MODELS AND ALGORITHMS FOR PHYSICAL CRYPTANALYSIS Dissertation zur Erlangung des Grades eines Doktor-Ingenieurs der Fakult¨at fur¨ Elektrotechnik und Informationstechnik an der Ruhr-Universit¨at Bochum von Kerstin Lemke-Rust Bochum, Januar 2007 ii Thesis Advisor: Prof. Dr.-Ing. Christof Paar, Ruhr University Bochum, Germany External Referee: Prof. Dr. David Naccache, Ecole´ Normale Sup´erieure, Paris, France Author contact information: [email protected] iii Abstract This thesis is dedicated to models and algorithms for the use in physical cryptanalysis which is a new evolving discipline in implementation se- curity of information systems. It is based on physically observable and manipulable properties of a cryptographic implementation. Physical observables, such as the power consumption or electromag- netic emanation of a cryptographic device are so-called `side channels'. They contain exploitable information about internal states of an imple- mentation at runtime. Physical effects can also be used for the injec- tion of faults. Fault injection is successful if it recovers internal states by examining the effects of an erroneous state propagating through the computation. This thesis provides a unified framework for side channel and fault cryptanalysis. Its objective is to improve the understanding of physi- cally enabled cryptanalysis and to provide new models and algorithms. A major motivation for this work is that methodical improvements for physical cryptanalysis can also help in developing efficient countermea- sures for securing cryptographic implementations. This work examines differential side channel analysis of boolean and arithmetic operations which are typical primitives in cryptographic algo- rithms. Different characteristics of these operations can support a side channel analysis, even of unknown ciphers. It also provides evidence that existing simple leakage models are suboptimal in practice and that there is a need for improvements. A main research contribution of this thesis is a new stochastic model for multivariate side channel analysis, allowing for an approximation of the real side channel leakage for any given internal state of an imple- mentation. The proposed stochastic methods can capture both differ- ent time instants and different internal states as part of a multivariate side channel cryptanalysis. Furthermore, methods are made available in case the implementation applies masking techniques to hide internal states. Experimental results are included confirming the efficiency of these stochastic algorithms. Particularly, it is proved that the new algo- rithms are clearly superior to univariate differential side channel analysis. A performance analysis for templates and stochastic methods has been added. This led to further optimizations so that the final algorithms can be seen as the most efficient ones for side channel cryptanalysis. iv The last chapter addresses modelling of fault channel cryptanalysis, with a focus on fault injection techniques based on radiation and parti- cle impact into integrated circuits. Strategies and countermeasures are evaluated as result of this new physical model. v Kurzdarstellung der Dissertation Diese Dissertation ist der Modellierung und Entwicklung von Algorith- men fur¨ die physikalische Kryptoanalyse gewidmet. Die physikalische Kryptoanalyse ist ein neues aufstrebendes Forschungsgebiet innerhalb der Implementierungssicherheit von Informationssystemen. Sie basiert auf der Nutzung von physikalisch messbaren oder beeinflussbaren Eigen- schaften einer kryptographischen Implementierung. Physikalische Messgr¨oßen wie die Leistungsaufnahme und elektro- magnetische Abstrahlung der kryptographischen Implementierung stel- len sogenannte Seitenkan¨ale dar, die verwertbare Informationen ub¨ er in- terne Zust¨ande zur Laufzeit der Implementierung beinhalten. Physika- lische Effekte k¨onnen darub¨ er hinaus auch zur Injektion von Fehlern eingesetzt werden. Eine Fehlerinjektion ist erfolgreich, wenn ein Fehler in der Implementierung fortschreitet und die Ausgabe von einem fehler- haften Kryptogramm erfolgt. Diese Dissertation bietet einen gemeinsamen Rahmen fur¨ seitenkanal- und fehlerbasierte Kryptoanalyse. Das Ziel ist es, das Verst¨andnis von physikalischer Kryptoanalyse zu f¨ordern und neue Modelle und Algo- rithmen zu entwickeln. Eine wesentliche Motivation fur¨ die Arbeit liegt darin, dass eine Verbesserung in der Methodik der physikalischen Kryp- toanalyse auch bei der Entwicklung von effizienten Gegenmaßnahmen hilft. Diese Arbeit behandelt die differentielle Seitenkanalanalyse bei logi- schen und arithmetischen Operationen, die typische atomare Baustei- ne in kryptographischen Algorithmen darstellen. Die unterschiedlichen Charakteristiken dieser Operationen k¨onnen eine Seitenkanalanalyse von unbekannten Kryptoalgorithmen unterstutzen.¨ Insbesondere wird nach- gewiesen, dass einfache Modelle fur¨ Seitenkan¨ale in der Praxis nicht op- timal sind und dass es einen Bedarf an Verbesserungen gibt. Ein Hauptbeitrag dieser Dissertation ist ein neues stochastisches Mo- dell fur¨ multivariate Seitenkanalanalysen, das eine Approximation des Seitenkanals fur¨ jeden internen Zustand einer Implementierung erm¨og- licht. Hierdurch werden Methoden bereitgestellt, die sowohl unterschied- liche Zeitpunkte als auch unterschiedliche interne Zust¨ande in einer mul- tivariaten Seitenkanalanalyse erfassen k¨onnen. Die Algorithmen sind auch fur¨ den Fall einsetzbar, dass die Implementierung interne Zust¨ande in einer maskierten Darstellung bearbeitet. Die experimentellen Ergeb- vi nisse best¨atigen die Effizienz der stochastischen Algorithmen. Insbeson- dere wird nachgewiesen, dass die neuen Algorithmen der univariaten dif- ferentiellen Seitenkanalanalyse deutlich ub¨ erlegen sind. Es ist ferner ein Effizienzvergleich zwischen stochastischen Methoden und sogenannten Templates durchgefuhrt¨ worden. Dies hat zu weiteren Optimierungen gefuhrt,¨ so dass die entwickelten Algorithmen als die effizientesten in der Seitenkanalanalyse gesehen werden k¨onnen. Das abschließende Kapitel dieser Arbeit dient der Modellierung von fehlerbasierter Kryptoanalyse. Der Schwerpunkt liegt auf Fehlerinjek- tionsstechniken mit elektromagnetischer Strahlung und Teilchenstrah- lung in integrierten Schaltkreisen. Strategien fur¨ Gegenmaßnahmen wer- den als Ergebnis dieses neuen physikalischen Modells bewertet. To my parents and to Christian. viii ix Acknowledgements I am very grateful to Prof. Christof Paar, Chair for Communication Security at the Ruhr University Bochum for various kinds of support that I received. First of all, I deeply thank Christof for accepting me as a Ph.D. student. Working in his group at the university was a great pleasure and motivation for me after eight years in the industry. I have enjoyed many fruitful discussions and I thank for all the helpful sugges- tions while working on this thesis. Last but not least I am thankful for the wonderful open-minded atmosphere. My deep gratitudes also go to Prof. David Naccache for reviewing this thesis and attending my Ph.D. defense on June 1, 2007. I would like to express my gratitudes to all present and former mem- bers of Christof's research group in Bochum. Many of them have become good friends of mine over the last years. Especially, I am grateful to Irm- gard Kuhn¨ for the warm atmosphere, for running everything smoothly and all her help with the organization. I thank Kai Schramm for the joint work on analyzing side channels and for sharing ideas as well as tools and equipment. Greatly mentionable is also the work with Benedikt Gierlichs on comparing stochastic methods and templates for differen- tial side channel analysis that has led to a CHES 2006 paper and to valuable results for this thesis. It has been a big pleasure and fun to do research with Prof. Ahmad-Reza Sadeghi. In many refreshing dis- cussions, Ahmad opened my eyes to new views and I appreciate all the lessons in learning of how to write a paper. Further acknowledgements go to Sandeep Kumar for deeper insights to VHDL programming and the joint work for the eSTREAM project. Editing of our book on Embedded Security in Cars was another big experience in the previous years and I especially enjoyed the continuous work with Marko Wolf on this. My sincere thanks also to Timo Kasper, Thomas Eisenbarth, Dario Carluc- cio, Christian Stuble,¨ Markus Kasper, Gordon Meiser, and Yifei Liu for the joint research on various topics. Special thanks to Marcel Selhorst, Hans Christian R¨opke, Karsten Tellmann, and Horst Edelmann for help- ing me with the computer and web administration. And to Benedikt and Timo for proofreading a preliminary version of this manuscript during Christmas time 2006! All the best to all of you! Prof. Werner Schindler deserves my acknowledgements for the joint development of stochastic methods for differential side channel analysis. x The mathematical model would not have been possible without him. I sincerely thank for the various discussions we had in preparing the paper for CHES 2005. The work described in this thesis was supported through the IST Contract IST-2002-507932 ECRYPT, the European Network of Excel- lence in Cryptology. Thanks to all the researchers in the ECRYPT project for sharing their ideas. Especially to Lejla Batina, Benedikt Gierlichs, Tanja Lange, Stefan Mangard, Nele Mentens, Elke de Mul- der, Elisabeth Oswald, Kazuo Sakiyama, and Fran¸cois-Xavier Standaert. Moreover, to Tanja for patiently answering all my boring questions on ECRYPT reporting and formalisms. Thanks