Resumen Técnico: El sueño revela el nonce

Declaración del Problema

La seguridad del Algoritmo de Firma de Curva Elíptica (ECDSA) depende fundamentalmente del secreto del nonce ($k$) por firma. Incluso la filtración parcial del nonce puede permitir a un atacante recuperar la clave de firma a largo plazo utilizando criptoanálisis basado en redes (específicamente, el Problema del Número Oculto). Aunque el ECDSA determinista (RFC 6979) mitiga los fallos de aleatoriedad, introduce una nueva vulnerabilidad: los mensajes idénticos producen nonces idénticos, lo que amplifica los patrones de filtración por canales laterales.

Los ataques de canal lateral de potencia (PSC) existentes contra ECDSA suelen requerir trazas de alta resolución, alineación compleja, observabilidad privilegiada (por ejemplo, sondas EM, osciloscopios avanzados) o atacar implementaciones específicas que no sean de tiempo constante. Además, muchos ataques previos se limitan a una sola plataforma de hardware o bibliotecas criptográficas específicas. Existe una brecha en la comprensión de si las fluctuaciones de potencia inducidas por el "sueño" (sleep), identificadas previamente como la vulnerabilidad SleepWalk, pueden generalizarse a través de arquitecturas y bibliotecas para romper las implementaciones de tiempo constante de ECDSA.

Metodología

Los autores proponen un nuevo vector de ataque que aprovecha la vulnerabilidad de canal lateral SleepWalk. A diferencia de los PSC tradicionales que analizan trazas de potencia completas, este enfoque se basa en una medición de un solo punto: la amplitud de un pico de potencia generado durante un cambio de contexto del sistema operativo provocado por una llamada al sistema sleep.

El Vector de Ataque

1. Mecanismo: El pico de potencia durante un cambio de contexto consta de dos componentes: una firma de potencia de cambio de contexto (dependiente del peso de Hamming de los datos de los registros en el momento del cambio) y una firma de potencia residual (que refleja la huella de potencia persistente de las instrucciones ejecutadas inmediatamente antes).
2. Vínculo de Vulnerabilidad: Los autores hipotetizan que las operaciones de multiplicación escalar en ECDSA, al procesar bits/nibbles de ceros a la izquierda del nonce, resultan en computaciones que involucran puntos identidad (patrones de bits todos en cero). Estas operaciones generan pesos de Hamming más bajos y firmas de potencia residuales distintas en comparación con las operaciones sobre valores no nulos.
3. Configuración Experimental:
   • Hardware: Se utilizaron dos computadoras de placa única: una Raspberry Pi 4B (ARM Cortex-A72) y una VisionFive 2 (RISC-V U74).
   • Bibliotecas: Se atacaron tres bibliotecas criptográficas ampliamente utilizadas: RustCrypto, BearSSL y GoCrypto.
   • Procedimiento: El sistema realiza múltiples operaciones de firma ECDSA con el mismo mensaje (para asegurar nonces idénticos) seguidas de una llamada a sleep. Un osciloscopio Keysight captura la amplitud del pico de potencia.
   • Recolección de Datos: El estudio varió el número de bits/nibbles de ceros a la izquierda en el nonce y midió las amplitudes de los picos de potencia resultantes.

Análisis de Implementación

Los autores realizaron ingeniería inversa a las rutinas de multiplicación escalar de las bibliotecas objetivo para identificar la fuente de la filtración:

• RustCrypto y BearSSL: Ambas utilizan un algoritmo de doble y suma (double-and-add) de ventana izquierda-derecha de 4 bits fijos. Cuando el nonce comienza con nibbles de ceros, el bucle procesa puntos identidad (patrones de todos ceros), lo que resulta en un peso de Hamming menor y una potencia residual reducida.
• GoCrypto: Utiliza un método de ventana con signo de 6 bits con recodificación de Booth. De manera similar a los otros, el procesamiento de fragmentos de cero resulta en computaciones dominadas por valores cero, creando una firma de potencia distinguible.

Contribuciones Clave

1. Generalización Cross-Architecture: El artículo demuestra que la vulnerabilidad SleepWalk no se limita a una sola plataforma, sino que existe en distintas arquitecturas de procesador (ARM y RISC-V).
2. Ataque Agnóstico a la Biblioteca: El ataque extrae con éxito información del nonce de tres bibliotecas criptográficas diversas (RustCrypto, BearSSL, GoCrypto), demostrando que la vulnerabilidad es inherente a la interacción entre el mecanismo de sueño del SO y la lógica de multiplicación escalar, más que a errores específicos de la biblioteca.
3. Eficiencia: El ataque propuesto es significativamente más eficiente que trabajos anteriores. Mientras que ataques previos (como los de Wang et al.) requerían aproximadamente un millón de puntos de datos, este enfoque requiere solo un punto de muestra por traza y, como máximo, 1,000 trazas para recuperar información significativa del nonce.
4. Ruptura de Tiempo Constante: El ataque tiene éxito contra implementaciones diseñadas para ser de tiempo constante y resistentes al análisis tradicional de tiempo o potencia, explotando específicamente los efectos de la potencia residual de las computaciones de valor cero.

Resultados

• Confirmación de Filtración: Los experimentos confirmaron que la amplitud del pico de potencia inducido por el sueño se correlaciona con el número de nibbles/bits de ceros a la izquierda en el nonce.
  • Los nonces con más ceros a la izquierda exhibieron una potencia de pico media menor.
  • Los nonces con menos ceros a la izquierda exhibieron una potencia de pico media mayor.
• Recuperación de Bits: El ataque recuperó con éxito 20 bits del nonce de ECDSA en todas las configuraciones probadas (6 combinaciones de 3 bibliotecas y 2 arquitecturas).
• Varianza de la Plataforma:
  • RISC-V (VisionFive 2): Mostró vulnerabilidades claras y consistentes en las tres bibliotecas.
  • ARM (Raspberry Pi 4B): Mostró vulnerabilidades en RustCrypto y BearSSL. Sin embargo, los experimentos de GoCrypto en ARM exhibieron fluctuaciones sustanciales, lo que dificultó el montaje confiable del ataque en esa plataforma específica.
• Viabilidad de Recuperación de Clave: Los autores señalan que recuperar 20 bits del nonce es suficiente para recuperar la clave de firma privada completa utilizando técnicas de red (Problema del Número Oculto), tal como se ha establecido en la literatura criptoanalítica previa.

Significado y Reivindicaciones

El artículo afirma ser el primer trabajo en demostrar que los picos de potencia inducidos por el sueño constituyen una vulnerabilidad de canal lateral general y multiplataforma capaz de romper ECDSA.

• Expansión del Modelo de Amenaza: Los hallazgos expanden la superficie de ataque para los ataques físicos de canal lateral. Los adversarios ahora pueden potencialmente recuperar secretos utilizando un hardware mínimo (una sola sonda de potencia) y sin necesidad de alineación de trazas compleja o equipos de alta gama.
• Implicaciones de Diseño: Los resultados desafían la suposición de que las implementaciones de tiempo constante y deterministas son suficientes para la seguridad. El artículo destaca cómo los efectos de "potencia residual" de las computaciones de valor cero, combinados con los cambios de contexto a nivel de SO, crean un canal de filtración que persiste incluso en software endurecido.
• Practicidad: Al requerir solo un punto de muestra por ejecución y un número relativamente pequeño de trazas (hasta 1,000), el ataque se presenta como una amenaza práctica para los sistemas criptográficos reales que se ejecutan en hardware comercial.

Los autores concluyen que las decisiones de diseño en los sistemas criptográficos deben reconsiderarse para tener en cuenta la filtración inducida por el sueño, ya que las contramedidas actuales no abordan este vector específico.