{"id":112780,"date":"2024-01-09T21:10:14","date_gmt":"2024-01-09T19:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber"},"modified":"2024-01-09T21:10:14","modified_gmt":"2024-01-09T19:10:14","slug":"uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans les impl\u00e9mentations de l'algorithme de cryptage post-quantique Kyber","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Dans la mise en \u0153uvre de l'algorithme de cryptage Kyber, qui a remport\u00e9 le concours des algorithmes cryptographiques r\u00e9sistants aux attaques par ordinateur quantique, une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e, permettant des attaques canalis\u00e9es pour reconstituer des cl\u00e9s secr\u00e8tes en se basant sur la mesure du temps des op\u00e9rations lors du d\u00e9chiffrement du texte chiffr\u00e9 fourni par l'attaquant. Ce probl\u00e8me concerne \u00e0 la fois l'impl\u00e9mentation de r\u00e9f\u00e9rence du m\u00e9canisme d'encapsulation de cl\u00e9s CRYSTALS-Kyber KEM ainsi que de nombreuses biblioth\u00e8ques de cryptage tierces prenant en charge Kyber, y compris la biblioth\u00e8que pqcrypto utilis\u00e9e dans l'application Signal. <\/p>\n

La vuln\u00e9rabilit\u00e9, connue sous le nom de KyberSlash, r\u00e9side dans l'utilisation, lors du d\u00e9codage du message d'une op\u00e9ration de division, de «t = (((t < 1) + KYBER_Q\/2)\/KYBER_Q) & 1;», o\u00f9 le num\u00e9rateur contient une valeur secr\u00e8te «t» de type «double», et le d\u00e9nominateur est une valeur publique connue, KYBER_Q. Le probl\u00e8me est que le temps d'ex\u00e9cution de l'op\u00e9ration de division n'est pas constant et, selon l'environnement, le nombre de cycles CPU n\u00e9cessaires pour la division d\u00e9pend des donn\u00e9es d'entr\u00e9e. Ainsi, en fonction des variations de temps des op\u00e9rations, on peut obtenir des informations sur la nature des donn\u00e9es utilis\u00e9es lors de la division. <\/p>\n

Daniel Bernstein, un expert reconnu en cryptographie, a r\u00e9ussi \u00e0 pr\u00e9parer une d\u00e9monstration fonctionnelle prouvant la faisabilit\u00e9 de l'attaque en pratique. Dans deux des trois exp\u00e9riences r\u00e9alis\u00e9es, en ex\u00e9cutant le code sur une carte Raspberry Pi 2, il a pu reconstituer enti\u00e8rement la cl\u00e9 priv\u00e9e Kyber-512 sur la base de la mesure du temps de d\u00e9codage des donn\u00e9es. La m\u00e9thode peut \u00e9galement \u00eatre adapt\u00e9e pour les cl\u00e9s Kyber-768 et Kyber-1024. Pour qu'une attaque soit r\u00e9ussie, il est n\u00e9cessaire que le texte chiffr\u00e9 fourni par l'attaquant soit trait\u00e9 en utilisant la m\u00eame paire de cl\u00e9s et qu'il soit possible de mesurer pr\u00e9cis\u00e9ment le temps d'ex\u00e9cution de l'op\u00e9ration. <\/p>\n

Dans certaines biblioth\u00e8ques, une autre vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9tect\u00e9e (KyberSlash2), qui survient \u00e9galement en raison de l'utilisation d'une valeur secr\u00e8te lors de l'ex\u00e9cution d'une division. Les diff\u00e9rences par rapport \u00e0 la premi\u00e8re version se situent lors de l'appel pendant l'\u00e9tape du chiffrement (dans les fonctions poly_compress et polyvec_compress), et non lors du d\u00e9chiffrement. La deuxi\u00e8me version peut \u00eatre utile pour une attaque uniquement dans les cas o\u00f9 la proc\u00e9dure est utilis\u00e9e dans des op\u00e9rations de re-chiffrement, o\u00f9 la sortie du texte chiffr\u00e9 est consid\u00e9r\u00e9e comme confidentielle. <\/p>\n

La vuln\u00e9rabilit\u00e9 a d\u00e9j\u00e0 \u00e9t\u00e9 corrig\u00e9e dans les biblioth\u00e8ques : <\/p>\n