクセラレータ自体が故障注入に対して強化されていない限り、物理的埋め込み鍵だけではセキュリティが十分ではないことを示している。