[論文レビュー] A Simple Power Analysis Attack on the Twofish Key Schedule

Jose Javier Gonzalez Ortiz, Kevin J. Compton|arXiv (Cornell University)|Nov 22, 2016

Cryptographic Implementations and Security参考文献 4被引用数 4

ひとこと要約

本稿では、Twofishの鍵スケジューリングにおける単純な電力分析（SPA）攻撃を提示する。この攻撃は、8ビット演算のハミング重み測定値を用いて、1回の実行で秘密鍵を回復する。攻撃はノイズに対して頑健であり、標準偏差 ≤1.0 のガウスノイズ下でも100%の正確性を達成する。また、鍵スケジューリング設計に内在するデータ依存性のおかげで、32ビットおよび64ビット実装に対しても拡張可能である。

ABSTRACT

This paper introduces an SPA power attack on the 8-bit implementation of the Twofish block cipher. The attack is able to unequivocally recover the secret key even under substantial amounts of error. An initial algorithm is described using exhaustive search on error free data. An error resistant algorithm is later described. It employs several threshold preprocessing stages followed by a combined approach of least mean squares and an optimized Hamming mask search. Further analysis of 32 and 64-bit Twofish implementations reveals that they are similarly vulnerable to the described SPA attack.

研究の動機と目的

• Twofishの鍵スケジューリングが、複雑な構造を有しても、サイドチャネル攻撃（電力分析）に対して脆弱であることを示すこと。
• 実世界の実装からのノイズのある電力トレースに対しても動作する、誤差に強いSPA攻撃を開発すること。
• 鍵スケジューリングにおける明示的なバイト単位の演算のおかげで、8ビット、32ビット、64ビットのTwofish実装がすべて同様に脆弱であることを示すこと。
• さまざまなノイズレベルと鍵サイズ下での攻撃の正確性と効率を評価すること。
• 攻撃が実用的かつ効率的であり、実際の測定誤差が存在する状況でも1秒未塔の実行時間で動作することを確立すること。

提案手法

• 攻撃は、Twofish鍵スケジューリング計算中の中間値のハミング重み測定値を用いて、秘密鍵バイトを推定する。
• 初期段階として、誤差のない電力トレースからハミング重みと鍵バイト候補を照合することで、全鍵を回復する全探索フェーズを実施する。
• 誤差に強いバージョンでは、ノイズのある測定値をフィルタリングするためのしきい値処理を適用し、その後に最小平均二乗法と最適化されたハミングマスク探索を統合する。
• 攻撃は、TwofishのSボックス参照とワード操作が電力トレースに個々の8ビット値を露呈するという事実を活用する。
• バイトレベルの操作がテーブル参照およびシフトベースの計算にわたって露呈するため、32ビットおよび64ビット実装への攻撃を拡張する。
• 統計的最適化では、しきい値（τ）とノイズモデル（σ）を用いて正確性と実行時間のバランスを取る。τ=3 が最適であると特定された。

実験結果

リサーチクエスチョン

• RQ1 単一実行からのハミング重み測定値のみを用いて、単純な電力分析攻撃がTwofishの秘密鍵を回復可能か？
• RQ2 特にガウスノイズ下で、実際の測定ノイズレベルに対して攻撃はどの程度頑健か？
• RQ3 32ビットおよび64ビットのTwofish実装も、8ビットバージョンと同様に、同じSPA技術に対して脆弱か？
• RQ4 さまざまなノイズおよびしきい値パrameter下での攻撃の正確性と実行時間のトレードオフは何か？
• RQ5 統計的推論と誤差補正を用いて、実世界の電力トレースに対応できるように攻撃を最適化可能か？

主な発見

• 攻撃は、鍵スケジューリングからのハミング重みトレースのみを用いて、1回の実行で完全な秘密鍵を回復した。
• 標準偏差 σ ≤ 1.0 のガウスノイズ下では、攻撃は100%の正確性を達成し、特にしきい値 τ = 3 を使用した場合に顕著である。
• σ > 1.0 の場合、正確性は著しく低下し、σ = 2.0 では大多数のケースで少なくとも1つの鍵バイトに誤りが生じる。
• 最適化されたアルゴリズムの最悪実行時間は1秒未塔であり、攻撃は効率的かつ実用的である。
• Sボックスおよびワード操作中に個々の8ビット値が露呈するため、8ビット、32ビット、64ビットのTwofish実装すべてに対して攻撃は有効である。
• 攻撃は顕著なノイズが存在する状況でも頑健であり、Twofishの鍵スケジューリング設計がSPAによる鍵回復に十分な情報を漏洩させることを示している。