Developer-Centric Tools für Side-Channel Analysis
Motivation
Für Unternehmen stellen sowohl der Schutz kryptografischer Implementierungen gegen Seitenkanalangriffe als auch die Aufrechterhaltung der Sicherheitseigenschaften auf unterschiedlichen Hardwareplattformen eine enorme Herausforderung dar. Solche Seitenkanalangriffe zielen nicht auf die kryptografischen Algorithmen selbst ab, sondern auf die Kompromittierung der Implementierung. Solche Angriffe finden zum Beispiel über ein charakteristisches Laufzeitverhalten gemessener Berechnungen, Unterschiede im Stromverbrauch oder elektromagnetische Abstrahlung statt.
Ansatz und Ziele
Ziel des Projekts DevToSCA ist es, Entwickler zu befähigen, ihre Soft- und Hardwareprodukte, aufbauend auf bereits verfügbaren, aber auch selbst entwickelten Krypto- und Sicherheitsfunktionen, automatisiert auf ihre Seitenkanalresistenz zu prüfen und zu optimieren. Das Vorhaben DevToSCA entwickelt dazu innovative Verifikationstools zur Seitenkanalanalyse. Mit diesen Werkzeugen sollen Softwareentwickler in die Lage versetzt werden, auch ohne tiefgehendes Fachwissen über Seitenkanäle die Resistenz eigener Implementierungen zu überprüfen. Um eine hohe Akzeptanz zu erzielen, wird auch die Benutzerfreundlichkeit gezielt im Design berücksichtigt. Wir können also das Bewusstsein und die Sensibilität von Entwicklern gegenüber kryptografischen Seitenkanalangriffen steigern und das Auftreten ebensolcher Schwachstellen reduzieren.
Rohde & Schwarz Cybersecurity befasst sich im Projekt insbesondere mit der Integration von Seitenkanalanalyse-Werkzeugen in produktive Entwicklungs- und Testumgebungen – besonders zur Verwendung in Kryptobibliotheken und IT-Sicherheitsprodukten. Um für professionelle Entwickler und Tester ansprechende und effiziente Umgebungen zu schaffen, werden üblicherweise mehrere Arbeitsschritte zwecks Continuous Integration (CI) automatisiert und konfigurierbar verknüpft. Ein wichtiges Qualitätskriterium ist die Zuverlässigkeit und Nachvollziehbarkeit der Werkzeuge, also z.B. die Verständlichkeit von Testergebnissen, um Seitenkanäle erkennen, begreifen und auflösen zu können. Auch die angemessene Integrier- und Konfigurierbarkeit der Werkzeuge in integrierten Entwicklungsumgebungen (IDEs) und Automatisierungsskripten ist entscheidend für die Akzeptanz bei der adressierten Zielgruppe.
Projektorganisation
DevToSCA ist ein gemeinsames Forschungsprojekt, das vom Bundesministerium für Bildung und Forschung (BMBF) gefördert wird. Am Projekt sind verschiedene fachspezifische Partner aus Forschung und Industrie beteiligt. Die Hochschule Bonn-Rhein-Sieg ist für die Projektleitung verantwortlich.
- Projektträger: VDI/VDE-IT Berlin
- Verbundpartner: Hochschule Bonn-Rhein-Sieg, Ruhr-Universität Bochum, Kasper & Oswald GmbH, Rohde & Schwarz Cybersecurity GmbH
- Projektlaufzeit: 07/2022 – 06/2025