Análise de potência: SPA e DPA

A análise de consumo de energia mede a potência elétrica instantânea consumida por um dispositivo durante operações criptográficas. O consumo de energia depende dos dados processados, revelando bits da chave secreta.

Na SPA, um único traço de consumo é inspecionado visualmente. A exponenciação por quadratura e multiplicação revela o expoente: uma etapa de multiplicação tem um perfil de consumo diferente do de uma etapa de quadratura isolada.

A DPA utiliza análise estatística em muitos traços. O atacante fixa uma hipótese para um único bit da chave, separa os traços de acordo com o valor intermediário previsto e procura um pico de correlação.

Uma suposição fundamental: o consumo de energia é proporcional ao número de bits 1 (peso de Hamming) do valor processado. Isso funciona bem para lógica CMOS em baixas frequências.

A CPA utiliza a correlação de Pearson entre o peso de Hamming previsto de um valor intermediário e o consumo medido em cada amostra temporal. A hipótese correta da chave apresenta a maior correlação.

Os pesquisadores utilizam um resistor de detecção de corrente em série com o dispositivo-alvo e um osciloscópio ou uma placa ChipWhisperer para digitalizar o traço a 100 MS/s ou mais.

Tenha como alvo a primeira rodada do AES: para cada uma das 256 candidatas de byte da chave, preveja o peso de Hamming da saída de SubBytes e correlacione-o com os traços. O byte correto se destaca com uma correlação de cerca de 0,9 ou mais.

As implementações mascaradas dividem cada valor intermediário em compartilhamentos aleatórios. A DPA de segunda ordem combina dois pontos no tempo (compartilhamento e máscara) usando uma função de combinação por produto ou diferença absoluta.

Os bits do expoente da chave privada RSA são recuperados distinguindo padrões de consumo de apenas quadratura dos padrões de quadratura seguida de multiplicação em muitos traços, por meio de um ataque com mensagem escolhida.

A plataforma de código aberto ChipWhisperer fornece componentes físicos e software em Python para captura, alinhamento de traços e CPA. Ela oferece suporte imediato a alvos AES, RSA e ECC.

Na análise de correlação de consumo, o que distingue a hipótese correta da chave das hipóteses incorretas?

A SPA lê visualmente um único traço; a DPA utiliza estatísticas em muitos traços. A CPA utiliza correlação de Pearson com um modelo de peso de Hamming. As contramedidas incluem mascaramento e coordenadas projetivas aleatorizadas para ECC.