[논문 리뷰] A Simple Power Analysis Attack on the Twofish Key Schedule

Jose Javier Gonzalez Ortiz, Kevin J. Compton|arXiv (Cornell University)|2016. 11. 22.

Cryptographic Implementations and Security참고 문헌 4인용 수 4

한 줄 요약

이 논문은 Twofish 키 스케줄에 대한 단순 전력 분석(SPA) 공격을 제시하며, 8비트 연산의 해밍 무게 측정값을 사용하여 단일 실행에서 기밀 키를 복구한다. 이 공격은 노이즈에 강건하며, 표준편차 ≤1.0인 가우시안 노이즈 하에서도 100% 정확도를 달성하며, 키 스케줄 설계의 본질적 데이터 의존성 덕분에 32- 및 64비트 구현으로도 확장 가능하다.

ABSTRACT

This paper introduces an SPA power attack on the 8-bit implementation of the Twofish block cipher. The attack is able to unequivocally recover the secret key even under substantial amounts of error. An initial algorithm is described using exhaustive search on error free data. An error resistant algorithm is later described. It employs several threshold preprocessing stages followed by a combined approach of least mean squares and an optimized Hamming mask search. Further analysis of 32 and 64-bit Twofish implementations reveals that they are similarly vulnerable to the described SPA attack.

연구 동기 및 목표

• Twofish의 키 스케줄이 복잡한 구조를 지니고 있음에도 불구하고 측면 채널 공격, 특히 전력 분석에 취약함을 입증하기 위해.
• 실제 구현에서의 노이즈 있는 전력 트레이스를 대상으로 하는 오차 내성 SPA 공격을 개발하기 위해.
• 8비트, 32비트, 64비트 Twofish 구현이 모두 키 스케줄 내 명시적인 바이트 단위 연산으로 인해 동일한 취약성을 지닌다는 것을 보여주기 위해.
• 노이즈 수준과 키 크기가 다양할 경우 공격의 정확도와 효율성을 평가하기 위해.
• 실제 측정 오차가 존재하는 환경에서도 실용적이고 효율적인 공격이 가능함을 입증하기 위해, 실행 시간이 1초 미만이도록.

제안 방법

• 공격은 Twofish 키 스케줄 계산 중 간접적인 값의 해밍 무게 측정값을 이용해 기밀 키 바이트를 추론한다.
• 초기의 완전 탐색 단계는 오차가 없는 전력 트레이스에서 해밍 무게를 키 바이트 후보와 매칭하여 키를 복구한다.
• 오차 내성 변형은 노이즈 있는 측정값을 필터링하기 위해 임계값 전처리를 적용한 후, 병합된 최소 제곱법과 최적화된 해밍 마스크 탐색을 수행한다.
• 공격은 Twofish의 S-박스 룩업 및 워드 조작이 전력 트레이스에서 개별 8비트 값을 노출한다는 사실을 활용한다.
• 8비트 연산이 유지되는 테이블 룩업 및 시프트 기반 계산 방식을 통해 32- 및 64비트 구현으로도 공격를 확장한다.
• 통계 최적화는 임계값 무게(τ)와 노이즈 모델링(σ)을 사용하여 정확도와 실행 시간의 균형을 맞추며, τ=3이 최적임을 규명했다.

실험 결과

연구 질문

• RQ1 단일 실행에서 해밍 무게 측정값만을 사용해 단순 전력 분석 공격이 Twofish 기밀 키를 복구할 수 있는가?
• RQ2 특히 가우시안 노이즈 하에서 공격의 내성은 어느 정도인가?
• RQ3 32비트 및 64비트 Twofish 구현도 8비트 버전과 동일한 SPA 기법에 취약한가?
• RQ4 노이즈 및 임계값 파rameter가 다양할 경우 정확도와 실행 시간 간의 상충 관계는 어떠한가?
• RQ5 통계적 추론과 오차 보정을 통해 실제 전력 트레이스를 처리할 수 있도록 공격를 최적화할 수 있는가?

주요 결과

• 공격은 키 스케줄의 해밍 무게 트레이스만을 사용하여 단일 실행에서 전체 기밀 키를 성공적으로 복구한다.
• 표준편차 σ ≤ 1.0인 가우시안 노이즈 하에서는 공격 정확도가 100%에 도달하며, 특히 임계값 τ = 3를 사용할 경우에 특히 높다.
• σ > 1.0일 경우 정확도가 크게 떨어지며, σ = 2.0일 경우 대부분의 경우 적어도 한 개의 키 바이트에서 오류가 발생한다.
• 최적화된 알고리즘의 최악의 실행 시간은 1초 이내로, 이는 공격이 효율적이고 실용적임을 의미한다.
• S-박스 및 워드 연산 중 개별 8비트 값의 노출로 인해 8비트, 32비트, 64비트 Twofish 구현 모두에서 공격가능성이 높다.
• 엄청난 노이즈가 존재하는 환경에서도 공격가 지속적으로 강건하며, Twofish 키 스케줄 설계가 SPA를 통한 키 복구에 충분한 정보를 泄露한다는 점을 입증한다.