計(jì)時(shí)攻擊參數(shù)選取方法研究

1、針對(duì)RSA的 FLUSH+RELOAD Cache計(jì)時(shí) 攻擊參數(shù)選取方法研究 匯報(bào)人：周 平 單 位：軍械工程學(xué)院 匯報(bào)提綱 一、 研究背景 二、 研究?jī)?nèi)容 三、 總結(jié)展望 匯報(bào)提綱 一、 研究背景 二、 研究?jī)?nèi)容 三、 總結(jié)展望 1. 研究背景 n針對(duì)RSA的密碼分析 RSA 故障攻擊 計(jì)時(shí)攻擊 聲音攻擊 功耗攻擊 Cache計(jì)時(shí)攻擊 模數(shù)分解 共模攻擊 小加密指數(shù)攻擊 小解密指數(shù)攻擊 格規(guī)約攻擊 1. 研究背景 n旁路攻擊與Cache計(jì)時(shí)攻擊 1. 研究背景 n針對(duì)RSA的Cache計(jì)時(shí)攻擊思路 for i from t to 0 m = Sqr(m) m = Reduce(m, n) i

2、f di = 1 m = Mult(m, c) m = Reduce(m, n) 計(jì)算過(guò)程： RSA解密： SMSSSMSSM d = 100101 1. 研究背景 多核處理器 OpenSSL n當(dāng)前Cache計(jì)時(shí)攻擊的研究熱點(diǎn) 單核處理器 OpenSSL 1. 研究背景 Y. Yarom. Flush+Reload: a High Resolution, Low Noise, L3 Cache Side-Channel Attack. (USENIX Security 2013) Y. Yarom. Recovering OpenSSL ECDSA Nonces Using the FLUS

3、H+RELOAD Cache Side-channel Attack. (ePrint 2014) N. Benger . A small amount of side channel can go a long way. (CHES 2014) 現(xiàn)有文獻(xiàn)都采用現(xiàn)有文獻(xiàn)都采用FLUSH+RELOADFLUSH+RELOAD攻擊方法攻擊方法 1. 研究背景 nFLUSH+RELOAD攻擊基本原理 密碼進(jìn)程執(zhí)行了被監(jiān)測(cè)指令密碼進(jìn)程執(zhí)行了被監(jiān)測(cè)指令 密碼進(jìn)程未執(zhí)行被監(jiān)測(cè)指令密碼進(jìn)程未執(zhí)行被監(jiān)測(cè)指令 1. 研究背景 閾值如何閾值如何 設(shè)？設(shè)？ 監(jiān)測(cè)監(jiān)測(cè) 周期周期 監(jiān)測(cè)監(jiān)測(cè) 對(duì)象對(duì)象 攻擊 成功率 密碼

4、訪問(wèn)內(nèi)存行 為的“捕獲率” n當(dāng)前研究待解決的問(wèn)題 1. 研究背景 n本研究的工作 n以二進(jìn)制平方乘算法實(shí)現(xiàn)的RSA為攻擊對(duì)象 n以FLUSH+RELOAD攻擊為方法 n研究攻擊中3種參數(shù)的最優(yōu)值選取方法 n提高獲取RSA解密指數(shù)的成功率 匯報(bào)提綱 一、 研究背景 二、 研究?jī)?nèi)容 三、 總結(jié)展望 2.1 基于貝葉斯二元信號(hào)檢測(cè)理論的最優(yōu) 閾值選取方法 n問(wèn)題1：如何選取最優(yōu)的閾值？ 0102030405060708090100 0 50 100 150 200 250 300 350 ? ? ? ? 監(jiān)測(cè)輪數(shù) Cache重載時(shí)間 2.1 基于貝葉斯二元信號(hào)檢測(cè)理論的最優(yōu) 閾值選取方法 -500

5、50100150200250300350400450 0 0.5 1 1.5 2 2.5 3 3.5 4 4.5 5 x 10 4 n本質(zhì)上是一個(gè)離散二元信號(hào)狀態(tài)檢測(cè)問(wèn)題 累計(jì)數(shù)量 Cache重載時(shí)間 2.1 基于貝葉斯二元信號(hào)檢測(cè)理論的最優(yōu) 閾值選取方法 R0R1 O p(x|Hj) p(x|H0) p(H0|H0) p(H0|H1) p(x|H1) p(H1|H1) p(H1|H0) 閾值閾值 （判決門(mén)限）（判決門(mén)限） x n二元信號(hào)狀態(tài)的統(tǒng)計(jì)檢測(cè)理論 2.1 基于貝葉斯二元信號(hào)檢測(cè)理論的最優(yōu) 閾值選取方法 C = P(H0)c00P(H0|H0)+c10P(H1|H0) + P(H1)c

6、11P(H1|H1)+c01P(H0|H1) 提出基于二元信號(hào)貝葉斯檢測(cè)準(zhǔn)則的 閾值選取方法 判決概率： 判決平均代價(jià)： 2.1 基于貝葉斯二元信號(hào)檢測(cè)理論的最優(yōu) 閾值選取方法 050100150200250300350400 -10 -5 0 5 閾 值 （ CPU時(shí) 鐘 周 期 ） 平均代價(jià)（取對(duì)數(shù)） n平均代價(jià)隨閾值變化圖 2.1 基于貝葉斯二元信號(hào)檢測(cè)理論的最優(yōu) 閾值選取方法 80100120140160180200 0 20 40 60 80 100 閾 值（ CPU時(shí) 鐘 周 期 ） 百分比（%） 運(yùn)算推測(cè)錯(cuò)誤率 攻擊成功率 理論范圍理論范圍 實(shí)驗(yàn)范圍實(shí)驗(yàn)范圍 n攻擊成功率和運(yùn)算推

7、測(cè)錯(cuò)誤率隨閾值變化圖 2.2 基于充分必要條件的被監(jiān)測(cè)指令選取 方法 n問(wèn)題2：如何選取合適的被監(jiān)測(cè)指令 0102030405060708090100 50 100 150 200 250 300 350 400 450 500 監(jiān)測(cè)輪數(shù) Cache重載時(shí)間 n命題p：addri被載入Cache。 （能觀測(cè)到的現(xiàn)象） n命題q：運(yùn)算i被執(zhí)行。（i = s, m, r） （推測(cè)目標(biāo)） 充要關(guān)系 提出基于充要條件推理的被 監(jiān)測(cè)指令選取規(guī)則 2.2 基于充分必要條件的被監(jiān)測(cè)指令選取 方法 1、為滿足充分性（qp），addri應(yīng)滿足： n規(guī)則1：運(yùn)算i執(zhí)行時(shí)必然訪問(wèn)addri： addrsS，addr

8、mM，addrrR 2.2 基于充分必要條件的被監(jiān)測(cè)指令選取 方法 2、為滿足必要性（pq），addri應(yīng)滿足： n規(guī)則2：除i以外的其它運(yùn)算執(zhí)行時(shí)不會(huì)直接訪 問(wèn)addri： addrs MRE, addrm SRE, addrr SME. n規(guī)則3：除i以外的其它運(yùn)算執(zhí)行時(shí)不會(huì)間接導(dǎo) 致addri被載入Cache： addrs-2b, addrs+2b MRE， addrm-2b, addrm+2b SRE， addrr-2b, addrr+2b SME. 2.2 基于充分必要條件的被監(jiān)測(cè)指令選取 方法 3、為提高每次運(yùn)算被監(jiān)測(cè)到的機(jī)會(huì)和增 加計(jì)時(shí)數(shù)據(jù)的抗噪能力，addri應(yīng)滿足： 2.2

9、基于充分必要條件的被監(jiān)測(cè)指令選取 方法 n根據(jù)提出的規(guī)則選取的被監(jiān)測(cè)指令地址 2.2 基于充分必要條件的被監(jiān)測(cè)指令選取 方法 n問(wèn)題3：如何選取最優(yōu)的監(jiān)測(cè)周期？ 0102030405060708090100 50 100 150 200 250 300 350 400 450 500 2.3 監(jiān)測(cè)時(shí)序模型和監(jiān)測(cè)周期選取方法 監(jiān)測(cè)輪數(shù) Cache重載時(shí)間 2.3 監(jiān)測(cè)時(shí)序模型和監(jiān)測(cè)周期選取方法 n間諜程序監(jiān)測(cè)時(shí)序模型 tmemory - tL3_Cache twait + 2*tprobe + trdtsc Ttarget 提出基于監(jiān)測(cè)時(shí)序模型的監(jiān) 測(cè)周期選取方法 2.3 監(jiān)測(cè)時(shí)序模型和監(jiān)測(cè)周期

10、選取方法 n時(shí)間樣本標(biāo)準(zhǔn)差隨監(jiān)測(cè)周期的變化 050010001500200025003000350040004500 5 10 15 20 25 30 35 40 周期周期 = 200= 200 監(jiān)測(cè)周期監(jiān)測(cè)周期 / CPU時(shí)鐘周期時(shí)鐘周期 樣本標(biāo)準(zhǔn)差樣本標(biāo)準(zhǔn)差 2.3 監(jiān)測(cè)時(shí)序模型和監(jiān)測(cè)周期選取方法 n不同監(jiān)測(cè)周期下Cache訪問(wèn)行為的“捕獲率” 05001000150020002500300035004000 20 30 40 50 60 70 80 90 100 等 待 間 隔 twait（ CPU時(shí) 鐘 周 期 ） 捕獲率（%） 平方 乘法 求模 twait(r)378.44 twai

11、tt(s)961.93 twait(m)2272.73 2.4 實(shí)驗(yàn)結(jié)果 n實(shí)驗(yàn)配置 Operation system ProcessorMemorySoftwareIDE Linux Fedora 18 Intel i5-3470 4GB DDR3- 1600 OpenSSL v1.01e Eclipse 2.4 實(shí)驗(yàn)結(jié)果 n對(duì)一次RSA解密過(guò)程的監(jiān)測(cè)數(shù)據(jù)（部分） 131713371357137713971417143714571477 0 50 100 150 200 250 300 350 400 450 500 round number reload time (cycles) multiply square modulo threshold 2.4 實(shí)驗(yàn)結(jié)果 閾值閾值 監(jiān)測(cè)周監(jiān)測(cè)周 期期 200180160120 20086%87%87% 25089%88%87% 300