Contramedidas: mascaramento, cegamento e código de tempo constante

As contramedidas contra canais laterais pertencem a três famílias: mascaramento (aleatorizar valores intermediários), cegamento (aleatorizar entradas e saídas) e código em tempo constante (eliminar temporização dependente dos dados).

Aplique XOR a cada valor intermediário com uma máscara aleatória nova r. Processe o valor mascarado x⊕r e remova a máscara ao final. O traço de consumo agora depende de x⊕r, não de x.

Para operações multiplicativas, use máscaras multiplicativas: substitua x por x·r mod p. O esquema de mascaramento deve ser compatível com cada operação algébrica da cifra.

Antes de decifrar o texto cifrado c, escolha um valor aleatório r e calcule c' = c·r^e mod n. Decifre c' para obter m·r mod n e depois divida por r. A exponenciação efetiva nunca recebe o c real.

Aleatorize as coordenadas projetivas: em vez do ponto afim (x,y), use (λx : λy : λ) para um λ aleatório. A multiplicação escalar opera sobre coordenadas aleatorizadas, alterando os traços de consumo a cada execução.

1. Não use ramificações dependentes de segredos. 2. Não use índices de memória dependentes de segredos. 3. Não faça saídas antecipadas. 4. Use operações intrínsecas da plataforma em tempo constante quando disponíveis (por exemplo, crypto_verify_32).

Nunca use == ou hmac.compare_digest em bytes brutos em caminhos sensíveis à temporização. Use:

Os compiladores podem otimizar e remover código em tempo constante. Use escritas voláteis, barreiras de memória ou intrínsecos de assembly. Os compiladores de C têm -fno-delete-null-pointer-checks, mas não oferecem uma garantia universal de tempo constante.

Permute aleatoriamente a ordem das consultas às caixas S ou insira operações fictícias que consumam energia sem afetar o resultado. Isso aumenta a dificuldade dos ataques DPA, mas não elimina o vazamento.

Aceleradores criptográficos dedicados (ARM TrustZone, AES de hardware do STM32) aplicam mascaramento no silício. Implementações em ASIC acrescentam blindagem metálica e uma malha ativa para detectar sondagens físicas.

O mascaramento aleatoriza valores intermediários; o cegamento aleatoriza entradas de RSA/ECC; o código em tempo constante elimina ramificações de temporização. A defesa em profundidade combina as três técnicas. Os aceleradores de hardware aplicam essas técnicas no silício para oferecer as garantias mais fortes.