Trojan-Resilient NTT: Protecting Against Control Flow and Timing Faults on Reconfigurable Platforms

以下は、論文「Trojan-Resilient NTT: Protecting Against Control Flow and Timing Faults on Reconfigurable Platforms」の詳細な技術的サマリーです。

1. 問題定義

数論的変換（NTT）は、格子ベースの耐量子暗号（PQC）アルゴリズム（Kyber、Dilithium、NTRU など）における重要な構成要素であり、多項式乗算の計算量を $O(n^2)$ から $O(n \log n)$ に削減します。しかし、FPGA などの再構成可能プラットフォームにおける NTT 実装は、以下の点で脆弱です。

• ハードウェアトロイの木馬: サプライチェーン（RTL、合成、ファウンドリ、またはビットストリーム段階）中に挿入された悪意のある改変であり、データではなく制御信号を標的とします。単一の破損した制御信号は、制御フロー全体を混乱させたり、非典型的な遅延を導入したりして、壊滅的な故障や情報漏洩を引き起こす可能性があります。
• サイドチャネル攻撃（SCA）: 特に、ソフト分析サイドチャネル攻撃（SASCA）であり、攻撃者が電力またはタイミングの漏洩を悪用して秘密のシェアを回復させます。
• 既存ソリューションの限界: 先行研究は主にデータ信号の故障検出（重い再計算を必要とする）に焦点を当てており、またはメイン設計と密接に結合された制御フロー用の重複ロジックを使用しており、これらは同じトロイの木馬の影響を受けやすくなっています。制御フローの混乱、タイミングの異常、および SASCA を同時に検出し、かつ大きな性能オーバーヘッドなしに適応的な修正を提供するソリューションは存在しません。

2. 手法

著者らは、3 つの主要な検出メカニズムと適応型故障修正システムを統合したセキュアな NTT アーキテクチャを提案します。

A. 故障検出メカニズム

1. 独立したバックアップ CSR による制御フロー整合性（CFI）:

   • 論理内でメインの制御ステータスレジスタ（CSR）を複製する（これはトロイの木馬によって破損する可能性がある）のではなく、著者らはメインの NTT 論理から完全に独立した**軽量な右シフトレジスタ（RSR）**を導入します。
   • メインの CSR は制御信号（例：rd_en、wr_en、barrett_strt）を生成します。RSR はこれらの信号を監視します。
   • ロジック: RSR はメイン CSR と同期してビットをシフトします。メイン論理が改ざんされた場合（例：トロイの木馬がクロックをゲートしたり、リセットを反転させたりした場合）、RSR の期待状態は実際の制御信号から逸脱し、cfi_fault をトリガーします。
   • これにより、poly_mem、Barrett Reduction、および uv_add/sub という特定のブロックの整合性が検証されます。

2. クロックサイクルカウンタ（CCC）によるタイミング整合性:

   • CCC は、重要なモジュールのアクティブ期間を監視します。
   • 次数 $n-1$ の多項式の場合、NTT は固定されたサイクル数：$(\log n \times n/2) + (p-1)$ を必要とします（ここで $p$ はパイプライン深度です）。
   • トロイの木馬が遅延（パイプラインのストール）を導入したり、操作を加速したりした場合、CCC は期待されるサイクル数からの逸脱を検出し、ccc_fault をトリガーします。

3. ローカルマスキング（LM）による SASCA 対策:

   • SASCA を防ぐため、このアーキテクチャは多項式メモリ（poly_mem）への書き込み操作中に**ツイドルファクタ（$\omega$）**をランダム化します。
   • $(U+V)$ と $(U-V)$ を直接書き込む代わりに、システムは $(U+V)\omega_r$ と $(U-V)\omega_r$ を書き込みます（ここで $\omega_r$ はランダムなファクタです）。
   • これにより、実際のデータに関連する電力消費プロファイルがマスキングされ、漏洩が防止されます。逆 NTT では、ファクタに $\omega_r^{-1}$ を乗算して元の係数を回復します。

B. 適応型故障修正

故障（cfi_fault または ccc_fault）を検出すると、システムはホスト側のソフトウェアであるビットパッチャーと**部分的再構成（PR）を使用して、システムを永久的に停止させることなくエラーを修正します。修正戦略はリスクファクタ（$R_i$）**に基づいて適応的です。

• リスクファクタ（$R_i$）の計算: システムは、検出された故障の頻度を実行回数で正規化した値に基づき、利用可能な各 PR ビットストリーム場所に対してリスクスコアを計算します。これにより、頻繁に使用されるコアへのバイアスを防ぎます。
• 3 つの修正措置:
  1. 前ループの再実行（低リスク）: 故障回数が少ない場合、システムは現在の反復の結果を破棄し、同じビットストリームを使用してループを再実行します。
  2. PR ビットの再ロード（中リスク）: 故障回数が下限閾値を超えた場合、システムは同じPR ビットストリームを同じFPGA 場所へ再ロードします（潜在的な一時的な状態をリセットするため）。
  3. PR ビットの再配置（高リスク）: 故障回数が上限閾値を超えた場合、システムは最も低い $R_i$（最も低いリスク）を持つ PR ビットストリームを選択し、NTT を FPGA フロアの異なる物理的場所へ再構成します。
• 動的インタコネクト: バスインタコネクトは、制御信号とメモリインターフェースを現在アクティブな NTT インスタンスへ動的にルーティングし、PR 場所間のシームレスな切り替えを可能にします。

3. 主な貢献

• 制御フローに焦点を当てた最初の防御: データ信号に焦点を当てた先行研究とは異なり、これは独立した軽量なバックアップレジスタ（RSR）を使用して制御フロー整合性（CFI）を確保する制御信号トロイの木馬を標的とした最初の設計です。
• 適応型修正戦略: 静的な「常に再配置」アプローチではなく、計算されたリスクファクタ（$R_i$）に基づいて再実行、再ロード、または再配置を動的に選択する、新しい故障修正アルゴリズムを導入しました。
• 包括的な保護: 単一のアーキテクチャ内で、制御フロー整合性、タイミング故障（CCC 経由）、および SASCA（ローカルマスキング経由）を同時に解決します。
• 最小限のオーバーヘッド: このソリューションは高い効率性のために設計されており、完全な再計算や大規模な複製に伴う重いリソースコストを回避しています。

4. 結果と評価

このシステムは、Kyber PQC アルゴリズム（バリアント 512、768、1024）を使用して、Artix-7 FPGA上で実装されました。

• 故障検出および修正効率:
  • 100% 検出率: 制御信号上のエミュレートされた「Stuck-at-0」および「Stuck-at-1」故障のすべてが、CFI および CCC モジュールによって検出されました。
  • 100% 修正率: 検出されたすべての故障は、適応型モジュールを使用して正常に修正され、正しい暗号出力が保証されました。
• オーバーヘッド分析:
  • 面積: 故障検出および修正モジュールは、ベースライン NTT と比較して19.7% のスライスオーバーヘッドを発生させます。検出のみのモジュールは 8.7% のみを追加します。
  • エネルギー: 総エネルギーオーバーヘッドは**3%**です。
  • タイミング:
    • 検出はゼロのタイミングオーバーヘッドを追加します。
    • 修正オーバーヘッドは措置によって異なります：
      • ループの再実行: 約 10 ns（1 クロックサイクル）。
      • PR の再ロード: 約 150 µs（ICAP 転送時間）。
      • PR の再配置: 約 256 µs（最適なビットストリームの検索を含む）。
• トロイの木馬シナリオ: このシステムは、アップストリーム/ダウンストリームデータパス内、NTT コア内、さらには監視ロジック内部に位置するトロイの木馬を効果的に軽減します（ただし、監視器自体が侵害された場合は致命的な故障点であることが指摘されています）。

5. 意義

この論文は、耐量子暗号におけるハードウェアセキュリティの重要な進歩を示しています。データ整合性から制御フロー整合性へと焦点を移すことで、従来の故障検出によってしばしば見過ごされてきた、高影響かつ低コストの攻撃ベクトルに対処します。適応型修正メカニズムは、セキュリティとパフォーマンスの間の実用的なバランスを提供し、システムが高度なハードウェアトロイの木馬から最小限のレイテンシとリソースペナルティで回復することを可能にします。この研究は、サプライチェーンのセキュリティが完全に保証できない重要なインフラ（防衛、航空宇宙、通信）において、回復力のある PQC アクセラレータを配備するための道を開きます。