2.2 Sorting Key CandidatesAn SCA at

2.2 Sorting Key Candidates
An SCA attack divides a secret key into several sub-keys each of which contains a small number of bits. A series of sub-SCA attacks are applied to rate the likelihood of each possible sub-key. The full keys are then sorted and tested in an order derived from the likelihood of the sub-keys. It is reasonable to assume that, to improve the attack, an adversary will not just use the ranking in the sub-attacks for sorting full keys but will also perform some global optimization combining and comparing ratings across different sub-attacks. For independent sub-attacks combined with naive sorting, the product of GEs can be used as an approximation of the full GE. When using global optimizations there is no guarantee this is still a good estimation. Only when there is a consistent and similar improvement in GE across the sub-attacks is it reasonable to assume this translates into a proportional advantage in the overall GE. (See also Section 4.3.) Without loss of generality, we focus on two sorting algorithms that can be used
to sort the key candidates in gq. The first is an optimal solution, which performs a full global-optimization by sorting the key candidates in descending order of their combined sub-SCA results. The cost of sorting (O(N log(N)) where N is the size of the key space) is acceptable compared to the effort needed for a brute-force attack,so an attacker will likely want to do this to optimize attack. However, note that N is exponential in the key size (N = 2|k| which means that actually doing the sorting will quickly become unfeasible. This means that estimating the guessing entropy with experiments is not realistically possible. We address this problem in two ways. The first is to introduce a second, suboptimal, sorting algorithm. It sorts the key candidates by a heuristic search in which optimal next key candidates are only selected at fixed points in the sorting rather than at every step. With this algorithm we are able to calculate the index of the correct key (in time polynomial in the key size) without actually having to do the sorting. However, the index of a key may increase a lot compared to its optimal ranking which may, especially for very noisy sub-SCA results, cause a much higher index of the correct key. (We refer the interested readers to Appendix A for a more detailed description of the sorting algorithms.) The second way we address the problem with computing guessing entropy is to propose an enhanced alternative security measure called o-th order guessing entropy.
2.3 The oth-Order Guessing Entropy Security Metric
The GE of an attack measures the average brute-force cost after an SCA attack without a limit on the amount of computation. In the other words, it assumes that the adversary can always test as many key candidates as it is necessary to find the correct key. This is usually not a practical assumption. Considering the usually large key space (56-bit DES key or 128-bit AES key) an adversary will likely have to limit the number of candidates tested before considering the attack a failure. To capture this in a security measure, we introduce o-th order GE. The oth-order guessing entropy of an attack gq, written as geo, measures the average number of key candidates to test after an SCA attack with q queries, given that in maximum o candidates can be tested. Intuitively, it merges the concept of the ‘average cost’ from the guessing entropy and the ‘maximum cost limit’ from the success rate. It allows an easily interpretable measurement when characterizing the average cost of a post-SCA brute-force attack in practical scenarios where the adversary does not test all possible key candidates. Like
of an attack can be calculated from the success rates sro
Figure 1 illustrates the relation between sro
using results from a simulated CPA attack that targets eight DES S-boxes (see Section 4.2). The curve formed by the bottom of the colored area depicts the sro for various o. The (dark and light) gray region visualizes the calculation of the ge based on Eq. (1) with each of the horizontal bars marking an area equal to i ·(sri − sri−1) for some order i. As the summation of those small bars, the ge is then equal to the entire gray area. The oth-order guessing entropy, geo, limits the maximum computation to o and thus is equal to the dark gray area between the axis x = 0 and the line x = o. Compared to ge, the light gray area to the right of the line x = o is omitted from geo. that this area is much larger than it appears due to the logarithmic scale.)

Kết quả (Việt) 1:

2.2 phân loại ứng cử viên chủ chốtMột cuộc tấn công SCA chia một chìa khóa bí mật vào một số phím phụ, mỗi trong số đó có chứa một số bit nhỏ. Một loạt các cuộc tấn công tiểu-SCA được áp dụng để đánh giá khả năng của mỗi khóa có thể phụ. Đầy đủ phím sau đó sắp xếp và kiểm tra trong một đơn đặt hàng xuất phát từ khả năng của các phím phụ. Nó là hợp lý để giả định rằng, để cải thiện các cuộc tấn công, một kẻ thù sẽ không chỉ sử dụng các bảng xếp hạng trong các cuộc tấn công tiểu phân loại đầy đủ các phím, nhưng cũng sẽ thực hiện một số tối ưu hóa toàn cầu kết hợp và so sánh xếp hạng trên cuộc tấn công phụ khác nhau. Cuộc tấn công tiểu độc lập kết hợp với phân loại ngây thơ, là sản phẩm của GEs có thể được sử dụng như một xấp xỉ của GE đầy đủ. Khi sử dụng tối ưu hóa toàn cầu đó là không bảo đảm điều này vẫn là một ước lượng tốt. Chỉ khi có một cải tiến phù hợp và tương tự trong GE qua các cuộc tấn công tiểu là nó hợp lý để thừa nhận điều này vào một tỉ lệ lợi thế trong tổng thể GE. (Xem phần 4.3.) Mà không làm mất quát, chúng tôi tập trung vào hai giải thuật sắp xếp có thể được sử dụngđể sắp xếp các ứng cử viên chủ chốt trong gq. Đầu tiên là một giải pháp tối ưu, thực hiện một đầy đủ toàn cầu-tối ưu hóa bằng cách sắp xếp các ứng cử viên chủ chốt trong thứ tự của các kết quả kết hợp sub-SCA giảm dần. Chi phí phân loại (O (N log(N)) N là kích thước của phím không gian) là chấp nhận được so sánh với các nỗ lực cần thiết cho một cuộc tấn công brute-lực, do đó, kẻ tấn công có khả năng sẽ muốn làm điều này để tối ưu hóa cuộc tấn công. Tuy nhiên, lưu ý rằng N là mũ kích thước quan trọng (N = 2 | k | có nghĩa là rằng thực sự làm việc phân loại sẽ nhanh chóng trở thành không khả thi. Điều này có nghĩa rằng ước đoán entropy với thí nghiệm không phải là thực tế nhất có thể. Chúng tôi giải quyết vấn đề này theo hai cách. Đầu tiên là để giới thiệu một thuật toán thứ hai, suboptimal, phân loại. Nó sắp xếp các ứng cử viên chủ chốt của một tìm kiếm heuristic mà tối ưu các ứng cử viên tiếp theo chính chỉ được chọn tại các điểm cố định trong các phân loại thay vì mỗi bước. Với thuật toán này chúng ta có thể tính toán chỉ số của chìa khóa chính xác (trong thời gian các đa thức trong kích thước chính) mà không thực sự cần phải làm các phân loại. Tuy nhiên, chỉ số của một khóa có thể tăng lên rất nhiều so với thứ hạng tối ưu của nó có thể, đặc biệt là cho kết quả rất ồn ào sub-SCA, gây một chỉ số cao hơn nhiều phím đúng. (Chúng tôi tham khảo độc giả quan tâm đến phụ lục A cho một mô tả chi tiết hơn về các thuật toán phân loại.) Cách thứ hai chúng tôi giải quyết vấn đề với tính toán dữ liệu ngẫu nhiên đoán đề xuất một sự thay thế tăng cường biện pháp an ninh được gọi là o-th tự đoán entropy. 2.3 oth, để đoán Entropy bảo mật số liệuGE một cuộc tấn công các biện pháp chi phí trung bình của brute-lực sau một cuộc tấn công SCA mà không có một giới hạn về số lượng tính toán. Nói cách khác, nó giả định rằng kẻ địch luôn luôn có thể kiểm tra như nhiều thí sinh quan trọng vì nó là cần thiết để tìm đúng chìa khóa. Điều này thường không phải là một giả định thực tế. Xem xét không gian quan trọng thường là lớn (56 bit DES phím hoặc chìa khóa 128-bit AES) một kẻ thù sẽ có khả năng phải giới hạn số lượng các ứng cử viên được thử nghiệm trước khi xem xét các cuộc tấn công thất bại. Nắm bắt được điều này trong một biện pháp an ninh, chúng tôi giới thiệu o-th tự GE. Dữ liệu ngẫu nhiên đoán oth-trật tự của một cuộc tấn công gq, viết như địa lý, các biện pháp số trung bình của các ứng viên chính để kiểm tra sau khi một cuộc tấn công SCA với q truy vấn, cho rằng trong tối đa o ứng viên có thể được kiểm tra. Bằng trực giác, nó kết hợp các khái niệm về chi phí trung bình' từ dữ liệu ngẫu nhiên đoán và 'giới hạn tối đa chi phí' từ tỷ lệ thành công. Nó cho phép một đo lường một cách dễ dàng interpretable khi characterizing chi phí trung bình của một cuộc tấn công brute-lực bài-SCA trong các tình huống thực tế mà kẻ địch không kiểm tra tất cả ứng viên có thể quan trọng. Giống nhưcuộc tấn công có thể được tính từ sự thành công tỷ giá sroHình 1 Mô tả mối quan hệ giữa srosử dụng các kết quả từ một cuộc tấn công CPA mô phỏng mục tiêu 8 DES S-hộp (xem phần 4.2). Đường cong được hình thành bởi phía dưới màu tích miêu tả sro cho o khác nhau. (Sáng và tối) vùng màu xám hình dung các tính toán của ge dựa trên Eq. (1) với mỗi người trong số các thanh ngang đánh dấu diện tích tương đương với tôi · (Xri − sri−1) cho một số lệnh tôi. Tổng kết những quầy bar nhỏ, ge là sau đó tương đương với toàn bộ diện tích màu xám. Oth, để đoán entropy, địa lý, giới hạn những tính toán tối đa đến o và vì thế là tương đương với các khu vực màu xám tối giữa các trục x = 0 và đường x = o. Compared to ge, vùng ánh sáng màu xám ở bên phải của dòng x = o bỏ qua từ địa lý. khu vực này là lớn hơn nhiều so với nó xuất hiện do quy mô lôgarít.)