[論文レビュー] Iodine: Verifying Constant-Time Execution of Hardware

Klaus von Gleissenthall, Rami Gökhan Kıcı+2 more|arXiv (Cornell University)|Oct 7, 2019

Security and Verification in Computing被引用数 16

ひとこと要約

Iodineは、信号のソースからシンクへのクロック・プレシジョンな影響集合を分析することで、ハードウェア設計が定常時間で実行されることを保証する形式検証フレームワークです。新規のライブネス同等性アプローチを用いて、定常時間検証をアサーション妥当性チェックに還元し、最小限の作業でオープンソースハードウェアを高速かつ正確に検証可能にし、FPUおよびRSAモジュールで2つの実世界のタイミング側性チャネルを発見しました。

ABSTRACT

To be secure, cryptographic algorithms crucially rely on the underlying hardware to avoid inadvertent leakage of secrets through timing side channels. Unfortunately, such timing channels are ubiquitous in modern hardware, due to its labyrinthine fast-paths and optimizations. A promising way to avoid timing vulnerabilities is to devise --- and verify --- conditions under which a hardware design is free of timing variability, i.e., executes in constant-time. In this paper, we present Iodine: a clock precise, constant-time approach to eliminating timing side channels in hardware. Iodine succeeds in verifying various open source hardware designs in seconds and with little developer effort. Iodine also discovered two constant-time violations: one in a floating-point unit and another one in an RSA encryption module.

研究の動機と目的

• 現代のハードウェアにおけるタイミング側性チャネルの深刻な問題に対処すること。これは、定常時間実行を採用しているにもかかわらず暗号演算における信頼性を損なう。
• 従来のソフトウェアベースのアプローチが失敗する、並列で長期間にわたるハードウェア回路を想定した定常時間実行の形式的定義を確立すること。
• アーキテクチャの変更やセキュリティレベルへの分割を必要とせず、既存のハードウェア設計を効率的に検証できること。
• 使用仮定の下で定常時間動作を検証することにより、浮動小数点演算部や暗号処理ユニットなどのオープンソースハードウェアにおける実世界のタイミング脆弱性を特定すること。

提案手法

• Iodineは、定常時間実行を影響集合を用いて定義する。影響集合とは、ソース値がシンクの計算に寄与するサイクルの集合であり、秘密入力からのタイミング独立性を保証する。
• tライブ値の概念を導入する。tライブ値とは、サイクルtに発行された入力によって影響を受けた値であり、各サイクルごとの分析を可能にする。
• 定常時間検証をライブネス同等性のチェックに還元する。同じ使用仮定の下で、2つの実行がシンクにtライブ値を同一に割り当てる必要がある。
• レースフリーに基づく製品構成を用いることで、完全な自己合成を回避し、関連する実行パスに焦点を当て、スケーラビリティを向上させる。
• SMTソルバを用いて検証を標準的なアサーションチェックに変換し、既存の形式検証パイプラインへの統合を可能にする。
• 使用仮定（例：除算なし）をサポートすることで、SIMDや浮動小数点ユニットのような複雑な設計における誤検出を回避し、検証を精緻化する。

実験結果

リサーチクエスチョン

• RQ1 従来のソフトウェア的タイミングの概念が適用できない並列で長期間にわたるハードウェア回路に対して、定常時間実行を形式的に定義する方法は何か？
• RQ2 影響集合を用いることで、データやフラグ、並列干渉の影響に依存しない、ハードウェアにおけるタイミング変動を正確に捉えることは可能か？
• RQ3 完全な自己合成や情報フロー型付けを必要とせず、標準的なアサーションチェックに定常時間検証を還元することは可能か？
• RQ4 このような検証フレームワークは、既存のハードウェア設計における実世界のタイミング側性チャネルをどれほど効率的に検出できるか？
• RQ5 このフレームワークは、アーキテクチャの変更なしに、暗号アクセcelレーターや一般用途のユニット（FPU）の両方へ適用可能か？

主な発見

• Iodineは、最小限の開発者作業で数秒のうちに複数のオープンソースハードウェア設計を検証し、実用性を実証した。
• フレームワークは、浮動小数点乗算器とRSA暗号化モジュールの両方で、以前未知の定常時間違反を発見した。
• 影響集合に基づく定義により、無条件の定常時間性やセキュリティレベルへの分割を必要とせず、クロック・プレシジョンな正確な検証が可能になった。
• ライブネス同等性アプローチにより、完全な自己合成に起因するスケーラビリティの問題を回避し、複雑な回路に対しても効率的で実用的な検証が可能になった。
• 本手法は、既存の情報フロー型付けアプローチと相補的であり、一般の情報フローのセキュリティではなくクロック・プレシジョンなタイミングを対象としている。
• 使用仮定に依存するフレームワークの特性により、FPUのようなタイミング変動が制約のもとで許容可能なユニットでは誤検出を回避できた。