{"id":112780,"date":"2024-01-09T21:10:14","date_gmt":"2024-01-09T19:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber"},"modified":"2024-01-09T21:10:14","modified_gmt":"2024-01-09T19:10:14","slug":"uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","title":{"rendered":"Schwachstelle in den Implementierungen des post-quanten Verschl\u00fcsselungsalgorithmus Kyber","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

In der Implementierung des Kyber-Verschl\u00fcsselungsalgorithmus, der den Wettbewerb um kryptografische Algorithmen gewonnen hat, die resistent gegen Angriffe mit Quantencomputern sind, wurde eine Schwachstelle entdeckt. Diese erlaubt Angriffe \u00fcber seitliche Kan\u00e4le, um geheime Schl\u00fcssel zu rekonstruieren, basierend auf der Messung der Zeit, die f\u00fcr die Entschl\u00fcsselung des vom Angreifer bereitgestellten Chiffretexts ben\u00f6tigt wird. Das Problem betrifft sowohl die Referenzimplementierung des Mechanismus zur Schl\u00fcsselinkapselung CRYSTALS-Kyber KEM als auch viele externe Verschl\u00fcsselungsbibliotheken, die Kyber unterst\u00fctzen, einschlie\u00dflich der pqcrypto-Bibliothek, die im Messenger Signal verwendet wird. <\/p>\n

Die Schwachstelle, die den Code-Namen KyberSlash tr\u00e4gt, betrifft die Verwendung beim Dekodieren der Division Operation «t = (((t < 1) + KYBER_Q\/2)\/KYBER_Q) & 1;», in der der Dividend einen geheimen Wert «t» vom Typ «double» enth\u00e4lt, w\u00e4hrend der Divisor das weithin bekannte \u00f6ffentliche Wert KYBER_Q ist. Das Problem ist, dass die Zeit f\u00fcr die Division keine Konstante ist und in verschiedenen Umgebungen die Anzahl der f\u00fcr die Division erforderlichen CPU-Zyklen von den Eingabedaten abh\u00e4ngt. Daher kann man durch die Ver\u00e4nderung der Zeit der Operationen R\u00fcckschl\u00fcsse auf die Art der verwendeten Daten bei der Division ziehen. <\/p>\n

Daniel J. Bernstein, ein bekannter Experte f\u00fcr Kryptographie, konnte eine funktionierende Demonstration eines Angriffs in der Praxis vorbereiten. In zwei von drei durchgef\u00fchrten Experimenten gelang es, den geheimen Schl\u00fcssel Kyber-512 vollst\u00e4ndig wiederherzustellen, indem die Dekodierungszeit der Daten auf einem Raspberry Pi 2 gemessen wurde. Diese Methode kann auch f\u00fcr die Schl\u00fcssel Kyber-768 und Kyber-1024 angepasst werden. F\u00fcr den erfolgreichen Angriff ist es erforderlich, dass der vom Angreifer festgelegte Ciphertext mit demselben Schl\u00fcsselpaar verarbeitet wird und die Zeit der Operation genau gemessen werden kann. <\/p>\n

In einigen Bibliotheken wurde eine weitere Schwachstelle (KyberSlash2) entdeckt, die ebenfalls durch die Verwendung eines geheimen Wertes bei der Division entsteht. Der Unterschied zur ersten Variante liegt im Aufruf w\u00e4hrend der Verschl\u00fcsselung (in den Funktionen poly_compress und polyvec_compress) und nicht w\u00e4hrend der Entschl\u00fcsselung. Diese zweite Variante kann jedoch nur dann n\u00fctzlich sein, wenn die Prozedur in Rekryptographierungsvorg\u00e4ngen verwendet wird, in denen der Output des verschl\u00fcsselten Textes als vertraulich betrachtet wird. <\/p>\n

Die Vulnerabilit\u00e4t wurde bereits in folgenden Bibliotheken behoben: <\/p>\n