Die Seitenkanalanalyse - Security Chips auf dem TÜV-Prüfstand

Seitenkanäle sind keine Entdeckung aus dem Informationszeitalter, sondern existieren schon, solange es die Menschheit gibt. Seitenkanäle sind  nämlich nicht nur ein Phänomen der modernen technischen Kommunikation, sondern jeglicher Kommunikation, auch ganz ohne technische Hilfsmittel. Man unterscheidet sie dabei vom direkten Kommunikationskanal, den ein Sender und ein Empfänger miteinander teilen, um Informationen auszutauschen. Als Alltagsbeispiel kann man sich vorstellen, dass zwei Personen einen Termin verabreden wollen. Die eine Person schlägt eine Uhrzeit vor und fragt, ob diese der anderen Person passe. Obwohl letztere bejaht, bemerkt erstere anhand der Körpersprache der anderen Person, dass ihr die Uhrzeit eigentlich nicht passt. Die Körpersprache – ein Seitenkanal – gehört, wie das gesprochene Wort, zur menschlichen Kommunikation. Das System Mensch kann nicht anders, als hierdurch zusätzliche Informationen zu verraten. In der Kommunikationspsychologie spricht man vom Vier-Seiten-Modell von Schulz von Thun, was besagt, dass der direkte Kommunikationskanal auf der Sachebene stattfindet und der Seitenkanal einer (unbewussten) Selbstoffenbarung gleicht.

Auf technische Informationssysteme trifft dasselbe zu. In der Regel verbindet ein Datenkanal – der direkte Kommunikationskanal – ein Informationssystem mit dem anderen. Aber auch hier gibt es eine Art Körpersprache, die auf die eingesetzte Technologie zurückzuführen ist. Die Herzstücke dieser Informationssysteme, in der Regel die Prozessoren oder auch CPUs, basieren auf einem wichtigen Halbleiterprozess, der sogenannten CMOS-Technik. Prozessoren in dieser Technik verändern ihren Strombedarf in Abhängigkeit von den Bits und Bytes, die die Kommunikationsdaten repräsentieren. Dieser veränderliche Strombedarf lässt sich messen, lässt so Rückschlüsse auf die Daten zu und stellt damit einen Seitenkanal dar. Genauso wie in dem menschlichen Beispiel von oben kommt es auch hier zur unbewussten Selbstoffenbarung. Das Informationssystem kann nicht anders.

Halbleiterchips für den IT-Security-Bereich bilden hierbei keine Ausnahme. Sie finden Anwendung in Personalausweisen, Reisepässen, EC-Karten, Laptops, Mobiltelefonen, im sicheren Behördenfunk, Kassensystemen, digitalen Fahrtenbuchschreibern u.v.m. Kurzum: Sie bilden das digitale Vertrauensfundament für eine moderne Gesellschaft, umso mehr in der aktuell schwierigen Weltlage mit immer weiter zunehmenden Cyberbedrohungen.

Um sicherzustellen, dass wichtige Informationen und Daten, wie beispielsweise kryptografische Schlüssel oder Personendaten, die auf den Chips gespeichert sind, nicht durch Seitenkanäle preisgegeben werden, haben sich wissenschaftlich fundierte und heute zumeist professionalisierte Untersuchungen etabliert, die feststellen können, ob ein Chip ausreichend geschützt ist.

Wenn man von der Seitenkanalanalyse von Halbleiterchips spricht, ist ein Verfahren gemeint, bei dem der veränderliche Strombedarf des Chips untersucht wird, um so an Informationen über die im Chip verarbeiteten Geheimnisse zu gelangen. Dieses Verfahren wird sowohl von Angreifern verwendet als auch von Prüflaboren wie TÜVIT, um die Chips im Rahmen verschiedener IT-Sicherheitsprüfung zu prüfen.

Ein Chip wird ständig mit einer konstanten Spannung versorgt, z. B. 5V bei einer EC-Karte, die in einem Lesegerät steckt. Abhängig von der Komplexität der Verarbeitungsschritte bzw. der verarbeiteten Daten benötigt der Chip mehr elektrische Leistung was dazu führt, dass sich der zugeführte Strom erhöht, während die Spannung konstant bleibt.

Um diesen zeitlich veränderlichen Vorgang auszulesen, wird der Strom über einen Widerstand, der vorher in die Spannungsversorgung des Chips einzubringen ist, mit einem Oszilloskop gemessen. Ein Oszilloskop ist ein Messgerät, das Spannungen zeitlich gesehen sehr fein – bis zu mehreren zehn Milliarden Mal pro Sekunde – messen kann. Nach dem Ohm’schen Gesetz ändert sich die Spannung, die über den Widerstand abfällt, zeitlich mit dem veränderlichen Strombedarf des Chips. Das Oszilloskop zeichnet eben diesen Spannungsabfall, auch Trace genannt, für die spätere Analyse auf.

Neben der Messung über einen Widerstand hat sich die elektromagnetische Abstrahlung – ein zweiter Seitenkanal – des Chips etabliert. Hierzu wird mit einer Messsonde, die direkt über der Chipoberfläche positioniert wird, das von dem Chip erzeugte elektromagnetische Feld vermessen.

Dieses entsteht, da im Inneren des Chips viele winzige Leiterbahnen von Strömen durchflossen werden. Durch elektromagnetische Induktion wandelt die Messsonde das Feld wiederum in eine Spannung um. Der Vorteil dieses Seitenkanals ist, dass durch die exakte Positionierung der Messsonde über einer bestimmten Recheneinheit des Chips nur relevante veränderliche Ströme gemessen werden können. Denn nur ein bestimmter Teil des Chips verarbeitet zu einer bestimmten Zeit das im Fokus stehende Geheimnis.

Sämtliche bekannte Analysemethoden, die auf die Messsignale bzw. Traces angewandt werden, folgen im Wesentlichen zwei grundsätzlichen Prinzipien, die durch zwei bahnbrechende Forschungsarbeiten aus den Jahren 1996 und 1999 bekannt wurden.

Timing Analysis: Schlüssel aus der Laufzeit ablesen

In der ersten Arbeit werden die Geheimnisse indirekt über das Laufzeitverhalten von Algorithmen extrahiert, das durch die Geheimnisse maßgeblich beeinflusst wird. Das prominenteste Beispiel für so eine Seitenkanalanalyse stellte der Angriff auf das das RSA-Kryptosystem dar. RSA verschlüsselt Nachrichten unter Zuhilfenahme eines Schlüssels mit einer modularen Exponentiation. Vereinfacht dargestellt, wird eine Nachricht m mit dem Schlüssel d exponenziert, sprich m hoch d ausgerechnet. Entscheidend dabei ist, dass der Rechenalgorithmus, wie er um das Jahr 1996 implementiert wurde, den Schlüssel dafür in seiner Bitdarstellung zerlegt abarbeitet. Ist das aktuell zu verarbeitende Bit eine 0, wird mathematisch eine Quadrierung durchgeführt, und bei einer 1 eine Quadrierung und zusätzlich eine Multiplikation. Durch bloße Inaugenscheinnahme der dazugehörigen Trace stellte man schnell fest, dass die Verarbeitung einer 1 länger dauert, da durch die ebenfalls rechenintensive zusätzliche Multiplikation der veränderliche Strombedarf einen Augenblick länger erhöht blieb. Der geheime Schlüssel d konnte somit einfach abgelesen werden.

Differential Power Analysis: Statistische Unterschiede erkennen

In der zweiten Publikation wurde die Differential Power Analysis (DPA) entwickelt. Die DPA ist heute eine Oberklasse von verschiedenen statistischen Methoden, die eine Unterscheidbarkeit von Geheimnissen in Messdaten ermöglicht. Die Untersuchung wurde am Beispiel des Data Encryption Standard (DES) durchgeführt, kann aber auch auf dessen Nachfolger Advanced Encryption Standard (AES) angewendet werden.

AES als Anwendungsbeispiel
AES ist eine Spezifikation eines Verschlüsselungsalgorithmus, der mit einem Schlüssel eine Nachricht mit vielen mathematischen Operationen verschlüsselt. Der AES-Schlüssel ist mit 128 Bit sehr groß. Alle Möglichkeiten durchzuprobieren ist unmöglich. Die einzelnen Operationen jedoch verarbeiten laut Spezifikation immer nur 8 Bit des Schlüssels und der Nachricht gleichzeitig. Das kann man sich wie folgt zunutze machen: Schlüssel und Nachricht werden in 16 mal 8 Bit unterteilt. Konzentriert man sich ausschließlich auf die ersten 8 Bit, so rechnet man die Operationen bis zu einem selbst gewählten Zwischenwert unter der Annahme aller möglichen so aufgeteilten Teilschlüssel aus. Man beachte, dass für 8 Bit nur 2 hoch 8, also 256, Teilschlüssel existieren, ganz im Gegensatz zu den weit größer erscheinenden Möglichkeiten für den gesamten Schlüssel mit 128 Bit. Nur ein einziger Teilschlüssel ist der richtige, der vom Chip genutzt wird. Das bedeutet aber auch, dass die Traces nur Informationen über eben diesen Schlüssel enthalten, genau genommen über den darüber berechneten und vorher selbst gewählten Zwischenwert.

Sortierung und Vergleich der Messdaten
Damit die vorgeschlagene Analysetechnik „Difference-of-means“ zum Erfolg führt, müssen mehrere Messungen durchgeführt werden, und zwar so, dass jedes Mal der gleiche (Teil)Schlüssel, jedoch unterschiedliche Nachrichten verwendet wird. In der nachfolgenden Analyse werden nun die einzelnen Traces anhand der ausgerechneten Zwischenwerte nach geraden und ungeraden Werten sortiert. So sortiert man in Abhängigkeit der 256 Teilschlüssel jede Trace in Bezug auf einen bestimmten Teilschlüssel in zwei „Töpfe“ einen „geraden Topf“ und in einen „ungeraden Topf“. Nur der richtige Teilschlüssel sortiert jede einzelne Trace immer in den richtigen Topf.

Ermittlung des vollständigen Schlüssels
Existiert in den Traces ein messbarer Unterschied zwischen geraden und ungeraden Werten, sollten sich auch die Mittelwerte über die in den Töpfen einsortierten Messwerte für den richtigen Teilschlüssel unterscheiden. Nehmen wir vereinfacht an, dass gerade Werte mit 0 Volt und ungerade mit 1 Volt gemessen werden. Die Mittelwerte ergeben sich beim richtigen Schlüssel unterscheidbar zu 0 Volt und 1 Volt, für die falschen Schlüssel jedoch ununterscheidbar zu 0,5 Volt und 0,5 Volt. Dieses Vorgehen wiederholt man 16 Mal und entscheidet sich immer für den Teilschlüssel, der einen Unterschied von 1 Volt im Mittelwert anzeigt. Alle zusammengesetzt ergeben nun den gesamten 128 Bit Schlüssel.

Ein eindeutiges Ja. Wir vermessen in unserem eigens dafür vorgesehenen TÜVIT-Hardware-Labor jedes Jahr eine Vielzahl von Security Chips und führen entsprechende Analysen durch. Wir prüfen: Besteht ein nachweisbarer Zusammenhang zwischen Geheimnis und Messungen, so ist der Chip durchgefallen. In der TÜV-Sprache besteht ein erheblicher Mangel. Der Chiphersteller muss nachbessern und den Chip zur Nachprüfung vorlegen. Besteht kein Zusammenhang, so besteht der Chip die TÜV-Prüfung. Der naheliegende Vergleich zur Kfz-Prüfung ist durchaus berechtigt. Mit dem Unterschied, dass nicht Verschleiß, sondern die sich stetig weiterentwickelte Seitenkanalanalyse relevant ist. Ein in die Jahre gekommener Chip bzw. dessen veraltetes Design ist dann schlichtweg nicht mehr robust genug.

Zu den bekannten Prüfregelwerken gehören unter anderem die Common Criteria, kurz CC, die beispielsweise Security-Chips mit sehr hohen Prüfniveaus untersucht. Obwohl selbst für CC-geprüfte Chips keine absolute Sicherheit gewährleistet werden kann, zeigt die Vergangenheit, dass aufgrund sehr weniger bekannt gewordener Angriffe eine durchaus gute Robustheit unterstellt werden darf.