Exploring Side-Channel Protections in Hardware Implementations of PQC ML-KEM Verification

Resumen Técnico: Exploración de las Protecciones contra Canales Laterales en Implementaciones de Hardware de la Verificación de ML-KEM

Planteamiento del Problema
A medida que el Mecanismo de Encapsulación de Clave basado en Retículos Modulares (ML-KEM), estandarizado por el NIST y basado en el algoritmo CRYSTALS-Kyber, se adopta para la criptografía post-cuántica, su resiliencia contra ataques de canal lateral físicos se vuelve crítica. Si bien investigaciones previas han documentado extensamente las vulnerabilidades en implementaciones de software y microcontroladores —específicamente respecto al paso de verificación de Fujisaki-Okamoto (FO) durante la decapsulación—, la seguridad de las implementaciones aceleradas por hardware en FPGA permanece en gran medida inexplorada.

El paso de verificación FO compara un texto cifrado re-encriptado localmente con la entrada original. Si no coinciden, el algoritmo genera bytes aleatorios para asegurar la seguridad IND-CCA2. Sin embargo, este paso es vulnerable al análisis de canales laterales (SCA), donde un atacante diseña textos cifrados ligeramente malformados. Al analizar las emanaciones de potencia o electromagnéticas (EM) durante la comparación, un atacante puede distinguir entre una "decapsulación exitosa" (diferencia mínima) y una "falla de decapsulación" (diferencia significativa). Esta clasificación permite la construcción de un sistema de desigualdades resoluble mediante propagación de creencias para recuperar la clave secreta a largo plazo. Aunque se han propuesto contramedidas como comparaciones basadas en hash y enmascaramiento de orden superior para plataformas seriales, su eficacia en el contexto de la alta paralelización y distribución espacial inherente a las arquitecturas FPGA es desconocida.

Metodología
Los autores realizaron una evaluación sistemática de tres implementaciones distintas de verificación de ML-KEM en dos plataformas de hardware:

1. Plataformas: Una placa RISCURE Pinata que cuenta con un microcontrolador ARM Cortex-M4 (168 MHz) representando la línea base del NIST, y una placa SAKURA-G FPGA con un chip Xilinx Spartan-6. Las trazas de potencia se capturaron a 1 GS/s utilizando un osciloscopio Teledyne LeCroy.
2. Implementaciones Evaluadas:
   • Sin protección: Una implementación de línea base que realiza una comparación directa de bits XOR/AND. En la FPGA, esto se implementó con un ancho de paralelismo variable (32, 128 y 512 bits) para estudiar el impacto de la paralelización.
   • Basada en Hash (Primer Orden): Una contramedida que aplica un hash a los textos cifrados con SHAKE-128 (SHA-3) antes de la comparación. La implementación en FPGA utilizó paralelización fila por fila y experimentó con órdenes de procesamiento de filas aleatorios para introducir entropía temporal.
   • Enmascarada de Orden Superior: Un algoritmo de verificación enmascarado basado en aritmética de Campo de Galois (GF), diseñado para dividir los datos en partes (shares) aleatorizadas (configuraciones de 4 y 6 partes). La versión en FPGA fue optimizada mediante segmentación (pipeline), paralelizando a través del número configurable de partes.
3. Análisis: Los autores preprocesaron 8,000 trazas por clase, alineándolas para compensar la deriva del reloj. Utilizaron T-testing para identificar puntos de fuga, calcularon la Relación Señal-Ruido (SNR) y emplearon clasificadores de aprendizaje automático basados en clustering para determinar la precisión de distinguir entre casos de éxito y falla. Las precisiones de clasificación por debajo del 80% se consideraron infructuosas para la recuperación de claves.

Contribuciones Clave

• Primer Análisis Sistemático en FPGA: Este trabajo es uno de los primeros en investigar sistemáticamente la seguridad de canal lateral del paso de verificación FO específicamente dentro de entornos acelerados por FPGA, contrastándolos con líneas base establecidas en microcontroladores.
• Correlación entre Paralelismo y Fuga: El estudio demuestra que, si bien las FPGAs ofrecen mejoras significativas en el rendimiento, las estrategias de paralelización utilizadas para lograr dicho rendimiento suelen exacerbar la fuga de canales laterales en lugar de mitigarla.
• Evaluación de Contramedidas en Hardware: El documento prueba rigurosamente si las contramedidas estándar de software (hashing y enmascaramiento) se traducen efectivamente al hardware, revelando modos de falla específicos en arquitecturas paralelizadas.

Resultados Experimentales

• Implementaciones sin Protección:
  • El microcontrolador logró una precisión de clasificación del 94.8% (SNR 2.40).
  • La implementación de 32 bits de la FPGA tuvo una precisión menor (62.9%, SNR 0.95), insuficiente para la recuperación de claves.
  • Sin embargo, aumentar el paralelismo de la FPGA a 128 y 512 bits incrementó drásticamente la fuga, logrando precisiones de clasificación de 99.1% y 100.0% respectivamente (SNRs de 3.83 y 8.33). La lógica combinacional más ancha resultó en señales más claras y distinguibles; la FPGA de 512 bits mostró una aceleración de rendimiento de ~530x respecto al microcontrolador, pero con una vulnerabilidad significativamente mayor.
• Implementación Basada en Hash:
  • A pesar de usar SHAKE-128, la implementación en FPGA siguió siendo vulnerable. Los T-tests revelaron que la subfunción Rho/Pi en las rondas tempranas de la permutación Keccak retenía una dependencia estructural con los datos de entrada.
  • La precisión de clasificación alcanzó el 94.7%.
  • El cronograma de filas aleatorio no logró ocultar la fuga; las firmas de potencia distintivas de los cinco segmentos de permutación permitieron a los atacantes identificar el orden de ejecución con un 99.9% de precisión, neutralizando efectivamente la aleatorización.
• Implementación Enmascarada de Orden Superior:
  • Mientras que la implementación en microcontrolador era segura contra ataques de t-probing, la implementación en FPGA filtró información debido a efectos a nivel de hardware.
  • El procesamiento paralelo de las partes enmascaradas redujo el orden de enmascaramiento efectivo. Las implementaciones de 4 y 6 partes en FPGA lograron precisiones de clasificación de 97.9% y 98.5%, respectivamente—superiores a la precisión del 95.0% reportada para ataques similares en microcontroladores.
  • El aumento del paralelismo causó que la actividad instantánea se correlacionara más fuertemente con las diferencias de bits subyacentes, socavando la seguridad teórica del esquema de enmascaramiento.

Significancia y Afirmaciones
El artículo concluye que la transición de la ejecución serial (microcontrolador) a la ejecución paralela (FPGA) altera fundamentalmente el panorama de amenazas de canales laterales para ML-KEM. Los autores afirman que:

1. Compromiso Rendimiento-Seguridad: En entornos FPGA, la búsqueda de un mayor rendimiento mediante la paralelización se correlaciona directamente con una mayor fuga de canales laterales, haciendo que las configuraciones de alto rendimiento sean más vulnerables que sus contrapartes seriales.
2. Insuficiencia de las Contramedidas Portadas: Las contramedidas diseñadas para la ejecución serial, como las comparaciones basadas en hash y el enmascaramiento de orden superior, son insuficientes cuando se paralelizan de forma ingenua en FPGAs. Los efectos a nivel de hardware (por ejemplo, la distribución espacial de la lógica, la conmutación simultánea) crean nuevos mecanismos de fuga que eluden estas protecciones.
3. Necesidad de Soluciones de Hardware a Medida: Asegurar los algoritmos PQC en hardware con restricciones de rendimiento y paralelizado requiere "soluciones a medida" que consideren explícitamente los modelos de fuga específicos para la ejecución paralela, en lugar de depender de adaptaciones de estrategias de seguridad centradas en el software.

Los autores enfatizan que, aunque sus resultados se basan en una FPGA Spartan-6, los principios probablemente se apliquen a FPGAs más nuevas con nodos de proceso más pequeños, que pueden ofrecer mayor paralelismo y, por ende, potencialmente mayor fuga. Hacen un llamado a una reevaluación de las implementaciones "seguras por diseño" para algoritmos post-cuánticos para cerrar la brecha entre la seguridad teórica y el despliegue práctico de hardware.