Differentielle Fehleranalyse
Ein Angriff, der während der Berechnung einer Chiffre Fehler auslöst und korrekte mit fehlerhaften Ausgaben vergleicht, um den Schlüssel zu gewinnen.
Die Differentielle Fehleranalyse (DFA) nutzt aus, dass eine kryptografische Operation ein falsches Ergebnis liefern kann, wenn jemand die Hardware stört, etwa durch Spannungsglitches, Laserpulse oder Strahlung. Der Angreifer vergleicht das korrekte mit dem fehlerhaften Chiffrat. Da der Fehler nur einen kleinen Teil eines bekannten Zwischenzustands trifft, kann die Differenz Schlüsselbits verraten.
Zwei Arbeiten von 1997 machten die Technik berühmt. Biham und Shamir zeigten, dass sich DES mit DFA brechen lässt. Boneh, DeMillo und Lipton zeigten, dass RSA-Implementierungen mit CRT-Optimierung aus einer einzigen fehlerhaften Signatur den gesamten privaten Schlüssel preisgeben können. Letzteres heißt Bellcore-Angriff, nach dem Forschungslabor, in dem die Arbeit entstand.
Die Lehre: Ein nachweislich solides Protokoll nützt wenig, wenn sich die Implementierung zu Fehlern verleiten lässt. Gegenmaßnahmen wie redundante Berechnung und Fehlerprüfung kosten Leistung und finden sich deshalb dort, wo sie wirklich nötig sind, etwa in Zahlungskarten und Sicherheitsmodulen.