पोस्ट-क्वांटम एन्क्रिप्शन अल्गोरिदम Kyber च्या अंमलबजावणीमध्ये भेद्यता

क्वांटम कॉम्प्युटरवर ब्रूट फोर्सला प्रतिरोधक क्रिप्टोग्राफिक अल्गोरिदमची स्पर्धा जिंकणाऱ्या Kyber एन्क्रिप्शन अल्गोरिदमच्या अंमलबजावणीमध्ये, एक भेद्यता ओळखली गेली जी साइड-चॅनल हल्ल्यांना डिक्रिप्शन दरम्यान ऑपरेशन्सचा वेळ मोजण्याच्या आधारावर गुप्त की पुन्हा तयार करण्यास अनुमती देते. आक्रमणकर्त्याने प्रदान केलेला सिफरटेक्स्ट. समस्या CRYSTALS-Kyber KEM की एन्कॅप्सुलेशन यंत्रणा आणि सिग्नल मेसेंजरमध्ये वापरल्या जाणार्‍या pqcrypto लायब्ररीसह अनेक तृतीय-पक्ष Kyber-सक्षम एनक्रिप्शन लायब्ररीच्या संदर्भ अंमलबजावणीवर परिणाम करते.

असुरक्षिततेचे सार, ज्याला KyberSlash हे कोड नाव मिळाले आहे, तो संदेश डीकोड करण्याच्या प्रक्रियेत विभागणी ऑपरेशन “t = (((t < 1) + KYBER_Q/2)/KYBER_Q) & 1;” वापरण्यात आहे. , ज्यामध्ये लाभांशामध्ये गुप्त मूल्य “t” आहे ज्यामध्ये “दुहेरी” प्रकार आहे आणि भाजक हे KYBER_Q हे सुप्रसिद्ध सार्वजनिक मूल्य आहे. समस्या अशी आहे की डिव्हिजन ऑपरेशनची वेळ स्थिर नसते आणि वेगवेगळ्या वातावरणात डिव्हिजनसाठी CPU सायकलची संख्या इनपुट डेटावर अवलंबून असते. अशा प्रकारे, ऑपरेशनच्या वेळेतील बदलांच्या आधारावर, विभागणीमध्ये वापरल्या जाणार्‍या डेटाच्या स्वरूपाची कल्पना येऊ शकते.

क्रिप्टोग्राफी क्षेत्रातील सुप्रसिद्ध तज्ञ डॅनियल जे. बर्नस्टीन हा हल्ला प्रत्यक्ष व्यवहारात केला जाऊ शकतो या पुराव्याचे कार्यरत प्रात्यक्षिक तयार करण्यात सक्षम होते. रास्पबेरी Pi 2 बोर्डवर कोड चालवताना, तीनपैकी दोन प्रयोगांमध्ये, डेटा डीकोडिंग वेळ मोजण्याच्या आधारावर Kyber-512 खाजगी की पूर्णपणे पुन्हा तयार करणे शक्य झाले. पद्धत Kyber-768 आणि Kyber-1024 की साठी देखील स्वीकारली जाऊ शकते. हल्ला यशस्वीरित्या पार पाडण्यासाठी, आक्रमणकर्त्याने निर्दिष्ट केलेल्या सिफरटेक्स्टवर समान की जोडी वापरून प्रक्रिया करणे आवश्यक आहे आणि ऑपरेशनची अंमलबजावणी वेळ अचूकपणे मोजली जाऊ शकते.

आणखी एक गळती (KyberSlash2) काही लायब्ररींमध्ये ओळखली गेली आहे, जी विभागणी करताना गुप्त मूल्याच्या वापरामुळे देखील होते. पहिल्या पर्यायातील फरक एन्क्रिप्शन टप्प्यावर कॉलमध्ये येतात (पॉली_कॉम्प्रेस आणि पॉलीव्हेक_कॉम्प्रेस फंक्शन्समध्ये), आणि डिक्रिप्शन दरम्यान नाही. तथापि, दुसरा पर्याय केवळ अशाच प्रकरणांमध्ये हल्ल्यासाठी उपयुक्त ठरू शकतो जेव्हा ही प्रक्रिया री-एनक्रिप्शन ऑपरेशन्समध्ये वापरली जाते ज्यामध्ये सिफर टेक्स्टचे आउटपुट गोपनीय मानले जाते.

लायब्ररीमध्ये असुरक्षा आधीच निश्चित केली गेली आहे:

• zig/lib/std/crypto/kyber_d00.zig (22 डिसेंबर),
• pq-crystals/kyber/ref (डिसेंबर 30),
• symbolicsoft/kyber-k2so (डिसेंबर १९),
• क्लाउडफ्लेअर/सर्कल (८ जानेवारी),
• aws/aws-lc/crypto/kyber (4 जानेवारी),
• liboqs/src/kem/kyber (8 जानेवारी).

वाचनालये सुरुवातीला असुरक्षिततेमुळे प्रभावित होत नाहीत:

• boringssl/crypto/kyber,
• filippo.io/mlkem768,
• formosa-crypto/libjade/tree/main/src/crypto_kem,
• kyber/common/amd64/avx2,
• formosa-crypto/libjade/tree/main/src/crypto_kem/kyber/common/amd64/ref,
• pq-crystals/kyber/avx2,
• pqclean/crypto_kem/kyber*/avx2.

लायब्ररीमध्ये असुरक्षितता अनपॅच राहते:

• antontutoveanu/crystals-kyber-javascript,
• Argyle-सॉफ्टवेअर/कायबर,
• debian/src/liboqs/unstable/src/kem/kyber,
• kudelskisecurity/crystals-go,
• mupq/pqm4/crypto_kem/kyber* (20 डिसेंबर रोजी, भेद्यतेची फक्त 1 आवृत्ती निश्चित करण्यात आली होती),
• PQClean/PQClean/crypto_kem/kyber*/aarch64,
• PQClean/PQClean/crypto_kem/kyber*/clean,
• randombit/botan (20 डिसेंबर रोजी, फक्त 1 भेद्यता निश्चित करण्यात आली होती),
• rustpq/pqcrypto/pqcrypto-kyber (5 जानेवारी रोजी libsignal मध्ये एक निराकरण जोडण्यात आले होते, परंतु असुरक्षा अद्याप pqcrypto-kyber मध्येच निश्चित केलेली नाही).

स्त्रोत: opennet.ru