Effektanalys: SPA och DPA

Effektanalys mäter den momentana elektriska effekt som en enhet förbrukar under kryptografiska operationer. Effektförbrukningen beror på de data som behandlas och läcker hemliga nyckelbitar.

Vid SPA granskas en enda effektkurva visuellt. Exponentiering med square-and-multiply läcker exponenten: ett multiplikationssteg har en annan effektprofil än ett enskilt kvadreringssteg.

DPA använder statistisk analys över många mätkurvor. Angriparen låser en hypotes för en enda nyckelbit, delar upp mätkurvorna efter det förutsagda mellanvärdet och letar efter en korrelationsspik.

Ett viktigt antagande är att effektförbrukningen är proportionell mot antalet ettbitar (Hammingvikten) i det värde som behandlas. Detta stämmer väl för CMOS-logik vid låga frekvenser.

CPA använder Pearson-korrelation mellan den förutsagda Hammingvikten för ett mellanvärde och den uppmätta effekten vid varje tidsprov. Den korrekta nyckelhypotesen ger den högsta korrelationen.

Forskare använder ett strömavkänningsmotstånd i serie med målenheten samt ett oscilloskop eller ett ChipWhisperer-kort för att digitalisera kurvan med 100 MS/s eller mer.

Rikta in analysen på den första AES-ronden: för var och en av 256 kandidater till nyckelbyte förutsägs Hammingvikten för SubBytes-utdata och korrelationen med mätkurvorna beräknas. Det korrekta bytet framträder med en korrelation på ungefär 0.9+.

Maskerade implementationer delar varje mellanvärde i slumpmässiga andelar. Andra ordningens DPA kombinerar två tidpunkter (andel och mask) med en produkt eller en kombinationsfunktion baserad på absolut differens.

Bitarna i RSA:s privatnyckelexponent återställs genom att man skiljer mellan square-only- och square-then-multiply-effektmönster över många mätkurvor med hjälp av en attack med valt meddelande.

Plattformen ChipWhisperer med öppen källkod tillhandahåller maskinvara och Python-programvara för insamling, justering av mätkurvor och CPA. Den stöder AES-, RSA- och ECC-mål direkt.

SPA läser av en enda mätkurva visuellt, medan DPA använder statistik över många mätkurvor. CPA använder Pearson-korrelation med en Hammingviktsmodell. Motåtgärder omfattar maskering och randomiserade projektiva koordinater för ECC.