{"id":112780,"date":"2024-01-09T21:10:14","date_gmt":"2024-01-09T19:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber"},"modified":"2024-01-09T21:10:14","modified_gmt":"2024-01-09T19:10:14","slug":"uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","title":{"rendered":"Eine Schwachstelle in den Implementierungen des post-quanten Krypto-Algorithmus Kyber","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

In der Implementierung des Krypto-Algorithmus Kyber, der beim Wettbewerb um quantensichere Krypto-Algorithmen gewonnen hat, wurde eine Schwachstelle identifiziert, die Angriffe \u00fcber Seitenkan\u00e4le erm\u00f6glicht, um geheime Schl\u00fcssel auf der Grundlage der Zeitmessung von Vorg\u00e4ngen w\u00e4hrend der Entschl\u00fcsselung des vom Angreifer bereitgestellten Chiffretextes zu rekonstruieren. Das Problem betrifft sowohl die Referenzimplementierung des Key Encapsulation Mechanismus CRYSTALS-Kyber KEM als auch viele Drittanbieter-Krypto-Bibliotheken mit Kyber-Unterst\u00fctzung, einschlie\u00dflich der Bibliothek pqcrypto, die im Messenger Signal verwendet wird. <\/p>\n

Die Schwachstelle mit dem Code-Namen KyberSlash besteht darin, dass bei der Dekodierung der Nachricht der Division «t = (((t < 1) + KYBER_Q\/2)\/KYBER_Q) & 1;» ein geheimes Wert «t» vom Typ «double» im Dividend enthalten ist, w\u00e4hrend der Divisor den allgemein bekannten \u00f6ffentlichen Wert KYBER_Q verwendet. Das Problem ist, dass die Zeit f\u00fcr die Division keine Konstante ist und die Anzahl der CPU-Zyklen, die f\u00fcr die Division ausgef\u00fchrt werden, je nach den Eingabedaten variiert. So kann man durch die Analyse der zeitlichen Ver\u00e4nderungen der Operationen R\u00fcckschl\u00fcsse auf die Art der verwendeten Daten bei der Division ziehen. <\/p>\n

Daniel Bernstein, ein bekannter Experte auf dem Gebiet der Kryptografie, konnte eine funktionierende Demonstration des Angriffs in der Praxis vorbereiten. In zwei der drei durchgef\u00fchrten Experimente gelang es, bei der Ausf\u00fchrung des Codes auf einer Raspberry Pi 2-Platine den gesamten privaten Schl\u00fcssel Kyber-512 basierend auf der Zeitmessung der Datenentschl\u00fcsselung vollst\u00e4ndig zu rekonstruieren. Die Methode kann auch f\u00fcr die Schl\u00fcssel Kyber-768 und Kyber-1024 angepasst werden. F\u00fcr einen erfolgreichen Angriff ist es erforderlich, dass der vom Angreifer angegebene Chiffretext mit demselben Schl\u00fcsselpaar verarbeitet wird und die Zeit der durchgef\u00fchrten Operation genau gemessen werden kann. <\/p>\n

In einigen Bibliotheken wurde eine weitere Schwachstelle (KyberSlash2) festgestellt, die ebenfalls durch die Verwendung eines geheimen Wertes bei der Durchf\u00fchrung von Divisionen entsteht. Die Unterschiede zur ersten Variante beziehen sich auf den Aufruf in der Verschl\u00fcsselungsphase (in den Funktionen poly_compress und polyvec_compress), nicht w\u00e4hrend der Entschl\u00fcsselung. Die zweite Variante k\u00f6nnte jedoch in Angriffsszenarien n\u00fctzlich sein, nur wenn die Prozedur in Rekryptooperationen verwendet wird, bei denen die Ausgabe des verschl\u00fcsselten Textes als vertraulich angesehen wird. <\/p>\n

Die Schwachstelle wurde bereits in den folgenden Bibliotheken behoben: <\/p>\n