Vol.3 No.1 2010

66/100

研究論文:暗号モジュールの安全な実装を目指して(佐藤ほか)−63−Synthesiology Vol.3 No.1(2010)4.5 より高度な攻撃手法の開発と新たな評価指針の策定LSI解析技術の進歩とともに、故障利用解析攻撃や破壊攻撃といった能動的な攻撃に対する安全性評価手法の研究の重要性が増している。故障利用解析攻撃の例としては、ループアーキテクチャを用いたAES回路で、カウンタを誤動作させて10ラウンドが終了する前の途中結果を出力させたり、特定のラウンドに起こしたデータでエラーがどのように出力に伝搬するかを調べたりといった手法が挙げられる。しかし、解析に都合のよい誤動作が起こせる保証はなく、どのようなエラーが発生するかは実装方法にも大きく依存する。そこで、故障利用解析攻撃の研究には、実際の暗号モジュールを用いた実験が求められ、これには自由に攻撃することができるSASEBOなどの利用が不可欠である。破壊攻撃では、LSIの全消費電力の中に埋もれている情報だけでなく、図10に示したようなLSI測定装置の利用により、暗号回路の局所的な信号を捕らえることも可能となってくる。しかし、既存の装置は攻撃目的で作られたものではないため、漏洩情報の観測により適した装置やより高度な計測技術の開発も進めていく必要がある。サイドチャネル攻撃においても、電力・電磁波形の質は解析結果を大きく左右するため、我々は新たな計測技術の開発と計測環境の標準化にも取り組んでいる。さらに、各攻撃に対して成功・失敗といった実験結果を示すだけでなく、そこからサイドチャネル攻撃に対して安全な暗号モジュールを設計するためにはどのような条件をクリアすべきかといった指針を与えることが重要である。そのためには、情報漏洩のメカニズムを解析し、それを定性的かつ定量的に説明可能とするモデルの構築も今後取り組んでいかなくてはならない。さらに、暗号モジュールの開発においては、常に完璧なセキュリティが求められるわけではなく、対策にかけるコストと守る物の価値とのバランスを考慮することが産業的に重要である。逆に攻撃者の立場からは、攻撃のコストに対して得られる利益が見合っているかが重視される。AESやRSAといった標準暗号アルゴリズムであっても論理的に絶対に安全ということはなく、鍵の全数探索ができれば必ず破れるはずである。しかし、その計算量があまりに膨大なため、現実的な時間とコストでは実行が不可能なのである。そこで、暗号モジュールの実装のセキュリティに対しても、攻撃コスト的に安全であるといった評価を可能とするような、多角的な視点からの検討を行っていく予定である。 5 むすび本稿では、暗号モジュールの実装法の安全性評価に関して、サイドチャネル攻撃を中心に、産総研における国際規格策定への取り組みとその意義について論じた。また、標準実験環境整備の一環として開発したSASEBOボードに暗号回路を実装し、対策を施さない場合は安価な測定装置でも電力解析攻撃が成功することを示し、早急な対応が求められることを明らかにした。また、故障利用解析攻撃や破壊攻撃など、より高い技術が求められる攻撃に対しても、対策と評価手法の開発に今から取り組む必要性について述べた。暗号や情報セキュリティの研究は、悪意を持つ攻撃者に対する防御を目的としている。しかし、情報システムがますます複雑化する中、偶発的なエラーや故障によって生じる被害を防ぐための技術開発も重要である。例えばソフトウエアにバグがある場合はシステムを動かしたままネットワーク経由で修正することも可能であるが、ハードウエアのバグや故障はシステムを停止して復旧にあたる必要があり、また遠隔地に設置されている場合は迅速なメンテナンスも難しい。この問題に対する有効な解決策として、回路を動作させたまま部分的な書き換えを可能とするFPGAの動的部分再構成技術が挙げられる。最新のSASEBO-GIIボードは動的部分再構成の研究開発を行うための機能を実装しており、ネットワーク経由による回路書き換えの実用化に向けた研究も既に始めている。またネットワーク経由でハードウエア情報がやりとりできるようになると、その盗用や改ざんを防止する必要があり、さらにはシステム障害を引き起こすハードウエアウィルスが登場する可能性もある。これらを解決するための研究も同時に進めて行く必要がある。このように、暗号ハードウエアのセキュリティに関する研究の延長として、ハードウエアシステム全体の安全性と信頼性の向上、いわゆるディペンダブルなシステムの構築を目的に、今後必要となる新たなハードウエア技術の研究開発に取り組んでいく予定である。図10 SASEBO-R上の暗号LSIに対する破壊攻撃

※このページを正しく表示するにはFlashPlayer9以上が必要です