포스트 양자 암호화 알고리즘 Kyber 구현의 취약점

양자컴퓨터에서 무차별 대입에 강한 암호화 알고리즘 경쟁에서 승리한 카이버 암호화 알고리즘 구현 과정에서, 복호화 과정에서 연산 시간을 측정해 비밀키를 재창조하는 사이드채널 공격이 가능한 취약점이 발견됐다. 공격자가 제공한 암호문. 이 문제는 CRYSTALS-Kyber KEM 키 캡슐화 메커니즘의 참조 구현과 Signal 메신저에 사용되는 pqcrypto 라이브러리를 포함한 많은 타사 Kyber 지원 암호화 라이브러리 모두에 영향을 미칩니다.

코드명 KyberSlash를 받은 취약점의 본질은 메시지를 디코딩하는 과정에서 분할 연산 “t = (((t < 1) + KYBER_Q/2)/KYBER_Q) & 1;”을 사용한다는 것입니다. , 여기서 피제수는 "double" 유형의 비밀 값 "t"를 포함하고 제수는 잘 알려진 공개 값 KYBER_Q입니다. 문제는 나누기 연산의 시간이 일정하지 않고, 다른 환경에서 나누기를 위해 수행되는 CPU 사이클 수가 입력 데이터에 따라 달라진다는 것입니다. 따라서 작업 시간의 변화에 ​​따라 분할에 사용되는 데이터의 성격을 알 수 있습니다.

암호화 분야의 유명한 전문가인 Daniel J. Bernstein은 공격이 실제로 수행될 수 있다는 증거를 입증하는 작업 시연을 준비할 수 있었습니다. 진행된 세 가지 실험 중 두 가지 실험에서는 라즈베리 파이 2 보드에서 코드를 실행할 때 측정된 데이터 디코딩 시간을 기반으로 Kyber-512 개인 키를 완전히 재현하는 것이 가능했습니다. 이 방법은 Kyber-768 및 Kyber-1024 키에도 적용할 수 있습니다. 공격을 성공적으로 수행하기 위해서는 공격자가 지정한 암호문을 동일한 키 쌍을 사용하여 처리하고, 작업 수행 시간을 정확하게 측정할 수 있어야 합니다.

일부 라이브러리에서 또 다른 누수(KyberSlash2)가 확인되었는데, 이는 나눗셈 수행 시 비밀 값을 사용하여 발생하기도 합니다. 첫 번째 옵션과의 차이점은 암호 해독 중이 아닌 암호화 단계(poly_compress 및 polyvec_compress 함수)의 호출에 있습니다. 그러나 두 번째 옵션은 암호문의 출력이 기밀로 간주되는 재암호화 작업에 해당 절차가 사용되는 경우에만 공격에 유용할 수 있습니다.

해당 취약점은 이미 라이브러리에서 수정되었습니다.

• zig/lib/std/crypto/kyber_d00.zig (22월 XNUMX일),
• pq-crystals/kyber/ref (30월 XNUMX일),
• Symbolicsoft/kyber-k2so (19월 XNUMX일),
• cloudflare/circl(8월 XNUMX일),
• aws/aws-lc/crypto/kyber(4월 XNUMX일),
• liboqs/src/kem/kyber (8월 XNUMX일).

처음에 취약점의 영향을 받지 않은 라이브러리:

• 지루한 SSL/암호화/카이버,
• filippo.io/mlkem768,
• 포모사-암호화/libjade/나무/메인/src/crypto_kem,
• 카이버/공통/amd64/avx2,
• formosa-crypto/libjade/tree/main/src/crypto_kem/kyber/common/amd64/ref,
• pq-크리스탈/kyber/avx2,
• pqclean/crypto_kem/kyber*/avx2.

취약점은 라이브러리에 패치되지 않은 상태로 남아 있습니다.

• antontutoveanu/crystals-kyber-javascript,
• Argyle-Software/kyber,
• debian/src/liboqs/unstable/src/kem/kyber,
• kudelskisecurity/crystals-go,
• mupq/pqm4/crypto_kem/kyber* (20월 1일에는 취약점의 XNUMX개 버전만 수정되었습니다),
• PQClean/PQClean/crypto_kem/kyber*/aarch64,
• PQClean/PQClean/crypto_kem/kyber*/clean,
• randombit/botan (20월 1일에는 XNUMX개의 취약점만 수정되었습니다),
• Rustpq/pqcrypto/pqcrypto-kyber(5월 XNUMX일 libsignal에 수정 사항이 추가되었지만 pqcrypto-kyber 자체에서는 아직 취약점이 수정되지 않았습니다).

출처 : opennet.ru