CWE-1255: Comparison Logic is Vulnerable to Power Side-Channel Attacks

CWE ID: 1255
Name: Comparison Logic is Vulnerable to Power Side-Channel Attacks

Beschreibung

Der Echtzeit-Energieverbrauch eines Geräts kann während der Sicherheits-Token-Evaluierung überwacht werden, und die daraus gewonnenen Informationen können verwendet werden, um den Wert des Referenz-Token zu bestimmen.

Risikominderungsmaßnahmen

Maßnahme (Architecture and Design)

Effektivität: Unknown
Beschreibung: Die Designphase muss jede Prüfung eines Security Tokens gegen einen Standard berücksichtigen, sowie den Stromverbrauch während der Prüfung eines gültigen Tokens im Vergleich zu einem ungültigen Token. Die Alternative ist eine “all at once”-Prüfung, bei der ein Retry-Counter prior zur Prüfung inkrementiert wird.

Maßnahme (Architecture and Design)

Effektivität: Unknown
Beschreibung: Eine weitere potenzielle Abschwächung ist die Parallelisierung der Verschiebung von Secret Data (siehe Beispiel 2 weiter unten). Es ist zu beachten, dass je breiter der Bus, desto effektiver das Ergebnis ist.

Maßnahme (Architecture and Design)

Effektivität: Unknown
Beschreibung: Eine zusätzliche potenzielle Abschwächung ist das Hinzufügen von Random Data zu jeder Crypto Operation und anschließendes Subtrahieren derselben. Dies ist hochwirksam, jedoch mit erheblichen Kosten in Bezug auf Performance, Area und Power Consumption. Es erfordert zudem einen Random Number Generator.

Maßnahme (Implementation)

Effektivität: Unknown
Beschreibung: Sollte die Architektur nicht in der Lage sein, den Angriff zu verhindern, können Filtering Components die Möglichkeit zur Implementierung eines Angriffs reduzieren. Es muss jedoch die physische Entfernung der Filter-Elemente berücksichtigt werden.

Maßnahme (Integration)

Effektivität: Unknown
Beschreibung: Während der Integration sollte die Verwendung eines einzelnen Secrets über einen längeren Zeitraum vermieden werden (z.B. durch häufige Key Updates). Dies begrenzt das Ausmaß der kompromittierten Daten, allerdings auf Kosten der Benutzerfreundlichkeit und der Komplexität der Implementierung.