Kryptus 开设高级抵押渠道分析实验室
A 克里普托斯 是一家专门从事网络安全和防御解决方案的巴西跨国公司。该公司成立于 2003 年，其使命是提供尖端技术和专业服务来保护关键信息和敏感基础设施。 Kryptus 因其在加密和数据安全方面的专业知识而闻名，为企业、金融、军事和政府部门的客户提供服务。
宣布成立新的抵押渠道分析实验室
Kryptus 最近投入巨资创建了先进的附属渠道分析 (LabSCA) 实验室，这是拉丁美洲唯一的实验室。这个新实验室配备了最先进的技术，包括高精度测量设备和用于检测和分析电子设备漏洞的专用软件。
该实验室的主要目标是帮助我们的客户确保其技术解决方案的安全性。凭借这些新功能，Kryptus 准备增强其自身产品的安全性，并支持与政府和私人实体合作开展安全调查。
该实验室的投资得到了 FINEP 的资金支持，于 08 月 2 日在 DCT 首席 Gen. Ex 的出席下举行了揭幕仪式。 Furlan，CXNUMXI 总部负责人。 CTEx Gen Bda 负责人沃尔斯基 (Wolski) Castilho 和 FINEP 代表 José Henrique。
LabSCA 能够评估和提取所有类别的通信和安全设备（如 HSM、智能卡、数字无线电和数据链路）的加密密钥。
辅助渠道分析的背景化
什么是辅助渠道分析？
辅助通道分析（SCA） 边信道分析) 是一种利用电子设备正常运行期间泄露的间接信息来推断机密数据（特别是加密密钥）的技术。
与针对软件漏洞的传统攻击不同，侧信道攻击利用硬件的物理特性，例如功耗、电磁辐射、时间变化等。
侧信道攻击的类型
侧信道攻击（或分析）有多种形式，每种形式都利用不同类型的信息泄露：
- 功耗攻击
– 它们基于测量设备在执行加密操作时的功耗。
– 示例：功率分析攻击（DPA 和 SPA），其中 DPA（差分功率分析）分析多次执行中的功率变化以推断加密密钥。
- 时间攻击
– 探索设备执行某些操作所需的时间。
– 示例：时序攻击，执行时间的差异可以泄露有关设备内部操作的信息。
- 电磁攻击
– 他们利用设备运行过程中产生的电磁辐射来获取机密信息。
– 示例：捕获 EM（电磁）信号来推断设备处理的数据。
- 声波攻击
– 它们利用硬件在处理过程中产生的声音或振动。
– 示例：捕捉键盘发出的声音来推断按下的键。
- 故障注入
– 攻击者操纵温度等环境变量、插入电瞬变并操纵电路，导致计算设备进入故障状态并泄露敏感信息。
– 示例：操纵温度和电压来攻击智能卡
具体案例的历史
侧信道攻击的有效性已在多个现实世界案例中得到证实：
- 针对 Apple Silicon CPU 的时序攻击
2024年，北美大学的研究人员观察到，搭载苹果M1和M2处理器的设备含有硬件优化，可以加速计算操作。如果执行加密算法，利用此优化的时序攻击可以通过测量此优化的影响来提取秘密。在经典密码学用例中可以进行密钥恢复；针对后量子算法，已经观察到敏感信息（例如部分秘密）的泄露。
– Chen, B.、Wang, Y.、Shome, P.、Fletcher, C. W.、Kolbrenner, D.、Paccagnella, R. 和 Genkin, D. (2024)。 GoFetch：使用依赖于数据内存的预取器破解恒定时间加密实现。在 USENIX 安全.
- 针对 OpenSSL 的定时攻击：
OpenSSL 中存在一个定时漏洞，允许从 Web 服务器提取私钥，从而危及 HTTPS 连接的安全性。
尽管实施了缓解措施和良好的编程实践，但硬件的进步，特别是引入更多的缓存来提高计算性能，为更多的时间分析攻击打开了漏洞。
需要注意的是，对手不一定需要对安全设备进行物理访问或控制——攻击可以针对云中运行的不安全应用程序进行。
– Brumley, B.B. 和 Boneh, D. (2003)。远程定时攻击是可行的。在第 12 届 USENIX 安全研讨会论文集（第 12 卷，第 1-14 页）中。
– Yarom, Y.、Genkin, D. 和 Heninger, N. (2017)。 CacheBleed：对 OpenSSL 恒定时间 RSA 的定时攻击。 密码工程杂志, 7，99-112。
- 智能卡中的电磁辐射：
分析电磁辐射的攻击能够从智能卡中提取敏感信息，危及银行交易和身份识别的安全。
– Quisquater, J.J. 和 Samyde, D. (2001)。电磁分析（EMA）：智能卡的措施和对策。在密码硬件和嵌入式系统研讨会论文集（第 200-210 页）中。
- 聆听电子投票机键盘的声音
2009年，在东京证券交易所组织的一次公共安全测试中，一名IT专家成功捕捉到了按下电子投票机上的按键时AM和FM波中的干扰。由于无线电距离较远，投票的保密性无法得到保障；然而，资金充足的攻击者可以获得专用设备来实施更复杂的攻击。这次演示的结果是将额外的电磁屏蔽纳入投票箱。
-https://www.serpro.gov.br/menu/noticias/noticias-antigas/dia-de-testes-de-hackers-em-urnas-do-tse-termina-sem-ameaca-ao-sistema
- 黑莓行动
2014 年，有报告显示，可能与以色列政府有关的黑客利用 SCA 技术窃取了使用黑莓移动设备的政治领导人的高层通信，当时黑莓移动设备因其安全性而被政府官员广泛使用。
- 针对 RSA 加密的功率分析攻击：
研究人员通过分析解密操作期间的功耗，成功从使用 RSA 加密的设备中提取私钥。
– 参考文献：Kocher, P., Jaffe, J., & Jun, B. (1999)。差分功率分析。在密码学进展 - CRYPTO'99（第 388-397 页）中。
SCA 与 TEMPEST Security 之间的关联
TEMPEST 安全
TEMPEST 是一套旨在防止通过电磁辐射和其他形式的无意信息泄露进行间谍活动的标准和技术（北约 SDIP-27 标准）。 TEMPEST 一词既指攻击技术，也指防止此类攻击的对策。
SCA 和 TEMPEST：安全性的互补性
侧信道分析 (SCA) 和 TEMPEST 具有相同的技术基础：它们都利用并减轻电子设备意外的物理信息泄露。但他们就业案例和具体侧重点有所不同：
- 暴风雨：
– Foco：防止通过电磁辐射进行的间谍活动。
– 就业案例：主要用于对电磁窃听安全至关重要的环境，例如政府、军事和外交设施。
– 目标：通过电磁屏蔽和信号过滤等技术减少或消除可能被对手拾取的辐射。
- SCA（侧信道分析）：
– Foco：探索不同类型的物理信息泄漏，例如功耗、执行时间、电磁和声学发射等。
– 就业案例：用于测试加密设备和系统的安全性，以识别漏洞并制定有效的对策。
– 目标：在执行加密操作和其他关键功能时，防止利用硬件的物理和行为特征的攻击。
综合战略的重要性
结合 SCA 和 TEMPEST 措施的综合安全策略对于防御复杂的攻击至关重要。深入了解这些技术可以开发有效的对策，例如在电源信号中引入噪声、电磁屏蔽以及实施抗侧信道加密算法。
Kryptus 的新 SCA 实验室在 SCA 和 TEMPEST 环境中应用这些基础技术，提供全面的解决方案来保护其客户免受全方位的安全威胁。 Kryptus 处于这些技术的前沿，提供降低风险和提高客户关键基础设施弹性所需的专业知识。
Kryptus Lab 的应用和优势
对民用和银行市场的益处
在商业领域，尤其是银行业，关键设备的安全至关重要。 Kryptus 实验室致力于保护硬件安全模块 (HSM)、令牌、智能卡、ATM 及其外围设备的安全性。这些设备对于进行安全的金融交易和保护敏感的客户数据至关重要。侧信道分析可以识别和纠正潜在的安全漏洞，确保金融运营中使用的设备能够抵御攻击和欺诈。这不仅保护了消费者，也增强了对整个金融体系的信心。
军事客户的安全
Kryptus 的新辅助通道分析 (LabSCA) 实验室为国家和友好军队带来了显著利益。利用我们先进的能力，我们可以确保各种军事通信设备的安全，包括巴西陆军、海军和空军使用的无线电和数据链。对这些设备的详细分析可以识别和缓解漏洞，确保军事通信的安全和不可渗透。这增加了操作信心并保护敏感信息免遭拦截和攻击。
刑事调查支持
我们的实验室在支持国内外刑事调查行动方面也发挥着至关重要的作用。我们支持警方情报部门恢复加密信息，促进针对有组织犯罪的调查和行动。分析设备和破解复杂加密机制的能力使该实验室成为执法和公共安全的宝贵工具。
未来展望
Kryptus 的 SCA 实验室不断发展以跟上新出现的威胁。我们计划扩展我们的能力，结合新技术和方法，让我们的客户保持领先于竞争对手。我们对网络安全未来的愿景是采取一种综合的、主动的方法，其中协作和持续创新对于应对现代安全的复杂挑战至关重要。
凭借这些先进的功能，Kryptus 加强了为客户提供最高安全性、保护关键信息和确保基础设施抵御复杂攻击的承诺。
Kryptus 的新侧信道分析 (SCA) 实验室代表了巴西网络安全和防御方面的重大进步。该实验室配备了尖端技术，可以识别和缓解军事通信设备、情报和商业设备中的漏洞。
对于巴西武装部队来说，我们分析无线电和数据链的能力确保了通信的安全，这对于安全行动至关重要。在侦查领域，该实验室为分析犯罪分子使用的设备和恢复加密信息提供了重要支持，加强了安全和侦查行动。在商业领域，保护 HSM、令牌、智能卡、ATM 及其外围设备对于确保安全的金融交易和敏感数据的保护至关重要。
Kryptus 致力于与客户合作开发定制解决方案，确保他们的基础设施免受新兴威胁的侵害。通过不断发展我们的能力并融入新技术，我们已准备好应对现代网络安全的复杂挑战。
我们邀请客户和合作伙伴参观我们的新实验室并与我们合作，进一步加强其运营的安全性。如需更多信息，请联系 Kryptus 并了解我们如何帮助保护您的关键信息。
