Пост-квантовият криптографски алгоритъм SIKE, избран от NIST, не беше защитен от хакване на обикновен компютър

Изследователи от Католическия университет в Льовен разработиха метод за атака на механизма за капсулиране на ключове SIKE (Supersingular Isogeny Key Encapsulation), който беше включен във финалите на състезанието за пост-квантови криптосистеми, проведено от Националния институт за стандарти и технологии на САЩ (SIKE бяха включени и редица допълнителни алгоритми, които преминаха основните етапи на подбор, но бяха изпратени за преразглеждане, за да се премахнат коментарите, преди да бъдат прехвърлени в категорията на препоръчаните). Предложеният метод за атака позволява на обикновен персонален компютър да се възстанови стойността на ключа, използван за криптиране въз основа на протокола SIDH (Supersingular Isogeny Diffie-Hellman), използван в SIKE.

Публикувана е готова реализация на метода за хакване SIKE като скрипт за алгебричната система Magma. Възстановяването на личния ключ, използван за криптиране на защитени мрежови сесии, с помощта на параметъра SIKEp434 (ниво 1), зададен на едноядрена система, отне 62 минути, SIKEp503 (ниво 2) - 2 часа и 19 минути, SIKEp610 (ниво 3) - 8 часа 15 минути, SIKEp751 (ниво 5) - 20 часа 37 минути. Решаването на състезателните задачи $IKEp182 и $IKEp217, разработени от Microsoft, отне съответно 4 и 6 минути.

Алгоритъмът SIKE се основава на използването на суперсингулярна изогения (обикаляне в суперсингулярна изогенна графика) и беше разглеждан от NIST като кандидат за стандартизация, тъй като се различава от другите кандидати по най-малкия си размер на ключа и поддръжка за перфектна предна секретност (компрометираща на дългосрочните ключове не позволява декриптиране на прихваната преди това сесия) . SIDH е аналог на протокола Diffie-Hellman, базиран на обикаляне в суперсингулярна изогенна графика.

Публикуваният метод за кракване на SIKE се основава на предложената от 2016 г. адаптивна GPST (Galbraith-Petit-Shani-Ti) атака на механизми за капсулиране на суперсингулярен изогенен ключ и използва съществуването на малък нескаларен ендоморфизъм в началото на кривата, подкрепен от допълнителни информация за точката на усукване, предавана от агенти, взаимодействащи в процеса на протокола.

Източник: opennet.ru