[论文解读] Algorithmic Security is Insufficient: A Comprehensive Survey on Implementation Attacks Haunting Post-Quantum Security

Alvaro Cintas Canto, Jasmin Kaur+2 more|arXiv (Cornell University)|May 22, 2023

Cryptographic Implementations and Security被引用 6

一句话总结

本综述指出，尽管NIST于2022年标准化的后量子密码学（PQC）算法在算法层面具有较强的抗量子攻击能力，但仍易受实现攻击，特别是侧通道攻击（SCAs）的影响。该综述分析了针对NIST最终入围算法（如Kyber、Dilithium、Falcon和HQC）的被动和主动侧通道攻击，包括功耗分析、时序分析和故障注入攻击，并评估了遮蔽、错误检测和容错架构等防护措施，结果表明，仅需少于10,000次采样，侧通道攻击即可在微控制器上完全恢复出密钥。

ABSTRACT

This survey is on forward-looking, emerging security concerns in post-quantum era, i.e., the implementation attacks for 2022 winners of NIST post-quantum cryptography (PQC) competition and thus the visions, insights, and discussions can be used as a step forward towards scrutinizing the new standards for applications ranging from Metaverse, Web 3.0 to deeply-embedded systems. The rapid advances in quantum computing have brought immense opportunities for scientific discovery and technological progress; however, it poses a major risk to today's security since advanced quantum computers are believed to break all traditional public-key cryptographic algorithms. This has led to active research on PQC algorithms that are believed to be secure against classical and powerful quantum computers. However, algorithmic security is unfortunately insufficient, and many cryptographic algorithms are vulnerable to side-channel attacks (SCA), where an attacker passively or actively gets side-channel data to compromise the security properties that are assumed to be safe theoretically. In this survey, we explore such imminent threats and their countermeasures with respect to PQC. We provide the respective, latest advancements in PQC research, as well as assessments and providing visions on the different types of SCAs.

研究动机与目标

• 分析2022年NIST后量子密码学（PQC）最终入围算法所面临的实现攻击威胁，特别是侧通道攻击。
• 评估包括功耗分析、时序分析和故障注入在内的被动与主动侧通道攻击在PQC实现中的可行性与影响。
• 评估现有防护措施（如遮蔽、错误检测和容错设计）在抵御PQC系统中侧通道攻击方面的有效性。
• 为Web 3.0、元宇宙和嵌入式系统等实际应用场景中新兴PQC标准的安全实现提供见解与建议。
• 揭示后量子密码系统中理论算法安全性与实际实现脆弱性之间的差距。

提出的方法

• 系统性地审查和分析针对NIST PQC最终入围算法（包括Kyber、Dilithium、Falcon、HQC和SPHINCS+）的侧通道攻击向量。
• 评估在ARM Cortex-M4微控制器和FPGA上运行的实现中，功耗分析和时序侧通道分析等被动攻击。
• 研究在有限域乘法器和密钥生成模块中实施的主动攻击，如差分故障分析（DFA）和故障注入。
• 实现并基准测试防护措施，包括基于CRC的故障检测、奇偶校验与汉明码错误检测，以及针对侧通道区分器的遮蔽防御。
• 利用侧通道预言机（如明文检查预言机或解码响应预言机）在最小化采样次数的前提下引导密钥恢复。
• 通过在FPGA和微控制器平台上进行的硬件实验，对攻击与防护措施进行实证验证，测量采样次数与资源开销。

实验结果

研究问题

• RQ1 尽管NIST 2022年PQC最终入围算法在算法层面具备抗量子攻击能力，但其在多大程度上仍易受侧通道攻击影响？
• RQ2 时序、功耗和基于故障的侧通道攻击在从PQC实现中恢复密钥方面的有效性如何？
• RQ3 在HQC和Kyber等PQC算法上，成功实现侧通道密钥恢复所需的最小采样次数或查询次数是多少？
• RQ4 遮蔽、错误检测和容错架构等防护措施在多大程度上能够缓解PQC系统中的侧通道漏洞？
• RQ5 在资源受限的环境（如嵌入式系统）中，这些防护措施的性能与硬件开销如何？

主要发现

• 在ARM Cortex-M4微控制器上，仅使用少于10,000次功耗采样，即成功实现了对HQC密码系统的完整密钥恢复。
• 在Intel SGX平台上，基于缓存时序的明文检查预言机攻击仅需53,857次查询，显著少于以往的时序攻击。
• 针对HQC的BCH解码器提出了一种新型功耗侧通道攻击，仅用少于10,000次测量即成功提取了大量密钥信息。
• 基于CRC和汉明码的故障检测方案在McEliece密码系统的FPGA实现中实现了接近100%的故障检测率，面积与延迟开销最高达49%。
• 针对HQC的Reed-Muller解码步骤的侧通道攻击，仅用少于20,000次电磁采样即恢复了全部静态密钥。
• 提出了一种基于遮蔽的防护机制，用于防御Reed-Muller解码过程中的侧通道区分器，提供了实用的防护方案。