Chapter 09

サイドチャネル攻撃 — 消費電力から鍵が出てくる

この章がなぜ必要なのか——「暗号が数学的に安全」でも、実装から漏れるから.

AES-256 の鍵空間は \(2^{256}\) で、総当たりは不可能である。 だが実装が動いている物理的な装置は、 演算内容に応じて消費電力・処理時間・電磁波を変化させる。

その変化を測ると、鍵が出てくる。 しかも、条件が整えば数分から数時間で。

この章で使う既出の用語（定義は各リンク先）. デフォルトパスワード（01 章 5 節）、数万円（01 章 2 節）、不可能（04 章 3 節）、物理攻撃（04 章 6 節）、定時間比較（05 章 7 節）、サイドチャネル（07 章 8 節）、フォールト（07 章 8 節）、AES（08 章 8 節）、libsodium（08 章 7 節）、マスキング（08 章 6 節）

1. サイドチャネルとは何か

電磁放射による攻撃が実務的には厄介である.

チップに触れる必要がない。 パッケージの上にプローブを置くだけでよい。 基板を改造する必要も、電源ラインに介入する必要もない。

しかも空間分解能があるので、 「チップのこの部分だけ」を狙って観測できる。 AES エンジンの真上にプローブを置けば、ノイズの少ない波形が取れる。

2. タイミング攻撃 — 最も基本的で、最も見落とされる

典型的な脆弱コード

/* ★ 危険: 早期リターンする比較 */
int compare_mac(const uint8_t *a, const uint8_t *b, size_t len)
{
    for (size_t i = 0; i < len; i++) {
        if (a[i] != b[i]) return 0;     /* ← 一致しなくなった位置で抜ける */
    }
    return 1;
}

攻撃者は 1 バイトずつ MAC を復元できる。

定時間実装

/* ★ 正しい: 常に全バイトを比較し、実行時間が入力に依存しない */
int compare_mac_ct(const uint8_t *a, const uint8_t *b, size_t len)
{
    uint8_t diff = 0;
    for (size_t i = 0; i < len; i++) {
        diff |= (uint8_t)(a[i] ^ b[i]);      /* 差分を溜める */
    }
    return (diff == 0);                       /* 最後に 1 回だけ判定 */
}

定時間実装の原則:

既存ライブラリの定時間実装を使うこと.

• Mbed TLS: mbedtls_ct_memcmp()
• libsodium: sodium_memcmp()
• OpenSSL: CRYPTO_memcmp()

自分で書かない。 特に「コンパイラが最適化で分岐を復活させる」ことがあり、 ソースが定時間でもバイナリが定時間とは限らない。

RSA と ECC のタイミング攻撃

素朴な冪乗計算（square-and-multiply）は、指数のビットが 1 か 0 かで処理が変わる。

for each bit of exponent:
    square();                   /* 常に実行する */
    if (bit == 1) multiply();   /* ★ ビットが 1 のときだけ実行する */

処理時間を測れば、指数（= 秘密鍵）のビット列が分かる。

対策:

3. 電力解析 — SPA と DPA

SPA（単純電力解析）

1 本の波形を見るだけで秘密が分かる場合がある。

波形を目で見るだけで鍵のビット列が読める。 これは対策なしの素朴な実装で実際に起きる。

DPA（差分電力解析）— 本命

SPA が効かない場合でも、統計的手法で鍵が取れる。

電力解析の原理を見る

漏洩モデルとノイズ、波形数を変えて、相関がどう立ち上がるかを確かめられる。

原理:

CMOS 回路の消費電力は、ビットが変化した数（ハミング距離）や 1 のビット数（ハミング重み）に比例する成分を持つ。

AES の場合、最初のラウンドの S-Box 出力が狙われる。

ここで \(p\) は平文の 1 バイト（既知）、\(k\) は鍵の 1 バイト（未知、256 通り）。

攻撃の手順:

ここが決定的に重要である: 探索空間が掛け算にならない.

AES-128 の鍵は 16 バイト。総当たりなら \(256^{16} = 2^{128}\) 通り。

だが DPA では、16 バイトを 1 バイトずつ独立に求められる。 必要な試行は \(256 \times 16 = 4096\) 通りの計算だけである。

\[ 2^{128} \quad \longrightarrow \quad 4096 \]

これが「暗号が数学的に強くても実装で破れる」の意味である。

必要な波形数の目安

波形の取得は自動化できる。 1 秒に数百〜数千波形を取れるので、 数千本なら数分、数十万本でも数時間で集まる。

4. 電磁解析（EMA）

原理は電力解析と同じだが、取得方法が違う。

BGA パッケージや、電源が厳重にフィルタされた基板でも、EMA なら通る.

「電源ラインにアクセスできないから安全」という想定は成り立たない。 物理攻撃を想定するなら、EMA を前提にする必要がある。

5. 対策

対策 1: マスキング（最も重要）

中間値をランダム値で撹乱し、消費電力と秘密の相関を断つ。

マスキングは「正しく実装するのが極めて難しい」.

• コンパイラの最適化でマスクが外れる
• CPU の内部でマスクされた値とマスクなしの値が同じレジスタを通る（トランジション漏洩）
• S-Box をマスクしたまま計算するのが難しい（テーブル再計算が必要）

自作しないこと。 DPA 対策済みのハードウェアエンジンを使うのが正解である。

対策 2: 隠蔽（Hiding）

信号対雑音比を下げる。

隠蔽だけでは不十分である.

シャッフリングやランダム遅延は、波形を位置合わせ（アライメント）すれば無効化される。 攻撃者は相関ベースのアライメント手法を使って、揺らぎを除去できる。

隠蔽は「波形数を増やさせる」効果しかない。 \(n\) 通りのシャッフルなら、必要な波形数が約 \(n^2\) 倍になる程度である。

マスキング（撹乱）と隠蔽（雑音）を組み合わせるのが実際の設計である。

対策 3: プロトコル・システムレベル

そもそも同じ鍵で大量の暗号化をさせない。

これが実は最も費用対効果が高い場合がある.

DPA には数千本以上の波形が要る。 「同じ鍵での暗号化は 100 回まで」という制約をプロトコルで課せば、 必要な波形が集まらない。

ハードウェアを変えずに、プロトコル設計だけで防げる場合がある。

対策 4: 認証済みハードウェアを使う

最も確実な対策は「その用途にセキュアエレメントを使う」ことである.

ATECC608、SE050、OPTIGA Trust M などは、 サイドチャネル対策を前提に設計され、第三者評価を受けている（22 章）。

MCU 内蔵の暗号エンジンで DPA 耐性まで持つものは限られる。 「機器の長期秘密鍵はセキュアエレメントに、 セッション鍵は MCU の暗号エンジンで」という役割分担が現実的である。

6. どこまでやるべきか

02 章の攻撃者クラスに戻る。

優先順位を間違えないこと.

DPA 対策に投資する前に、確認すべきことがある。

• デバッグポートは閉じているか（11 章）
• 外部フラッシュは暗号化されているか（06 章）
• 全台で同じ鍵を使っていないか（12 章）
• デフォルトパスワードは廃止されているか

これらが空いているなら、そちらから取られる。 攻撃者は最も安い経路を選ぶ（02 章の攻撃ツリー）。

DPA 対策は「他が全部固まってから」検討する項目である。

7. この章のまとめ

次章では、もう 1 つの物理攻撃—— 「電圧をひと突きすると if 文が飛ぶ」フォールトインジェクションを扱う。