NetworkShop 2004 2004.. április 7. Kriptográfiai algoritmus implementációk időalapú támadása Endrődi Csilla, Csorba Kristóf BME MIT
Bevezetés Ma használt algoritmusok matematikailag alaposan teszteltek Implementációs sajátosságok kihasználhatóak támadásra Implementáció-függő támadások: végrehajtási idő, EM sugárzás, hődisszipáció, áramfelvétel stb. Idő alapú támadás Kocher módszere (elméleti módszer több algoritmusra), 1996 UCL Crypto Group módszere (RSA törés), 2000 Új modell: RSA implementáció logikai idő alapú támadása NetworkShop 2004. 2.
Idő alapú támadás Titkos kulccsal való műveletvégzés végrehajtási ideje függ a kulcs értékétől Bizonyos esetekben a mért idők alapján következtetni lehet a titkos kulcs értékére Szükséges az algoritmus részletes ismerete Passzív lehallgatás elegendő a működéséhez Kérdés Válasz Eltelt idő Implementáció Titkos kulcs NetworkShop 2004. 3.
Idő alapú támadás RSA ellen RSA algoritmus Kulcsgenerálás: p, q prímek; m = p*q Φ(m) = (p-1) * (q-1) e tetszőleges: 1 e Φ(m); (e, Φ(m)) = 1 d * e = 1 mod Φ(m) Nyilvános kulcs: (e, m) Titkos kulcs: (d, m) Kódoló függvény: E(x) = x e mod m;! x < m; Dekódoló függvény: D(y) = y d mod m NetworkShop 2004. 4.
Idő alapú támadás RSA ellen RSA algoritmus Modulo m hatványozás Titkos kulcs használata dekódolásnál, aláírásnál Moduláris hatványozás: gyorshatványozó algoritmussal NetworkShop 2004. 4.
Idő alapú támadás RSA ellen RSA algoritmus Modulo m hatványozás Titkos kulcs használata dekódolásnál, aláírásnál Moduláris hatványozás: gyorshatványozó algoritmussal Kocher módszere MSB LSB gyorshatványozás alkalmazásakor Minden lépésben egy kulcsbitet fejt meg Sok megfigyelés kell hozzá Statisztikai alapokon hoz döntést Elméleti jelentőségű módszer Gyakorlatban kevésbé kivitelezhető t t {T i } {t 1,i } {T i } {t 1,i } X i X i NetworkShop 2004. 4.
Idő alapú támadás RSA ellen UCL Crypto Group módszere MSB LSB gyorshatványozás alkalmazásakor Moduláris szorzás: Montgomery algoritmussal Gyakorlati jelentőségű módszer CASCADE smart card esetében Erdmények: 512 bites kulcs törése percek alatt, 300 ezer megfigyelés alapján 128 bites kulcs törése másodpercek alatt 10 ezer megfigyeléssel Két változat: A szorzás támadása A négyzetreemelés támadása Hibajavító tulajdonság Statisztikai alapon hoz döntést NetworkShop 2004. 5.
Idő alapú támadás RSA ellen A szorzás támadása MSB LSB gyorshatványozás y temp := x; x 13 = x 8 * x 4 * x = ((((((x) 2 )*x) 2 ) 2 )*x) Montgomery algoritmus -Redukciós lépés for (i = 0; i <= m; i++) { if (d i == 1) y temp := (y temp * x) mod m; y temp := (y temp *y temp ) mod m; } return y temp ; d első i-1 bitjét, és az üzenetek aktuális értékét ismerjük Tf.: d i = 1. Ekkor: X Van redukció X 1? T X1 > T X2 Nincs redukció X 2 NetworkShop 2004. 6.
Új megközelítés Mennyire veszélyes ez az RSA-ra? Cél: Pontosan definiált keretek közötti általánosítás Tiszta modell, a támadás sikerességi feltételének formalizálása A módszer hatékonyságának javítása Megkötés az algoritmusra Előfeldolgozás - Sok algoritmus ilyen Ciklus if Θ(d i, x) then A B - Gyorshatványozó algoritmusok Utómunkálat NetworkShop 2004. 7.
Új megközelítés Újdonságok 1. Logikai idők alkalmazása Az utasítások költségértékekkel való ellátása Zajmentes összegzés Tetszőleges implementáció szimulálása Hangolás szükséges! 2. One Step mérésének lehetősége Az egyes iterációk végrehajtási idejének pontos ismerete Az előző adatok felhasználhatósága 3. Konstans számú kulcsjelölt Az exponenciális kulcstér robbanás elkerülése Téves döntés megengedett néhány lépésben Jelöltek száma meghatározza a törés sikerét x 1 x 2 x N x NetworkShop 2004. 8.
Új megközelítés Megvalósítás Jelenleg: OpenSSL, RSA Kriptográfiai algoritmus cserélhető Szelekciós eljárás: különböző jósági tényezők lehetősége Továbbfejlesztés Zaj bevezetése a modellbe További jelöltszelekciós eljárások vizsgálata Még általánosabb kriptográfiai algoritmusok vizsgálata Protokollok vizsgálata (pl. SSL) NetworkShop 2004. 9.
Összefoglalás Nem minden alkalmazás veszélyeztetett Már van gyakorlatban sikeresen megvalósított támadás UCL Crypto Group (smart card), 2000. Stanford University (OpenSSL), 2003. Lehet ellene védekezni Vannak algoritmusok a védelemre Már beépített lehetőségek (pl. OpenSSL: blinding) Sokszor nem használják őket! NetworkShop 2004. 10.
Köszönjük a figyelmet!