شبکه‌های خصوصی مجازی با تأیید هویت نقاط پایانی و برقراری کلیدهای اشتراکی امن، ترافیک داده را بر روی بسترهای ارتباطی عمومی محافظت می‌کنند. با وجود آن که الگوریتم‌های متقارن وظیفه رمزگذاری بسته‌های داده را بر عهده دارند، امنیت کل نشست وابسته به مرحله اولیه تبادل کلید نامتقارن است. اگر مهاجم بتواند از طریق کانال‌های جانبی سخت‌افزاری به کلیدهای خصوصی دست یابد، تمامی ساختار امنیتی ارتباط مخدوش خواهد شد.

پروتکل‌های پیشین مدت‌ها به منحنی‌های بیضوی استاندارد NIST مانند P-256 (secp256r1) متکی بودند. این منحنی‌ها چالش‌های امنیتی فراوانی در پیاده‌سازی دارند: فرمول‌های جمع نقاط و دو برابر کردن نقاط با یکدیگر متفاوت هستند، پرش‌های شرطی وابسته به تک‌تک بیت‌های کلید مخفی است و تبدیل مختصات باعث نوسان زمان پردازش شده که زمینه را برای نفوذ از طریق کانال‌های جانبی حافظه پنهان فراهم می‌سازد.

پروتکل WireGuard با به‌کارگیری انحصاری منحنی Curve25519 طراحی‌شده توسط دانیل برنشتاین، آسیب‌پذیری‌های کانال جانبی را در فرآیند توافق کلید برطرف کرده است. این پروتکل با بهره‌گیری از ساختار نردبان مونتگومری (Montgomery ladder) و محاسبات ریاضی فاقد پرش شرطی، ضرب اسکالر را در زمانی کاملاً ثابت و ایمن انجام می‌دهد.

آسیب‌پذیری منحنی‌های کلاسیک در برابر کانال‌های جانبی

برای درک مزایای امنیتی Curve25519، سازوکار ضرب اسکالر در منحنی‌های فرم وایرشتراس را بررسی می‌کنیم. محاسبه کلید عمومی $Q = k \cdot P$ مستلزم ضرب نقطه پایه $P$ در عدد صحیح و محرمانه $k$ است.

در پیاده‌سازی‌های سنتی، این ضرب با الگوریتم «دو برابر کردن و جمع» انجام می‌گیرد:

// الگوریتم سنتی و آسیب‌پذیر دو برابر کردن و جمع
Point result = INFINITY_POINT;
for (int i = 255; i >= 0; i--) {
    result = point_double(result);
    if ((secret_scalar >> i) & 1) {
        result = point_add(result, base_point); // پرش شرطی وابسته به مقدار بیت محرمانه
    }
}

این ساختار سه نقطه ضعف اساسی در سطح سخت‌افزار پدید می‌آورد:

  1. پیش‌بینی انشعاب در پردازنده: دستور if تنها زمانی اجرا می‌شود که بیت کلید محرمانه برابر با 1 باشد. یک فرآیند دیگر روی همان هسته پردازنده می‌تواند با رصد بافرهای ثبت پرش، کلید خصوصی را بیت به بیت بازسازی کند.
  2. ردپای دسترسی به حافظه پنهان: عملیات جمع و دو برابر کردن نقاط، بخش‌های متفاوتی از حافظه و جداول از پیش محاسبه‌شده را فراخوانی می‌کنند. با ابزارهای تحلیل زمانی حافظه پنهان، مهاجم می‌تواند با اندازه‌گیری زمان دسترسی، کلید رمزنگاری را استخراج نماید.
  3. استثناهای جبری: فرمول‌های کلاسیک دارای حالت‌های خاص هستند؛ مثلاً جمع یک نقطه با خودش نیازمند تابع دو برابر کردن جداگانه است و جمع نقطه با معکوسش نقطه خنثی گروه را پدید می‌آورد. بررسی این استثناها با دستورات شرطی موجب نشت اطلاعات از طریق سنجش زمان اجرا می‌شود.

فرم مونتگومری و محاسبات بر پایه یک مختصات منفرد

منحنی Curve25519 که در سال 2006 توسط دانیل برنشتاین معرفی و در RFC 7748 استاندارد شد، بر روی میدان اول $\mathbb{F}_{2^{255}-19}$ عمل می‌کند. به جای فرم پیچیده وایرشتراس، این منحنی از فرم مونتگومری بهره می‌برد:

$$y^2 = x^3 + 486662x^2 + x$$

فرم مونتگومری دارای یک ویژگی هندسی برجسته است: عملیات ضرب اسکالر در تبادل کلید دیفی-هلمن (موسوم به X25519) می‌تواند صرفاً با استفاده از مختصات $x$ انجام شود، بدون این که نیازی به محاسبه یا نگهداری مختصات $y$ باشد.

در روش X25519، نقاط در مختصات تصویری به شکل نسبت $(X : Z)$ نمایش داده می‌شوند که متناظر با مختصات آفین $x = X / Z$ است. با در دست داشتن مختصات تصویری دو نقطه $P$ و $Q$ و تفاضل آن‌ها $P - Q$، مختصات حاصل جمع $P + Q$ و دو برابر آن $2P$ را می‌توان به صورت همزمان از طریق مجموعه‌ای ثابت از اعمال جمع، تفریق، توان‌رسانی و ضرب در میدان متناهی به دست آورد.

حذف کامل مختصات $y$ بار محاسباتی را به نصف کاهش داده و راه نفوذ از طریق سوءاستفاده از علامت‌های جبری $y$ را به کلی مسدود می‌نماید.

نردبان مونتگومری با زمان ثابت و عملیات cswap بدون انشعاب

پروتکل WireGuard عملیات ضرب نقطه در X25519 را با استفاده از الگوریتم نردبان مونتگومری اجرا می‌کند. این الگوریتم همواره دو نقطه تصویری $R_0$ و $R_1$ را به گونه‌ای حفظ می‌کند که فاصله $R_1 - R_0 = P$ در طول کل فرآیند ثابت بماند.

به ازای هر بیت از کلید اسکالر، از باارزش‌ترین تا کم‌ارزش‌ترین بیت، نردبان دقیقاً یک عمل دو برابر کردن و یک عمل جمع تفاضلی را به اجرا می‌گذارد:

تکرار گام در نردبان مونتگومری:
اگر بیت اسکالر == 0:
    R0 <- 2 * R0
    R1 <- R0 + R1
اگر بیت اسکالر == 1:
    R0 <- R0 + R1
    R1 <- 2 * R1

الگوریتم به جای به کارگیری دستورات شرطی if، از روش جابه‌جایی مشروط با زمان ثابت (cswap) استفاده می‌کند. پیش از اعمال محاسبات جبری، در صورتی که بیت کنونی با بیت قبلی تفاوت داشته باشد، جایگاه $R_0$ و $R_1$ جابه‌جا می‌گردد.

// جابه‌جایی با زمان ثابت بدون پرش شرطی و بدون مراجعه به حافظه
static void cswap(uint32_t swap, fe x1, fe x2) {
    uint32_t mask = 0 - swap; // اگر swap برابر با 0 باشد 0x00000000، اگر 1 باشد 0xFFFFFFFF
    for (int i = 0; i < 10; i++) {
        uint32_t diff = mask & (x1[i] ^ x2[i]);
        x1[i] ^= diff;
        x2[i] ^= diff;
    }
}

این روند رفتاری کاملاً یکنواخت دارد:

  • توالی دستورات همسان: صرف‌نظر از این که بیت محرمانه 0 یا 1 باشد، پردازنده همواره همان توالی دستورات ماشینی را پیاده می‌کند: ۴ توان‌رسانی مدولار، ۵ ضرب و ۸ جمع یا تفریق.
  • بدون جداول حافظه: هیچ جدول داده‌ای در حافظه خوانده نمی‌شود، در نتیجه مهاجم هیچ نشانه‌ای برای ارزیابی حافظه پنهان نخواهد یافت.
  • ماسک‌های بیتی: منطق cswap صرفاً از اعمال بیتی XOR و AND بهره می‌برد و زمان اجرای دستورات همواره در تعداد چرخه‌های مشخص پردازنده ثابت می‌ماند.

مهار بیتی اسکالر و ایمنی در برابر زیرگروه‌های کوچک

در رمزنگاری با منحنی‌های بیضوی، مهاجم ممکن است یک نقطه نامعتبر متعلق به زیرگروهی با مرتبه کوچک را ارسال کند. اگر سرور با این نقطه محرمانه مشترک را محاسبه کند، حاصل در دامنه‌ای محدود قرار گرفته و کلید خصوصی افشا می‌شود.

منحنی Curve25519 دارای مرتبه‌ای معادل $8 \times p_{25519}$ است که یعنی دارای کوفاکتور $h = 8$ می‌باشد. همچنین پیچش درجه دوم (twist) آن دارای مرتبه $4 \times p'_{25519}$ با کوفاکتور 4 است.

پروتکل WireGuard از طریق مهار بیتی (clamping)، این تهدید را خنثی می‌کند. پیش از ضرب، کلید خصوصی ۳۲ بایتی با ماسک‌های بیتی اصلاح می‌گردد:

// عملیات مهار بیتی بر اساس استاندارد RFC 7748
k[0]  &= 248; // پاک کردن ۳ بیت کم‌ارزش (بیت‌های 0، 1، 2)
k[31] &= 127; // پاک کردن بیت 255
k[31] |= 64;  // روشن کردن بیت 254

این مهار سه لایه حفاظتی فراهم می‌آورد:

  1. حذف اثر کوفاکتور: صفر کردن ۳ بیت پایین مقدار $k$ را به مضربی از ۸ تبدیل می‌کند و هر مولفه‌ای از زیرگروه مرتبه ۸ را به نقطه خنثی منحنی تبدیل کرده و مانع از حملات محصور کردن کلید می‌شود.
  2. امنیت پیچش (Twist Security): حتی اگر مهاجم نقطه‌ای روی پیچش درجه دوم منحنی بفرستد، کوفاکتور ۴ پیچش نیز با این ضریب خنثی شده و نیاز به بررسی‌های پرهزینه اعتبار نقاط منتفی می‌شود.
  3. طول حلقه ثابت: تثبیت بیت ۲۵۴ و حذف بیت ۲۵۵ طول عدد را روی ۲۵۵ بیت قفل می‌کند و امکان تحلیل زمانی به سبب تغییر طول حلقه را از میان برمی‌دارد.

پیاده‌سازی در هسته لینوکس و شتاب‌بخشی برداری SIMD

درون هسته لینوکس، بخش محاسباتی Curve25519 متعلق به WireGuard مستقیماً در زیرسیستم رمزنگاری هسته تعبیه شده است (lib/crypto/curve25519-fiat32.c و کدهای بهینه‌شده به زبان اسمبلی).

عملیات ریاضی روی میدان $\mathbb{F}_{2^{255}-19}$ نیازمند ضرب اعداد ۲۵۶ بیتی است. در پردازنده‌های ۶۴ بیتی، این اعداد به آرایه‌های ۵ عضوی با پایه $2^{51}$ تقسیم می‌شوند تا ضرب سخت‌افزاری بدون سرریز محاسبات انجام گیرد.

نمایش آرایه ۵ عضوی با مبنای 2^51 برای عناصر میدان 255 بیتی:
[ بخش 0: 51 بیت ] [ بخش 1: 51 بیت ] [ بخش 2: 51 بیت ] [ بخش 3: 51 بیت ] [ بخش 4: 51 بیت ]

در پردازنده‌های مدرن x86_64، کدهای اسمبلی دست‌نویس با بهره‌گیری از دستورات برداری AVX2 و AVX-512 چندین عمل ضرب را به طور موازی اجرا می‌کنند و کل فرآیند ضرب ۲۵۵ بیتی را در کمتر از ۴۵ هزار چرخه ساعت (زیر ۱۵ میکروثانیه) به انجام می‌رسانند. به دلیل سرعت و تاخیر قابل پیش‌بینی این دستورات، کارایی بالا بدون افت مقاومت در برابر کانال‌های جانبی حاصل می‌شود.

استحکام‌بخشی امنیتی و پاک‌سازی حافظه در RiceGuard

در سرویس‌های توزیع‌شده با ترافیک بالا، تدابیر حفاظتی علاوه بر سطح پردازنده باید سراسر چرخه عمر کلیدها در حافظه اصلی را در بر بگیرد.

سامانه RiceGuard تدابیر پیشرفته‌ای اعمال می‌نماید:

  1. پاک‌سازی قطعی حافظه حساس: بلافاصله پس از محاسبه راز مشترک دیفی-هلمن، بافرهای حاوی کلیدهای موقت توسط توابع memzero_explicit و memset_sensitive از رم محو می‌شوند تا از ذخیره باقی‌مانده آن‌ها در حافظه یا سوءاستفاده‌های پیش‌گویانه جلوگیری شود.
  2. مقایسه در زمان ثابت: تطبیق نشانه‌های نشست و کلیدهای عمومی با توابع مقایسه با زمان ثابت (crypto_memneq) صورت می‌پذیرد تا تحلیل بایت‌به‌بایت تاخیر شبکه ناممکن گردد.
  3. تعویض خودکار دوره‌ای کلید: سامانه هر ۱۲۰ ثانیه یا پس از ارسال $2^{20}$ بسته، کلید نشست Noise را جایگزین می‌کند تا رازداری پیشرو به بالاترین سطح برسد.

ترکیب محاسبات دقیق Curve25519، پایداری نردبان مونتگومری و انضباط مدیریت حافظه، بنیادی نفوذناپذیر برای تبادل امن داده‌ها ایجاد می‌کند.

دانلود VPNRice