Analisi dei consumi: SPA e DPA

La power analysis misura la potenza elettrica istantanea consumata da un dispositivo durante le operazioni crittografiche. Il consumo dipende dai dati elaborati e rivela bit della chiave segreta.

Nella SPA, una singola traccia di potenza viene esaminata visivamente. L'esponenziazione square-and-multiply rivela l'esponente: un passaggio di moltiplicazione ha un profilo di consumo diverso da un passaggio di solo quadratura.

La DPA usa l'analisi statistica su molte tracce. L'attaccante fissa un'ipotesi relativa a un singolo bit della chiave, suddivide le tracce in base al valore intermedio previsto e cerca un picco di correlazione.

Un'ipotesi fondamentale è che il consumo energetico sia proporzionale al numero di bit a 1 (peso di Hamming) del valore elaborato. Questo modello è valido per la logica CMOS alle basse frequenze.

La CPA usa la correlazione di Pearson tra il peso di Hamming previsto di un valore intermedio e la potenza misurata a ogni campione temporale. L'ipotesi corretta sulla chiave produce la correlazione più alta.

I ricercatori usano un resistore di rilevamento della corrente in serie con il dispositivo obiettivo e un oscilloscopio o una scheda ChipWhisperer per digitalizzare la traccia a 100 MS/s o più.

Si prende di mira il primo round di AES: per ciascuno dei 256 candidati per il byte della chiave, si prevede il peso di Hamming dell'uscita di SubBytes e lo si correla con le tracce. Il byte corretto emerge con una correlazione di circa 0,9 o superiore.

Le implementazioni con mascheramento suddividono ogni valore intermedio in condivisioni casuali. La DPA di secondo ordine combina due punti temporali (condivisione e maschera) usando una funzione di combinazione basata sul prodotto o sulla differenza assoluta.

I bit dell'esponente della chiave privata RSA vengono recuperati distinguendo i profili di potenza della sola quadratura da quelli di quadratura seguita da moltiplicazione su molte tracce, mediante un attacco a messaggi scelti.

La piattaforma open source ChipWhisperer fornisce hardware e software Python per l'acquisizione, l'allineamento delle tracce e la CPA. Supporta direttamente obiettivi AES, RSA ed ECC.

La SPA legge visivamente una singola traccia; la DPA usa statistiche su molte tracce. La CPA usa la correlazione di Pearson con un modello basato sul peso di Hamming. Le contromisure includono il mascheramento e le coordinate proiettive randomizzate per ECC.