Bootstrapping Physical Security with Inertial Hardware Security Modules

In the past decades, cryptographic advancements and techniques like formal verification have steadily improved software security. Meanwhile, the field of hardware security has not kept pace. Research has made progress in subfields such as resilience to Side-Channel Attacks (SCA) and Physical Unclonable Functions (PUFs). However, the state of the art still often relies on microelectronic integration to achieve security by obscurity insted of more fundamental security guarantees. While effective, system-level tamper protection is only used in few devices such as Hardware Security Modules (HSMs) and card payment terminals. Due to the high cost and low performance of HSMs in particular, they remain relegated to niche applications such as Transport Layer Security (TLS) certificate issuance and payment data processing.

In this thesis, we introduce the Inertial Hardware Security Module (IHSM), a new architecture for low-cost hardware security modules that provide high-level active tamper protection, while supporting computing payloads of much larger size, weight and power dissipation compared to conventional HSMs. In an IHSM, the costly and difficult to source tamper-sensing mesh of a conventional HSM is replaced by a mesh made from simple PCBs that is rotating at high speed around the payload. Since the mesh is rotating at high speed, it cannot be manipulated, and the security of conventional meshes created in bespoke manufacturing processes can be achieved using much simpler and less expensive construction techniques. We present the results of a survey of approximately 30 real world tamper sensing mesh implementations. Based on our findings, we deduce design criteria for secure meshes and contextualize our design. We further motivate the necessity of secure hardware by presenting an analysis of problematic aspects in the hardware security design of Germany’s new national electronic health record system.

To pave the way for practical implementations of IHSM technology, we present solutions to key engineering challenges in IHSM construction. We present a design and analysis of highly symmetric planar inductors for rotating wireless power transfer that improves self-resonant frequency by up to 58 % and inductance by up to 6.5 % in our tests. Complementing this research, we present a high-fidelity, low-cost monitoring system for security meshes that is based on the principles of Time-Domain Reflectometry (TDR), reaching 184 ps time resolution. We validate our system and find that it is able to reliably detect several classes of advanced physical attacks. We find that our system is sensitive enough to detect differences between identical copies of the same mesh, suggesting PUF-like properties.

Applying IHSM technology, we analyse two use cases that are unlocked by the increased size and power dissipation capability of IHSMs. In the first analysis, an IHSM-secured relay node for Quantum Key Distribution (QKD) systems is proposed, enabling their practical implementation across arbitrary distances, which requires trusted relay stations due to fundamental physical limitations. In the study, IHSMs are adapted for such high-security QKD relays by securing the IHSM mesh passthrough with a secondary tamper-sensing mesh. In this setup, a bracket design is proposed that supports passing through optical fibers at low loss.

The second proposed use case adapts an IHSM enclosure to the size, power and thermal dissipation requirements of a high-power server to support co-located secure Multiparty Computation (MPC) workloads. In practical MPC deployments, nodes are distributed across data centers to avoid a single point of failure for physical attacks. As a result, practical MPC deployments are limited by network bandwidth and latency constraints. Using IHSMs, physically secured MPC nodes can be deployed within the same data center, increasing bandwidth, reducing latency and unlocking a new performance spectrum.

Im Laufe der letzten Jahrzehnte habe Fortschritte in der Kryptographie sowie Techniken wie formale Verifikation den Stand der Softwaresicherheit stetig verbessert. Gleichzeitig hat das Gebiet der Hardwaresicherheit mit diesen Entwicklungen nicht Schritt halten können. Trotz Fortschritten in Teilgebieten wie der Resilienz gegenüber Seitenkanalangriffen und Physical Unclonable Functions (PUFs) ist der Stand der Technik in der Hardwaresicherheit nach wie vor auf die Verwendung mikroelektronischer Strukturen fokussiert. Solche erreichen einen Grad der Security by Obscurity, liefern jedoch keine fundierteren Sicherheitsgarantien. Systemweite Manipulationsschutzmaßnahmen werden nur vereinzelt in Geräten wie z.B. Hardware-Sicherheitsmodulen (HSMs) und Kartenzahlungsterminals eingesetzt. Insbesondere HSMs werden aufgrund ihrer hohen Kosten und geringen Rechenleistung nur in Nischenanwendungen wie z.B. der Zertifikatsausstellung im Transport Layer Security (TLS)-System sowie der Zahlungsdatenverarbeitung eingesetzt.

In dieser Dissertation wird das Inertiale Hardware-Sicherheitsmodul (IHSM) vorgestellt, eine neue Architektur für Hardware-Sicherheitsmodule. IHSMs stellen einen hoch sicheren, aktiven Manipulationsschutz bereit. Gleichzeitig können mithilfe der IHSM-Technologie kryptographische Rechnersysteme von wesentlich größeren Abmessungen, Gewicht und elektrischer Leistungsaufnahme geschützt werden, als es in konventionellen HSMs möglich ist. IHSMs ersetzen die kostenintensiven und in der Herstellung aufwendigen Meshes (Manipulationserkennungsmembranen) konventioneller HSMs durch eine Konstruktion, in der Meshes aus einfachen Platinen aufgebaut werden. Diese Meshes rotieren schnell um das geschützte Rechnersystem, was eine unerkannte Manipulation verhindert. IHSMs erreichen so mithilfe wensentlich einfacherer und kostengünstiger Konstruktionstechniken ein Sicherheitsniveau, das dem konventioneller Manipulationsschutzmembranen gleicht, die in spezialisierten Herstellungsprozessen gefertigt werden. In der Dissertation werden die Ergebnisse einer Übersichtsstudie vorgestellt, die etwa 30 echte Implementierungen socher Meshes untersucht. In der Studie werden Kriterien für die Entwicklung sicherer Meshes abgeleitet, anhand derer das IHSM-Konzept kontextualisiert wird. Um die Notwendigkeit sicherer Hardware zu erörtern, wird in dieser Dissertation darüber hinaus eine Analyse einiger problematischer Aspekte des Hardwaresicherheitskonzeptes der Deutschen elektronischen Patientenakte vorgestellt.

Um den Weg für zukünftige, praktische Implementierungen der IHSM-Technologie zu bereiten, werden weiterhin Lösungen für wichtige Schlüsselprobleme der Konstruktion von IHSMs vorgestellt. Diese Lösungen umfassen ein neues Konzept für rotationssymmetrische Planarspulen für die drahtlose Energieübertragung an rotierende Empfänger, sowie ein hochpräzises und dennoch kostengünstiges Überwachungssystem für Meshes. Dieses Überwachungssystem beruht auf dem Prinzip der Zeitbereichsreflektometrie und erkennt selbst fortgeschrittene Angriffstechniken zuverlässig. In praktischen Versuchen zeigte sich, dass das System ausreichend empfindlich ist, um mehrere identische Kopien desselben Meshes voneinander zu unterscheiden, was auf PUF-ähnliche Eigenschaften hindeutet.

In der Dissertation werden zwei konkrete Anwendungsszenarien erläutert, die erst durch das größere Volumen und die höhere Leistungsaufnahme möglich werden, die die IHSM-Technologie ermöglicht. Im ersten Anwendungsszenario wird eine IHSM-geschützte Zwischenstation vorgeschlagen, um die durch physikalische Grundgesetze sonst stark eingeschränkte erreichbare Entfernung eines Quantenschlüsselaustausch (QKD)-Systems zu vergrößern. Im Rahmen dieses Anwendungsszenarios wird ein sekundäres Mesh vorgestellt, dass die Achsdurchführung des primären IHSM-Meshes zusätzlich schützt. Weiterhin wird in der Fallstudie der Entwurf eines mechanischen Trägers für diese zusätzlich geschützte Achsdurchführung vorgestellt, der das QKD-System im inneren des IHSM mit der Außenwelt über verlustarme Glasfaserleitungen verbindet.

In der zweiten Fallstudie wird ein Konzept vorgestellt, das mithilfe IHSM-geschützter, leistungsstarker Serverhardware kolokierte Secure Multiparty Computation (MPC)-Berechnungen ermöglicht. Hierzu wird IHSM-Technologie an die Anforderungen leistungsstaker Serverhardware in Größe, Leistungsaufnahme, und ableitbarer Verlustleistung angepasst. Wird MPC praktisch eingesetzt, werden Knoten über mehrere Rechenzentren verteilt um einen Single Point of Failure zu vermeiden. Diese Verteilung führt jedoch zu geringer Netzwerkbandbreite und hohen Latenzen zwischen den MPC-Knoten, was die erreichbare MPC-Rechenleistung stark einschränkt. Durch den Einsatz von IHSMs können physisch gesicherte MPC-Knoten innerhalb desselben Rechenzentrums betrieben werden, was durch die damit erreichbare höheren Bandbreiten und geringeren Latenzen einen Leistungsbereich der MPC-Berechnungen erschließt.