Retrofit or Redesign? Hardware-Validated Constant-Time Defense and Cost Analysis for the M-Step Side-Channel on TrustZone-M

Immagina di essere il guardiano di una cassaforte segreta, e l'unico modo per aprirla è risolvere un complesso enigma matematico. Nel mondo della sicurezza digitale, questo enigma è spesso un "inverso modulare", un calcolo usato per bloccare e sbloccare i messaggi. Per anni, gli esperti hanno creduto che se avessi reso uguale il tempo impiegato per risolvere l'enigma ogni singola volta, nessuno avrebbe potuto rubare il segreto. Questo è chiamato sicurezza a "tempo costante". L'idea era che se un ladro non poteva capire se stavi pensando intensamente o se stavi solo tirando a indovinare in base a quanto tempo la porta impiegava ad aprirsi, allora eri al sicuro.

Ma esiste un nuovo trucco subdolo chiamato "attacco a singolo passo" (single-stepping attack). Immagina che un ladro non si limiti ad aspettare che la porta si apra, ma possieda un cronometro magico che gli permette di congelare il tempo dopo ogni singolo passaggio del tuo processo di risoluzione dell'enigma. Può osservare esattamente quale percorso percorri all'interno del labirinto. Se il tuo labirinto ha scorciatoie segrete che utilizzi solo quando conosci la risposta, il ladro vedrà che prendi la scorciatoia e scoprirà il tuo segreto. Questo articolo esplora una scelta ad alta posta in gioco per gli ingegneri della sicurezza: quando viene trovata una vulnerabilità, dovresti cercare di riparare il vecchio labirinto colante (un "retrofit") per farlo apparire uniforme, o dovresti abbatterlo e costruire un brand-nuovo labirinto che non abbia scorciatoie per progettazione (un "redesign")? La risposta non riguarda solo quale sia più veloce; riguarda quale dei due riesca effettivamente a impedire al ladro di vedere i tuoi segreti.

---

Il Grande Riparo del Labirinto: Retrofit vs. Redesign

In questo studio, i ricercatori Arash Razban e il suo team hanno affrontato una reale falla di sicurezza (nota come CVE-2025-54764) trovata in una popolare libreria utilizzata per proteggere i dati su piccoli computer embedded, come quelli presenti nelle smart card o nei dispositivi medici. La falla si trovava nelle routine di "GCD binario" e "inverso modulare" — ovvero, i motori matematici che gestiscono le chiavi segrete. Un hacker che utilizza una tecnica chiamata "M-Step" potrebbe congelare il computer dopo ogni singola istruzione e osservare il percorso che la matematica ha seguito per rubare la chiave segreta.

I ricercatori hanno allestito una battaglia testa a testa su un vero hardware siliconico (un chip Cortex-M33) per vedere quale strategia di difesa funzionasse meglio: Il Retrofit o Il Redesign.

Il Retrofit (Il lavoro di riparazione):
Il team ha cercato di riparare le vecchie e deboli routine matematiche. Hanno preso il codice originale, che presentava scorciatoie dipendenti dal segreto (come un labirinto con porte nascoste), e lo hanno costretto a percorrere lo stesso cammino ogni volta. Lo hanno fatto facendo sì che il codice eseguisse ogni possibile passaggio, anche quelli di cui non aveva bisogno, e utilizzando trucchi "branchless" (senza ramificazioni) per nascondere quale percorso fosse stato effettivamente intrapreso. Era come costringere un corridore a fare jogging in ogni singola stanza di una casa, indipendentemente da dove si trovi l'uscita, in modo che un osservatore non possa capire da quale stanza sia uscito.

Il Redesign (La nuova costruzione):
L'alternativa era di buttare via la vecchia matematica e sostituirla con un algoritmo completamente nuovo (chiamato safegcd) che fosse stato costruito da zero per non avere scorciatoie. Questo nuovo labirinto ha un percorso fisso che appare esattamente uguale, indipendentemente da quale sia il segreto.

I Risultati Sorprendenti: Velocità e Fughe Furbe

I ricercatori hanno misurato due cose: quanto costavano (in termini di tempo ed energia) queste difese e se fermavano effettivamente il ladro.

1. Il costo del patch
I risultati sono stati sconvolgenti. Il "Redesign" era incredibilmente efficiente. Tuttavia, il "Retrofit" era un disastro in termini di velocità.

• Per la routine GCD, il retrofit era 192 volte più lento del redesign.
• Per l'inverso modulare, il retrofit era 532 volte più lento.
  Per dare un contesto, sul hardware testato, la routine ridisegnata impiegava millisecondi per l'esecuzione. La routine retrofittata? Impiegava secondi. Nello specifico, il GCD retrofittato impiegava circa 4,5 secondi per chiamata e l'inverso modulare ben 25 secondi. Per un dispositivo che deve sbloccare una porta o firmare un messaggio istantaneamente, aspettare 25 secondi è praticamente inutile. Il redesign non era solo migliore; era l'unica opzione che rendeva il dispositivo utilizzabile.

2. La "Fuga Fantasma" (Ghost Leak)
È qui che la storia diventa davvero interessante. I ricercatori pensavano che il Retrofit fosse un successo. Quando hanno misurato il tempo totale impiegato per l'esecuzione, il Retrofit sembrava perfetto. Il tempo variava meno del 2% tra i diversi segreti, il che è generalmente considerato "sicuro".

Ma poi, hanno utilizzato uno strumento super-preciso per controllare le esatte istruzioni che il computer eseguiva, passo dopo passo. Hanno scoperto una "fuga fantasma".

• Nel Retrofit, c'era un piccolo ciclo nascosto alla fine del processo matematico. Per la maggior parte degli input, il ciclo girava un numero fisso di volte. Ma per un segreto specifico, girava una volta in più.
• Questo passaggio extra aggiungeva solo poche decine di cicli di clock al tempo totale. Poiché il tempo totale era enorme (miliardi di cicli), questa minuscola differenza era completamente invisibile ai normali test di temporizzazione. Era come un ladro che nota un singolo battito di ciglia in più in un film di 25 secondi.
• L'attaccante M-Step, che osserva ogni singolo passo, avrebbe visto questo battito di ciglia extra e avrebbe saputo esattamente quale fosse il segreto.
• I ricercatori hanno dovuto tornare indietro e correggere questo piccolo ciclo, sostituendolo con una sequenza fissa, per chiudere davvero la porta.

Il Verdetto: Costruisci Nuovo, Non Riparare

L'articolo conclude con un messaggio chiaro per gli ingegneri della sicurezza: Non cercate di riparare questi specifici tipi di routine matematiche.

1. Il Redesign è il Re: L'approccio "constant-time-by-design" (il Redesign) è di gran lunga superiore. È circa due ordini di grandezza (100 volte) più veloce rispetto al tentativo di riparare il vecchio codice.
2. I test di temporizzazione mentono: Non potete fidarvi dei normali test di temporizzazione per dirvi se una patch è sicura. Una patch può sembrare perfetta su un cronometro, ma può comunque nascondere una piccola e sfruttabile fuga che solo un attaccante a "singolo passo" può vedere.
3. Controllate i passi, non l'orologio: Per essere sicuri che una difesa funzioni, dovete verificare la sequenza esatta delle istruzioni (il percorso intrapreso), non solo il tempo totale impiegato.

I ricercatori hanno scoperto che anche dopo aver corretto la fuga fantasma, rimaneva una minuscola variazione di tempo (circa il 2%). Tuttavia, hanno dimostrato che questa non era una fuga di segreti, ma era solo l'hardware stesso che si comportava leggermente diversamente a seconda dei numeri che stava elaborando, un "pavimento hardware" che nemmeno il miglior software può eliminare. Ma crucialmente, il percorso che il computer ha intrapreso era ora identico ogni volta, il che significa che il ladro non poteva più apprendere il segreto osservando i passi.

In breve: quando si tratta di questi critici segreti matematici, non cercate di riparare la vecchia casa. Abbattetela e costruitene una nuova che sia stata progettata per essere sicura fin dall'inizio. È più veloce, più sicura e non perderete le piccole crepe che una riparazione lascia dietro di sé.