Contramedidas: enmascaramiento, blinding y código de tiempo constante

Las contramedidas contra los canales laterales pertenecen a tres familias: enmascaramiento (aleatorizar los valores intermedios), cegado (aleatorizar las entradas y salidas) y código de tiempo constante (eliminar la temporización dependiente de los datos).

Haga XOR de cada valor intermedio con una máscara aleatoria nueva r. Procese el valor enmascarado x⊕r y quite la máscara al final. La traza de potencia ahora depende de x⊕r, no de x.

Para las operaciones multiplicativas, utilice máscaras multiplicativas: sustituya x por x·r mod p. El esquema de enmascaramiento debe ser compatible con cada operación algebraica del cifrado.

Antes de descifrar el texto cifrado c, elija un valor aleatorio r y calcule c' = c·r^e mod n. Descifre c' para obtener m·r mod n y, después, elimine r mediante una división. La exponenciación real nunca opera sobre el c original.

Aleatorice las coordenadas proyectivas: en lugar del punto afín (x,y), utilice (λx : λy : λ) para un valor aleatorio λ. La multiplicación escalar opera sobre coordenadas aleatorizadas, lo que cambia las trazas de potencia cada vez.

1. No utilice bifurcaciones dependientes de secretos. 2. No utilice índices de memoria dependientes de secretos. 3. No realice salidas anticipadas. 4. Utilice operaciones de tiempo constante intrínsecas de la plataforma cuando estén disponibles (por ejemplo, crypto_verify_32).

No utilice nunca == ni hmac.compare_digest con bytes sin procesar en rutas sensibles a la temporización. Utilice:

Los compiladores pueden optimizar y eliminar el código de tiempo constante. Utilice escrituras volatile, barreras de memoria o intrínsecos de ensamblador. Los compiladores de C disponen de -fno-delete-null-pointer-checks, pero no existe una garantía universal de tiempo constante.

Permute aleatoriamente el orden de las búsquedas en las S-boxes o inserte operaciones ficticias que consuman potencia sin afectar al resultado. Esto dificulta los ataques DPA, pero no elimina las filtraciones.

Los aceleradores criptográficos dedicados (ARM TrustZone, AES por hardware de STM32) aplican el enmascaramiento en silicio. Las implementaciones ASIC incorporan apantallamiento metálico y una malla activa para detectar sondas físicas.

El enmascaramiento aleatoriza los valores intermedios; el cegado aleatoriza las entradas de RSA/ECC; el código de tiempo constante elimina las bifurcaciones de temporización. La defensa en profundidad combina las tres técnicas. Los aceleradores de hardware las aplican en silicio para ofrecer las garantías más sólidas.