En seguridad informática , un ataque de canal lateral es cualquier ataque basado en información adicional que se puede recopilar debido a la forma fundamental en que se implementa un protocolo o algoritmo informático , en lugar de fallas en el diseño del protocolo o algoritmo en sí (por ejemplo, fallas encontradas en un criptoanálisis de un algoritmo criptográfico ) o errores o descuidos menores, pero potencialmente devastadores, en la implementación . (El criptoanálisis también incluye la búsqueda de ataques de canales laterales). La información de sincronización, el consumo de energía, las fugas electromagnéticas y el sonido son ejemplos de información adicional que podría explotarse para facilitar los ataques de canales laterales.
Algunos ataques de canal lateral requieren conocimientos técnicos del funcionamiento interno del sistema, aunque otros, como el análisis de potencia diferencial, son eficaces como ataques de caja negra . El auge de las aplicaciones Web 2.0 y el software como servicio también ha aumentado significativamente la posibilidad de ataques de canal lateral en la web, incluso cuando las transmisiones entre un navegador web y un servidor están cifradas (por ejemplo, mediante cifrado HTTPS o WiFi ), según a investigadores de Microsoft Research y la Universidad de Indiana . [1]
Los intentos de romper un criptosistema engañando o coaccionando a personas con acceso legítimo no suelen considerarse ataques de canal lateral: consulte ingeniería social y criptoanálisis con mangueras de goma .
Las clases generales de ataque de canal lateral incluyen:
En todos los casos, el principio subyacente es que los efectos físicos causados por el funcionamiento de un criptosistema ( en el lateral ) pueden proporcionar información adicional útil sobre los secretos del sistema, por ejemplo, la clave criptográfica , información de estado parcial, textos claros completos o parciales y y así sucesivamente. El término cryptophthora (degradación secreta) se utiliza a veces para expresar la degradación del material de la clave secreta resultante de la fuga del canal lateral.
AEl ataque de canal lateral de caché funciona monitoreando operaciones críticas para la seguridad, como la entrada de tabla AES T[2][3][4]o la exponenciación o multiplicación modular o los accesos a la memoria. [5]El atacante puede entonces recuperar la clave secreta en función de los accesos realizados (o no realizados) por la víctima, deduciendo la clave de cifrado. Además, a diferencia de otros ataques de canal lateral, este método no crea una falla en la operación criptográfica en curso y es invisible para la víctima.
En 2017, se descubrieron dos vulnerabilidades de CPU (denominadas Meltdown y Spectre ), que pueden utilizar un canal lateral basado en caché para permitir que un atacante filtre el contenido de la memoria de otros procesos y del propio sistema operativo.
Un ataque de sincronización observa el movimiento de datos dentro y fuera de la CPU o la memoria en el hardware que ejecuta el criptosistema o algoritmo. Simplemente observando variaciones en el tiempo que lleva realizar operaciones criptográficas, podría ser posible determinar la clave secreta completa. Estos ataques implican análisis estadísticos de mediciones de tiempo y se han demostrado en todas las redes. [6]
Un ataque de análisis de energía puede proporcionar información aún más detallada al observar el consumo de energía de un dispositivo de hardware como una CPU o un circuito criptográfico. Estos ataques se clasifican a grandes rasgos en análisis de potencia simple (SPA) y análisis de potencia diferencial (DPA). Un ejemplo es Collide+Power, que afecta a casi todas las CPU. [7] [8] [9] Otros ejemplos utilizan enfoques de aprendizaje automático . [10]
Las fluctuaciones en la corriente también generan ondas de radio , lo que permite ataques que analizan mediciones de emanaciones electromagnéticas (EM). Estos ataques suelen implicar técnicas estadísticas similares a las de los ataques de análisis de poder.
Se ha demostrado que un ataque de canal lateral basado en aprendizaje profundo , [11] [12] [13] que utiliza la energía y la información EM en múltiples dispositivos, tiene el potencial de romper la clave secreta de un dispositivo diferente pero idéntico en tan solo un solo rastro.
Se conocen analogías históricas con los ataques modernos por canales laterales. Un documento de la NSA recientemente desclasificado revela que ya en 1943, un ingeniero con un teléfono Bell observó picos descifrables en un osciloscopio asociados con la salida descifrada de cierto teletipo cifrado. [14] Según el ex oficial del MI5 Peter Wright , el Servicio de Seguridad Británico analizó las emisiones de los equipos de cifrado franceses en la década de 1960. [15] En la década de 1980, se sospechaba que espías soviéticos habían colocado micrófonos dentro de las máquinas de escribir IBM Selectric para monitorear el ruido eléctrico generado cuando la bola tipográfica giraba y se inclinaba para golpear el papel; las características de esas señales podrían determinar qué tecla se presionó. [dieciséis]
El consumo de energía de los dispositivos provoca calentamiento, que se compensa con efectos de enfriamiento. Los cambios de temperatura crean tensión mecánica inducida térmicamente. Este estrés puede crear emisiones acústicas de bajo nivel en las CPU en funcionamiento (alrededor de 10 kHz en algunos casos). Una investigación reciente de Shamir et al. ha sugerido que de esta manera también se puede obtener información sobre el funcionamiento de criptosistemas y algoritmos. Este es un ataque de criptoanálisis acústico .
Si se puede observar la superficie del chip de la CPU o, en algunos casos, el paquete de la CPU, las imágenes infrarrojas también pueden proporcionar información sobre el código que se ejecuta en la CPU, lo que se conoce como ataque de imágenes térmicas . [ cita necesaria ]
Los ejemplos de ataques ópticos de canal lateral incluyen la recopilación de información del indicador de actividad del disco duro [17] hasta la lectura de una pequeña cantidad de fotones emitidos por transistores a medida que cambian de estado. [18]
Los canales secundarios basados en la asignación también existen y se refieren a la información que se filtra de la asignación (a diferencia del uso) de un recurso, como el ancho de banda de la red, a los clientes que solicitan simultáneamente el recurso en cuestión. [19]
Debido a que los ataques de canal lateral se basan en la relación entre la información emitida (filtrada) a través de un canal lateral y los datos secretos, las contramedidas se dividen en dos categorías principales: (1) eliminar o reducir la divulgación de dicha información y (2) eliminar la relación entre la información filtrada y los datos secretos, es decir, hacer que la información filtrada no esté relacionada, o más bien no correlacionada , con los datos secretos, generalmente a través de alguna forma de aleatorización del texto cifrado que transforma los datos de una manera que se puede deshacer después de la operación criptográfica. (por ejemplo, descifrado) se completa.
En la primera categoría, ahora se encuentran disponibles comercialmente pantallas con blindaje especial para disminuir las emisiones electromagnéticas, lo que reduce la susceptibilidad a los ataques TEMPEST . El acondicionamiento y el filtrado de las líneas eléctricas pueden ayudar a disuadir los ataques de monitoreo de energía, aunque tales medidas deben usarse con cautela, ya que incluso correlaciones muy pequeñas pueden permanecer y comprometer la seguridad. Los recintos físicos pueden reducir el riesgo de instalación subrepticia de micrófonos (para contrarrestar ataques acústicos) y otros dispositivos de micromonitoreo (contra el consumo de energía de la CPU o ataques de imágenes térmicas).
Otra contramedida (todavía en la primera categoría) es bloquear el canal emitido con ruido. Por ejemplo, se puede agregar un retraso aleatorio para disuadir los ataques sincronizados, aunque los adversarios pueden compensar estos retrasos promediando múltiples mediciones (o, más generalmente, usando más mediciones en el análisis). Cuando aumenta la cantidad de ruido en el canal lateral, el adversario necesita recopilar más mediciones.
Otra contramedida de la primera categoría es utilizar software de análisis de seguridad para identificar ciertas clases de ataques de canal lateral que se pueden encontrar durante las etapas de diseño del propio hardware subyacente. Los ataques de sincronización y los ataques de caché son identificables a través de ciertas plataformas de software de análisis de seguridad disponibles comercialmente, que permiten realizar pruebas para identificar la vulnerabilidad del ataque en sí, así como la efectividad del cambio arquitectónico para evitar la vulnerabilidad. El método más completo para emplear esta contramedida es crear un ciclo de vida de desarrollo seguro para el hardware, que incluye la utilización de todas las plataformas de análisis de seguridad disponibles en sus respectivas etapas del ciclo de vida de desarrollo del hardware. [20]
En el caso de ataques sincronizados contra objetivos cuyos tiempos de cálculo se cuantifican en ciclos de reloj discretos, una contramedida eficaz es diseñar el software para que sea isócrono, es decir, para que se ejecute en una cantidad de tiempo exactamente constante, independientemente de los valores secretos. Esto hace que los ataques sincronizados sean imposibles. [21] Estas contramedidas pueden ser difíciles de implementar en la práctica, ya que incluso las instrucciones individuales pueden tener tiempos variables en algunas CPU.
Una contramedida parcial contra ataques de poder simples, pero no ataques de análisis de poder diferencial, es diseñar el software de modo que sea "seguro para PC" en el "modelo de contraseguridad del programa". En un programa seguro para PC, la ruta de ejecución no depende de valores secretos. En otras palabras, todas las ramas condicionales dependen únicamente de la información pública. (Esta es una condición más restrictiva que el código isócrono, pero menos restrictiva que el código sin ramificaciones). Aunque las operaciones multiplicadas consumen más energía que NOP en prácticamente todas las CPU, el uso de una ruta de ejecución constante evita tales diferencias de energía dependientes de la operación ( diferencias de poder al elegir una rama sobre otra) de la filtración de información secreta. [21] En arquitecturas donde el tiempo de ejecución de instrucciones no depende de los datos, un programa seguro para PC también es inmune a ataques de tiempo. [22] [23]
Otra forma en la que el código puede ser no isócrono es que las CPU modernas tienen una memoria caché: acceder a información utilizada con poca frecuencia conlleva una gran penalización de tiempo, lo que revela cierta información sobre la frecuencia de uso de los bloques de memoria. El código criptográfico diseñado para resistir ataques de caché intenta utilizar la memoria sólo de forma predecible (como acceder sólo a las entradas, salidas y datos del programa, y hacerlo según un patrón fijo). Por ejemplo, se deben evitar las búsquedas de tablas dependientes de datos porque la memoria caché podría revelar a qué parte de la tabla de búsqueda se accedió.
Otras contramedidas parciales intentan reducir la cantidad de información que se filtra a partir de diferencias de poder que dependen de los datos. Algunas operaciones utilizan energía que está correlacionada con el número de 1 bits en un valor secreto. El uso de un código de peso constante (como el uso de puertas Fredkin o codificación de doble carril) puede reducir la fuga de información sobre el peso Hamming del valor secreto, aunque es probable que persistan correlaciones explotables a menos que el equilibrio sea perfecto. Este "diseño equilibrado" se puede aproximar en software manipulando juntos tanto los datos como su complemento. [21]
Se han construido varias "CPU seguras" como CPU asíncronas ; no tienen referencia de tiempo global. Si bien estas CPU estaban destinadas a dificultar los ataques de sincronización y potencia, [21] investigaciones posteriores encontraron que las variaciones de sincronización en los circuitos asíncronos son más difíciles de eliminar. [24]
Un ejemplo típico de la segunda categoría (descorrelación) es una técnica conocida como cegamiento . En el caso del descifrado RSA con exponente secreto y el correspondiente exponente y módulo de cifrado , la técnica se aplica de la siguiente manera (para simplificar, la reducción modular por m se omite en las fórmulas): antes de descifrar, es decir, antes de calcular el resultado de para un Dado el texto cifrado , el sistema elige un número aleatorio y lo cifra con un exponente público para obtenerlo . Luego, se realiza el descifrado para obtener el archivo . Dado que el sistema de descifrado eligió , puede calcular su módulo inverso para cancelar el factor en el resultado y obtener el resultado real del descifrado. Para los ataques que requieren recopilar información de canal lateral de operaciones con datos controlados por el atacante , el cegamiento es una contramedida eficaz, ya que la operación real se ejecuta en una versión aleatoria de los datos, sobre la cual el atacante no tiene control ni conocimiento.
Una contramedida más general (en el sentido de que es eficaz contra todos los ataques de canales laterales) es la contramedida de enmascaramiento. El principio del enmascaramiento es evitar manipular cualquier valor sensible directamente, sino manipular un intercambio del mismo: un conjunto de variables (llamadas "comparticiones") tales que (dónde está la operación XOR ). Un atacante debe recuperar todos los valores de las acciones para obtener información significativa. [25]
Recientemente, se utilizó el modelado de caja blanca para desarrollar una contramedida genérica a nivel de circuito de baja sobrecarga [26] contra ataques EM y de canales laterales de potencia. Para minimizar los efectos de las capas metálicas de nivel superior en un IC que actúan como antenas más eficientes, [27] la idea es incrustar el núcleo criptográfico con un circuito de supresión de firma, [28] [29] enrutado localmente dentro del nivel inferior. capas de metal, lo que conduce a la inmunidad a los ataques de canal lateral EM y de potencia.
