Атака сторонніми каналами

Залежно від ступеню впливу на процес обчислення атаки можна поділити на:

• Пасивні — нападник отримує без помітного впливу на систему; система при цьому продовжує діяти як і раніше.
• Активні — нападник впливає на систему, в наслідку чого змінюється її поведінка; така зміна може бути непомітною для системи яку атакують, але криптоаналітик в змозі використати цю інформацію.

Залежно від рівня доступу[4] до апаратного модуля можна виділити три класа атак[5]:

• Насильницькі (англ. invasive) — відкриття системи криптоаналітиком і отримання прямого доступу до внутрішніх компонентів.
• Напівнасильницькі (англ. semi-invasive) — вплив на внутрішні компоненти відбувається без безпосереднього контакту з пристроєм: наприклад за допомогою лазерного проміню.[6]
• Ненасильницькіий (англ. non-invasive) — без впливу на досліджувану систему; використовується лише інформація доступна зовні: наприклад час обчислення або спожита енергія.

Варто зазначити, що пристрій обладнується захисними механізмами, що захищають від проникнення (насильницьких атак).[7] Помітити і запобігти ненасильницьким атакам практично неможливо. Ненасильницькі атаки також вигідніші з економіної точки зору: масштабні атаки майже не вимагають збільшення вартості обладнання.[6]

В залежності від методів застосовуваних для аналізу отриманої інформації, атаки сторонніми каналами можна поділити на[8]:

• Прості (англ. simple side channel attack) — дослідження прямої залежності між процесами у пристрої та отриманою криптоаналітиком інформацією; корисна інформація в сигналі повинна бути віддільна від шумів.
• Різницеві (англ. differential side channel attack) — криптоаналітик використовує статистичні методи для дослідження залежності між вхідним і вихідним каналами та інформацією отриманою стороннім каналом; використовується безліч вимірів, особлива обробка сигналу та керування помилками.[9]

Атака зондуванням (англ. probing attack) — насильницька пасивна проста атака. ля отримання інформації пристрій відкривається, за допомогою оптичного мікроскопа вивчається друкована плата і встановлюються щупи на провідники, якими йдуть сигнали, або за допомогою мікроскопа[10] досліджується стан комірок пам'яті.[11] [12] процес спрощується при використанні зондувального приладу, яка включає мікроскопи і мікроманіпулятори для встановлення щупів на поверхні чипа. Такі прилади використовуються в напівпровідниковій промисловості для перевірки зразків виробів; ціна на вторинному ринку складаєблизько 10000$.[11] Щоб спростити спостереження криптоаналітик зазвичай уповільнює тактову частоту роботи приладу.[13]

Атака по часу (англ. timing attack) — перша серед широко відомих атак сторонніми каналами, запропонована Полом Кохером 1996[14] і застосована на практиці проти алгоритму RSA 1998.[15] Атака основана на припущені, що різні операції виконуються в пристрої за різний час, залежно від поданих на вхід даних. Так, вимірюючи час обчислень і проводячи статистичний аналіз даних, можна отримати повну інформацію про секретний ключ.

Вирізняють ступені схильності алгоритмів до даного типу атак[16]:

• Атака неможлива на алгоритми, операції яких виконуються за однаковий час на всіх платформах: зсув, циклічний зсув та інші бітові операції над фіксованим числом біт.
• Можлива атака на алгоритми, що використовують додавання і віднімання.
• Особливо схильні до таких атак алгоритми, що використовують множення, ділення, піднесення до степеня і бітові операції на довільним числом біт.

Одним з різновидів атак по часу є також атаки на кеш (англ. cache-based attacks). Цей тип атак ґрунтується на вимірюваннях часу і частоти промахів в кеш процесора і спрямований на програмні реалізації шифрів[17]

Атаки по часу також можна застосовувати віддалено. Так наприклад, відомі атаки по мережі на сервери, що використовують OpenSSL.[18]

Серед розповсюджених алгоритмів атаці по часу схильні DES, AES, [19] IDEA, RC5.[14]

Атака по помилках обчислень (англ. fault–induction attack) — активна атака. Основна ідея — здійснення різних впливів на шифратор з метою утворення викривлення інформації на деяких етапах шифрування. Керуючи цими викривленнями і порівнюючи висліди на різних етапах роботи пристрою, криптоаналітик може відновити секретний ключ. Вивчення атак на основі помилок обчислень зазвичай розділяються на дві гілки: одна вивчає теоретичні можливості для утворення помилок в самому алгоритмі, друга досліджує методі впливу для втілення цих помилок в конкретних пристроях.

Найрозповсюдженіші методи впливу[20]:

• Зміна напруги живлення криптосистеми. Відхилення в живлені, що сильно перевищують задані виробником норми, можуть призвести до помилок на певних етапах роботи, не заважаючи пристрою завершити процес шифрування. [21]
• Зміна будови шифратора (порушення електричних контактів).
• Зміна тактової частоти шифрувального пристрою. При точному керуванні відхиленням тактової частоти від заданої норми, можна досягти повної зміни виконання інструкцій в пристрої, аж до невиконання певної інструкції. [22] Такі атаки особливо застосовні до смарт-карт, тактовий сигнал для яких подається зовнішнім генератором.
• Вплив лазерним променем або сфокусованим світовим пучком. За допомогою такого впливу можна змінювати стан комірки пам'яті і впливати на умовні переходи в виконанні коду.[6]
• Вплив змінним магнітним полем. Змінне магнітне поле викликає в ланцюгах пристрою вихрові струми, які можуть змінювати стан комірок пам'яті.
• Міщення пристрою в сильне електромагнітне поле.
• Підвищення температури якоїсь частини шифратора.

Атаки по помилках обчислень можна впорядкувати по типу отриманої помилки[20]:

• Сталі або змінні помилки. Сталі мають сили впродовж дії усього алгоритму, наприклад встановлення значення в комп'ютерній пам'яті або зміна шляху проходження сигналу. Змінні помилки відбиваються лише на певних етапах.
• Місце виникнення помилки: місцева помилка, наприклад зміна комірки пам'яті, або помилка в довільному місці пристрою, наприклад атака за допомогою електромагнітного поля.
• Час впливу: деякі атаки вимагають застосування впливу в певний час, як наприклад зміна тактової частоти, інші ж дозволяють здійснити атаку в ширшому діапазоні часу роботи.
• Тип помилки: зміна значення біта, установка встановленого значення, змін азначення групи бітів повністю, зміна потоку виконання команд та інші

Атаки на основі помилок обчислень вивчаються з 1996[23] і відтоді майже для всіх алгоритмів показали можливість зламу за допомогою такого типу атак. Серед відомих алгоритмів можна виділити:

• Атакі на RSA, що викортсовують китайську теорему про залишки[23][24]
• Диференціальний криптоаналіз по помилках обчислень DES[25]
• Криптоаналіз AES[22]
• Диференціальний криптоаналіз систем, що ґрунтуються на еліптичних кривих[26]

Атака по енергоспоживанню (англ. power analysis attack) — пасивна атака, запропонована Полом Кохером у 1999.[27] Сутність цієї атака полягає в тому, що в процесі роботи шифратора криптоаналітик з високим ступенем точності вимірює енергоспоживання пристрою і таким чином отримує інформацію про виконувані в пристрої дії та їх параметри. Через те, що живлення пристрою зазвичай подається ззовні, така атаку атаку легко втілити: достатньо послідовно в коло живлення резистор і точно вимірювати струм, що проходить крізь нього. Інший спосіб — вимірювати зміну напруги на входах і виходах пристрою під час шифрування.[28]

Атаки за потужністю вирізняються високою дієвістю з точки зору затрат на криптоаналіз. Так наприклад, проста атака за потужністю (англ. simple power analysis) на смарт-карту здійсненна за кілька секунд, а декотрі варіанти різницевих атак за потужністю (англ. differential power analysis) дозволяють отримати секретний ключ за 15 вимірів.[27]

Атака по електромагнітному випроміненню (англ. electromagnetic analysis attacks) — пасивна атака. Електронні пристрої шифрування під час роботи випромінюють електромагнітне випромінення. Зв'язуючи певні спектральні компоненти цього випромінення з операціями виконуваними на пристрої, можна  отримати достатньо інформації для визначення секретного ключа або інформації, що обробляється.

Прикладом такої атаки є перехоплення ван Эйка здійснене в 1986. В подальшому атаки по електромагнітному випроміненню застосовувались до різних шифрів, наприклад:

• DES і RSA[29][30]
• Втілення AES[31] і криптосистем на еліптичних кривих[32] на FPGA
• Використання криптографічних геш-функцій HMAC[33]

Акустична атака (англ. acoustic attack) — пасивна атака, спрямована на отримання інформації зі звуків створюваних пристроєм. Історично тип таких атак пов'язується з прослуховуванням принтерів і клавіатур,[34]}} але в останні роки знайшли вразливості, що дозволяють викоритсовувати акустичні атаки на внутрішні складові шифраторів.[35]

Атака по видимому випроміненню (англ. visible light attack) — пасивна атака, запропонована Маркусом Куном у 2002.[36] У своїй роботі він показав, що використовуючи високоточний давач інтенсивності світла можна виміряти зміни в інтенсивності розсіяного від монітора світла, і таким чином відновити зображення на екрані[37] Цей тип атак також можна застосовувати до шифраторів, що використовують світлодіодні індикатори, аналізуючи дані від яких можна отримати інформацію про операції в пристрої.[38]

Досить потужне фізичне застування пристрою дозволяє усунути майже всі побічні канали витоку інформації. Вадою застування є істотне збільшення вартості і розмірів пристрою.

Додавання шуму істотно ускладнює задачу криптоаналітака. Шуми зменшують відсоток корисної інформації в побічному каналі, роблячи її використання недоцільним через витрати або й взагалі неможливим. Шум можа додати як програмно (додання випадкових обчислень), так і апаратно (встановлення різних генераторів шуму).

Щоб криптоаналітик не міг провести атаку по часу виконання всі етапи шифрування в пристрої мають виконуватись за однаковий час. Досягти цього можна такими способами:

• Додавання фіксованої затримки. Якщо відома кінцева апаратна платформа, то можна розрахувати час виконання кожної операції і вирівняти їх додав фіксовані затримані.
• Одночасне виконання декількох можливих операцій. Якщо в якийсь момент алгоритму має виконуватись або множення або квадратування, то треба виконати обидві операції,а непотрібний результат відкинути.

Очевидною вадою такого підходу є уповільнення роботи пристрою. Також такі заходи не допомагають від динамічних затримок, таких як промах кешу.

За можливості при виконанні операцій треба задіяти всі апаратні частини пристрою (наприклад регістри або вентилі), на невикористовних складових треба проводити удавані обчислення. Таким чином можна досягти постійності енергоспоживання пристроєм і захиститись від атак по енергозбереженню.

Захиститись від багатьох атак сторонніми каналами можна усунувши в алгоритмі операції умовного переходу, що залежать від вхідних даних або секретного ключа. В ідеалі алгоритм взагалі не повинен містити операторів галуження і всі обчислення повинні виконуватись за допомогою елементарних побітових операцій.

Якщо обчислення не залежать від вхідних даних або секретного ключа, то криптоаналітик не зможе їх отримати з інформації зі стороннього каналу. Здобутися цього можна такими способами:

• Маскування (англ. masking) — спосіб за якого до даних на вході застосовують декотра маска, проводяться обчислення і зворотна корекція маски. Тобто при атаці сторонніми каналами криптоаналітик може отримати якесь проміжне значення, що не розкриває даних поданих на вхід.
• Виконання обчислень наосліп (англ. blinding) — підхід у криптографії, за якого пристрій надає функцію шифрування, при цьому не знаючи реальних вхідних даних. Вперше цей метод застосували до алгоритму RSA і покладається на властивість гомоморфності функції шифрування.[40] Не всім алгоритмам шифрування властива гомоморфність, тим більше повна.