Korrelations-Leistungsanalyse
Eine Leistungsanalyse, die den Schlüssel Byte für Byte errät und den Pearson-Korrelationskoeffizienten entscheiden lässt, welcher Tipp zu den Messkurven passt.
Éric Brier, Christophe Clavier und Francis Olivier stellten sie 2004 auf der CHES als schärfere Variante der DPA vor. Der Angreifer nimmt ein Leckagemodell an — meist, dass der Stromverbrauch dem Hamming-Gewicht eines Zwischenwerts folgt, oder der Hamming-Distanz, wenn ein Register überschrieben wird — und berechnet für jedes Schlüsselbyte-Kandidaten den vorhergesagten Verbrauch. Der Tipp, der am besten mit den gemessenen Kurven korreliert, ist mit hoher Wahrscheinlichkeit der richtige.
Bei AES genügt es, die Ausgabe der S-Box in der ersten Runde anzuvisieren: 256 Tipps pro Byte, sechzehn Bytes, fertig. Anders als ein Template-Angriff braucht sie kein Profiling, weshalb sie das Arbeitspferd der Labore ist, die Smartcards und HSMs zertifizieren.