[논문 리뷰] Blindsight: Blinding EM Side-Channel Leakage using Built-In Fully Integrated Inductive Voltage Regulator

Monodeep Kar, Arvind Singh외 6명|arXiv (Cornell University)|2018. 02. 25.

Cryptographic Implementations and Security참고 문헌 28인용 수 11

한 줄 요약

이 논문은 고주파 유도 전압 조절기(IVR)를 활용하여 암호화된 하드웨어에서의 전자기(EM) 사이드 채널 공격을 무력화하는 새로운 사이드 채널 방어 기법인 Blindsight를 제안한다. 이 기법은 랜덤화된 제어 방식을 갖춘 내장형 고주파 IVR(125MHz)를 통해 AES 하드웨어의 EM 누출을 방해함으로써, 숙련된 공격자에 대비해 평균 시간-공격(МТD)을 최대 500배 향상시킨다.

ABSTRACT

Modern high-performance as well as power-constrained System-on-Chips (SoC) are increasingly using hardware accelerated encryption engines to secure computation, memory access, and communication operations. The electromagnetic (EM) emission from a chip leaks information of the underlying logical operations and can be collected using low-cost non-invasive measurements. EM based side-channel attacks (EMSCA) have emerged as a major threat to security of encryption engines in a SoC. This paper presents the concept of Blindsight where a high-frequency inductive voltage regulator (IVR) integrated on the same chip with an encryption engine is used to increase resistance against EMSCA. High-frequency (~100MHz) IVRs are present in modern microprocessors to improve energy-efficiency. We show that an IVR with a randomized control loop (R-IVR) can reduce EMSCA as the integrated inductance acts as a strong EM emitter and blinds an adversary from EM emission of the encryption engine. The EM measurements are performed on a test-chip containing two architectures of a 128-bit Advanced Encryption Standard (AES) engine powered by a high-frequency R-IVR and under two attack scenarios, one, where an adversary gains complete physical access of the target device and the other, where the adversary is only in proximity of the device. In both attack modes, an adversary can observe information leakage in Test Vector Leakage Assessment (TVLA) test in a baseline IVR (B-IVR, without control loop randomization). However, we show that EM emission from the R-IVR blinds the attacker and significantly reduces SCA vulnerability of the AES engine. A range of practical side-channel analysis including TVLA, Correlation Electromagnetic Analysis (CEMA), and a template based CEMA shows that R-IVR can reduce information leakage and prevent key extraction even against a skilled adversary.

연구 동기 및 목표

• 현대 SoC의 하드웨어 보호된 AES 엔진을 대상으로 하는 저비용 비침습적 전자기(EM) 사이드 채널 공격(EMSCA)의 증가하는 위협에 대응한다.
• 높은 전력, 성능 또는 면적 오버헤드를 유발하거나 고비용 셸딩이 필요한 기존 EM 방어 조치의 한계를 극복한다.
• 특히 고주파 유도 전압 조절기(IVR)와 같은 기존 내장형 구성 요소를 활용하여 EMSCA에 대비한 저오버헤드, 통합형 방어를 제공한다.
• IVR 제어 루프를 랜덤화하면 고급 공격 모델 조건에서도 AES 엔진의 EM 서명을 효과적으로 가림으로써 방어 기능을 입증한다.

제안 방법

• AES 엔진과 같은 다이에 직접 통합된 고주파(125MHz) 유도 전압 조절기(IVR)를 통합하여 그 내재된 EM 방출 특성을 활용한다.
• IVR의 스위칭 주파수를 랜덤화한 제어 루프(R-IVR)를 구현하여 AES 연산으로부터의 EM 누출을 산산이 흩트리고 숨긴다.
• 프로토타입 테스트 칩에서 실제 내장 통합을 모의하기 위해 웨이브본드 인덕터를 사용하여 제어 조건 하에서 EM 방출을 측정한다.
• 물리적 접근(전체 장치 접근 가능)과 근접성(비침습적 프로빙) 공격 시나리오의 두 가지 상황에서 EM 측정을 수행하여 방어의 강건성을 평가한다.
• 기록된 트레이스에 대해 TVLA, CEMA, 템플릿 기반 CEMA 등의 다양한 EM 사이드 채널 분석(EMSCA) 기법을 적용하여 키 복구 성공률을 평가한다.
• 템플릿 기반 차등 분석을 사용해 정적 상태의 EM 성분을 고립하고 제거하여, R-IVR의 고도화된 후처리 기법에 대한 내성 여부를 테스트한다.

실험 결과

연구 질문

• RQ1 내장형 고주파 유도 전압 조절기(IVR)가 간섭을 통해 AES 엔진의 EM 누출을 효과적으로 가리킬 수 있는가?
• RQ2 IVR의 스위칭 주파수를 랜덤화하면 EM 사이드 채널 공격에서 정보 누출이 어느 정도 감소하는가?
• RQ3 R-IVR 방어 기법은 단순한 공격자와 숙련된 공격자(예: CEMA, 템플릿 공격 등) 모두에게 얼마나 효과적인가?
• RQ4 공격자가 장치에 물리적 접근이 가능하거나 근접만 가능할 경우에도 이 기법은 여전히 효과적인가?
• RQ5 이와 같은 기법은 낮은 주파수에서 작동하는 공개 키 암호화 알고리즘에도 적용 가능할 수 있는가?

주요 결과

• 랜덤화되지 않은 기본 IVR(B-IVR)는 IVR의 EM 간섭 덕분에 단일 AES 엔진 대비 최소 13배의 МТD 향상을 보인다.
• 랜덤화된 제어 루프(R-IVR)를 적용하면 고성능 AES에서는 최소 13배, 저전력·소형 AES 설계에서는 최대 500배의 МТD 향상이 이루어진다.
• 물리적 접근 및 근접성 공격 시나리오에서 TVLA 및 CEMA 공격은 모두 50만 개의 트레이스가 있음에도 불구하고 실패한다.
• 랜덤화 효과를 제거하려는 템플릿 기반 CEMA 공격 역시 키를 복구하지 못하여 고도화된 후처리에 대한 강건성을 입증한다.
• 이 방어 기법은 R-IVR의 고주파(100MHz) EM 방출이 AES 관련 EM 서명과 동일한 주파수 대역에 존재하기 때문에 효과적이다.
• 이 기법은 기존 내장형 IVR 인프라를 활용하므로 추가 전력, 면적, 성능 손실 없이 실용적이고 저오버헤드이다.