पोस्ट-क्वांटम एन्क्रिप्शन एल्गोरिदम Kyber के कार्यान्वयन में भेद्यता

क्वांटम-प्रतिरोधी क्रिप्टोग्राफ़िक एल्गोरिदम के लिए प्रतियोगिता जीतने वाले क्यबर एन्क्रिप्शन एल्गोरिदम के कार्यान्वयन में एक भेद्यता की पहचान की गई है, जो हमलावर द्वारा प्रदान किए गए सिफरटेक्स्ट के डिक्रिप्शन के दौरान संचालन के समय को मापने के आधार पर गुप्त कुंजियों को फिर से बनाने के लिए साइड-चैनल हमलों की अनुमति देता है। यह समस्या क्रिस्टल्स-क्यबर केईएम कुंजी एनकैप्सुलेशन तंत्र के संदर्भ कार्यान्वयन और क्यबर का समर्थन करने वाली कई तृतीय-पक्ष एन्क्रिप्शन लाइब्रेरी दोनों को प्रभावित करती है, जिसमें सिग्नल मैसेंजर में उपयोग की जाने वाली pqcrypto लाइब्रेरी भी शामिल है।

कोडनाम KyberSlash नामक यह भेद्यता, संदेश डिकोडिंग प्रक्रिया में विभाजन ऑपरेशन "t = (((t < 1) + KYBER_Q/2)/KYBER_Q) & 1;" के उपयोग पर आधारित है, जहाँ लाभांश में "डबल" प्रकार का गुप्त मान "t" होता है, और भाजक प्रसिद्ध सार्वजनिक मान KYBER_Q होता है। समस्या यह है कि विभाजन ऑपरेशन का समय स्थिर नहीं होता है, और विभिन्न वातावरणों में विभाजन के लिए निष्पादित CPU चक्रों की संख्या इनपुट डेटा पर निर्भर करती है। इस प्रकार, ऑपरेशन के समय में परिवर्तन के आधार पर, विभाजन के लिए उपयोग किए जाने वाले डेटा की प्रकृति का अंदाजा लगाया जा सकता है।

प्रसिद्ध क्रिप्टोग्राफी विशेषज्ञ डैनियल जे. बर्नस्टीन ने हमले का एक कार्यशील प्रूफ-ऑफ-कॉन्सेप्ट प्रदर्शन तैयार किया है। तीन में से दो प्रयोगों में, कोड को रास्पबेरी पाई 2 पर चलाया गया और डिकोडिंग समय के आधार पर Kyber-512 निजी कुंजी को पूरी तरह से फिर से बनाने में सक्षम था। इस विधि को Kyber-768 और Kyber-1024 कुंजियों के लिए भी अनुकूलित किया जा सकता है। हमले के सफल होने के लिए, हमलावर द्वारा आपूर्ति किए गए सिफरटेक्स्ट को उसी कुंजी जोड़ी का उपयोग करके संसाधित किया जाना चाहिए और निष्पादन समय को सटीक रूप से मापा जा सकता है।

कुछ लाइब्रेरी में एक और लीक (KyberSlash2) पाया गया है, जो विभाजन करते समय एक गुप्त मान के उपयोग के कारण भी होता है। पहले प्रकार से अंतर यह है कि इसे एन्क्रिप्शन चरण (पॉली_कंप्रेस और पॉलीवेक_कंप्रेस फ़ंक्शन में) पर बुलाया जाता है, न कि डिक्रिप्शन के दौरान। हालाँकि, दूसरा प्रकार केवल उन मामलों में हमले के लिए उपयोगी हो सकता है जहाँ प्रक्रिया का उपयोग पुनः-एन्क्रिप्शन ऑपरेशन में किया जाता है, जिसमें एन्क्रिप्ट किए गए टेक्स्ट के आउटपुट को गोपनीय माना जाता है।

पुस्तकालयों में यह कमजोरी पहले ही ठीक कर दी गई है:

• zig/lib/std/crypto/kyber_d00.zig (22 दिसंबर),
• पीक्यू-क्रिस्टल/किबर/रेफ (30 दिसंबर),
• symbolsoft/kyber-k2so (19 दिसंबर),
• क्लाउडफ्लेयर/सर्कल (8 जनवरी),
• aws/aws-lc/crypto/kyber (4 जनवरी),
• liboqs/src/kem/kyber (8 जनवरी)।

पुस्तकालय जो प्रारम्भ में असुरक्षित नहीं हैं:

• बोरिंगएसएसएल/क्रिप्टो/क्यबर,
• फ़िलिपो.io/mlkem768,
• फॉर्मोसा-क्रिप्टो/लिबजेड/ट्री/मेन/src/क्रिप्टो_केम,
• क्यबर/कॉमन/amd64/avx2,
• फॉर्मोसा-क्रिप्टो/लिबजेड/ट्री/मेन/src/क्रिप्टो_केम/काइबर/कॉमन/amd64/रेफ,
• पीक्यू-क्रिस्टल्स/क्यबर/एवीएक्स2,
• pqclean/crypto_kem/kyber*/avx2.

पुस्तकालयों में यह कमजोरी अभी भी बरकरार है:

• antontutoveanu/क्रिस्टल-किबर-जावास्क्रिप्ट,
• अर्गीले-सॉफ्टवेयर/क्यबर,
• debian/src/liboqs/unstable/src/kem/kyber,
• कुडेल्स्कीसिक्यूरिटी/क्रिस्टल्स-गो,
• mupq/pqm4/crypto_kem/kyber* (20 दिसंबर को केवल 1 भेद्यता संस्करण ठीक किया गया),
• PQClean/PQClean/crypto_kem/kyber*/aarch64,
• PQClean/PQClean/क्रिप्टो_केम/kyber*/क्लीन,
• रैंडमबिट/बोटन (20 दिसंबर को केवल 1 भेद्यता संस्करण ठीक किया गया),
• rustpq/pqcrypto/pqcrypto-kyber (5 जनवरी को libsignal में यह फिक्स जोड़ दिया गया था, लेकिन pqcrypto-kyber में अभी तक भेद्यता ठीक नहीं हुई है)।

स्रोत: opennet.ru