Kyberi kr\u00fcpteerimise algoritmi, mis v\u00f5itis kvantkomputerite r\u00fcnnakutele vastupidavate kr\u00fcptoalgoritmide v\u00f5istluse, rakendamisel avastati haavatavus, mis v\u00f5imaldab h\u00e4kkeritel kasutada k\u00f5rvalkanaleid, et taastada salajasi v\u00f5tmeid, m\u00f5\u00f5tes operatsioonide ajal pidevat aega, kui r\u00fcnnatakse kolmandate osapoolte kr\u00fcpteeritud tekstide dekodeerimist. Probleem m\u00f5jutab nii CRYSTALS-Kyber KEMi v\u00f5tmeinkapsuleerimise mehhanismi v\u00f5rdlevat teostust kui ka paljusid teisi Kyberi toetavaid kr\u00fcpteerimiskogusid, sealhulgas pqcrypto teeki, mida kasutab s\u00f5numirakendus Signal. <\/p>\n
Haavatavuse tuum, mille koodinimi on KyberSlash, seisneb s\u00f5numi dekodeerimise protsessis, mis jagab «t = (((t < 1) + KYBER_Q\/2)\/KYBER_Q) & 1;», kus jagatav sisaldab salajast v\u00e4\u00e4rtust «t» t\u00fc\u00fcbiga «double», ja jagaja on tuntud avalik v\u00e4\u00e4rtus KYBER_Q. Probleem on see, et jagamise teostamise aeg ei ole konstantne ja erinevates keskkondades s\u00f5ltub jagamiseks vajalike CPU ts\u00fcklite arv sisendandmetest. Seega, muutuste p\u00f5hjal operatsioonide aegades on v\u00f5imalik saada \u00fclevaade jagamiseks kasutatud andmete iseloomust. <\/p>\n
Daniel J. Bernstein, tunnustatud kr\u00fcptograafia ekspert, suutis valmistada ette t\u00f6\u00f6p\u00f5hise demonstreerimise selle v\u00f5imalusest, et r\u00fcnnak saaks praktikas toimuma. Kahes kolmest l\u00e4bi viidud eksperimendist \u00f5nnestus Raspberry Pi 2 plaadil k\u00e4ivitatud koodi abil t\u00e4ielikult rekonstrueerida Kyber-512 privaatv\u00f5ti, tuginedes andmete dekodeerimise aja m\u00f5\u00f5tmisele. Meetodit saab ka kohandada Kyber-768 ja Kyber-1024 v\u00f5tmete jaoks. R\u00fcnnaku edukaks teostamiseks on vajalik, et r\u00fcndaja s\u00e4testatud \u0161ifrit\u00f6\u00f6tlust teostataks sama v\u00f5tmepaariga ning et operatsiooni t\u00e4itmise ajal saaks t\u00e4pselt m\u00f5\u00f5ta. <\/p>\n
M\u00f5nedes raamatukogudes on avastatud veel \u00fcks lekkimine (KyberSlash2), mis ilmneb samuti salajase v\u00e4\u00e4rtuse kasutamisest jagamisel. Erinevused esimesest variandist tulenevad sellest, et seda kutsutakse v\u00e4lja kr\u00fcpteerimise etapis (funktsioonides poly_compress ja polyvec_compress), mitte dekr\u00fcpteerimise ajal. Teine variant v\u00f5ib osutuda kasulikuks r\u00fcnnakuks ainult nendes olukordades, kus protseduuri kasutatakse uuesti kr\u00fcpteerimise operatsioonides, kus salajaste tekstide v\u00e4ljundit peetakse konfidentsiaalseks. <\/p>\n
Haavatavust on juba parandatud j\u00e4rgmistes raamatukogudes: <\/p>\n