{"id":112780,"date":"2024-01-09T21:10:14","date_gmt":"2024-01-09T19:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber"},"modified":"2024-01-09T21:10:14","modified_gmt":"2024-01-09T19:10:14","slug":"uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","title":{"rendered":"S\u00e5rbarhed i implementeringer af den post-kvantiske krypteringsalgoritme Kyber","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

I implementeringen af krypteringsalgoritmen Kyber, der vandt konkurrencen om kvantesikre kryptografiske algoritmer, er der blevet identificeret en s\u00e5rbarhed, der muligg\u00f8r angreb via sidekanaler for at genskabe hemmelige n\u00f8gler baseret p\u00e5 m\u00e5ling af operationernes tidsforbrug under dekrypteringen af den angivne krypterede tekst. Problemet ber\u00f8rer b\u00e5de den referenceimplementering af n\u00f8glenkapslingsmekanismen CRYSTALS-Kyber KEM og mange tredjeparts kryptografibiblioteker med st\u00f8tte for Kyber, herunder biblioteket pqcrypto, der anvendes i messaging-applikationen Signal. <\/p>\n

Essensen af s\u00e5rbarheden, der har f\u00e5et kodeordet KyberSlash, ligger i brugen af dekodering i divisionen «t = (((t < 1) + KYBER_Q\/2)\/KYBER_Q) & 1;», hvor dividendet indeholder en hemmelig v\u00e6rdi «t» af typen «double», og divisor er den velkendte offentlige v\u00e6rdi KYBER_Q. Problemet er, at tiden for divisionen ikke er konstant, og i forskellige milj\u00f8er afh\u00e6nger antallet af CPU-cyklusser, der udf\u00f8res til division, af inputdataene. Dermed kan man basere sig p\u00e5 \u00e6ndringen i operationstiden for at f\u00e5 en forst\u00e5else af karakteren af de data, der anvendes i divisionen. <\/p>\n

Daniel Bernstein, en anerkendt ekspert inden for kryptografi, har form\u00e5et at forberede en fungerende demonstration af muligheden for at udf\u00f8re et angreb i praksis. I to ud af tre gennemf\u00f8rte eksperimenter, hvor koden blev udf\u00f8rt p\u00e5 et Raspberry Pi 2, lykkedes det fuldst\u00e6ndig at genskabe den hemmelige n\u00f8gle Kyber-512 baseret p\u00e5 m\u00e5ling af dekrypteringsdatatid. Metoden kan ogs\u00e5 tilpasses til n\u00f8glerne Kyber-768 og Kyber-1024. For at angrebet skal lykkes, er det n\u00f8dvendigt, at den angivne krypterede tekst behandles med den samme n\u00f8glepar og at tiden for operationen kan m\u00e5les pr\u00e6cist. <\/p>\n

I nogle biblioteker er der opdaget endnu et l\u00e6k (KyberSlash2), som ogs\u00e5 opst\u00e5r p\u00e5 grund af brugen af et hemmeligt v\u00e6rdi ved udf\u00f8relse af division. Forskellene fra den f\u00f8rste variant er begr\u00e6nset til opkaldet under krypteringsfasen (i funktionerne poly_compress og polyvec_compress), og ikke under dekryptering. Den anden variant kan dog v\u00e6re nyttig for angreb kun i tilf\u00e6lde af, at proceduren bruges i operationer med gensidig kryptering, hvor outputtet af det krypterede tekst anses for at v\u00e6re fortroligt. <\/p>\n

S\u00e5rbarheden er allerede blevet rettet i bibliotekerne: <\/p>\n