Analyse différentielle de fautes
Une attaque qui provoque des erreurs pendant le calcul d'un chiffrement et compare sorties correctes et fautives pour retrouver la clé.
L'analyse différentielle de fautes (DFA) exploite le fait qu'une opération cryptographique peut renvoyer un résultat erroné lorsqu'on perturbe le matériel, par exemple par des variations de tension, des impulsions laser ou des radiations. L'attaquant compare les chiffrés corrects et fautifs. Comme la faute n'affecte qu'une petite partie d'un état intermédiaire connu, la différence peut révéler des bits de clé.
Deux articles de 1997 ont rendu la technique célèbre. Biham et Shamir ont montré que DES pouvait être cassé par DFA. Boneh, DeMillo et Lipton ont montré que les implémentations RSA optimisées par CRT pouvaient livrer toute la clé privée à partir d'une seule signature fautive. Cette dernière est connue sous le nom d'attaque Bellcore, du nom du laboratoire où le travail a été mené.
La leçon : un protocole dont la sécurité est prouvée ne suffit pas si l'implémentation peut être poussée à se tromper. Les parades, comme le calcul redondant et la vérification d'erreurs, coûtent en performances ; on les trouve donc surtout là où elles sont vraiment nécessaires, comme les cartes de paiement et les modules de sécurité.