时间防护面向分支预测的脆弱性分析*

杨 珍,唐 明,程金花,张 尧

1.武汉大学 国家网络安全学院,武汉 430072

2.北京语言大学,北京 100191

1 引言

侧信道攻击通过密码算法在物理设备上的执行信息来获取密钥,成为当前威胁密码算法安全的重要因素.这些执行信息包括运行时间[1]、cache行为[2]、能耗[3]以及电磁[4]等等.其中,时间侧信道可以远程观测和测量,是当前互联网环境下主要的侧信道威胁.

研究者在对称和非对称密码算法的具体实现中,都发现了时间攻击的可行性,例如RSA[1,5-8]以及AES[9].这些攻击利用算法实现本身在设计上的缺陷,通过算法运行时间和秘密信息的依赖关系破解密钥.

为了保证密码算法的安全性,许多针对时间侧信道攻击的防护方案被提出.这些方案主要从两个方面入手,一是通过对输入进行盲化(blinding),从而抵抗时间攻击[1,5];二是通过对分支结构进行调整,以产生恒定时间(constant-time)的密码算法实现[10].

盲化方案主要打破攻击者时间测量值与密钥之间的相关性,例如在RSA实现中通过在解密前对每个密文进行随机化[5],以抵抗基于密文与运行时间关联性的侧信道攻击.然而,尚无盲化相关的侧信道安全的证明,因此无法保证对所有可能的时间攻击的有效性.在测量数据足够大的时候,盲化实现甚至可能泄漏全部密钥[11].相比而言,恒定时间的防护方案对所有的时间攻击均具有适用性.不少研究者提出通过对源程序进行转换以产生constant-time的实现,来消除时间泄漏.Molnar等人使用位掩码和按位逻辑运算……