Exploring Side-Channel Protections in Hardware Implementations of PQC ML-KEM Verification

Technische Samenvatting: Onderzoek naar zijkanaalbescherming in hardware-implementaties van PQC ML-KEM verificatie

Probleemstelling
Nu het Module-Lattice-gebaseerde Key-Encapsulation Mechanism (ML-KEM), gestandaardiseerd door NIST en gebaseerd op het CRYSTALS-Kyber algoritme, wordt geadopteerd voor post-kwantum cryptografie, is de veerkracht ervan tegen fysieke zijkanaalaanvallen (side-channel attacks) cruciaal geworden. Hoewel eerder onderzoek uitgebreid kwetsbaarheden heeft gedocumenteerd in software- en microcontroller-implementaties—specifiek met betrekking tot de Fujisaki-Okamoto (FO) verificatiestap tijdens decapsulatie—blijft de beveiliging van hardware-versnelde, op FPGA gebaseerde implementaties grotendeels onverkend.

De FO-verificatiestap vergelijkt een lokaal opnieuw versleuteld ciphertext met het oorspronkelijke invoerbericht. Als ze niet overeenkomen, geeft het algoritme willekeurige bytes uit om IND-CCA2-beveiliging te garanderen. Deze stap is echter kwetsbaar voor zijkanaalanalyse (SCA), waarbij een aanvaller licht vervormde ciphertexts kan creëren. Door de stroom- of elektromagnetische (EM) emissies tijdens de vergelijking te analyseren, kan een aanvaller onderscheid maken tussen "decapsulatie succes" (minimale verschil) en "decapsulatie falen" (significant verschil). Deze classificatie maakt de constructie van een stelsel van ongelijkheden mogelijk die oplosbaar is via belief propagation om de langetermijngeheime sleutel te herstellen. Hoewel tegenmaatregelen zoals hash-gebaseerde vergelijkingen en hogere-orde masking zijn voorgesteld voor seriële platformen, is hun effectiviteit in de context van de hoge parallelliteit en ruimtelijke distributie die inherent zijn aan FPGA-architecturen onbekend.

Methodologie
De auteurs voerden een systematische evaluatie uit van drie verschillende ML-KEM verificatie-implementaties over twee hardwareplatforms:

1. Platforms: Een RISCURE Pinata-board met een ARM Cortex-M4 microcontroller (168 MHz) die de NIST-baseline vertegenwoordigt, en een SAKURA-G FPGA-board met een Xilinx Spartan-6 chip. Stroomsporen werden vastgelegd op 1 GS/s met een Teledyne LeCroy oscilloscoop.
2. Geëvalueerde implementaties:
   • Onbeschermd: Een baseline-implementatie die directe byte-gewijze XOR/AND-vergelijking uitvoert. Op de FPGA werd dit geïmplementeerd met variabele parallelliteit (32-bit, 128-bit en 512-bit breedtes) om de impact van parallellisering te bestuderen.
   • Hash-gebaseerd (Eerste-orde): Een tegenmaatregel die ciphertexts hasht met SHAKE-128 (SHA-3) vóór de vergelijking. De FPGA-implementatie maakte gebruik van rij-voor-rij parallellisering en experimenteerde met gerandomiseerde rij-verwerkingsvolgordes om temporele entropie te introduceren.
   • Hogere-orde Gemaskeerd: Een gemaskeerd verificatie-algoritme gebaseerd op Galois Field (GF) rekenkunde, ontworpen om data op te splitsen in gerandomiseerde shares (4-share en 6-share configuraties). De FPGA-versie was pipeline-geoptimaliseerd en paralleliseerde over het configureerbare aantal shares.
3. Analyse: De auteurs bewerkstelligden preprocessing van 8.000 sporen per klasse, waarbij ze uitlijning toepasten om rekening te houden met klokdrift. Ze gebruikten T-testen om lekpunten te identificeren, berekenden signaal-ruisverhoudingen (SNR) en gebruikten clustering-gebaseerde machine learning classificators om de nauwkeurigheid van het onderscheiden tussen succesvolle en falende gevallen te bepalen. Classificatienauwkeurigheden onder de 80% werden als onsuccesvol beschouwd voor sleutelherstel.

Belangrijkste Bijdragen

• Eerste Systematische FPGA-analyse: Dit werk is een van de eersten die systematisch de zijkanaalbeveiliging van de FO-verificatiestap onderzoekt, specifiek binnen door FPGA versnelde omgevingen, en deze contrasteert met gevestigde microcontroller baselines.
• Correlatie tussen Parallelliteit en Lekken: De studie toont aan dat hoewel FPGA's significante doorvoersnelheid bieden, de parallelliseringsstrategieën die worden gebruikt om deze prestaties te bereiken, de zijkanaal-lekken vaak verergeren in plaats van ze te mitigeren.
• Evaluatie van Tegenmaatregelen op Hardware: Het paper test rigoureus of standaard software-tegenmaatregelen (hashing en masking) effectief vertalen naar hardware, waarbij specifieke foutmodi in parallelle architecturen worden onthuld.

Experimentele Resultaten

• Onbeschermde Implementaties:
  • De microcontroller bereikte een classificatienauwkeurigheid van 94,8% (SNR 2,40).
  • De 32-bit parallelle implementatie van de FPGA had een lagere nauwkeurigheid (62,9%, SNR 0,95), wat onvoldoende is voor sleutelherstel.
  • Echter, het verhogen van de FPGA-parallelliteit naar 128-bit en 512-bit verhoogde de lekkage drastisch, met classificatienauwkeurigheden van respectievelijk 99,1% en 100,0% (SNRs van 3,83 en 8,33). De bredere combinatorische logica resulteerde in duidelijkere, beter onderscheidbare signalen, waarbij de 512-bit FPGA een ~530x doorvoersnelheidswinst liet zien ten opzichte van de microcontroller, maar met een aanzienlijk hogere kwetsbaarheid.
• Hash-gebaseerde Implementatie:
  • Ondanks het gebruik van SHAKE-128 bleef de FPGA-implementatie kwetsbaar. De T-testen toonden aan dat de Rho/Pi subfunctie in de vroege rondes van de Keccak-permutatie een structurele afhankelijkheid van de inputdata behield.
  • De classificatienauwkeurigheid bereikte 94,7%.
  • Gerandomiseerde rij-scheduling slaagde er niet in om de lekkage te maskeren; de onderscheidende stroomsignature van de vijf permutatiesegmenten stelden aanvallers in staat de uitvoeringvolgorde te fingerprinteren met 99,9% nauwkeurigheid, waardoor de randomisatie effectief werd geneutraliseerd.
• Hogere-orde Gemaskeerde Implementatie:
  • Terwijl de microcontroller-implementatie veilig was tegen t-probing, lekte de FPGA-implementatie informatie door hardware-effecten.
  • Parallelle verwerking van gemaskeerde shares verminderde de effectieve masking-orde. De 4-share en 6-share FPGA-implementaties bereikten classificatienauwkeurigheden van respectievelijk 97,9% en 98,5%—hoger dan de 95,0% nauwkeurigheid gerapporteerd voor soortgelijke aanvallen op microcontrollers.
  • De toegenomen parallelliteit zorgde ervoor dat de instantane activiteit sterker correleerde met onderliggende bitverschillen, wat de theoretische beveiliging van het masking-schema ondermijnde.

Betekenis en Claims
Het paper concludeert dat de overgang van seriële (microcontroller) naar parallelle (FPGA) executie het zijkanaal-dreigingslandschap voor ML-KEM fundamenteel verandert. De auteurs stellen dat:

1. Prestatie-Beveiliging Afweging: In FPGA-omgevingen correleert het streven naar hogere prestaties door middel van parallelliteit direct met sterkere zijkanaal-lekken, waardoor hoog-doorvoer configuraties kwetsbaarder zijn dan hun seriële tegenhangers.
2. Onvoldoende van Geporteerde Tegenmaatregelen: Tegenmaatregelen ontworpen voor seriële executie, zoals hash-gebaseerde vergelijkingen en hogere-orde masking, zijn onvoldoende wanneer ze naïef geparalleliseerd worden op FPGA's. De hardware-niveau effecten (bijv. ruimtelijke distributie van logica, simultaan schakelen) creëren nieuwe lekmechanismen die deze beschermingen omzeilen.
3. Noodzaak voor Op Maat Gemaakte Hardware-oplossingen: Het beveiligen van PQC-algoritmen in prestatiebeperkte en parallelle hardware vereist "op maat gemaakte oplossingen" die expliciet rekening houden met de specifieke lekmodellen van parallelle executie, in plaats van te vertrouwen op aanpassingen van software-gecentreerde beveiligingsstrategieën.

De auteurs benadrukken dat hoewel hun resultaten gebaseerd zijn op een Spartan-6 FPGA, de principes waarschijnlijk ook gelden voor nieuwere, kleinere proces-node FPGA's, die mogelijk nog grotere parallelliteit en dus potentieel grotere lekkage bieden. Ze pleiten voor een herwaardering van "secure-by-design" implementaties voor post-kwantum algoritmen om de kloof tussen theoretische beveiliging en praktische hardware-implementatie te overbruggen.