[논문 리뷰] Iodine: Verifying Constant-Time Execution of Hardware

Klaus von Gleissenthall, Rami Gökhan Kıcı외 2명|arXiv (Cornell University)|2019. 10. 07.

Security and Verification in Computing인용 수 16

한 줄 요약

Iodine는 신호의 원천에서 목적지에 이르는 시계 정밀한 영향 집합을 분석하여 하드웨어 설계가 일정 시간 내에 실행됨을 보장하는 형식적 검증 프레임워크이다. 이는 라이브니스 등가성 기반의 새로운 접근 방식을 통해 일정 시간 검증을 진술 타당성 검사로 환원함으로써, 최소한의 노력으로 오픈소스 하드웨어에 대해 빠르고 정밀한 검증을 가능하게 하며, FPU와 RSA 모듈에서 실제 존재하는 타이밍 사이드 채널 두 건을 발견하였다.

ABSTRACT

To be secure, cryptographic algorithms crucially rely on the underlying hardware to avoid inadvertent leakage of secrets through timing side channels. Unfortunately, such timing channels are ubiquitous in modern hardware, due to its labyrinthine fast-paths and optimizations. A promising way to avoid timing vulnerabilities is to devise --- and verify --- conditions under which a hardware design is free of timing variability, i.e., executes in constant-time. In this paper, we present Iodine: a clock precise, constant-time approach to eliminating timing side channels in hardware. Iodine succeeds in verifying various open source hardware designs in seconds and with little developer effort. Iodine also discovered two constant-time violations: one in a floating-point unit and another one in an RSA encryption module.

연구 동기 및 목표

• 현대 하드웨어에서 타이밍 사이드 채널 문제를 해결함으로써 암호화 연산에 대한 신뢰를 떨어뜨리는 문제를 다스리기 위해, 일정 시간 실행에 의존함에도 불구하고 여전히 문제가 되는 문제를 해결한다.
• 기존 소프트웨어 기반 접근 방식이 실패하는 동시성과 장기 실행이 가능한 하드웨어 회로에 적합한 일정 시간 실행의 개념을 체계화한다.
• 아키텍처 변경이나 보안 수준으로의 분할 없이도 기존 하드웨어 설계를 효율적으로 검증할 수 있도록 한다.
• 사용 가정 하에 일정 시간 동작을 검증하여, 부동소수점 및 암호화 유닛과 같은 오픈소스 하드웨어에서 실제 존재하는 타이밍 취약점을 탐지한다.

제안 방법

• Iodine는 영향 집합을 통해 일정 시간 실행을 정의한다: 원천 값이 목적지의 계산에 기여하는 사이클들로, 기밀 입력에 대한 시간 독립성을 보장한다.
• t-live 값의 개념을 도입한다. t-live 값이란 t 사이클에 의해 영향을 받은 값으로, 각 사이클에 대한 분석을 가능하게 한다.
• 프레임워크는 일정 시간 검증을 라이브니스 등가성 검사로 환원한다: 동일한 사용 가정 하에서 두 실행이 목적지에 t-live 값을 동일하게 할당해야 한다.
• 경쟁 방지 기반의 제품 구성 기법을 활용하여 전체 자기 복제를 피하고, 관련 실행 경로에 집중함으로써 확장성을 향상시킨다.
• Iodine는 SMT 솔버를 사용하여 검증을 표준 진술 검사로 변환함으로써 기존 형식적 검증 파ip라인과의 통합을 가능하게 한다.
• 사용 가정(예: 나눗셈 금지)을 지원하여 검증을 정교화하고, SIMD나 부동소수점 유닛과 같은 복잡한 설계에서 잘못된 경고를 방지한다.

실험 결과

연구 질문

• RQ1 기존 소프트웨어 기반의 타이밍 개념이 적용되지 않는 동시성과 장기 실행이 가능한 하드웨어 회로에 대해 일정 시간 실행을 어떻게 체계적으로 정의할 수 있는가?
• RQ2 영향 집합을 사용하여 데이터, 플래그, 또는 동시 간섭과 무관하게 하드웨어에서 타이밍 변동성을 정확히 포착할 수 있는가?
• RQ3 전체 자기 복제나 정보 흐름 유형 기반 타입 체계 없이도 일정 시간 검증을 표준 진술 검사로 환원할 수 있는가?
• RQ4 이러한 검증 프레임워크는 기존 하드웨어 설계에서 실제 존재하는 타이밍 사이드 채널을 얼마나 효율적으로 탐지할 수 있는가?
• RQ5 이 프레임워크는 아키텍처 수정 없이 암호 가속기와 일반 목적 유닛(FPU 포함) 모두에 적용 가능한가?

주요 결과

• Iodine는 최소한의 개발자 노력으로 몇 초 내에 여러 오픈소스 하드웨어 설계를 성공적으로 검증하여 실용성을 입증하였다.
• Iodine는 이전에 알려지지 않은 두 건의 일정 시간 위반을 발견하였다: 하나는 부동소수점 승수기에서, 다른 하나는 RSA 암호화 모듈에서였다.
• Iodine의 영향 집합 기반 정의는 무조건적 일정 시간 또는 보안 수준 분할 없이도 정밀하고 시계 정밀한 검증을 가능하게 한다.
• 라이브니스 등가성 접근 방식은 전체 자기 복제의 확장성 문제를 피하여 복잡한 회로에 대해 효율적이고 실용적인 검증을 가능하게 한다.
• 이 방법은 기존 정보 흐름 및 유형 기반 접근 방식과 상호 보완적이며, 일반적인 정보 흐름 보안이 아닌 시계 정밀한 타이밍을 대상으로 한다.
• 사용 가정에 의존하는 프레임워크의 특성은 FPU와 같이 타이밍 변동성이 제약 조건 하에서 허용 가능한 경우에 잘못된 경고를 방지할 수 있다.