Sectigo 網誌
什麼是時序攻擊？它們對後量子密碼學會造成哪些影響？
時序攻擊是後量子密碼學（PQC）當中一類關鍵卻經常被忽略的風險。這類側信道攻擊利用處理時間的細微差異，從密碼實作中提取敏感資訊。隨着量子計算的發展，時序漏洞有可能暴露PQC算法的關鍵弱點。理解這類風險並落實防護措施——例如恒定時間算法與硬件層面的防禦——對於保障密碼學的未來安全至關重要。
量子計算時代已經近在眼前，不少企業已開始着手規劃後量子密碼學（PQC）相關部署，但有一項關鍵風險經常被忽略：時序攻擊。這類漏洞隱蔽性高、難以偵測，卻會對企業和密碼系統構成嚴重威脅。
由於量子計算將會對SSL/TLS策略帶來深遠影響，我們必須全面認知它帶來的各類風險——包括那些初看起來似乎沒有直接關聯的風險。下文將分析時序攻擊的相關問題，以及這類攻擊所暴露的PQC實作隱患。
什麼是時序攻擊？
時序攻擊屬於名為側信道攻擊的一類高危威脅，這個概念最早由密碼學家Paul C. Kocher提出。有別於針對加密算法本身弱點的傳統密碼分析，側信道攻擊是利用計算過程中泄露的間接資訊（例如時間差異、功耗等）來發動攻擊。
時序攻擊的核心關注點，是特定密碼算法處理不同輸入所耗費的時間。攻擊者透過精確量度執行時間，就能捕捉到細微的時間差異，而這些差異有可能在無意間泄露系統內部流程的敏感細節。
就算處理時間的差異看起來微不足道，也有可能被攻擊者利用，讓他們毋須破解加密本身就能推斷出關鍵資訊。由於這類漏洞源自實作細節而非算法缺陷，偵測和紓緩的難度往往極高。
時序攻擊的運作原理
時序攻擊的實際利用方式會因輸入類型、觀測手段以及攻擊者最終推導的結論不同而有所差異，但一般而言這類攻擊具備以下幾類核心策略或特徵：
分支操作：條件語句會影響程式碼執行流程，尤其是當特定分支需要執行額外處理時（執行特別複雜的操作時通常會出現這種情況）。攻擊者可根據操作所需時間，有機會獲取與密鑰相關條件的資訊。
快取計時. 如果從系統的快取記憶體而非主記憶體存取數據，有可能出現顯著的時間差異。快取數據在記憶體層級中表現突出，因為其存取速度極快。如果算法需要存取存放在快取記憶體中的數值，這種差異就會造成實際影響。
數學運算. 部分密碼學操作的執行時間會存在差異，具體取決於算法的計算方式以及涉及的執行路徑數量。這些執行時間差異有可能被攻擊者察覺，操作的計時資訊可能泄露與私鑰相關的線索。例如，冪運算本身的複雜性就有可能引入嚴重的計時漏洞。
競態條件. 若多個進程同時要求存取資源，最終結果可能取決於這些操作的執行次序或時機。攻擊者可利用這類計時資訊進一步掌握操作序列的狀況。隨著時間推移，這或會導致嚴重的資訊泄露。
為何計時攻擊會對後量子密碼學構成威脅？
後量子密碼算法一般依賴複雜結構（例如格基密碼學），這類結構表面上似乎能廣泛抵禦各類威脅。但實際上，若攻擊者能夠觀察到這些旨在保護敏感資訊的算法中存在的細微差異，有關防護可能並不足夠。若高階算法存在計時差異，攻擊者毋需破解加密本身——僅需利用這些細小但關鍵的泄露即可達成目的。
考慮到「先收集、後解密」的策略，這種攻擊方式尤其值得關注：攻擊者先收集加密數據，但不會即時解密，而是等到量子計算普及後再進行解密。這種方式稱為追溯解密，可能針對有效期較長的數據。目前這類「收集」活動可能已經在大規模開展。
計時攻擊讓威脅行為者能夠搶佔先機，提早根據時間差異收集泄露的資訊。當量子計算得到廣泛應用時，這可能引發更嚴重的問題。
Kyber KEM 與 KyberSlash 漏洞
Kyber 密鑰封裝機制（KEM）屬於 Kyber 密碼協議家族，設計目標是抵禦涉及量子電腦的攻擊。該機制獲美國國家標準與技術研究院（NIST）選為大規模量子應對策略的組成部分，其安全性基於帶錯學習（LWE）問題的難度，可透過 KEM 實現通信雙方之間的安全密鑰交換。
遺憾的是，目前已發現相關實現漏洞——KyberSlash 1 和 KyberSlash 2，攻擊者可利用這些漏洞判斷特定操作的執行時長。正如 Sectigo 的 Jason Soroko 在根本原因中解釋的那樣，這並不代表 CRYSTALS-Kyber 本身存在缺陷，而是屬於實現層面的問題。這些漏洞已完成修復，安全防護措施亦在持續迭代，以防範其他系統和後量子密碼（PQC）算法出現同類風險。
防禦後量子密碼（PQC）中的計時攻擊
在實現後量子密碼（PQC）時，時序攻擊是切實存在的風險，但透過合理的策略性實現，這些問題可以得到解決，資訊泄露亦可以避免。風險水平很大程度取決於執行時間及其波動幅度。當時序差異被掩蓋或消除時，攻擊者透過泄露獲取敏感資訊的難度會大幅提升，而算法本身仍能保持強健有效。
實現恆定時間算法
恆定時間算法是抵禦時序攻擊最重要的對策之一。這類算法可確保無論輸入的具體內容是甚麼，執行耗時都保持一致。實現過程中可能會避免使用執行分支或條件判斷，同時亦會對記憶體存取模式做針對性處理。
RSA 盲化等技術能發揮顯著作用，該技術依靠名為盲化因子的掩码為待處理訊息引入隨機性，提升攻擊者透過算法行為獲取資訊的難度。與之類似，蒙哥馬利乘法透過避免直接執行除法運算（這類運算的執行時間通常存在波動），可在一定程度上抵禦側信道攻擊，同時這種方法亦因執行效率較高而被廣泛採用。
引入隨機化機制掩蓋時序波動
RSA 盲化只是眾多隨機化應用策略中的一種。隨機填充可在輸入或執行過程中加入噪聲，掩蓋算法運行的趨勢或模式，進一步強化防護效果。部署隨機填充後，攻擊者將無法對算法及其運行行為作出可靠推斷。
隨機分支會在執行流程中加入隨機的條件操作，讓算法選擇並非當前運算必需的不同分支，以此隨機化執行路徑，最終讓時序差異變得不明顯、不具備可利用價值。上述兩種策略的目標都是提升攻擊者預測、理解算法運算的難度。但需要注意的是，這類方案存在明顯的權衡：安全性的提升可能會導致運行效率下降。
基於硬件的防禦措施
部分時序風險可以在硬件層面解決。例如安全飛地是 CPU 中的隔離區域，可提供可信執行環境（TEE），能夠降低密碼運算受外部因素干擾的可能性。這種隔離特性提升了惡意攻擊者觀測時序細微差異的難度，不僅有助於實現恆定時間執行，還可在硬件層面限制對側信道數據的存取。
若專用芯片針對密碼運算的安全執行做了優化，可進一步提升防護效果。未來預計會出現更多硬件層面的防護方案，後續處理器甚至可能內置針對計時攻擊的防護能力。
攜手 Sectigo 守護密碼技術的未來
從降低側信道風險到保障密碼體系平滑遷移，Sectigo始終走在後量子密碼領域的前沿，為打造量子安全的未來提供前沿解決方案。透過Sectigo Quantum Labs，我們為企業提供專業指導和結構化的後量子就緒落地藍圖。我們的Q.U.A.N.T.策略為企業提供平滑遷移所需的工具與知識，同時保障其密碼基礎設施的安全。
企業現時應對量子計算可採取的另一項關鍵措施是部署Sectigo Certificate Management (SCM). 該解決方案旨在實現企業環境內所有數碼證書數碼證書全生命週期的自動化管理，確保企業能快速適應持續演進的密碼標準，且不會造成業務中斷。
提前應對量子變革。 聯絡 Sectigo 即刻聯絡，了解我們如何協助您建立面向未來的密碼環境，保障貴機構的數碼未來。