PowerPoint Presentation

Size: px

Start display at page:

Download "PowerPoint Presentation"

えつとみうら
3 years ago
Views:

1 耐タンパー性暗号 LSI の設計技術本間尚文東北大学電気通信研究所 1

2 本日の内容サイドチャネル攻撃とその対策秘密分散法に基づくゲートレベル対策技術攻撃センサに基づく回路レベル対策技術まとめ 2

3 スマート社会における新たな脅威新しい情報社会の概念により LSI システムを対象とする攻撃は人命財産インフラの重大な脅威になる Source: IEEE Spectrum

4 暗号 LSI 暗号 LSI( 暗号アルゴリズムを SW/HW で搭載した LSI) は情報セキュリティ実現の基盤技術次世代 ICT 基盤による更なる用途重要性の拡大

5 暗号 LSI に対する物理攻撃暗号モジュールへの物理的アクセスに基づく攻撃暗号アルゴリズム設計段階で考慮できない攻撃 : 認証を得たアルゴリズムでも解読される可能性送信者暗号鍵暗号 LSI 復号鍵受信者平文暗号アルゴリズム暗号文復号アルゴリズム盗聴改ざん盗聴改ざん盗聴改ざん攻撃者平文 5

6 さまざまな物理攻撃平文暗号文非正規入力 ( 故障注入攻撃 ) 周波数電圧変動クロックグリッチ電磁波干渉暗号 LSI 破壊攻撃回路パターン解析配線プロービングレーザー照射 FIB サイドチャネル攻撃非破壊攻撃消費電力放射電磁波演算時間特にサイドチャネル攻撃は現実的な脅威として注目を集める 6

7 サイドチャネル攻撃受動的で非侵襲な攻撃サイドチャネル情報の観測から秘密情報を収奪非破壊非侵襲なため検知困難比較的安価に実現可能パッケージ開封を伴う半侵襲な攻撃もあり何がサイドチャネル情報なり得るか? 電圧 ( 電力 ) 変動放射電磁波演算時間音響変化 ( キーボード情報漏えい ) 攻撃はますます高度に, 対象は IC カード端末から汎用プロセッサクラウドサービスまで拡大 7

8 サイドチャネル攻撃の事例ニューヨークやロンドンなどの地下鉄, オランダで使用されていた IC カードの鍵をサイドチャネル攻撃で取得 Breaking Mifare DESFire MF3ICD40(CHES, 2011) Intel AES-NI 命令セットのサイドチャネル攻撃に対する脆弱性の報告 Defend encryption systems against side-channel attacks (EDN Network, 2015) 8

9 クラウドサービスへのサイドチャネル攻撃アマゾンクラウドサーバー (EC2) へのタイミング攻撃 * 攻撃者と対象がキャッシュを共有することを利用物理アクセスすら必要ないサイドチャネル攻撃 FPGA を搭載したインスタンスの提供開始 (2017/4~) アタックサーフェスの拡大 *Sinan, et al. CHES,

Bounds check bypass: 境界判定を遅延させた投機実行結果の観測 2. Branch target injection:vmを利用した分岐先への不正命令配置 3.

10 アーキテクチャラルサイドチャネル攻撃マイクロアーキテクチャに存在する脆弱性を組み合わせたサイドチャネル攻撃 ** により保護領域の読込や不正プログラムの実行が可能となる脅威 (2018/1) Spectre / Meltdown 3 種の脆弱性を利用 Intel 製 AMD 製のプロセッサに広く影響 Spectre/Meltdown で取り上げられた脆弱性 1. Bounds check bypass: 境界判定を遅延させた投機実行結果の観測 2. Branch target injection:vmを利用した分岐先への不正命令配置 3. Rogue data cache load ( 非権限領域への不正キャッシュ読込 ) キャッシュヒットミスヒットを利用して機密データの読み込みを行う ** 10

11 サイドチャネル攻撃への対策手法ハイディング : 中間値 (SC 情報 ) を処理に依らず一定化 S S M S M S S S M S S M S M S M S M S M 未対策の電力波形対策を施した電力波形マスキング : 乱数による中間値の変換別名 : 秘密共有, 秘密分散乱数乱数平文 ( 入力 ) マスク処理暗号化処理アンマスク処理暗号文 ( 出力 ) サイドチャネル情報を観測されても秘密情報とは無関係 11

12 対策の適用レベル暗号 LSI の設計階層アルゴリズムアーキテクチャレジスタトランスファ論理ゲート回路 / セルレイアウトアルゴリズムレベル ( ダミー演算等 ) アーキテクチャレベル ( バスのマスキング等 ) RTLレベル ( レジスタデータの攪拌等 ) ゲートレベル ( 相補的論理ゲート等 ) 回路セルレベル ( 専用セルライブラリ等 ) レイアウトレベル ( 対称レイアウト等 ) 攻撃の想定が対策レベルを決定対策の適用レベルが下位になるにつれて実装コストが増加従来はアルゴリズムやゲートレベルの対策が一般的 12

13 本日の内容サイドチャネル攻撃とその対策秘密分散法に基づくゲートレベル対策技術攻撃センサに基づく回路レベル対策技術まとめ 13

14 攻撃モデル : d 階プロ - ビングモデル攻撃者は d 本のプローブを用いてレジスタに格納されている値を取得可能 f 0 f 1 g 0 f 2 f 3 g 1 レジスタ 14

15 (s, s) しきい値法を用いたマスキングしきい値法 :Threshold Implementation (TI) 秘密情報 aa を加法的に分解 aa = aa 1 + aa aa ii + + aa ss シェア (aa ii ) を全て知らないと秘密情報を復元不可能攻撃者 d 階プロービングでシェアを全て取得できれば攻撃成功設計者 d 階プロービングでシェアを全て取得させないよう設計 ( もしくは取得できないと仮定 ) d 階プロービングから秘密情報を守るため適切なシェアの数を用いた回路構造を設計 15

16 d 階 TI の構成法 TI 回路が満たすべき 3 つのプロパティ正当性 (Correctness) 各シェアの総和は元の秘密情報になる d 階不完全性 (d th-order non-completeness) 出力シェアを d 個どう選んでも少なくとも 1 つのシェアが独立に存在一様性 (Uniformity) 入出力が取りうる値の出現確率が一様 1 階不完全性を満たす回路の例回路機能の次数に応じて入出力のシェア数が変化 16

17 1 階 TI に基づく暗号 HW の設計共通鍵暗号 ( ブロック暗号 ) 固定長データ ( ブロック ) を単位として処理する暗号ラウンド ( 換字転置処理 ) を繰り返し実行各ラウンドでは元の鍵から生成されたラウンド鍵を使用鍵 (64 ビット ) 副鍵生成ラウンド 1 ラウンド 15 ラウンド 16 Data Encryption Standard: DES 平文 (64ビット) 32 初期転置 F 関数 F 関数 F 関数最終転置 32 暗文 (64ビット) 鍵加算処理 XOR 演算転置処理配線のつなぎ換え換字処理組み合わせ回路やテーブル参照 17

18 AES (Advanced Encryption Standard) ISO/IEC 国際標準暗号データサイズ :128 bits 鍵長 :128/192/256 bits ラウンド関数の構成要素は転置と換字処理 (SPN 構造 ) 10 ラウンド処理 ( 鍵長 128 ビット時 ) 換字処理にはガロア体上の演算を利用 GF(2 8 ) SW HW 実装ともに優れる S00 S10 S20 S30 S00 S10 S20 S30 S00 S10 S20 S30 S00 S10 S20 S30 S01 S02 S03 S 11 S12 S13 S'10 S' 11 S21 S22 S23 S-Box 8 8 S'00 S'20 S'01 S'02 S'03 S'12 S'13 S'21 S'22 S'23 S31 S32 S33 S'30 S'31 S'32 S'33 換字処理 S01 S02 S03 S11 S12 S13 S21 S22 S23 No Shift S00 Left Rotation by 1 Bytes S11 S31 S32 S33 Left Rotation by 3 Bytes S33 S30 転置処理 S01 S02 S03 S12 S13 S10 Left Rotation by 2 Bytes S22 S23 S20 S 01 Mix S' S02 S03 S' Column 32 S 11 S12 S13 S'10 S' 11 S 21 S 31 S22 S32 S23 S33 S01 S02 S03 S11 S12 S13 S21 S22 S23 S31 S32 S33 S'20 S'30 転置処理 k00 k10 k20 k30 Subkey k01 k02 k03 k11 k12 k13 k21 k22 k23 k31 k32 k33 鍵加算 S31 S' 21 S' 31 = S'02 S'12 S'22 S'32 S'00 S'10 S'20 S'30 S21 S32 S'03 S'13 S'23 S'33 S'01 S'02 S'03 S'11 S'12 S'13 S'21 S'22 S'23 S'31 S'32 S'33 Plaintext 128 AddRoundKey Round 1 SubBytes ShiftRows MixColumns AddRoundKey Round 9 SubBytes ShiftRows MixColumns AddRoundKey Round 10 SubBytes ShiftRows AddRoundKey 128 Plaintext 18

19 共通鍵暗号のハードウェアアーキテクチャ代表的なハードウェアアーキテクチャ unrolled 実装 Round Function Round Function round 実装 serial 実装 S Round Function Round Function アンロールドアーキテクチャ Round Function ループアーキテクチャ ( ラウンドベース ) P バイトシリアルアーキテクチャ 19

20 1 階 TI に基づく AES ハードウェアの性能 GE 400K~ Unrolled 5,120~ bit 必要な乱数のビット数回路面積 40K~ Roundbased 512~ bit 6K~ Byteserial 32~ bit 遅延時間 20

21 1 階 TI に基づく AES の構成要素線形関数 (ShiftRows MixColumns) はシェア数分だけ多重化未対策回路 ShiftRows MixColumns 非線形関数 (S-box) が性能を左右未対策回路 S-box TI の回路構成 ShiftRows ShiftRows ShiftRows ShiftRows MixColumns MixColumns MixColumns MixColumns TI の回路構成 TI-based S-box 21

22 合成体算術に基づく AES S-box AES S-box は GF(2 8 ) 上の逆元演算器の構成が性能を左右合成体 GF(((2 2 ) 2 ) 2 ) 上の算術演算を用いた構成が小型高効率実装に適する入力に同型写像を適用して合成体の元に変換合成体上の逆元演算後に逆写像を適用 AES の体合成体 AES の体 22

23 1 階 TI に基づく逆元演算器合成体算術により回路機能の次数を削減 3 ステージに分解すると高効率第 2 ステージの実装法と TI の入力シェア数の違いによるバリエーション 23

24 1 階 TI の性能オーバーヘッド Unprotected Moradi+, EC 2011 TI Bilgin+, TCAD 2015 Cnudde+, CHES 2016 Ueno+, COSADE 2017 Area [GE] 2,421 11,114 8,119 6,681 6,334 Latency Power [uw] Area- Latency product Power- Latency product Process [nm] 6.66 (0.88*) (3.14*) No data K 2,956 K 1,997 K 1,844 K 1,387 K 1, (184.80*) 6, (835.24*) * Multiplied by square of process rate No data

25 サイドチャネル攻撃耐性の実験的評価 1 階 TI に基づく AES 暗号ハードウェアを FPGA 上に実装し, 動作中の電圧変動を計測実験装置の全体図 AES を実装した FPGA チップボード FPGA クロック周波数オシロスコープサンプリングレート実験環境 SASEBO-G Xilinx Virtex PRO II 24MHz Tektronix DPO7254 1GS/s 計測波形数 500,000 25

26 t 検定に基づく攻撃耐性評価ランダムな平文から得られた消費電力波形ある固定の平文から得られた消費電力波形 t 検定 : 二つの波形群の平均値に有意差があるかを検定未対策版対策版 4.5 t 値 t 値

27 本日の内容サイドチャネル攻撃とその対策秘密分散法に基づくゲートレベル対策技術攻撃センサに基づく回路レベル対策技術まとめ 27

28 局所電磁波攻撃局所電磁波攻撃 : マイクロ磁界プローブにより暗号 LSI の局所的な漏洩情報を正確に観測従来対策の想定を越えた攻撃が可能 LSI 設計における最小単位 ( 標準セルメモリマクロ ) からの様々な漏洩電流経路リーク内部非線形ゲートリークメモリアドレスリーク多くの既存対策手法を無効化する可能性アルゴリズムレベルゲートレベルの対策ほぼ全てが無効化され得る計測技術や計測デバイスの発達に脅威がより現実的に 28

29 既存の回路ボードレベル対策 X Z Y Q トランジスタレベルの対称設計 Atmel ATSHA204 LSI 上のアクティブシールディング特殊なパッケージング性能オーバーヘッドや製造コストの大幅な増加より高分解能な攻撃や基板裏面からの攻撃の可能性 29

30 電磁波攻撃センサプローブ接近による電磁界の乱れを検出プローブと回路との電気的結合は物理法則上不可避 [ 神戸大 NAIST との共同研究 ] 電磁波攻撃センサの概念図磁界プローブ 1/2π LC プローブ無コイル (LC 発振器 ) f LC M Spectrum 1/2π (L-M)C 相互インダクタンスプローブ有暗号モジュール LC Oscillation Frequency f LC 発振周波数のシフトによりプローブ ( 攻撃の兆候 ) を検知 30

31 双対センサコイルアーキテクチャ f LC1 f LC2 Frequency shift f LC1 f LC2 シフト差による検出双対センサコイル Sensor-to-probe vertical distance 参照周波数源が不要多様なプロービングシナリオに対応可能異なるコイル形状巻き数 PVT による周波数変動をディジタル校正 31

32 センサコア回路 LC Oscillator Ring Oscillator Coil L 1 x2 n n MOS Capacitor Bank LUT Clock Count #LC1 Detection #RO1 Calibration Counter f LC1 -f LC2 Control Detection sig. #LC2 Calibration Coil L 2 LUT #RO2 LC Oscillator for L 2 Ring Oscillator for L 2 LC 発信部, リング発信部, 検出部, 周波数校正部, 制御部からなる 32

33 センサの設計と実証実験 128 ビット AES プロセッサと提案センサを TSMC 0.18mm CMOS プロセスにより試作マイクロプローブ接近による基本性能を実証 620µm モニタ /PC 770µm AES プロセッサ (1 ラウンド / サイクルループアーキテクチャ ) マイクロスコーププローブ治具コイル L 1 コイル L 2 シグナルアナライザ評価用基板 (SASEBO) センサコア 33

34 攻撃センサによる検知デモ EM Attack Sensor Demo (YouTube) 34

最小径プローブの検出 y position [mm] y position [mm]

35 最小径プローブの検出 y position [mm] y position [mm] x position [mm] Freq. shift rate[%] Freq. shift rate[%] Probe (0.2mmφ) Sensor L1 L2 Coil Probe (0.3mmφ) Sensor Coil L1 L2 35

36 攻撃センサのオーバーヘッド AES core Sensor Total (Sensor Overhead) 2NAND Gate Count Wire Resource Layout Area 24.3k 0.3k 0.40mm mm mm mm k (+1.2%) 0.45 (+11%) 0.49mm 2 (+2%) Performance 125ms/Enc 0.3ms/Sense 125.3ms (-0.2%) Power Consumption 0.23mW 0.02mW 0.25mW (+9%) 36

37 攻撃センサの可能性と課題プロービング攻撃全般に適用可能プローブの接近による電磁界の乱れを μ 秒オーダで検知従来の LSI 設計手法により容易に設計製造可能一般的な共通鍵暗号 HW に対して従来対策の 1/300~1/400 程度のオーバーヘッドで実現可能双対コイルのシフト量を揃える攻撃は実現困難今後の課題検知可能な距離 ( 現在 :~0.3mm) の延伸シリコン基板裏面からの攻撃は検知可能パッケージ越しの ( 非破壊な ) 攻撃の検知は困難従来対策との相補的な適用の検討 37

38 本日の内容サイドチャネル攻撃とその対策秘密分散法に基づくゲートレベル対策技術攻撃センサに基づく回路レベル対策技術まとめ 38

39 SCA 耐性 LSI 設計の課題どのように漏えいモデルを想定するか漏えいモデルの想定が成り立つときのみ対策は有効回路計測解析技術の進歩をどのように評価するか計測の想定 ( 計測位置, 計測回数等 ) はしばしば現実と異なる新たなサイドチャネル情報利用の可能性アーキテクチャ的なデータ依存性など効率的な耐性検証評価手法 1000 万回の計測は本当に必要か 39

40 まとめスマート社会の進展に伴う暗号 LSI への物理攻撃のリスクの高まり今後従来の性能 ( 演算速度消費電力など ) に加えて耐タンパー性という新たなシステム設計指標が求められる想定される攻撃に応じた適切な対策が必要秘密分散法によるマスキング対策双対コイルセンサによる反応型対策セキュリティ機能 ( 暗号 ) を搭載したシステム設計実装の研究は始まったばかり高い安全性超スマート社会! 40

CLEFIA_ISEC発表

CLEFIA_ISEC発表 128 ビットブロック暗号 CLEFIA 白井太三渋谷香士秋下徹盛合志帆岩田哲ソニー株式会社名古屋大学目次背景アルゴリズム仕様設計方針安全性評価実装性能評価まとめ 2 背景 AES プロジェクト開始 (1997~) から 10 年 AES プロジェクト攻撃法の進化代数攻撃関連鍵攻撃新しい攻撃法への対策暗号設計法の進化 IC カード, RFID などのアプリケーション拡大