Анализ энергопотребления: SPA и DPA

Анализ энергопотребления измеряет мгновенную электрическую мощность, потребляемую устройством во время криптографических операций. Энергопотребление зависит от обрабатываемых данных и раскрывает биты секретного ключа.

При SPA визуально исследуется одна трасса энергопотребления. Возведение в квадрат и умножение раскрывают показатель степени: шаг умножения имеет другой профиль энергопотребления, чем один только шаг возведения в квадрат.

DPA использует статистический анализ множества трасс. Атакующий фиксирует гипотезу об одном бите ключа, разделяет трассы по предсказанному промежуточному значению и ищет пик корреляции.

Ключевое предположение: энергопотребление пропорционально числу единичных битов (весу Хэмминга) обрабатываемого значения. Для логики CMOS на низких частотах это хорошо выполняется.

CPA использует корреляцию Пирсона между предсказанным весом Хэмминга промежуточного значения и измеренным энергопотреблением в каждом отсчёте времени. Правильная гипотеза о ключе даёт наибольшую корреляцию.

Исследователи используют последовательный резистор для измерения тока в целевом устройстве и осциллограф или плату ChipWhisperer, чтобы оцифровать трассу со скоростью 100 MS/s или выше.

Атакуйте первый раунд AES: для каждого из 256 кандидатов на байт ключа предскажите вес Хэмминга результата SubBytes и сопоставьте его с трассами. Правильный байт выделяется при корреляции около 0,9 и выше.

Реализации с маскированием разделяют каждое промежуточное значение на случайные доли. DPA второго порядка объединяет две временные точки (долю и маску) с помощью функции-комбинации, основанной на произведении или абсолютной разности.

Биты показателя степени закрытого ключа RSA восстанавливаются путём различения шаблонов энергопотребления только для возведения в квадрат и для возведения в квадрат с последующим умножением на множестве трасс с помощью атаки с выбранным сообщением.

Платформа с открытым исходным кодом ChipWhisperer предоставляет аппаратное обеспечение и программное обеспечение на Python для захвата данных, выравнивания трасс и CPA. Она изначально поддерживает цели AES, RSA и ECC.

В корреляционном анализе энергопотребления чем правильная гипотеза о ключе отличается от неправильных?

SPA визуально анализирует одну трассу; DPA использует статистику множества трасс. CPA использует корреляцию Пирсона с моделью веса Хэмминга. Контрмеры включают маскирование и рандомизированные проективные координаты для ECC.