Differentiell felanalys
En attack som framkallar fel i en chiffers beräkning och jämför korrekt och felaktig utdata för att hitta nyckeln.
Differentiell felanalys (DFA) utnyttjar att en krypteringsoperation kan ge fel resultat om någon stör hårdvaran, till exempel med spänningsglitchar, laserpulser eller strålning. Angriparen jämför den korrekta och den felaktiga chiffertexten. Eftersom felet bara påverkar en liten del av ett känt mellanliggande tillstånd kan skillnaden säga mycket om nyckelbitar.
Två arbeten 1997 gjorde tekniken känd. Biham och Shamir visade att DES kunde brytas med DFA. Boneh, DeMillo och Lipton visade att RSA-implementationer med CRT-optimering kunde läcka hela nyckeln från ett enda felaktigt svar. Det senare kallas Bellcore-attacken, efter forskningsinstitutet där arbetet gjordes.
Lärdomen är att ett bevisat säkert protokoll inte räcker om implementationen kan tvingas göra fel. Motåtgärder som dubbelberäkning och felkontroll kostar prestanda, och de finns därför oftast där det verkligen behövs, till exempel i kort- och säkerhetsmoduler.