[논문 리뷰] Real-World Snapshots vs. Theory: Questioning the t-Probing Security Model

Thilo Krachenfels, Fatemeh Ganji외 3명|arXiv (Cornell University)|2020. 09. 09.

Physical Unclonable Functions (PUFs) and Hardware Security참고 문헌 86인용 수 41

한 줄 요약

이 논문은 레이저 조명 상태 영상(Laser Logic State Imaging, LLSI)을 소개한다. LLSI는 공급 전압을 변조하고 칩 뒷면을 레이저로 스캔하여 마스킹된 하드웨어 회로의 전체 논리 상태에 접촉 없이 무제한 프로브 접근이 가능한 새로운 단일 트레이스 광학 사이드 채널 공격이다. 이 공격은 t-프로빙 모델의 기본 가정인 제한된 프로브를 무시하여, 레지스터 위치가 알려지지 않은 2-, 3-, 5공유 마스킹 AES-128 구현에서도 스냅샷과 SAT 솔버를 사용해 실용적인 키 복구를 가능하게 한다.

ABSTRACT

Due to its sound theoretical basis and practical efficiency, masking has become the most prominent countermeasure to protect cryptographic implementations against physical side-channel attacks (SCAs). The core idea of masking is to randomly split every sensitive intermediate variable during computation into at least t+1 shares, where t denotes the maximum number of shares that are allowed to be observed by an adversary without learning any sensitive information. In other words, it is assumed that the adversary is bounded either by the possessed number of probes (e.g., microprobe needles) or by the order of statistical analyses while conducting higher-order SCA attacks (e.g., differential power analysis). Such bounded models are employed to prove the SCA security of the corresponding implementations. Consequently, it is believed that given a sufficiently large number of shares, the vast majority of known SCA attacks are mitigated. In this work, we present a novel laser-assisted SCA technique, called Laser Logic State Imaging (LLSI), which offers an unlimited number of contactless probes, and therefore, violates the probing security model assumption. This technique enables us to take snapshots of hardware implementations, i.e., extract the logical state of all registers at any arbitrary clock cycle with a single measurement. To validate this, we mount our attack on masked AES hardware implementations and practically demonstrate the extraction of the full-length key in two different scenarios. First, we assume that the location of the registers (key and/or state) is known, and hence, their content can be directly read by a single snapshot. Second, we consider an implementation with unknown register locations, where we make use of multiple snapshots and a SAT solver to reveal the secrets.

연구 동기 및 목표

• 마스킹 기반 사이드 채널 방어 조치의 기본 가정인 t-프로빙 모델의 기초를 도전하기 위해.
• 고급 실패 분석 기술이 강력한 사이드 채널 공격으로 재사용될 수 있음을 보여주기 위해.
• 프로빙 모델의 제약 조건이 위반될 경우 고차수 마스킹 구현조차도 여전히 취약함을 보여주기 위해.
• 단일 트레이스, 접촉 없는 광학 기법을 사용해 마스킹된 AES에서 키 복구의 가능성을 검증하기 위해.

제안 방법

• 레이저 유도 반사 조절을 통해 트랜지스터의 논리 상태를 추출하기 위해 알려진 실패 분석 기술인 레이저 논리 상태 영상(LLSI)을 활용한다.
• 레이저 반사가 데이터에 의존하고 검출 가능하도록 IC의 핵심 전압을 특정 주파수로 변조한다.
• 열 레이저 스캐너를 사용해 단일 클럭 사이클에 전체 칩의 논리 상태 스냅샷을 캡처한다.
• 레지스터 위치가 알려지지 않은 경우 다수의 스냅샷과 SAT 솔버를 적용해 비밀 키를 재구성한다.
• 레지스터 위치가 알려진 경우와 알려지지 않은 경우의 두 시나리오에서 마스킹된 AES-128 구현에 대해 공격을 검증한다.
• 무제한의 프로브 수 덕분에 마스킹 순서에 관계없이 공격이 효과가 있음을 보여준다.

실험 결과

연구 질문

• RQ1 단일 트레이스, 접촉 없는 광학 기법이 마스킹 구현에서 제한된 프로브를 가정하는 t-프로빙 모델의 가정을 우회할 수 있는가?
• RQ2 LLSI와 같은 고급 광학 프로빙 기술이 거의 무제한의 프로브 접근을 가능하게 할 경우, t-프로빙 모델은 어느 정도 유효한가?
• RQ3 감쇠된 레지스터 위치가 알려지지 않은 경우에도 마스킹된 AES의 키 복구가 가능한가?
• RQ4 마스킹 기법이 반복 측정이 필요로 하지 않는 이러한 광학 공격에 대해 여전히 무작위성을 보존할 수 있는가?
• RQ5 이 새로운 유형의 광학 사이드 채널 공격의 실용적 한계와 대응 조치는 무엇인가?

주요 결과

• LLSI 공격은 마스킹된 하드웨어 구현에서 임의의 클럭 사이클에 모든 레지스터의 전체 논리 상태를 단일 트레이스, 접촉 없는 측정으로 캡처할 수 있다.
• 레지스터 위치가 알려진 경우, 2-, 3-, 5공유 마스킹 AES-128 구현에서 단일 스냅샷으로 전체 128비트 AES 키를 성공적으로 복구한다.
• 레지스터 위치가 알려지지 않은 경우에도 몇 개의 스냅샷과 SAT 솔버를 사용해 비밀 키를 복구하며, 실용적인 가능성을 입증한다.
• 마스킹 순서에 관계없이 공격이 효과가 유지되어, t-프로빙 모델 하에서 더 높은 공유 수가 더 강력한 보호를 제공한다는 가정을 무너뜨린다.
• 반복 측정 및 통합 기반의 전통적 대응 조치를 우회하며, 동일한 데이터로 반복 트레이스가 필요하지 않다.
• 결과적으로 이론적 보안 모델인 t-프로빙 모델이 실용적이고 고급 물리적 프로빙 기술에 의해 무너질 수 있음을 보여주며, 보안 가정의 재평가가 필요하다.