TY - THES A1 - Kabin, Ievgen T1 - Horizontal address-bit SCA attacks against ECC and appropriate countermeasures T1 - Horizontale Adress-Bit Seitenkanalangriffe gegen ECC und geeignete Gegenmaßnahmen N2 - In this work we investigated the resistance of different kP implementations based on the Montgomery ladder against horizontal, i.e. single trace, attacks. Applying statistical methods for the analysis we were able to reveal the secret value k completely. The reason causing the success of our attacks is the key-dependent addressing of the registers and other design blocks, which is an inherent feature of binary kP algorithms. This dependency was successfully exploited in the past by Itoh et al. analyzing many hundreds of kP traces, i.e. this attack is a vertical address-bit differential power analysis attack against Montgomery ladder. The vulnerability of the Montgomery ladder against horizontal address-bit attacks was detected and demonstrated during our investigations. We were able to reveal the scalar k exploiting the address-bit vulnerability in single trace attacks using not only statistical methods, but also Fourier transform, selected clustering methods as well as one of the simplest methods – the automatized simple SCA. We performed successful horizontal address-bit SCA attacks against both types of ECs, i.e. against highly regular Montgomery ladder and against a binary kP algorithm implementing atomic patterns. The success of our attacks shows that the regularity and atomicity principles are not effective against horizontal address-bit attacks. As a means for reducing the attack success, we investigated the hiding ability of the field multiplier which is usually the largest block of kP designs. We implemented our field multiplier for ECs over prime fields corresponding to the 4-segment Karatsuba multiplication formula that reduces the execution time and the energy consumption for a kP operation by about 40 % in comparison to multipliers exploiting the classical multiplication formula. However, the energy consumption per clock remained in our multiplier without significant changes, i.e. the protective hiding properties of the multiplier as a noise source were not decreased. Another advantage of our field multiplier is its inherent resistance to horizontal collision attacks, in contrast to multipliers based on the classic multiplication formula. Additionally, we proposed regular scheduling for the block addressing as an effective strategy for reducing the success of horizontal address-bit attacks. Combining this approach with the hiding features of the field multipliers can increase the resistance of the kP designs for both types of ECs against a broad spectrum of SCA attacks. The mentioned analysis methods can be successfully applied for determining SCA leakage sources in the early design phase. N2 - In dieser Arbeit haben wir die Resistenz verschiedener, auf der Montgomery-Ladder-basierenden, kP-Implementierungen gegen Single-Trace-Angriffe untersucht. Single-Trace-Angriffe sind auch als horizontale Angriffe bekannt. Mittels statistischer Analyse wurde der Wert des Skalars k in unseren Angriffen erfolgreich extrahiert. Die Ursache des Erfolges unserer Angriffe ist die schlüsselabhängige Adressierung der Register und Designblöcke, die ein inhärenter Teil der binären kP-Algorithmen ist. Diese Abhängigkeit wurde in der Vergangenheit von Itoh et al. erfolgreich verwendet, um den geheimen Skalar k mittels differenzieller Analyse mehrerer Traces zu extrahieren. Dieser Angriff ist als vertikale Adress-Bit Differential Power Analyse gegen die Montgomery-Ladder bekannt. Die Vulnerabilität des Montgomery-Ladders im Hinblick auf horizontale Adress-Bit Seitenkanalangriffe wurde im Rahmen unserer Untersuchungen entdeckt und demonstriert. Wir haben für das Extrahieren des Skalars k nicht nur statistischen Analyse-Methoden, sondern auch die Fourier-Transformation, ausgewählte Clustering-Methoden sowie simple Seitenkanalangriffe erfolgreich verwendet. Die horizontalen Adress-Bit Angriffe wurden erfolgreich gegen beide Arten der elliptischen Kurven durchgeführt. Angegriffen wurde nicht nur die hochreguläre Montgomery Ladder für die ECs über GF(2n), sondern auch ein atomic pattern kP-Algorithmus für die ECs über GF(p). Der Erfolg der durchgeführten Angriffe demonstriert, dass die regularity und atomicity Prinzipien als alleinige Gegenmaßnahmen gegen horizontale Angriffe nicht wirksam sind. Als eine weitere Schutzmaßnahme wurde in dieser Arbeit die Aktivität des Feldmultiplizierers vorgeschlagen und untersucht. Der Feldmultiplizierer ist der größte Block in kP-Designs, und kann somit als eine interne Rauschquelle genutzt werden, um die Aktivität anderer Designblöcke zu verbergen. Wir haben den Feldmultiplizierer für ECs über Primkörper nach der 4-Segment-Karatsuba-Multiplikationsformel implementiert. Das reduziert die Ausführungszeit und – dementsprechend auch – den Energieverbrauch für eine kP-Operation um etwa 40 % im Vergleich zur klassischen Multiplikationsformel. Der Energieverbrauch pro Takt bleibt aber ohne wesentliche Änderungen, d.h. die Schutzeigenschaften des Multiplizierers als Rauschquelle wurden nicht beeinträchtigt. Ein weiterer Vorteil unseres Multiplizierers ist seine inhärente Resistenz gegen horizontale Korrelationsangriffe, im Gegensatz zu den Multiplieren auf Basis der klassischen Multiplikationsformel. Außerdem wurde hier eine regelmäßige Adressierung der Designblöcke als effektive Strategie zur Reduzierung des Erfolgs horizontaler Adress-Bit Angriffe vorgeschlagen, implementiert und untersucht. Die Kombination der regelmäßigen Adressierung mit den Hiding-Eigenschaften des Feldmultiplizierers kann die Resistenz der in Hardware implementierten kP-Designs gegen ein breites Spektrum von Seitenkanalangriffen signifikant erhöhen. KW - Elliptic curve cryptography KW - Hardware implementation KW - Side-channel analysis KW - Horizontal attacks KW - Countermeasures KW - Elliptische Kurven-Kryptographie KW - Hardware Implementierung KW - Seitenkanalanalyse KW - Horizontale Angriffe KW - Gegenmaßnahmen KW - Seitenkanalattacke KW - Fehleranalyse KW - Differentielle Kryptoanalyse KW - Kryptosystem KW - Implementierung Y1 - 2023 U6 - http://nbn-resolving.de/urn/resolver.pl?urn:nbn:de:kobv:co1-opus4-63973 ER -