Hardware-Efficient Compound IC Protection with Lightweight Cryptography

Probleemstelling

De geïntegreerde schakelingen (IC) industrie is overgegaan op een geglobaliseerde productieketen, wat ernstige beveiligingsrisico's met zich meebrengt, zoals overproductie (illegale productie van extra chips) en piraterij (stelen van het intellectuele eigendom).
Bestaande beschermingstechnieken, zoals logische vergrendeling (logic locking) en hardware-obfuscatie, blijken vaak onvoldoende omdat ze niet gebaseerd zijn op wiskundig bewezen veilige algoritmen. Ze zijn kwetsbaar voor geavanceerde aanvallen zoals SAT-based attacks, structurele analyse en verwijderingsaanvallen.
Aan de andere kant hebben voorgaande methoden die cryptografie gebruiken (zoals AES) een onacceptabel hoge hardware-omkost (area overhead) tot gevolg, waardoor ze ongeschikt zijn voor resource-beperkte apparaten zoals IoT-toestellen. Bovendien bleken sommige van deze cryptografische methoden kwetsbaar voor specifieke aanvallen (bijvoorbeeld verwijderingsaanvallen of stroomanalyse).

Het centrale probleem is dus het vinden van een verdedigingsmechanisme dat:

1. Overproductie en piraterij effectief tegengaat.
2. Een minimale hardware-omkost heeft (geschikt voor IoT).
3. Resistent is tegen bestaande en potentiële aanvallen (verwijdering, algebraïsch, SAT, etc.).

Methodologie: Compound IC Protection Mechanisme

De auteurs stellen een compound beschermingsmechanisme voor dat drie componenten combineert in een synergetische aanpak, geïmplementeerd in een open-source CAD-tool genaamd SOHNI:

1. Lightweight Cryptography (LWC) Block Cipher:
   In plaats van zware algoritmen zoals AES, wordt een lightweight cipher gebruikt (bijv. SIMON, PRESENT of ASCON). Deze worden "ontrold" (unrolled) in een combinatielogica. De cipher versleutelt een vast inputpatroon en genereert een output die dient als de "geheime sleutel" voor de vergrendeling.

   • Keuze: SIMON wordt geprefereerd vanwege de lage hardware-omkost en flexibiliteit in blokgrootte en sleutellengte.

2. Double Flip Logic Locking (DFLT):
   De originele schakeling wordt vergrendeld met een DFLT-techniek (specifiek TTLock). In tegenstelling tot eerdere methoden die alleen XOR/XNOR-poorten gebruikten, gebruikt TTLock een "restore unit" die de output van de LWC-cipher vergelijkt met beschermde primaire ingangen. Dit maakt de schakeling resistent tegen SAT-based attacks.

3. LUT-gebaseerde Obfuscatie:
   Om te voorkomen dat een aanvaller de verbindingen tussen de LWC-cipher en de vergrendelde schakeling kan identificeren (wat nodig zou zijn voor een verwijderingsaanval), worden de verbindingen vermomd met Look-Up Tables (LUTs). De LUTs vervangen de poorten die de cipher koppelen aan de vergrendelde schakeling. De sleutels voor deze LUTs worden opgeslagen als deel van de totale geheime sleutel.

Het proces:

• De originele schakeling wordt vergrendeld met TTLock.
• De LWC-cipher wordt toegevoegd; zijn output wordt verbonden met de vergrendelings-ingangen.
• LUT-obfuscatie wordt toegepast op de verbindingen tussen cipher en vergrendeling.
• De totale geheime sleutel bestaat uit de cipher-sleutel én de LUT-sleutels.

Voorgestelde Aanvallen (voor validatie)

Om de kwetsbaarheid van eerdere methoden te demonstreren, introduceerden de auteurs twee nieuwe aanvallen:

1. Verwijderingsaanval (Removal Attack): Richt zich op methoden zoals die in referentie [8] (AES-gebaseerd). De aanvaller identificeert de logische "cones" van de cipher, verwijdert deze uit het netlist en behoudt de outputs als nieuwe sleutel-ingangen. Vervolgens wordt een SAT-based attack uitgevoerd op het resterende circuit om de originele schakeling te herstellen.
2. Algebraïsche Aanval: Richt zich op het vinden van de geheime sleutel van de cipher zelf. Na het uitvoeren van de verwijderingsaanval wordt het probleem om de sleutel te vinden omgezet in een SAT-probleem (CNF-formule) met de bekende outputpatronen als constraints.

Belangrijkste Bijdragen

• Compound Beschermingstechniek: Een nieuwe architectuur die LWC, DFLT (TTLock) en LUT-obfuscatie combineert om zowel overproductie als piraterij te voorkomen.
• SOHNI Tool: Een open-source CAD-tool die het proces van het genereren van beveiligde IC's automatiseert en verschillende LWC-algoritmen ondersteunt.
• Nieuwe Aanvalsmethoden: De introductie van de verwijderings- en algebraïsche aanvallen die bewijzen dat eerdere cryptografische vergrendelingstechnieken kwetsbaar zijn.
• Efficiëntie: Het aantonen dat cryptografische bescherming mogelijk is met een veel lagere hardware-omkost dan eerder gedacht.

Experimentele Resultaten

De auteurs hebben hun methode getest op benchmarks (ITC'99 en EPFL) en vergeleken met state-of-the-art technieken en eerdere cryptografische methoden ([8] en [9]):

• Hardware Complexiteit (Area Overhead):

  • De voorgestelde methode (met SIMON) resulteert in aanzienlijk minder hardware-omkost dan methoden die AES of Trivium gebruiken.
  • Op grote circuits (bijv. b20_C) is de oppervlakte van de vergrendelde schakeling met de nieuwe methode 11,6x kleiner dan bij methode [8] en 59,8x kleiner dan bij methode [9].
  • De area overhead varieert van 1,6% tot 106,1%, afhankelijk van de grootte van het originele circuit (hoe groter het circuit, hoe kleiner het relatieve overhead).

• Resilientie tegen Aanvallen:

  • Verwijderingsaanval: Werkt niet op de voorgestelde methode omdat de LUT-obfuscatie de verbindingen tussen de cipher en de vergrendeling verbergt. De cipher kan niet geïsoleerd worden.
  • Algebraïsche Aanval: Werkt niet omdat de output van de cipher niet kan worden bepaald zonder de obfuscatie te doorbreken.
  • SAT-based en Structurele Analyse: De combinatie van TTLock en de grote hoeveelheid sleutel-ingangen (door LUTs) maakt deze aanvallen inefficiënt (geen oplossing gevonden binnen 3 dagen).
  • In tegenstelling hiermee konden de verwijderingsaanval en andere methoden de originele schakeling wel herstellen bij de eerdere AES-gebaseerde methode [8].

Betekenis en Conclusie

Dit paper toont aan dat het mogelijk is om IC's te beschermen met cryptografisch sterke algoritmen zonder de nadelige gevolgen voor de hardware-efficiëntie die eerder werden geassocieerd met deze aanpak.

De kern van de innovatie ligt in de combinatie van technieken:

1. Het gebruik van Lightweight Cryptography zorgt voor een bewezen veilige basis met lage kosten.
2. Logic Locking (TTLock) voorkomt dat de schakeling direct kan worden omzeild.
3. LUT-obfuscatie voorkomt dat de cryptografische component kan worden geïsoleerd en verwijderd.

De voorgestelde methode (geïmplementeerd in SOHNI) biedt een robuuste verdediging tegen zowel overproductie als piraterij, terwijl het de hardware-omkost minimaliseert, wat het zeer geschikt maakt voor de moderne, geglobaliseerde en resource-beperkte IC-markt.