Exploring Side-Channel Protections in Hardware Implementations of PQC ML-KEM Verification

Resumo Técnico: Explorando Proteções contra Canais Laterais em Implementações de Hardware de Verificação de ML-KEM de PQC

Declaração do Problema
À medida que o Mecanismo de Encapsulamento de Chave baseado em Lattice de Módulo (ML-KEM), padronizado pelo NIST e baseado no algoritmo CRYSTALS-Kyber, é adotado para a criptografia pós-quântica, sua resiliência contra ataques de canal lateral físico torna-se crítica. Embora pesquisas anteriores tenham documentado extensivamente vulnerabilidades em implementações de software e microcontroladores — especificamente em relação à etapa de verificação de Fujisaki-Okamoto (FO) durante a decapsulação — a segurança de implementações aceleradas por hardware, baseadas em FPGA, permanece amplamente inexplorada.

A etapa de verificação FO compara um texto cifrado re-encriptado localmente com o input original. Se houver uma incompatibilidade, o algoritmo gera bytes aleatórios para garantir a segurança IND-CCA2. No entanto, esta etapa é vulnerável à análise de canal lateral (SCA), onde um atacante elabora textos cifrados levemente malformados. Ao analisar as emanações de potência ou eletromagnéticas (EM) durante a comparação, um atacante pode distinguir entre "sucesso de decapsulação" (diferença mínima) e "falha de decapsulação" (diferença significativa). Esta classificação permite a construção de um sistema de inequações resolvível via propagação de crença para recuperar a chave secreta de longo prazo. Embora contramedidas como comparações baseadas em hash e mascaramento de ordem superior tenham sido propostas para plataformas seriais, sua eficácia no contexto da alta paralelização e distribuição espacial inerente às arquiteturas FPGA é desconhecida.

Metodologia
Os autores conduziram uma avaliação sistemática de três implementações distintas de verificação de ML-KEM em duas plataformas de hardware:

1. Plataformas: Uma placa RISCURE Pinata apresentando um microcontrolador ARM Cortex-M4 (168 MHz) representando o baseline do NIST, e uma placa SAKURA-G FPGA com um chip Xilinx Spartan-6. Traços de potência foram capturados a 1 GS/s usando um osciloscópio Teledyne LeCroy.
2. Implementações Avaliadas:
   • Não Protegida: Uma implementação baseline realizando comparação direta byte a byte via XOR/AND. No FPGA, esta foi implementada com larguras de paralelismo variável (32 bits, 128 bits e 512 bits) para estudar o impacto da paralelização.
   • Baseada em Hash (Primeira Ordem): Uma contramedida que realiza o hashing de textos cifrados com SHAKE-128 (SHA-3) antes da comparação. A implementação em FPGA utilizou paralelização linha por linha e experimentou ordens de processamento de linhas randomizadas para introduzir entropia temporal.
   • Mascarada de Ordem Superior: Um algoritmo de verificação mascarado baseado em aritmética de Campo de Galois (GF), projetado para dividir os dados em partes (shares) randomizadas (configurações de 4 e 6 shares). A versão em FPGA foi otimizada via pipeline, paralelizando através do número configurável de shares.
3. Análise: Os autores pré-processaram 8.000 traços por classe, alinhando-os para compensar o drift de clock. Utilizaram T-testing para identificar pontos de vazamento, calcularam Razões Sinal-Ruído (SNR) e empregaram classificadores de aprendizado de máquina baseados em clustering para determinar a precisão de distinguir entre casos de sucesso e falha. Precisões de classificação abaixo de 80% foram consideradas malsucedidas para recuperação de chave.

Principais Contribuições

• Primeira Análise Sistemática de FPGA: Este trabalho é um dos primeiros a investigar sistematicamente a segurança de canal lateral da etapa de verificação FO especificamente dentro de ambientes acelerados por FPGA, contrastando-os com baselines estabelecidos de microcontroladores.
• Correlação entre Paralelismo e Vazamento: O estudo demonstra que, embora os FPGAs ofereçam melhorias significativas de throughput, as estratégias de paralelização usadas para alcançar esse desempenho frequentemente exacerbam o vazamento de canal lateral em vez de mitigá-lo.
• Avaliação de Contramedidas em Hardware: O artigo testa rigorosamente se as contramedidas padrão de software (hashing e mascaramento) traduzem-se efetivamente para hardware, revelando modos de falha específicos em arquiteturas paralelizadas.

Resultados Experimentais

• Implementações Não Protegidas:
  • O microcontrolador alcançou uma precisão de classificação de 94,8% (SNR 2,40).
  • A implementação paralela de 32 bits do FPGA teve menor precisão (62,9%, SNR 0,95), insuficiente para recuperação de chave.
  • No entanto, aumentar o paralelismo do FPGA para 128 bits e 512 bits aumentou drasticamente o vazamento, atingindo precisões de classificação de 99,1% e 100,0% respectivamente (SNRs de 3,83 e 8,33). A lógica combinacional mais larga resultou em sinais mais claros e distinguíveis, com o FPGA de 512 bits mostrando um aumento de ~530x no throughput em relação ao microcontrolador, mas com vulnerabilidade significativamente maior.
• Implementação Baseada em Hash:
  • Apesar de usar SHAKE-128, a implementação em FPGA permaneceu vulnerável. Os T-tests revelaram que a subfunção Rho/Pi nas rodadas iniciais da permutação Keccak retinha dependência estrutural dos dados de entrada.
  • A precisão de classificação atingiu 94,7%.
  • O escalonamento de linhas randomizado falhou em obscurecer o vazamento; as assinaturas de potência distintas dos cinco segmentos de permutação permitiram que atacantes identificassem a ordem de execução com 99,9% de precisão, neutralizando efetivamente a randomização.
• Implementação Mascarada de Ordem Superior:
  • Enquanto a implementação em microcontrolador era segura contra t-probing, a implementação em FPGA apresentou vazamento devido a efeitos de nível de hardware.
  • O processamento paralelo de shares mascarados reduziu a ordem de mascaramento efetiva. As implementações de FPGA de 4 e 6 shares alcançaram precisões de classificação de 97,9% e 98,5%, respectivamente — superiores aos 95,0% de precisão relatados para ataques similares em microcontroladores.
  • O aumento do paralelismo fez com que a atividade instantânea se correlacionasse mais fortemente com as diferenças de bits subjacentes, minando a segurança teórica do esquema de mascaramento.

Significância e Alegações
O artigo conclui que a transição da execução serial (microcontrolador) para a paralela (FPGA) altera fundamentalmente o cenário de ameaças de canal lateral para ML-KEM. Os autores afirmam que:

1. Trade-off Desempenho-Segurança: Em ambientes FPGA, a busca por maior desempenho através do paralelismo correlaciona-se diretamente com um vazamento de canal lateral mais forte, tornando as configurações de alto throughput mais vulneráveis que suas contrapartes seriais.
2. Insuficiência de Contramedidas Portadas: Contramedidas projetadas para execução serial, como comparações baseadas em hash e mascaramento de ordem superior, são insuficientes quando ingenuamente paralelizadas em FPGAs. Os efeitos de nível de hardware (ex: distribuição espacial da lógica, comutação simultânea) criam novos mecanismos de vazamento que contornam essas proteções.
3. Necessidade de Soluções de Hardware Sob Medida: Garantir algoritmos PQC em hardware com restrição de desempenho e paralelizado requer "soluções sob medida" que considerem explicitamente os modelos de vazamento específicos para execução paralela, em vez de depender de adaptações de estratégias de segurança centradas em software.

Os autores enfatem que, embora seus resultados sejam baseados em um FPGA Spartan-6, os princípios provavelmente se aplicam a FPGAs mais novos e com nós de processo menores, que podem oferecer maior paralelismo e, consequentemente, potencial de maior vazamento. Eles pedem uma reavaliação das implementações "seguras por design" para algoritmos pós-quânticos para preencher a lacuna entre a segurança teórica e a implantação prática de hardware.