In der Implementierung des Kyber-Verschl\u00fcsselungsalgorithmus, der den Wettbewerb um kryptografische Algorithmen gewonnen hat, die resistent gegen Angriffe mit Quantencomputern sind, wurde eine Schwachstelle entdeckt. Diese erlaubt Angriffe \u00fcber seitliche Kan\u00e4le, um geheime Schl\u00fcssel zu rekonstruieren, basierend auf der Messung der Zeit, die f\u00fcr die Entschl\u00fcsselung des vom Angreifer bereitgestellten Chiffretexts ben\u00f6tigt wird. Das Problem betrifft sowohl die Referenzimplementierung des Mechanismus zur Schl\u00fcsselinkapselung CRYSTALS-Kyber KEM als auch viele externe Verschl\u00fcsselungsbibliotheken, die Kyber unterst\u00fctzen, einschlie\u00dflich der pqcrypto-Bibliothek, die im Messenger Signal verwendet wird. <\/p>\n
\u0421\u0443\u0442\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u043a\u043e\u0434\u043e\u0432\u043e\u0435 \u0438\u043c\u044f KyberSlash, \u0432 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0438 \u0434\u0435\u043b\u0435\u043d\u0438\u044f «t = (((t < 1) + KYBER_Q\/2)\/KYBER_Q) & 1;», \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0434\u0435\u043b\u0438\u043c\u043e\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0441\u0435\u043a\u0440\u0435\u0442\u043d\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 «t» \u0441 \u0442\u0438\u043f\u043e\u043c «double», \u0430 \u0434\u0435\u043b\u0438\u0442\u0435\u043b\u044c \u043e\u0431\u0449\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0435 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 KYBER_Q. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u0432\u0440\u0435\u043c\u044f \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0438 \u0434\u0435\u043b\u0435\u043d\u0438\u044f \u043d\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043a\u043e\u043d\u0441\u0442\u0430\u043d\u0442\u043e\u0439 \u0438 \u0432 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f\u0445 \u0447\u0438\u0441\u043b\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u0434\u043b\u044f \u0434\u0435\u043b\u0435\u043d\u0438\u044f \u0446\u0438\u043a\u043b\u043e\u0432 CPU \u0437\u0430\u0432\u0438\u0441\u0438\u0442 \u043e\u0442 \u0432\u0445\u043e\u0434\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445. \u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0438\u0438 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0439 \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u043e \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0445 \u043f\u0440\u0438 \u0434\u0435\u043b\u0435\u043d\u0438\u0438 \u0434\u0430\u043d\u043d\u044b\u0445. <\/p>\n
Daniel J. Bernstein, ein bekannter Experte f\u00fcr Kryptographie, konnte eine funktionierende Demonstration eines Angriffs in der Praxis vorbereiten. In zwei von drei durchgef\u00fchrten Experimenten gelang es, den geheimen Schl\u00fcssel Kyber-512 vollst\u00e4ndig wiederherzustellen, indem die Dekodierungszeit der Daten auf einem Raspberry Pi 2 gemessen wurde. Diese Methode kann auch f\u00fcr die Schl\u00fcssel Kyber-768 und Kyber-1024 angepasst werden. F\u00fcr den erfolgreichen Angriff ist es erforderlich, dass der vom Angreifer festgelegte Ciphertext mit demselben Schl\u00fcsselpaar verarbeitet wird und die Zeit der Operation genau gemessen werden kann. <\/p>\n
In einigen Bibliotheken wurde eine weitere Schwachstelle (KyberSlash2) entdeckt, die ebenfalls durch die Verwendung eines geheimen Wertes bei der Division entsteht. Der Unterschied zur ersten Variante liegt im Aufruf w\u00e4hrend der Verschl\u00fcsselung (in den Funktionen poly_compress und polyvec_compress) und nicht w\u00e4hrend der Entschl\u00fcsselung. Diese zweite Variante kann jedoch nur dann n\u00fctzlich sein, wenn die Prozedur in Rekryptographierungsvorg\u00e4ngen verwendet wird, in denen der Output des verschl\u00fcsselten Textes als vertraulich betrachtet wird. <\/p>\n
Die Vulnerabilit\u00e4t wurde bereits in folgenden Bibliotheken behoben: <\/p>\n
Bibliotheken, die urspr\u00fcnglich nicht von der Schwachstelle betroffen sind: <\/p>\n