Kriptográfiai algoritmus implementációk időalapú támadása Endrődi Csilla, Csorba Kristóf BME MIT

Méret: px

Mutatás kezdődik a ... oldaltól:

Download "Kriptográfiai algoritmus implementációk időalapú támadása Endrődi Csilla, Csorba Kristóf BME MIT"

Orsolya Rácz
8 évvel ezelőtt
Látták:

1 NetworkShop április 7. Kriptográfiai algoritmus implementációk időalapú támadása Endrődi Csilla, Csorba Kristóf BME MIT

2 Bevezetés Ma használt algoritmusok matematikailag alaposan teszteltek Implementációs sajátosságok kihasználhatóak támadásra Implementáció-függő támadások: végrehajtási idő, EM sugárzás, hődisszipáció, áramfelvétel stb. Idő alapú támadás Kocher módszere (elméleti módszer több algoritmusra), 1996 UCL Crypto Group módszere (RSA törés), 2000 Új modell: RSA implementáció logikai idő alapú támadása NetworkShop

3 Idő alapú támadás Titkos kulccsal való műveletvégzés végrehajtási ideje függ a kulcs értékétől Bizonyos esetekben a mért idők alapján következtetni lehet a titkos kulcs értékére Szükséges az algoritmus részletes ismerete Passzív lehallgatás elegendő a működéséhez Kérdés Válasz Eltelt idő Implementáció Titkos kulcs NetworkShop

kulcs értékére Szükséges az algoritmus részletes ismerete Passzív lehallgatás

4 Idő alapú támadás RSA ellen RSA algoritmus Kulcsgenerálás: p, q prímek; m = p*q Φ(m) = (p-1) * (q-1) e tetszőleges: 1 e Φ(m); (e, Φ(m)) = 1 d * e = 1 mod Φ(m) Nyilvános kulcs: (e, m) Titkos kulcs: (d, m) Kódoló függvény: E(x) = x e mod m;! x < m; Dekódoló függvény: D(y) = y d mod m NetworkShop

mod Φ(m) Nyilvános kulcs: (e, m) Titkos kulcs: (d, m) Kódoló függvény: E(x)

5 Idő alapú támadás RSA ellen RSA algoritmus Modulo m hatványozás Titkos kulcs használata dekódolásnál, aláírásnál Moduláris hatványozás: gyorshatványozó algoritmussal NetworkShop

6 Idő alapú támadás RSA ellen RSA algoritmus Modulo m hatványozás Titkos kulcs használata dekódolásnál, aláírásnál Moduláris hatványozás: gyorshatványozó algoritmussal Kocher módszere MSB LSB gyorshatványozás alkalmazásakor Minden lépésben egy kulcsbitet fejt meg Sok megfigyelés kell hozzá Statisztikai alapokon hoz döntést Elméleti jelentőségű módszer Gyakorlatban kevésbé kivitelezhető t t {T i } {t 1,i } {T i } {t 1,i } X i X i NetworkShop

Minden lépésben egy kulcsbitet fejt meg Sok megfigyelés kell hozzá Statisztikai alapokon hoz döntést Elméleti

7 Idő alapú támadás RSA ellen UCL Crypto Group módszere MSB LSB gyorshatványozás alkalmazásakor Moduláris szorzás: Montgomery algoritmussal Gyakorlati jelentőségű módszer CASCADE smart card esetében Erdmények: 512 bites kulcs törése percek alatt, 300 ezer megfigyelés alapján 128 bites kulcs törése másodpercek alatt 10 ezer megfigyeléssel Két változat: A szorzás támadása A négyzetreemelés támadása Hibajavító tulajdonság Statisztikai alapon hoz döntést NetworkShop

percek alatt, 300 ezer megfigyelés alapján 128 bites kulcs törése másodpercek alatt 10 ezer megfigyeléssel Két

8 Idő alapú támadás RSA ellen A szorzás támadása MSB LSB gyorshatványozás y temp := x; x 13 = x 8 * x 4 * x = ((((((x) 2 )*x) 2 ) 2 )*x) Montgomery algoritmus -Redukciós lépés for (i = 0; i <= m; i++) { if (d i == 1) y temp := (y temp * x) mod m; y temp := (y temp *y temp ) mod m; } return y temp ; d első i-1 bitjét, és az üzenetek aktuális értékét ismerjük Tf.: d i = 1. Ekkor: X Van redukció X 1? T X1 > T X2 Nincs redukció X 2 NetworkShop

temp := (y temp * x) mod m; y temp := (y temp *y temp ) mod m; } return y temp ; d első i-1 bitjét, és az

9 Új megközelítés Mennyire veszélyes ez az RSA-ra? Cél: Pontosan definiált keretek közötti általánosítás Tiszta modell, a támadás sikerességi feltételének formalizálása A módszer hatékonyságának javítása Megkötés az algoritmusra Előfeldolgozás - Sok algoritmus ilyen Ciklus if Θ(d i, x) then A B - Gyorshatványozó algoritmusok Utómunkálat NetworkShop

sikerességi feltételének formalizálása A módszer hatékonyságának javítása Megkötés az

10 Új megközelítés Újdonságok 1. Logikai idők alkalmazása Az utasítások költségértékekkel való ellátása Zajmentes összegzés Tetszőleges implementáció szimulálása Hangolás szükséges! 2. One Step mérésének lehetősége Az egyes iterációk végrehajtási idejének pontos ismerete Az előző adatok felhasználhatósága 3. Konstans számú kulcsjelölt Az exponenciális kulcstér robbanás elkerülése Téves döntés megengedett néhány lépésben Jelöltek száma meghatározza a törés sikerét x 1 x 2 x N x NetworkShop

11 Új megközelítés Megvalósítás Jelenleg: OpenSSL, RSA Kriptográfiai algoritmus cserélhető Szelekciós eljárás: különböző jósági tényezők lehetősége Továbbfejlesztés Zaj bevezetése a modellbe További jelöltszelekciós eljárások vizsgálata Még általánosabb kriptográfiai algoritmusok vizsgálata Protokollok vizsgálata (pl. SSL) NetworkShop

Zaj bevezetése a modellbe További jelöltszelekciós eljárások vizsgálata Még

12 Összefoglalás Nem minden alkalmazás veszélyeztetett Már van gyakorlatban sikeresen megvalósított támadás UCL Crypto Group (smart card), Stanford University (OpenSSL), Lehet ellene védekezni Vannak algoritmusok a védelemre Már beépített lehetőségek (pl. OpenSSL: blinding) Sokszor nem használják őket! NetworkShop

13 Köszönjük a figyelmet!

Hasonló dokumentumok

Kriptográfiai algoritmus implementációk időalapú támadása

Bevezetés Kriptográfiai algoritmus implementációk időalapú támadása Endrődi Csilla Csorba Kristóf BME Méréstechnika és Információs Rendszerek Tanszék