Design- und Datensicherheit Sidechannel-Attacken auf ICs: Grundlegende Informationen

Anbieter zum Thema

MES Electronic Connect GmbH & Co. KG

Cadlog Group

RECOM Power GmbH

Produktpiraterie und Angriffe auf kritische Infrastrukturen sind nur zwei Beispiele für den Einsatz von Sidechannel-Attacken. Dabei führen Angreifer ihre Attacken teilweise mit erstaunlich geringem Aufwand durch.

Design- und Datensicherheit gewinnt in der Industrie an Bedeutung. Die bisherige Essenz zahlloser Gespräche lautet allerdings: „Wir könnten in dem Bereich mehr machen.“ Der Konjunktiv zeigt, dass sich wohl nur wenige Firmen ernsthaft mit dem Thema beschäftigen.

Grundsätzlich lassen sich Angriffe auf die Hardware in unterschiedliche Gruppen unterteilen, die sich durch das Vorwissen des Angreifers über das Angriffsziel unterscheiden. Black-Box, Grey-Box und White-Box werden hier für die folgenden Ausführungen verwendet.

Bei einer Black-Box-Attacke hat der Angreifer zunächst keine Information über das, was im Chip geschieht. Er identifiziert Ein- und Ausgänge, beobachtet diese und zieht Rückschlüsse auf das Innenleben – auf das Design oder Programm. Zum Erzeugen einer Produktkopie braucht es nicht viel mehr. Die Flash-Inhalte werden ausgelesen und auf baugleiche Hardware kopiert. Fertig.

Frage des Aufwands: Alle Sicherheitsfunktionen lassen sich knacken

Will ein Angreifers jedoch an die enthaltenen Algorithmen gelangen, ist mehr Aufwand notwendig. Fest steht: Es ist nur eine Frage der Zeit, bis das Design kein Geheimnis mehr ist. Der entscheidende Punkt ist, wie viel Energie und damit Geld der Angreifer zu investieren bereit ist. Dies ist nun eine Ermessensfrage. Für Spielzeug kommen andere Maßstäbe zur Anwendung als für Torsteuerungen von Stauwehren oder Kommunikationseinrichtungen von Regierungen.

Im Fall einer Grey-Box-Attacke verfügt der Angreifer über die gleichen Kenntnisse wie beim Black-Box-Szenario, ‚sieht‘ jedoch zusätzlich noch Input (also Output aus Sicht des ICs) von parasitären Informationen. Diese haben ihren Ursprung in technischen Implementierungen der gewünschten Funktionen und eventueller Sicherheitsmechanismen. Weshalb werden die Passwörter bei der Eingabe in Login-Masken nicht angezeigt? Klar, vor dem Fenster könnte sich jemand verstecken und mit einer Antenne versuchen, das charakteristische Signal der abgestrahlten Bildschirmdarstellung zu erhaschen und so das Passwort zu identifizieren.

Der Masterkey von Verschlüsselungen ist für Angreifer besonders interessant

Das gleiche Prinzip kann auch für ICs zum Einsatz kommen. Typische Mechanismen sind die Analyse der Leistungsaufnahme, der elektromagnetischen Abstrahlung, der Photonen-Emission oder auch einfach nur der Zeit, welche eine gegebene Aufgabe zur Abarbeitung benötigt. Unabhängig von der angewendeten Methode gewinnt der Angreifer zusätzliche Informationen über das Design und kann mit Hilfe von Statistik zunehmend präzise Rückschlüsse ziehen.

Von besonderem Interesse ist dabei der Masterkey eventueller Verschlüsselungen, die als Minimalschutz unbedingt zur Anwendung kommen sollten. Ist dieser bekannt, ist der Rest nur noch Kür. Bei einer White-Box-Attacke hat der Angreifer volle Kenntnis über das Innenleben und die Implementierung der Sicherheitsfunktion(en). Der Angriff ist gewollt und ein notwendiger Schritt in der Designphase. Wie Firmware-Entwickler ihre Software simulieren, um die korrekte Funktionalität unter allen Umständen zu gewährleisten, versucht ein Entwicklerteam oder ein externer Dienstleister, durch Testangriffe dem entwickelnden Team Hinweise über mögliche Schwachpunkte zu geben.

Quantencomputer könnten in Zukunft heute sichere Kryptoverfahren entschlüsseln

Kryptographie ist eine effiziente Methode für den Schutz von Designs und Daten vor unberechtigtem Zugriff oder Manipulation. Die zugrundeliegenden mathematischen Verfahren sind nach dem aktuellen Stand der Technik sicher. Doch dieser entwickelt sich weiter. Neue Standards werden notwendig, um künftigen Anforderungen an Sicherheit auch bei immer leistungsfähigeren Rechnern, die für Angriffe genutzt werden, gerecht zu werden. Ein Punkt ist etwa der Quantencomputer: Verschlüsselungen, die heute als sicher gelten (da zum Knacken viele Jahre Rechenzeit nötig wäre), sind damit möglicherweise in naher Zukunft kaum mehr als eine kleine Hürde.

Da kommerzielle Produkte eine gewisse Lebenszeit auf dem Markt erreichen sollen, muss eine Sicherheitslösung diese Trends mit in die Architektur und deren Umsetzung einbeziehen. D. h. es reicht nicht, dass die Lösung dem heutigen Stand entspricht. Sie muss auch für die Dauer des Vertriebs und Betriebs des Produkts ausreichend sein. Eine Möglichkeit besteht darin, Produktupdates zu ermöglichen. Der Vorteil liegt auf der Hand: Das Produkt kann im Laufe der Zeit angepasst und eventuelle Schwachstellen ausgebessert werden.

Damit hat ein Angreifer jedoch auch eine zusätzliche Möglichkeit für einen Angriff. Er braucht nur sein eigenes Update anstatt des gewollten einzuspielen. Hierbei muss also unbedingt darauf geachtet werden, dass nur erlaubte, authentifizierte Updates, eingespielt werden können. Mit leistungsfähigeren Computern sind ältere Kryptoalgorithmen leichter ‚zu knacken‘. So ist neben der Aktualisierung der Algorithmen meist auch der Einsatz längerer Schlüssel erforderlich.

Problem: Sicherheit kostet Rechenleistung

Die Kryptoverfahren müssen zudem so effizient wie möglich implementiert werden, damit noch ein ausreichender Teil der begrenzten Rechenleistung für die eigentliche Anwendung nutzbar bleibt. Damit sind wir an einem wichtigen Punkt: Die technische Umsetzung der Algorithmen. In der Hardware wird diese auf Transistorebene realisiert. Diese Schaltelemente werden be- und entladen, wozu Energie notwendig ist. Das benötigt Zeit und führt zur Aussendung von elektromagnetischen Strahlen oder Photonen. Angreifer können diese Effekte aufzeichnen und statistisch auswerten. Das sind klassische Sidechannel-Angriffe. Wichtig ist: Nicht der Algorithmus führt zu diesen Informationslecks, sondern die konkrete Umsetzung im Rechenwerk.

Ausführungszeiten von Abfragen nach wahren oder falschen Eingaben sind eine mögliche Angriffsmethode. Die Idee ist, die kryptographische Funktion im ‚geschützten Schaltkreis‘ zu triggern. Beispiel: Zugangsberechtigung zum Wohnhaus. Im einfachsten Fall ist ein fixer Sollwert als Zutrittscode im Controller an der Haustüre des Wohnblocks hinterlegt. Nach jeder Eingabe eines der Zeichen über das Keypad erfolgt die unmittelbare Abfrage, ob die Eingabe dem Sollwert entspricht. Ist dem so, wird die nächste Eingabe ausgewertet. War die falsche Taste gedrückt, wird der Vorgang abgebrochen.

Die beiden Pfade der Abfrage werden meist eine unterschiedliche Zeit zur Abarbeitung im Controller benötigen. Diese kann z. B. über das Profil der Leistungsaufnahme gemessen werden. Es ist recht einfach, diese Auswertungszeit als Entwickler so zu manipulieren, dass sie in allen Fällen gleich ist oder generell nur eine vollständige Eingabe ausgewertet wird. An diesem Punkt hat sich dann bereits der Entwickler über eine sichere Implementierung Gedanken macht. Er ist einen Schritt weiter als bei der Umsetzung der reinen Funktionalität.

Leistungsaufnahme von Schaltkreisen ermitteln

Die absolute oder relative Leistungsaufnahme von Schaltkreisen lässt sich auf unterschiedliche Arten ermitteln. Die Strommessung erfolgt über Shunt-Widerstände. Ein Angreifer hat die Herausforderung, das beobachtete Strom- bzw. Leistungsprofil (nach der Multiplikation mit der Spannung) zu bekannten Aktionen in Relation zu bringen. So eine bekannte Aktion kann u. a. eine getriggerte Kryptofunktion sein. Wieder helfen statistische Auswertungen, den genauen Zeitpunkt der Verschlüsselung und damit über kurz oder lang den Schlüssel zu identifizieren. Die abgegebene elektromagnetische Strahlung lässt sich über Antennen aufzeichnen und auswerten.

Die Vorgehensweise ist im Wesentlichen identisch zur Messung der Leistungsaufnahme. Ein wesentlicher Unterschied liegt darin, dass die Leistungsaufnahme sich auf den kompletten Chip bezieht, während die Ermittlung der Abstrahlung als Funktion der Antennengröße und -Form sehr feinkörnig sein kann. Damit kann eine Aktivitätskarte des Chips, quasi eine Landkarte für den Angreifer, generiert werden. Die relevanten Bereiche werden weiter genau beobachtet und Messreihen durchgeführt. Am Ende erfolgt wieder die statistische Auswertung.

Beim Betrieb von ICs kommt es auch zur Freisetzung von Photonen. Mithilfe von Messvorrichtungen lassen sich diese zählen und eine Aktivitätskarte erzeugen. Die weiteren Schritte sind identisch zu den anderen Methoden.

500 US-Dollar zum Knacken eines AES-Schlüssels

Alle Sidechannel-Angriffsverfahren haben ihre Stärken und Schwächen. Primär unterscheiden sie sich durch ihre Kosten. Die Frage nach dem vom Angreifer zu leistenden Aufwand stellt sich also bei der Wahl der Mittel. Um eine Idee zu geben: Für eine Demonstration zum Ermitteln des AES-Schlüssels eines ungeschützten Mikrocontrollers wurde Equipment im Wert von ca. 500 US-Dollar verwendet: eine Antenne für ca. 20 US-Dollar und ein einfaches Oszilloskop.

Der für die Berechnungen verwendete Standard-PC ist nicht eingerechnet. Die Antennen für anspruchsvollere Angriffe bewegen sich im drei- oder vierstelligen Bereich. Ähnliches gilt prinzipiell auch für Oszilloskope. Nach oben gibt es kaum Preisgrenzen. Die anfallenden Datenmengen bewegen sich im Bereich von einigen MByte bis mehreren TByte. Die notwendige Software steht teils sogar als OpenSource-Code zur Verfügung.

Schaltkreise aktiv manipulieren, um Reaktionen zu provozieren

Neben dem ‚Mithören‘ haben Angreifer die Möglichkeit, Schaltkreise aktiv zu manipulieren, um gewollte Reaktionen zu provozieren. So können z. B. lokale Temperaturveränderungen zu laufzeitbedingten Fehlern im Kryptoalgorithmus führen und für die Analyse des Schlüssels verwendet werden. Powerglitches, Brownouts oder auch Clockglitches können ICs in nicht stabile und undefinierte Zustände bringen. Gleiches ist auch mit elektromagnetischer Strahlung und Laserlicht möglich.

Im Wesentlichen werden die gleichen physikalischen Methoden, mit denen bisher gemessen wurde, nun für eine aktive Beeinflussung, eine Störung der ICs, verwendet, um damit wieder neue Erkenntnisse zu gewinnen. Viele Analysemethoden zur Extraktion der Kryptoschlüssel haben das Wort ‚Power‘ im Namen: Simple Power Analysis (SPA), Differential Power Analysis (DPA), Correlation Power Analysis (CPA), Mutual Information Analysis (MIA), Linear Regression Analysis (LRA), Template Attacks. Trotzdem lassen sich die 'Power'-Methoden nicht nur für Leistungsanalyse einsetzen, sondern für andere physikalische Größen.

Im Spannungsfeld zwischen Aufwand und Nutzen

Klar ist: Eine hundertprozentige Sicherheit kann und wird es nicht geben. Damit ist es auch sinnlos, eine Schaltung oder Anwendung gegen alle Arten von Angriffen zu schützen. Die Zielsetzung zum Thema Sicherheit und das zu verhindernde Angriffsszenario muss von Anfang an im Designzyklus klar und realistisch definiert sein, um sie effizient umsetzen zu können.

Das größte Hindernis eines weitreichend wirkungsvollen Einsatzes von Sicherungsmechanismen dürfte die Tatsache sein, dass die entstehenden Mehraufwände in Form von Entwicklungszeit und den damit assoziierten Produktkosten dem Endkunden zumeist keinen unmittelbarer Mehrwert im Sinne von Features bringen. Der Mehrwert scheint vielmehr nur auf der Seite des Herstellers zu liegen. In Verbindung mit schneller Time-To-Market und einer für die Fortexistenz der Firma notwendigen Marge leidet häufig die Design- und Datensicherheit. Sie wird zum teil wegoptimiert oder mangelhaft implementiert. (me)

Security

MISRA C unterstützt beim Schreiben Security-bewusster Programme

Cybersecurity

Automotive Security Controller SLI 37 jetzt ISO/SAE-21434-zertifiziert

Cybersecurity-Studie

Sind IT-Sicherheitsteams zu selbstsicher?

* Marco Smutek ist Senior Technology Field Application Engineer bei Arrow Electronics

(ID:49948818)