[논문]AES에 대한 반복문 오류주입 공격

박제훈; 배기석; 오두환; 문상재; 하재철

doi:10.13089/jkiisc.2010.20.6.59

문제 정의

논문에서는 제안하는 반복문에 대한 오류 주입 공격이 실제로 가능한지를 실험하였다. 암호용 칩으로 사용할 수 있는 상용 마이크로프로세서에 AES를 구현하여 실험하였다.
6爨 정도 소요됨을 확인할 수 있다. 다음으로 정상 암호문과 실제 오류가 주입된 오류암호문을 비교해 보자.
본 논문에서는 Choukri와 Tunstall의 공격 방식 〔7〕과 유사하게 반복적인 연산을 수행하는 동안 오류를 주입하여 비밀키를 추출하는 방법을 제시한다. 논문〔7〕 에서는 암호화 과정의 라운드를 줄인 것인데 논문에서는 마지막 라운드의 10라운드 키를 더하는 과정 (AddRoundKey)에 오류를 주입하여 마지막 라운드 키를 찾는 공격 방법이다.
본 논문에서는 Choukri와 Tunstall의 공격 방식과 유사한 가정으로 반복적 인 연산을 수행하는 과정 에서 오류를 주입하여 오류 주입 시점 이후의 연산을 건너뛰도록 하는 것이다. 논문에서 제안하는 공격이 시도되는 지점은 아래와 같은 마지막 10라운드의 키를 XOR 하는 과정이다.

가설 설정

수행하고 출력되는 오류 암호문。을 가지고 있다고 가정하자. 이때 메시지 Afe 정상 암호문을 줄력할 때와 동일한 것을 사용한다.
알지 못하는 8비트는 키에 대한 전탐색을 시행하면 쉽게 키를 얻을 수 있다. 이를 위해 먼저 10라운드 키 중에서 미지의 8비트를 가정하여 마스터 비밀키를 역산한다. 그리고 이 비밀키를 이용하면 정상적인 암호문이 나오는지를 검사하는 방식으로 8비트에 대한 전탐색을 실시하면, 128비트의 10라운드 키를 찾고 결국 마스터 비밀키를 찾을 수있匸上 제안하는 공격이 Choukri와 Tunstall의 공격과 차이나는 점은 ■오*、■듀"를* 주입하여 됸卜운■드■'를 축소하는 것이 아니라 AddRoundKey 함수를 수행할 때 반복 회수를 줄이는 공격이라는 것이다.

제안 방법

본 논문에서는 데이터가 아닌 프로. 그램 코드에 오류를 주입하여 잘못된 연산을 유도하는 오류 주입공격을 제안하였다. 그리고 실제 오류 주입공 격의 가능성을 검증하기 위해 상용 마이크로프로세서에 AES를 구현하고 레이저 빔을 이용하여 오류를 주입하였다.
그램 코드에 오류를 주입하여 잘못된 연산을 유도하는 오류 주입공격을 제안하였다. 그리고 실제 오류 주입공 격의 가능성을 검증하기 위해 상용 마이크로프로세서에 AES를 구현하고 레이저 빔을 이용하여 오류를 주입하였다. 그 결과 한 번의 오류 주입 공격으로도 128비트 비밀키를 모두 찾아낼 수 있음을 확인하였다' 따라서 암호용 칩 개발자들은 오류 주입 공격에 대비한 물리적 보완 대책을 강구하는 것은 물론 데이터에 대한 마스킹과 같은 소프트웨어적인 대응책을 강구할 필요가 있다.
여러 번의 시행착오를 거친 실험 결과, 공격 대상이 되는 CPI 비교 연산에 오류가 주입하고 출력되는 오류 값을 분석함으로써 한 번의 루프 연산만을 수행하고 프로그램을 마치는 결과를 확인할 수 있었다. 그리고 이 오류 암호문을 정상 암호문과 XOR 함으로써 120비트의 10 라운드 비밀키를 직접 구할 수 있었으며 나머지 8비트키도 전탐색을 통해 구할 수 있었다.
논문에서는 비교 단계에서 오류가 일어날 경우, 이어지는 분기 명령으로 for문을 종료할 수 있으므로, 공격 실험에서는[그림 8〕의 CPI 명령어를 대상으로 하여 비교 단계에서 오류를 유도하였다. 여러 번의 시행착오를 거친 실험 결과, 공격 대상이 되는 CPI 비교 연산에 오류가 주입하고 출력되는 오류 값을 분석함으로써 한 번의 루프 연산만을 수행하고 프로그램을 마치는 결과를 확인할 수 있었다.
그리고 이 비밀키를 이용하면 정상적인 암호문이 나오는지를 검사하는 방식으로 8비트에 대한 전탐색을 실시하면, 128비트의 10라운드 키를 찾고 결국 마스터 비밀키를 찾을 수있匸上 제안하는 공격이 Choukri와 Tunstall의 공격과 차이나는 점은 ■오*、■듀"를* 주입하여 됸卜운■드■'를 축소하는 것이 아니라 AddRoundKey 함수를 수행할 때 반복 회수를 줄이는 공격이라는 것이다. 또한 제안 방식에서는 하나의 평문에 대한 정상 암호문과 오류 암호문을 사용하는 것이 Choukri와 Tunstall의 공격과 다르다. 따라서 Choukri와 Tunstall의 공격에서는 동일한 위치에서 두 번의 오류 주입이 필요한 반면, 제안방식에서는 1번의 오류 주입으로 키를 찾을 수 있다.
ATmegal28 칩을 나타낸 것이다〔8〕. 또한, 디캐핑한 칩에 공간적으로 정확한 오류 주입 위치를 잡기 위해 광학 현미경을 이용하였다.
암호용 칩은 ATmegal28〔9〕 를 사용하였으며 오류 주입을 위해서는 EzLaze 3 레이저 장비를 사용하였다. 물론, 파형 관측을 위해 고성능 오실로스코프 장비를 사용하였으며 용이한 오류 주입을 위해 칩의 표면을 디캡핑(decapping)하여 사용하였다.
명령어 ) 등도 고려할 수 있다. 실험에서는 위 어셈블리 명령어 중 어느 명령어에 의한 오류인지 구별하기 위해 어셈블리 명령어의 순서와 클럭 개수에 기반하여 정밀도를 높여 오류 위치를 분석해 보았다. 잡음 발생, 트리거 지터링 (jittering), 레이저 주입 장치 자체 지연 시간 등의 영향으로 정확한 공격 대상지점을 찾아 윤하는 결과를 얻을 수 없었기 때문에, 어셈블리 코드 분석을 통하여 대상이 되는 연산 부근에서 레이저 주입 시간을 변화시켜 가면서 수십 번 반복 주입하여 원하는 오류 출력을 얻을 수 있었다.
실제로 가능한지를 실험하였다. 암호용 칩으로 사용할 수 있는 상용 마이크로프로세서에 AES를 구현하여 실험하였다. 암호용 칩은 ATmegal28〔9〕 를 사용하였으며 오류 주입을 위해서는 EzLaze 3 레이저 장비를 사용하였다.
오류가 주입되는 이유를 알아보기 위해[그림 3〕 의의사 코드에 해당되는 어셈블리 코드를 분석해 보았다. [그림 3〕의 for문을 어셈블리어로 구현된 것이 [그림 8〕이다.

대상 데이터

그리고 평문은 "Ox 32 43 f6 a8 88 5a 30 8d 31 31 98 a2 eO 37 07 34”을 사용하였다. 논문에서는 실험의 객관적인 검증을 위해 비밀키와 평문은 AES 표준문서인 FIPS 197의 테스트 벡터〔4〕에서 제시한 것을 그대로 사용하였다.
실험에 사용된 128비트의 AES 알고리즘의 초기비밀키는 "Ox 2b 7e 15 16 28 ae d2 a6 ab f7 15 88 09 cf 4f 3c"이며 , 10라운드 키는 "Ox dO 14 f9 a8 c9 ee 25 89 el 3f 0c c8 b6 63 0c a6''이다. 그리고 평문은 "Ox 32 43 f6 a8 88 5a 30 8d 31 31 98 a2 eO 37 07 34”을 사용하였다.
암호용 칩으로 사용할 수 있는 상용 마이크로프로세서에 AES를 구현하여 실험하였다. 암호용 칩은 ATmegal28〔9〕 를 사용하였으며 오류 주입을 위해서는 EzLaze 3 레이저 장비를 사용하였다. 물론, 파형 관측을 위해 고성능 오실로스코프 장비를 사용하였으며 용이한 오류 주입을 위해 칩의 표면을 디캡핑(decapping)하여 사용하였다.

이론/모형

그리고 평문은 "Ox 32 43 f6 a8 88 5a 30 8d 31 31 98 a2 eO 37 07 34”을 사용하였다. 논문에서는 실험의 객관적인 검증을 위해 비밀키와 평문은 AES 표준문서인 FIPS 197의 테스트 벡터〔4〕에서 제시한 것을 그대로 사용하였다.

성능/효과

있다. 따라서 이 두 결과를 XOR하면 첫번째 비-이트 OxdO를제외한 120비트의 10라운드 키를 찾을 수 있다.
비교 단계에서 오류를 유도하였다. 여러 번의 시행착오를 거친 실험 결과, 공격 대상이 되는 CPI 비교 연산에 오류가 주입하고 출력되는 오류 값을 분석함으로써 한 번의 루프 연산만을 수행하고 프로그램을 마치는 결과를 확인할 수 있었다. 그리고 이 오류 암호문을 정상 암호문과 XOR 함으로써 120비트의 10 라운드 비밀키를 직접 구할 수 있었으며 나머지 8비트키도 전탐색을 통해 구할 수 있었다.
실험에서는 위 어셈블리 명령어 중 어느 명령어에 의한 오류인지 구별하기 위해 어셈블리 명령어의 순서와 클럭 개수에 기반하여 정밀도를 높여 오류 위치를 분석해 보았다. 잡음 발생, 트리거 지터링 (jittering), 레이저 주입 장치 자체 지연 시간 등의 영향으로 정확한 공격 대상지점을 찾아 윤하는 결과를 얻을 수 없었기 때문에, 어셈블리 코드 분석을 통하여 대상이 되는 연산 부근에서 레이저 주입 시간을 변화시켜 가면서 수십 번 반복 주입하여 원하는 오류 출력을 얻을 수 있었다.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

AES에 대한 반복문 오류주입 공격
A Fault Injection Attack on the For Statement in AES Implementation 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약
AI-Helper

문제 정의

가설 설정

제안 방법

대상 데이터

이론/모형

성능/효과

참고문헌 (9)

이 논문을 인용한 문헌

저자의 다른 논문 :

연구과제 타임라인

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

AES에 대한 반복문 오류주입 공격 A Fault Injection Attack on the For Statement in AES Implementation 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

가설 설정

제안 방법

대상 데이터

이론/모형

성능/효과

참고문헌 (9)

이 논문을 인용한 문헌

저자의 다른 논문 :

박제훈 (14) 배기석 (8) 오두환 (8) 문상재 (79) 하재철 (60)

연구과제 타임라인

전체(0) 논문(0) 특허(0) 보고서(0)

전체(0) 논문(0) 특허(0) 보고서(0)

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

AES에 대한 반복문 오류주입 공격
A Fault Injection Attack on the For Statement in AES Implementation 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper