{"id":112780,"date":"2024-01-09T21:10:14","date_gmt":"2024-01-09T19:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber"},"modified":"2024-01-09T21:10:14","modified_gmt":"2024-01-09T19:10:14","slug":"uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","title":{"rendered":"Vulnerabilit\u00e0 nelle implementazioni dell'algoritmo di crittografia post-quantistica Kyber","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nell'implementazione dell'algoritmo di crittografia Kyber, vincitore del concorso di crittografia resistente agli attacchi dei computer quantistici, \u00e8 stata scoperta una vulnerabilit\u00e0 che consente di eseguire attacchi attraverso canali esterni per ricreare chiavi segrete sulla base delle misurazioni temporali delle operazioni durante la decifratura del ciphertext fornito dall'aggressore. Il problema riguarda sia l'implementazione di riferimento del meccanismo di incapsulamento delle chiavi CRYSTALS-Kyber KEM, sia molte librerie di crittografia di terze parti che supportano Kyber, inclusa la libreria pqcrypto utilizzata nell'app di messaggistica Signal. <\/p>\n

La vulnerabilit\u00e0 nota come KyberSlash riguarda l'uso nella decodifica del messaggio durante l'operazione di divisione «t = (((t < 1) + KYBER_Q\/2)\/KYBER_Q) & 1;», dove il dividendo contiene un valore segreto «t» di tipo «double», mentre il divisore \u00e8 un valore pubblico ben conosciuto, KYBER_Q. Il problema \u00e8 che il tempo necessario per eseguire l'operazione di divisione non \u00e8 costante e, in diversi ambienti, il numero di cicli CPU eseguiti per la divisione dipende dai dati in ingresso. Pertanto, basandosi sulla variazione del tempo delle operazioni, \u00e8 possibile ottenere informazioni sulla natura dei dati utilizzati nella divisione. <\/p>\n

Daniel Bernstein, noto esperto nel campo della crittografia, \u00e8 riuscito a preparare una dimostrazione pratica della possibilit\u00e0 di eseguire un attacco. In due dei tre esperimenti condotti, utilizzando una scheda Raspberry Pi 2, \u00e8 stato possibile ricreare interamente la chiave privata Kyber-512 basandosi sulla misurazione del tempo di decodifica dei dati. Il metodo pu\u00f2 essere adattato anche per le chiavi Kyber-768 e Kyber-1024. Per realizzare con successo l'attacco, \u00e8 necessario che il cifrario fornito dall'attaccante venga elaborato utilizzando la stessa coppia di chiavi e che sia possibile misurare con precisione il tempo di esecuzione dell'operazione. <\/p>\n

In alcune librerie \u00e8 stata identificata un'altra vulnerabilit\u00e0 (KyberSlash2), causata dall'uso di un valore segreto durante le operazioni di divisione. Le differenze rispetto alla prima variante riguardano la chiamata nella fase di crittografia (nelle funzioni poly_compress e polyvec_compress), e non durante la decrittazione. Tuttavia, la seconda variante potrebbe risultare utile per un attacco solo nei casi in cui la procedura \u00e8 utilizzata in operazioni di crittografia ripetuta, dove l'output del testo crittografato \u00e8 considerato riservato. <\/p>\n

La vulnerabilit\u00e0 \u00e8 gi\u00e0 stata risolta nelle librerie: <\/p>\n