[論文レビュー] Blindsight: Blinding EM Side-Channel Leakage using Built-In Fully Integrated Inductive Voltage Regulator

Monodeep Kar, Arvind Singh+6 more|arXiv (Cornell University)|Feb 25, 2018

Cryptographic Implementations and Security参考文献 28被引用数 11

ひとこと要約

本論文は、乱数制御を施した高周波インダクティブ電圧レギュレータ（IVR）を活用して、AESハードウェアにおける電磁（EM）側帯域攻撃を無効化する新規なサイドチャネル防御手法「Blindsight」を提案する。125MHzのIVRを統合し、スイッチング周波数をランダム化することで、AESエンジンからのEM漏洩を遮断し、熟練した攻撃者を想定した場合でも、平均時間到達までの時間（MTD）を最大500倍向上する。

ABSTRACT

Modern high-performance as well as power-constrained System-on-Chips (SoC) are increasingly using hardware accelerated encryption engines to secure computation, memory access, and communication operations. The electromagnetic (EM) emission from a chip leaks information of the underlying logical operations and can be collected using low-cost non-invasive measurements. EM based side-channel attacks (EMSCA) have emerged as a major threat to security of encryption engines in a SoC. This paper presents the concept of Blindsight where a high-frequency inductive voltage regulator (IVR) integrated on the same chip with an encryption engine is used to increase resistance against EMSCA. High-frequency (~100MHz) IVRs are present in modern microprocessors to improve energy-efficiency. We show that an IVR with a randomized control loop (R-IVR) can reduce EMSCA as the integrated inductance acts as a strong EM emitter and blinds an adversary from EM emission of the encryption engine. The EM measurements are performed on a test-chip containing two architectures of a 128-bit Advanced Encryption Standard (AES) engine powered by a high-frequency R-IVR and under two attack scenarios, one, where an adversary gains complete physical access of the target device and the other, where the adversary is only in proximity of the device. In both attack modes, an adversary can observe information leakage in Test Vector Leakage Assessment (TVLA) test in a baseline IVR (B-IVR, without control loop randomization). However, we show that EM emission from the R-IVR blinds the attacker and significantly reduces SCA vulnerability of the AES engine. A range of practical side-channel analysis including TVLA, Correlation Electromagnetic Analysis (CEMA), and a template based CEMA shows that R-IVR can reduce information leakage and prevent key extraction even against a skilled adversary.

研究の動機と目的

• 現代のSoCにおけるハードウェア保護付きAESエンジンに対する低コストで非侵襲的な電磁（EM）サイドチャネル攻撃（EMSCA）の増加する脅威に対処する。
• 高い電力消費、性能低下、面積コスト、または高価なシールドを要する従来のEM対策の限界を克服する。
• 具体的には、高周波インダクティブ電圧レギュレータ（IVR）という既存のダイ上部品を活用し、低オーバーヘッドで統合されたEMSCA防御を実現する。
• IVRの制御ループをランダム化することで、AESエンジンからのEMシグネチャを効果的にマスキングできることを実証する。これは、洗練された攻撃モデルに対しても有効である。

提案手法

• AESエンジンと同じダイ上に、高周波（125MHz）のインダクティブ電圧レギュレータ（IVR）を統合し、その固有のEM放射を利用することを目的とする。
• IVRのスイッチング周波数を変動させるランダム制御ループ（R-IVR）を実装し、AES演算に起因するEM漏洩を分散・不規則化する。
• プロトタイプテストチップでワイヤーボンディングインダクタを用いて実際のダイ上統合を模擬し、制御された条件下でEM放射を測定する。
• 物理的アクセス（デバイスの完全なアクセス）と近接（非侵襲的プロービング）の2つの攻撃シナリオを想定し、耐性を評価する。
• 記録したトレースに対して、TVLA、CEMA、およびテンプレートベースCEMAといった複数のEMサイドチャネル分析（EMSCA）手法を適用し、鍵回復の成功率を評価する。
• テンプレートベースの微分解析を用いて定常状態のEM成分を分離・差し引くことで、R-IVRの洗練された後処理に対する耐性を検証する。

実験結果

リサーチクエスチョン

• RQ1 ダイ上に統合された高周波インダクティブ電圧レギュレータ（IVR）は、干渉を引き起こすことでAESエンジンからのEM漏洩を効果的にマスキングできるか？
• RQ2 IVRのスイッチング周波数をランダム化することで、EMサイドチャネル攻撃における情報漏洩はどの程度低減されるか？
• RQ3 R-IVR防御は、初心者と熟練の攻撃者（例：CEMA、テンプレート攻撃を含む高度なEM分析を用いる）に対して、それぞれどの程度効果的か？
• RQ4 攻撃者が物理的アクセスを持つ場合、または単にデバイスの近接にいる場合でも、本手法の有効性は保たれるか？
• RQ5 本手法は、より低い周波数で動作する公開鍵暗号方式に対しても適用可能か？

主な発見

• ランダマイズド制御が施されていない基準IVR（B-IVR）は、単体のAESエンジンと比較して、IVRのEM放射による干渉のおかげでMTDが最低13倍向上する。
• ランダム制御ループ（R-IVR）を用いることで、高性能AESでは最低13倍、低消費電力でコンactなAES設計では最大500倍のMTD向上が達成される。
• 物理的アクセスおよび近接シナリオの両方において、TVLAおよびCEMA攻撃はR-IVRに対して失敗する。50万トレースの条件下でも同様である。
• ランダマイズド効果を相殺しようとするテンプレートベースCEMA攻撃に対しても、鍵の抽出に失敗する。これは、洗練された後処理に対しても耐性があることを示している。
• 防御が有効である理由は、R-IVRが発生させる高周波（100MHz）のEM放射が、同じ周波数帯域に存在するAES関連のEMシグネチャをマスキングするためである。
• 本手法は実用的で低オーバーヘッドである。追加の電力、面積、性能のコストを要せず、既存のダイ上IVRインfraを活用している。