[論文レビュー] Real-World Snapshots vs. Theory: Questioning the t-Probing Security Model

Thilo Krachenfels, Fatemeh Ganji+3 more|arXiv (Cornell University)|Sep 9, 2020

Physical Unclonable Functions (PUFs) and Hardware Security参考文献 86被引用数 41

ひとこと要約

本稿では、供給電圧を変調し、レーザーでチップ裏面を走査することで、マスク化されたハードウェア回路の完全な論理状態を接触せず、無制限のプローブでアクセス可能な、新しい単一トレース光学サイドチャネル攻撃であるレーザー論理状態イメージング（LLSI）を紹介する。この攻撃は、tプロービングモデルの基本的仮定である制限されたプローブという前提を無視し、レジスタの位置が不明であっても2、3、5シェアのマスク化AES-128実装から実用的な鍵回復を可能にする。そのためにスナップショットとSATソルバーが用いられる。

ABSTRACT

Due to its sound theoretical basis and practical efficiency, masking has become the most prominent countermeasure to protect cryptographic implementations against physical side-channel attacks (SCAs). The core idea of masking is to randomly split every sensitive intermediate variable during computation into at least t+1 shares, where t denotes the maximum number of shares that are allowed to be observed by an adversary without learning any sensitive information. In other words, it is assumed that the adversary is bounded either by the possessed number of probes (e.g., microprobe needles) or by the order of statistical analyses while conducting higher-order SCA attacks (e.g., differential power analysis). Such bounded models are employed to prove the SCA security of the corresponding implementations. Consequently, it is believed that given a sufficiently large number of shares, the vast majority of known SCA attacks are mitigated. In this work, we present a novel laser-assisted SCA technique, called Laser Logic State Imaging (LLSI), which offers an unlimited number of contactless probes, and therefore, violates the probing security model assumption. This technique enables us to take snapshots of hardware implementations, i.e., extract the logical state of all registers at any arbitrary clock cycle with a single measurement. To validate this, we mount our attack on masked AES hardware implementations and practically demonstrate the extraction of the full-length key in two different scenarios. First, we assume that the location of the registers (key and/or state) is known, and hence, their content can be directly read by a single snapshot. Second, we consider an implementation with unknown register locations, where we make use of multiple snapshots and a SAT solver to reveal the secrets.

研究の動機と目的

• マスク化ベースのサイドチャネル対策におけるtプロービングモデルの基礎的仮定に挑戦すること。
• 高度な故障分析技術が、強力なサイドチャネル攻撃として再利用可能であることを示すこと。
• プローブモデルの制約が破られた場合、高次マスク化実装ですら脆弱であることを示すこと。
• 単一トレース、接触なしの光学技術を用いて、マスク化AESからの鍵回復の実現可能性を検証すること。

提案手法

• 既知の故障分析技術であるレーザー論理状態イメージング（LLSI）を活用し、レーザー誘発反射変調によってトランジスタの論理状態を抽出する。
• ICのコア電圧を特定周波数で変調することで、レーザー反射がデータ依存性を持ち、検出可能にする。
• 熱レーザースキャナを用いて、1クロックサイクルの時点でチップ全体の論理状態スナップショットを取得する。
• レジスタの位置が不明な場合に、複数のスナップショットとSATソルバーを用いて秘密鍵を再構築する。
• レジスタの位置が既知か不明かの2つのシナリオにおいて、マスク化AES-128実装に対する攻撃を検証する。
• 無制限のプローブが可能であるため、マスクの次数に関わらず攻撃が有効であることを示す。

実験結果

リサーチクエスチョン

• RQ1 単一トレース、接触なしの光学技術は、マスク化実装におけるtプロービングモデルの制限されたプローブという仮定を回避可能か？
• RQ2 LLSIのような高度な光学プロービング技術により、ほぼ無制限のプローブアクセスが可能になった場合、tプロービングモデルはどの程度有効性を保つのか？
• RQ3 感覚的レジスタの位置が不明であっても、マスク化AES実装からの鍵回復は可能か？
• RQ4 繰り返し測定を必要としないこのような光学的攻撃に対して、マスク化スキームが導入するランダム性は依然として保護機能を果たすか？
• RQ5 この新しいクラスの光学サイドチャネル攻撃における実用的制限と対策は何か？

主な発見

• LLSI攻撃は、任意のクロックサイクルでマスク化ハードウェア実装のすべてのレジスタの完全な論理状態を、単一トレース、接触なしで測定可能である。
• レジスタの位置が既知の場合、2、3、5シェアのマスク化AES-128実装から、1つのスナップショットで完全な128ビットAES鍵を正常に回復できた。
• レジスタの位置が不明であっても、数個のスナップショットとSATソルバーを用いることで秘密鍵を回復でき、実用的実現可能性が示された。
• マスクの次数に関わらず攻撃が有効であるため、tプロービングモデルにおける「高次シェアがより強い保護を提供する」という仮定は無効である。
• 繰り返し測定と統合に基づく従来の対策を回避でき、同じデータで繰り返しトレースを必要としないため、攻撃が成立する。
• 理論的セキュリティモデル（例：tプロービングモデル）は、実用的で高度な物理的プロービング技術によって無効化され得ることを示し、セキュリティ仮定の再評価が不可欠である。