{"id":112780,"date":"2024-01-09T21:10:14","date_gmt":"2024-01-09T19:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber"},"modified":"2024-01-09T21:10:14","modified_gmt":"2024-01-09T19:10:14","slug":"uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","title":{"rendered":"Vulnerabilit\u00e0 nelle implementazioni dell'algoritmo di crittografia post-quantistica Kyber","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nell'implementazione dell'algoritmo di crittografia Kyber, vincitore del concorso sui crittografi resistenti agli attacchi dei computer quantistici, \u00e8 stata scoperta una vulnerabilit\u00e0 che permette di condurre attacchi tramite canali laterali per ricostruire le chiavi segrete sulla base della misurazione del tempo delle operazioni durante la decodifica del testo cifrato fornito dall'attaccante. Il problema riguarda sia l'implementazione di riferimento del meccanismo di incapsulamento delle chiavi CRYSTALS-Kyber KEM, sia molte librerie di crittografia di terze parti che supportano Kyber, inclusa la libreria pqcrypto utilizzata nel messenger Signal. <\/p>\n

La vulnerabilit\u00e0, nota con il nome in codice KyberSlash, risiede nell'uso del processo di decodifica del messaggio dell'operazione di divisione «t = (((t < 1) + KYBER_Q\/2)\/KYBER_Q) & 1;», in cui il dividendo contiene un valore segreto «t» di tipo «double» e il divisore \u00e8 un valore pubblico ben noto, KYBER_Q. Il problema \u00e8 che il tempo dell'operazione di divisione non \u00e8 costante e, in diversi contesti, il numero di cicli della CPU eseguiti per la divisione dipende dai dati in ingresso. Pertanto, sulla base della variazione del tempo delle operazioni, \u00e8 possibile ottenere informazioni sulla natura dei dati utilizzati nella divisione. <\/p>\n

Daniel Bernstein, noto esperto nel campo della crittografia, \u00e8 riuscito a preparare una dimostrazione pratica della possibilit\u00e0 di attaccare nel mondo reale. In due dei tre esperimenti condotti eseguendo il codice su una scheda Raspberry Pi 2, \u00e8 stato possibile ricostruire completamente la chiave privata Kyber-512 sulla base della misurazione del tempo di decodifica dei dati. Il metodo pu\u00f2 anche essere adattato per chiavi Kyber-768 e Kyber-1024. Per condurre con successo un attacco, \u00e8 necessario che il testo cifrato fornito dall'attaccante venga elaborato utilizzando la stessa coppia di chiavi e che si possa misurare con precisione il tempo di esecuzione dell'operazione. <\/p>\n

In alcune librerie \u00e8 stata rilevata un'altra vulnerabilit\u00e0 (KyberSlash2), che si verifica anch'essa a causa dell'uso di un valore segreto durante le operazioni di divisione. Le differenze rispetto alla prima variante riguardano la chiamata nella fase di crittografia (nelle funzioni poly_compress e polyvec_compress), anzich\u00e9 durante la decrittazione. Tuttavia, la seconda variante pu\u00f2 risultare utile per un attacco solo nei casi in cui la procedura viene utilizzata nelle operazioni di ri-crittografia, in cui l'output del testo crittografato viene considerato confidenziale. <\/p>\n

La vulnerabilit\u00e0 \u00e8 gi\u00e0 stata corretta nelle librerie: <\/p>\n