💻 computer science

Trojan-Resilient NTT: Protecting Against Control Flow and Timing Faults on Reconfigurable Platforms

Dieser Beitrag stellt eine sichere Architektur für die Zahlentheoretische Transformation (NTT) für rekonfigurierbare Plattformen vor, die Steuerflussunterbrechungen, unkonventionelle Zeitverzögerungen und durch Hardware-Trojaner verursachte Soft Analytical Side-Channel Attacks (SASCA) effektiv erkennt und korrigiert, während gleichzeitig ein geringer Flächen- und Zeitoverhead bei Implementierungen der Post-Quanten-Kryptographie gewährleistet wird.

Ursprüngliche Autoren: Rourab Paul, Krishnendu Guha, Amlan Chakrabarti

Veröffentlicht 2026-04-28

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Rourab Paul, Krishnendu Guha, Amlan Chakrabarti

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie betreiben einen hochsicheren Bankschließraum (den NTT, oder Number Theoretic Transform). Dieser Schließraum ist der Maschinenraum für eine neue Art digitaler Schlösser namens Post-Quanten-Kryptographie (wie sie von Systemen wie Kyber verwendet wird). Seine Aufgabe ist es, unglaublich komplexe Mathematik extrem schnell durchzuführen, um Ihre Daten vor zukünftigen Supercomputern zu schützen.

Es gibt jedoch zwei Hauptwege, wie Bösewichte eindringen können:

Der "Trojanisches Pferd"-Saboteur: Ein winziges, verstecktes Hardware-Stück (ein Hardware-Trojaner), das in die Maschinen des Schließraums gepflanzt wurde. Es stiehlt kein Geld direkt; stattdessen manipuliert es die Schalter und Hebel (Steuerungssignale), um den Schließraum zum Stillstand zu bringen, ihn zu verlangsamen oder ihn zu zwingen, die falschen Türen zu öffnen.
Der "Abhörende Spion": Ein Spion, der beobachtet, wie lange es dauert, den Schließraum zu öffnen, oder wie viel Strom er verbraucht (Seitenkanalangriffe), um den geheimen Code zu erraten.

Diese Arbeit stellt eine neue, supersichere Version des Schließraum-Motors vor, die Trojaner-resistenter NTT genannt wird. So funktioniert sie, unter Verwendung einfacher Analogien:

1. Das "Doppel-Check"-System (Integrität des Steuerflusses)

Stellen Sie sich vor, der Schließraum hat einen Hauptmanager (die Steuerungseinheit), der Befehle wie "Tür A öffnen" oder "Berechnung starten" erteilt.

Das Problem: Ein Saboteur könnte sich einschleichen und die Befehle des Managers ändern, indem er dem Schließraum befiehlt, Schritte zu überspringen oder in der falschen Reihenfolge abzulaufen.
Die Lösung: Die Autoren haben einen Schatten-Manager (ein leichtgewichtiges Backup-Register) eingebaut. Dieser Schatten-Manager führt keine echte Arbeit aus; er beobachtet lediglich den Hauptmanager.
- Wenn der Hauptmanager sagt "Tür A öffnen", erwartet der Schatten-Manager genau zur gleichen Zeit "Tür A öffnen" zu sehen.
- Wenn der Hauptmanager plötzlich "Tür B öffnen" sagt oder stecken bleibt, hebt der Schatten-Manager sofort eine rote Flagge: "Hey! Die Befehle stimmen nicht mit dem Plan überein!"
- Warum es cool ist: Der Schatten-Manager ist vollständig von der Hauptmaschinerie getrennt. Selbst wenn der Saboteur den Hauptmanager hackt, kann er den Schatten-Manager nicht leicht hacken, da er anders aufgebaut ist und an einem anderen Ort sitzt.

2. Die "Stoppuhr" (Taktzyklus-Zähler)

Stellen Sie sich vor, der Schließraum soll genau 10 Sekunden benötigen, um eine Transaktion zu verarbeiten.

Das Problem: Ein Saboteur könnte versuchen, den Schließraum zu verlangsamen, indem er ein Zahnrad klemmt, sodass es 15 Sekunden dauert. Diese Verzögerung kann genutzt werden, um Geheimnisse zu stehlen oder das System einfach zum Absturz zu bringen.
Die Lösung: Der Schließraum verfügt über eine eingebaute Stoppuhr (Taktzyklus-Zähler). Sie zählt jeden einzelnen Takt des Uhrwerks.
- Wenn der Schließraum in 10 Takten fertig ist, ist alles in Ordnung.
- Wenn es 11 Takte dauert (weil ein Saboteur ein Zahnrad geklemmt hat), schreit die Stoppuhr: "Zu langsam! Etwas stimmt nicht!"
- Dies fängt jeden Versuch auf, den Prozess zu verzögern, sei es ein Unfall oder ein gezielter Angriff.

3. Die "Magische Maske" (Lokale Maskierung)

Stellen Sie sich vor, der Schließraum verarbeitet eine geheime Zahl. Ein Spion draußen beobachtet das Strommessgerät, um die Zahl basierend darauf zu erraten, wie hart die Maschine arbeitet.

Das Problem: Der Spion erkennt Muster im Stromverbrauch und findet das Geheimnis heraus.
Die Lösung: Der Schließraum verwendet eine Magische Maske. Jedes Mal, wenn er eine geheime Zahl aufschreibt, mischt er sie zuerst mit einer zufälligen, falschen Zahl.
- Für den Spion sieht der Stromverbrauch wie zufälliges Rauschen aus. Er kann nicht erkennen, was das echte Geheimnis ist, da es immer hinter einer Schicht aus "Rauschen" verborgen ist.
- Der Schließraum weiß, wie er die Maske am Ende entfernt, um die echte Antwort zu erhalten, aber der Spion sieht nichts als Chaos.

4. Der "Selbstheilende" Mechanismus (Adaptive Fehlerkorrektur)

Dies ist der einzigartigste Teil. Wenn der Schließraum ein Problem erkennt (eine rote Flagge vom Schatten-Manager oder der Stoppuhr), schaltet er sich nicht einfach ab. Er versucht, sich selbst mit drei Ebenen der "Reparatur" zu beheben:

Ebene 1: "Lass uns das noch einmal versuchen."
Wenn der Fehler ein kleiner Glitch war, wirft der Schließraum das schlechte Ergebnis einfach weg und führt diesen spezifischen Schritt sofort erneut aus. Es ist wie ein Läufer, der über einen Kieselstein stolpert, aufsteht und die Runde beendet, ohne anzuhalten.
Ebene 2: "Starte denselben Raum neu."
Wenn der Glitch erneut auftritt, lädt der Schließraum seine eigenen Anweisungen (den Bitstream) genau an derselben Stelle auf dem Chip neu. Es ist wie ein Computer, der abstürzt und dasselbe Programm neu startet, um einen vorübergehenden Fehler zu bereinigen.
Ebene 3: "Wechsle in einen neuen Raum."
Wenn das Problem weiterhin am selben Ort auftritt, erkennt der Schließraum, dass dieser spezifische Bereich des Chips möglicherweise von einem Saboteur "vergiftet" wurde. Er greift sich einen frischen Satz Anweisungen und verlagert den gesamten Vorgang in einen völlig anderen, sauberen Bereich des Chips.
- Der clevere Teil: Das System führt für jeden Raum im Chip einen "Risikowert". Wenn ein Raum eine Geschichte von Glitches hat, meidet das System ihn. Wenn ein Raum sauber ist, schickt es die Arbeit dorthin.

Die Ergebnisse

Die Autoren testeten dieses System auf einem echten Chip (einem FPGA) unter Verwendung des Kyber-Verschlüsselungsstandards.

Erfolgsrate: Sie simulierten Tausende von Angriffen (wie das Klemmen von Zahnrädern oder das Ändern von Schaltern). Das System fing 100% der Probleme ab.
Kosten: Der "Schatten-Manager", die "Stoppuhr" und die "Magische Maske" machten den Schließraum nur geringfügig größer (etwa 20% mehr Platz) und geringfügig langsamer (ein winziger Teil Energie).
Fazit: Sie bewiesen, dass man einen Schließraum bauen kann, der nicht nur die Tür abschließt, sondern auch seine eigenen Wachen beobachtet, seine eigenen Bewegungen misst und in einen neuen Raum wechseln kann, wenn der aktuelle kompromittiert ist, alles ohne die Bank zu sprengen.

Kurz gesagt, baut diese Arbeit einen selbstbewussten, selbstheilenden Mathematik-Motor, der sich weigert, von Saboteuren getäuscht zu werden, die versuchen, seine Steuerung oder seinen Takt zu manipulieren.

1. Problemstellung

Die Zahlentheoretische Transformation (NTT) ist eine kritische Komponente in gitterbasierten Post-Quanten-Kryptografie (PQC)-Algorithmen (z. B. Kyber, Dilithium, NTRU), die die Komplexität der Polynommultiplikation von $O(n^2)$ auf $O(n \log n)$ reduziert. Allerdings sind NTT-Implementierungen auf rekonfigurierbaren Plattformen wie FPGAs anfällig für:

Hardware-Trojaner: Bösartige Modifikationen, die während der Lieferkette eingefügt werden (RTL-, Synthese-, Foundry- oder Bitstream-Phasen), die Steuerungssignale anstelle von Daten angreifen. Ein einziges beschädigtes Steuerungssignal kann den gesamten Kontrollfluss stören oder unkonventionelle Verzögerungen einführen, was zu katastrophalem Versagen oder Informationsleckagen führt.
Side-Channel-Angriffe (SCA): Insbesondere Soft Analytical Side-Channel Attacks (SASCA), bei denen Angreifer Leistungs- oder Timing-Leckagen ausnutzen, um geheime Anteile wiederherzustellen.
Einschränkungen bestehender Lösungen: Frühere Arbeiten konzentrieren sich hauptsächlich auf die Erkennung von Fehlern in Datensignalen (was eine aufwändige Neuberechnung erfordert) oder verwenden duplizierte Logik für den Kontrollfluss, die eng mit dem Hauptdesign verknüpft ist und somit denselben Trojanern ausgesetzt ist. Es fehlt an Lösungen, die gleichzeitig Kontrollflussunterbrechungen, Timing-Anomalien und SASCA erkennen und eine adaptive Korrektur ohne signifikanten Leistungsüberhead bieten.

2. Methodik

Die Autoren schlagen eine Sichere NTT-Architektur vor, die drei primäre Erkennungsmechanismen und ein adaptives Fehlerkorrektursystem integriert.

A. Fehlererkennungsmechanismen

Kontrollflussintegrität (CFI) über unabhängigen Backup-CSR:
- Anstatt das Haupt-Control-Status-Register (CSR) innerhalb der Logik zu duplizieren (was ein Trojaner beschädigen könnte), führen die Autoren ein leichtgewichtiges Rechtsverschiebungsregister (RSR) ein, das vollständig unabhängig von der Haupt-NTT-Logik ist.
- Das Haupt-CSR generiert Steuerungssignale (z. B. rd_en, wr_en, barrett_strt). Das RSR überwacht diese Signale.
- Logik: Das RSR verschiebt Bits synchron zum Haupt-CSR. Wenn die Hauptlogik manipuliert wird (z. B. ein Trojaner taktet eine Uhr oder kippt einen Reset), weicht der erwartete Zustand des RSR von den tatsächlichen Steuerungssignalen ab und löst einen cfi_fault aus.
- Dies überprüft die Integrität spezifischer Blöcke: poly_mem, Barrett Reduction und uv_add/sub.
Timing-Integrität über Taktzykluszähler (CCC):
- Ein CCC überwacht die aktive Dauer kritischer Module.
- Für ein Polynom vom Grad $n-1$ erfordert die NTT eine feste Anzahl von Zyklen: $(\log n \times n/2) + (p-1)$ , wobei $p$ die Pipeline-Tiefe ist.
- Wenn ein Trojaner Verzögerungen einführt (die Pipeline stoppt) oder Operationen beschleunigt, erkennt der CCC die Abweichung von der erwarteten Zykluszahl und löst einen ccc_fault aus.
SASCA-Minderung durch lokale Maskierung (LM):
- Um SASCA zu verhindern, randomisiert die Architektur die Twiddle-Faktoren ( $\omega$ ) während Schreibvorgängen in den Polynomialspeicher (poly_mem).
- Anstatt $(U+V)$ und $(U-V)$ direkt zu schreiben, schreibt das System $(U+V)\omega_r$ und $(U-V)\omega_r$ , wobei $\omega_r$ ein zufälliger Faktor ist.
- Dies maskiert das mit den tatsächlichen Daten verbundene Leistungsprofil und verhindert Leckagen. Bei der inversen NTT werden die Faktoren mit $\omega_r^{-1}$ multipliziert, um die ursprünglichen Koeffizienten wiederherzustellen.

B. Adaptive Fehlerkorrektur

Nach Erkennung eines Fehlers (cfi_fault oder ccc_fault) setzt das System einen Bit-Patcher (Host-seitige Software) und Partielle Rekonfiguration (PR) ein, um den Fehler zu korrigieren, ohne das System dauerhaft anzuhalten. Die Korrekturstrategie ist adaptiv basierend auf einem Risikofaktor ( $R_i$ ):

Berechnung des Risikofaktors ( $R_i$ ): Das System berechnet einen Risikoscore für jeden verfügbaren PR-Bitstream-Speicherort basierend auf der Häufigkeit erkannte Fehler, normalisiert durch die Anzahl der Durchläufe. Dies verhindert eine Verzerrung hin zu häufig genutzten Kernen.
Drei Korrekturmaßnahmen:
1. Wiederholung des vorherigen Loops (Niedriges Risiko): Wenn die Fehleranzahl gering ist, verwirft das System das Ergebnis der aktuellen Iteration und führt den Loop mit demselben Bitstream erneut aus.
2. Neuladen des PR-Bits (Mittleres Risiko): Wenn die Fehleranzahl einen unteren Schwellenwert überschreitet, lädt das System dasselbe PR-Bit an denselben FPGA-Speicherort neu (zurücksetzen potenzieller transienter Zustände).
3. Verschieben des PR-Bits (Hohes Risiko): Wenn die Fehleranzahl einen oberen Schwellenwert überschreitet, wählt das System einen PR-Bitstream mit dem niedrigsten $R_i$ (niedrigstes Risiko) aus und konfiguriert die NTT an einer anderen physischen Stelle auf dem FPGA-Floor neu.
Dynamische Interconnects: Bus-Interconnects leiten Steuerungssignale und Speicherschnittstellen dynamisch zur aktuell aktiven NTT-Instanz um, was einen nahtlosen Wechsel zwischen PR-Standorten ermöglicht.

3. Hauptbeiträge

Erste Kontrollfluss-fokussierte Verteidigung: Im Gegensatz zu früheren Arbeiten, die sich auf Datensignale konzentrierten, ist dies das erste Design, das speziell Steuerungssignal-Trojaner mit einem unabhängigen, leichtgewichtigen Backup-Register (RSR) zur Sicherstellung der Kontrollflussintegrität (CFI) angreift.
Adaptive Korrekturstrategie: Einführung eines neuartigen Fehlerkorrekturalgorithmus, der dynamisch zwischen Neuausführung, Neuladen oder Verschieben basierend auf einem berechneten Risikofaktor ( $R_i$ ) wählt, anstatt einen statischen „immer verschieben"-Ansatz zu verfolgen.
Umfassender Schutz: Adressiert gleichzeitig Kontrollflussintegrität, Timing-Fehler (via CCC) und SASCA (via lokale Maskierung) in einer einzigen Architektur.
Minimaler Overhead: Die Lösung ist für hohe Effizienz ausgelegt und vermeidet die hohen Ressourcenkosten einer vollständigen Neuberechnung oder massiven Duplizierung.

4. Ergebnisse und Bewertung

Das System wurde auf einem Artix-7 FPGA unter Verwendung des Kyber-PQC-Algorithmus (Varianten 512, 768 und 1024) implementiert.

Fehlererkennung und Korrektur-Effizienz:
- 100% Erkennungsrate: Alle emulierten „Stuck-at-0"- und „Stuck-at-1"-Fehler auf Steuerungssignalen wurden von den CFI- und CCC-Modulen erkannt.
- 100% Korrekturrate: Alle erkannten Fehler wurden erfolgreich mit dem adaptiven Modul korrigiert, was eine korrekte kryptografische Ausgabe sicherstellt.
Overhead-Analyse:
- Fläche: Die Fehlererkennungs- und Korrekturmodule verursachen einen 19,7%igen Slice-Overhead im Vergleich zu einer Basis-NTT. Das reine Erkennungsmodul fügt nur 8,7% hinzu.
- Energie: Der gesamte Energie-Overhead beträgt 3%.
- Timing:
  - Die Erkennung fügt keinen Timing-Overhead hinzu.
  - Der Korrektur-Overhead hängt von der Maßnahme ab:
    - Loop-Wiederholung: ~10 ns (1 Taktzyklus).
    - PR-Neuladen: ~150 µs (ICAP-Transferzeit).
    - PR-Verschiebung: ~256 µs (einschließlich Suche nach dem besten Bitstream).
Trojaner-Szenarien: Das System mindert Trojaner effektiv, die sich in den vor- und nachgelagerten Datenpfaden, innerhalb des NTT-Kerns und sogar innerhalb der Überwachungslogik befinden (wobei letztere als kritischer Ausfallpunkt notiert wird, wenn der Monitor selbst kompromittiert ist).

5. Bedeutung

Dieses Papier stellt einen bedeutenden Fortschritt in der Hardware-Sicherheit für Post-Quanten-Kryptografie dar. Durch die Verlagerung des Fokus von der Datenintegrität auf die Kontrollflussintegrität adressiert es einen hochwirksamen, kostengünstigen Angriffsvektor, der von traditionellen Fehlererkennungen oft ignoriert wird. Der adaptive Korrekturmechanismus bietet einen praktischen Ausgleich zwischen Sicherheit und Leistung, sodass Systeme mit minimalem Latenz- und Ressourcenstrafe von komplexen Hardware-Trojanern wiederhergestellt werden können. Diese Arbeit ebnet den Weg für den Einsatz resilienter PQC-Beschleuniger in kritischer Infrastruktur (Verteidigung, Luft- und Raumfahrt, Telekommunikation), wo die Sicherheit der Lieferkette nicht vollständig garantiert werden kann.