Ajoitushyökkäys on eräänlainen sivukanavahyökkäys kyberturvallisuuden alalla, joka hyödyntää salausalgoritmien suorittamiseen kuluvan ajan vaihteluita. Analysoimalla näitä ajoituseroja hyökkääjät voivat päätellä arkaluonteisia tietoja käytetyistä salausavaimista. Tämä hyökkäysmuoto voi vaarantaa sellaisten järjestelmien turvallisuuden, jotka turvautuvat salausalgoritmeihin tietosuojaa varten.
Ajoitushyökkäyksessä hyökkääjä mittaa salaustoimintojen, kuten salauksen tai salauksen purkamisen, suorittamiseen kuluvan ajan ja käyttää näitä tietoja päätelläkseen salausavaimia koskevia yksityiskohtia. Perusperiaatteena on, että eri toiminnot voivat kestää hieman eri aikaa riippuen käsiteltävien bittien arvoista. Esimerkiksi 0-bitin käsittelyssä toiminto saattaa viedä vähemmän aikaa kuin 1-bitin käsittely algoritmin sisäisen toiminnan vuoksi.
Ajoitushyökkäykset voivat olla erityisen tehokkaita toteutuksia vastaan, joista puuttuu asianmukaisia vastatoimia näiden haavoittuvuuksien lieventämiseksi. Yksi yleinen ajoitushyökkäysten kohde on RSA-algoritmi, jossa modulaarinen eksponentiotoiminto voi näyttää ajoitusvaihteluita salaisen avaimen bittien perusteella.
Ajoitushyökkäyksiä on kahta päätyyppiä: passiivinen ja aktiivinen. Passiivisessa ajoitushyökkäyksessä hyökkääjä tarkkailee järjestelmän ajoituskäyttäytymistä vaikuttamatta siihen aktiivisesti. Toisaalta aktiivisessa ajoitushyökkäyksessä hyökkääjä manipuloi aktiivisesti järjestelmää tuodakseen käyttöön ajoituseroja, joita voidaan hyödyntää.
Ajoitushyökkäysten estämiseksi kehittäjien on otettava käyttöön suojattuja koodauskäytäntöjä ja vastatoimia. Eräs lähestymistapa on varmistaa, että salausalgoritmeilla on vakioaikatoteutus, jossa suoritusaika ei riipu syöttötiedoista. Tämä eliminoi ajoituserot, joita hyökkääjät voivat hyödyntää. Lisäksi satunnaisten viiveiden tai sokaisutekniikoiden käyttöönotto voi auttaa hämärtämään mahdollisten hyökkääjien käytettävissä olevia ajoitustietoja.
Ajoitushyökkäykset muodostavat merkittävän uhan salausjärjestelmien turvallisuudelle hyödyntämällä ajoitusvaihteluita algoritmien suorittamisessa. Hyökkäysten ajoituksen taustalla olevien periaatteiden ymmärtäminen ja asianmukaisten vastatoimien toteuttaminen ovat tärkeitä vaiheita arkaluonteisten tietojen suojaamisessa haitallisilta toimijoilta.
Muita viimeaikaisia kysymyksiä ja vastauksia liittyen EITC/IS/ACSS Advanced Computer Systems Security:
- Mitkä ovat nykyiset esimerkit epäluotettavista tallennuspalvelimista?
- Mikä on allekirjoituksen ja julkisen avaimen rooli viestintäturvallisuudessa?
- Onko evästeiden turvallisuus linjassa SOP:n (sama alkuperäkäytäntö) kanssa?
- Onko cross-site request forgery (CSRF) -hyökkäys mahdollinen sekä GET-pyynnön että POST-pyynnön kanssa?
- Soveltuuko symbolinen suoritus hyvin syvien bugien etsimiseen?
- Voiko symbolinen toteutus sisältää polun ehtoja?
- Miksi mobiilisovelluksia ajetaan nykyaikaisten mobiililaitteiden suojatussa enklaavissa?
- Onko olemassa tapaa löytää sellaisia vikoja, joissa ohjelmisto voidaan todistaa turvalliseksi?
- Käyttääkö mobiililaitteiden suojattu käynnistystekniikka julkisen avaimen infrastruktuuria?
- Onko nykyaikaisessa mobiililaitteiden suojatussa arkkitehtuurissa useita salausavaimia tiedostojärjestelmää kohden?
Katso lisää kysymyksiä ja vastauksia kohdassa EITC/IS/ACSS Advanced Computer Systems Security