Timing-Angriff

Timing-Angriffe nutzen eingabeabhängige Ausführungszeiten in kryptografischem und Authentifizierungs-Code. Klassische Ziele sind nicht zeit-konstante String-Vergleiche (frühe Abweichungen kürzen ab und verraten den Fortschritt), modulare Exponentiation (Square-and-Multiply leakt Schlüsselbits), AES-Tabellenlookups und Datenbankabfragen, deren Dauer von Existenz einer Zeile abhängt. Selbst kleinste Unterschiede – Nanosekunden über das Netz, Mikrosekunden lokal – lassen sich durch Mittelung vieler Messungen verstärken. Verteidigung erfordert konstante Laufzeit (HMAC-artige Vergleiche, branch-freie Conditional Moves), Primitiven wie crypto_constant_time_eq, gründliche Audits kryptografischer Bibliotheken und Rate-Limiting bzw. Jitter an der messbaren Grenze.