Veiligheid van cryptografische implementaties

Dit proefschrift richt zich op de praktische problemen en de bijbehorende
oplossingen die voorkomen bij het implementeren van cryptografie die gerelateerd
zijn aan snelheid, nevenkanaalaanvallen en systeemintegratie.
Met het oog op de bedreiging door kwantumcomputers, die de meest gebruikte
asymmetrische cryptosystemen kunnen breken, is het van essentieel belang om
alternatieve cryptosystemen te onderzoeken. Eén van deze oplossingen is het
Supersingular Isogeny Diffie-Hellman (SIDH) sleuteluitwisselingsalgoritme. Dit
proefschrift onderzoekt modulaire vermenigvuldigingen en toont aan dat Mont-
gomery vermenigvuldiging de theoretisch snelste vermenigvuldigingsmethode is.
Ook wordt hier aangetoont dat de “product scanning” variant van deze methode
de snelste implementatie is. We introduceren SIDH specifieke priemgetalen die
de vermenigvuldiging nog eens met 12% versnellen. Daarna breiden wij deze
vergelijking uit en beschouwen twisted Edwards krommen met geoptimaliseerde
optelkettingen. Wij tonen aan dat de toegenomen flexibiliteit bij het creëren
van optelkettingen niet voor de langzamere operaties kan compenseren. Wij
zetten uiteen hoe men praktische prestatieverbeteringen kan realiseren door
gebruik te maken van speciale instructies op ARM-platforms. Het gebruik van
deze instructies en de speciale priemgetalen zorgt voor een versnelling van 50%.
De volgende deel analyseert de veiligheid van end-to-end versleuteling voor
e-mail. Er wordt aangetoond hoe de complexe integratie van de verschillende
componenten de veiligheid verzwakt of ondermijnt. Het toont kwetsbaarheden in
23 van de 35 geteste S/MIME-clients en 10 van de 28 geteste OpenPGP-clients.
Uiteindelijk demonstreren wij een nevenkanaalaanval op het sleuteluitwisse-
lingsalgoritme “Frodo”. De aanval werkt met één enkele trace vanwege het
hergebruik van geheime waarden op meerdere tijdstippen. De aanval is in staat
om de geheime sleutel met respectievelijk waarschijnlijkheid 50% en 99% te
reconstrueren voor de parameters NIST1 en NIST2. Wij introduceren ook een
mitigatie voor deze aanval met een minimaal effect op de snelheid.