お品書き

=== 今回はここまで ===

"商用ホワイトボックス暗号方式" に対する "鍵回復攻撃"

アン・サンファン - Sanghwan Ahn -

商用のホワイトボックスソリューションでは、攻撃はなかなか成功しない状況だった。
サイドチャネルアタックを使って、攻撃に成功（鍵回復）した。
この成功は初めてである。

アプリケーションセキュリティは2fa等様々な方式で保護されている
鍵はハードウェアに格納されている
システムの保護が不十分であれば、メモリから鍵情報を抜くことができる
データが暗号化されても、鍵がメモリに格納されているので、情報は読み取れる。

攻撃者は

信頼できる実行環境(TEE)は、ほぼ安全だがサポートされるデバイスは少ない
ホワイトボックス暗号(WBC)は、学術レベルの実装は破られているが、商用WBCへの攻撃成功は事例がない

ハードウェアにあまりにも依存するのは危険。
WBCはアプリケーションレベルで実装されるべき。

ホワイトボックス暗号は、データだけでなく、アルゴリズムそのものも暗号化されている。
攻撃者は、何処に鍵があるのかわからず、抽出することも困難。

鍵とデータ、0-255の数字でスクランブルかけた(Sbox)ものがTboxになる。
通常のAES暗号と同じオペレーションが使われる。
テーブルベースのAES暗号実装では、Tboxを通じて暗号化が行われる。
Tbox（すなわちSbox）が破られると、鍵の復号化が可能になる。

ホワイトボックスAES実装は、外部の入力値をエンコードし、デコードすることができる。

多数Tboxを用意する(Lookup Table)ことで、攻撃者が鍵を解読することを更に困難にできる。

table-decomposition
全てのTboxを分散関数で計算し、鍵を抽出する手法がある。

power anakysis(電力解析)
電力消費と途中の計算結果を基に、シミュレートされたデータを比較する手法
もっとも強力
保護されていないAES暗号は、途中計算結果の直列が0,1で表現される。
機密データと1バイトの256鍵推測の消費電力との相関で、鍵を抽出することができる。

fault analysis
中間データを変更して、誤りを発生させる

ソフトウェアの実行トレースを観察することで、リバースエンジニアリングなしでプリミティブを読み取ることができる

実装方式は２つ

ラウンド演算解析

テイント解析

fault analysis

WBCは強力でコストパフォーマンスに優れるので、考慮点としては

そして、外部エンコードを利用して、電力解析とfault analysisを使えないようにする
WBベース公開鍵アルゴリズムを使用する
コード、データの完全性

デバイスバインディングについては、研究が行き届いていないので、調査が必要。

イ・サンミン - Sangmin Lee -

いろいろあって書けませんでした！
内容は資料を参照してください！

続きます！