Análisis diferencial de fallos
Un ataque que provoca errores durante el cálculo de un cifrado y compara salidas correctas y erróneas para recuperar la clave.
El análisis diferencial de fallos (DFA) aprovecha que una operación criptográfica puede devolver un resultado erróneo si alguien perturba el hardware, por ejemplo con glitches de tensión, pulsos láser o radiación. El atacante compara el texto cifrado correcto con el erróneo. Como el fallo solo afecta a una parte pequeña de un estado intermedio conocido, la diferencia puede revelar bits de la clave.
Dos trabajos de 1997 dieron a conocer la técnica. Biham y Shamir demostraron que DES podía romperse con DFA. Boneh, DeMillo y Lipton demostraron que las implementaciones de RSA con optimización CRT podían filtrar la clave privada completa a partir de una sola firma errónea. Este último se conoce como ataque de Bellcore, por el laboratorio donde se hizo el trabajo.
La lección es que un protocolo demostrablemente seguro no basta si la implementación puede empujarse a cometer errores. Las defensas, como el cálculo redundante y la comprobación de errores, cuestan rendimiento, y por eso suelen aparecer donde realmente hacen falta, como en tarjetas de pago y módulos de seguridad.