Дифференциальный анализ сбоев
Атака, при которой в ходе вычисления шифра вызывают ошибки и сравнивают правильные и ошибочные результаты, чтобы восстановить ключ.
Дифференциальный анализ сбоев (DFA) использует то, что криптографическая операция может вернуть неверный результат, если воздействовать на оборудование — например, скачками напряжения, лазерными импульсами или излучением. Атакующий сравнивает правильный и ошибочный шифртексты. Поскольку сбой затрагивает лишь небольшую часть известного промежуточного состояния, разница может выдать биты ключа.
Известной технику сделали две работы 1997 года. Бихам и Шамир показали, что DES можно взломать с помощью DFA. Боне, ДеМилло и Липтон показали, что реализации RSA с оптимизацией через CRT могут выдать весь закрытый ключ по одной ошибочной подписи. Вторая известна как атака Bellcore — по названию лаборатории, где работа была выполнена.
Вывод: доказуемо стойкого протокола недостаточно, если реализацию можно заставить ошибаться. Защиты вроде избыточных вычислений и проверки ошибок стоят производительности, поэтому их ставят там, где они действительно нужны, — в платёжных картах и модулях безопасности.