{"id":112780,"date":"2024-01-09T21:10:14","date_gmt":"2024-01-09T19:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber"},"modified":"2024-01-09T21:10:14","modified_gmt":"2024-01-09T19:10:14","slug":"uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","title":{"rendered":"Kwetsbaarheid in de implementaties van het post-kwantum encryptie-algoritme Kyber","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

In de implementatie van het encryptie-algoritme Kyber, dat de wedstrijd voor kwantumveilige cryptografische algoritmen heeft gewonnen, is een kwetsbaarheid ontdekt die aanvalt via zijkanalen mogelijk maakt om geheime sleutels te reconstrueren op basis van het meten van de tijd van operaties tijdens het decoderen van de door de aanvaller verstrekte ciphertext. Dit probleem betreft zowel de referentie-implementatie van het CRYSTALS-Kyber KEM sleutelincapsulatiemechanisme als veel externe encryptiebibliotheken die Kyber ondersteunen, waaronder de pqcrypto-bibliotheek die in de messenger Signal wordt gebruikt. <\/p>\n

De essentie van de kwetsbaarheid, die de codenaam KyberSlash heeft gekregen, ligt in het gebruik van een techniek tijdens het decoderen van de delingsoperatie «t = (((t < 1) + KYBER_Q\/2)\/KYBER_Q) & 1;», waarbij de deeltal een geheim waarde «t» van het type «double» bevat en de deler een algemeen bekend publiek waarde KYBER_Q is. Het probleem is dat de tijd die nodig is voor de delingsoperatie geen constante waarde is en in verschillende omgevingen het aantal CPU-cycli voor de deling afhangt van de invoergegevens. Op basis van de variatie in de tijd van de operaties kan men een idee krijgen van de aard van de gegevens die bij de deling worden gebruikt. <\/p>\n

Daniel Bernstein, een bekende expert op het gebied van cryptografie, heeft een werkende demonstratie voorbereid waarin de praktische mogelijkheid van de aanval wordt bewezen. In twee van de drie uitgevoerde experimenten, uitgevoerd op een Raspberry Pi 2, was het mogelijk om de geheime sleutel Kyber-512 volledig te reconstrueren op basis van het meten van de tijd voor het decoderen van gegevens. De methode kan ook worden aangepast voor de sleutels Kyber-768 en Kyber-1024. Voor een succesvolle uitvoering van de aanval is het noodzakelijk dat de door de aanvaller opgegeven ciphertext wordt verwerkt met dezelfde sleutelparen en dat de tijd voor de uitvoering van de operatie nauwkeurig kan worden gemeten. <\/p>\n

In sommige bibliotheken is er een andere lek (KyberSlash2) ontdekt, die ook voortkomt uit het gebruik van een geheim waarde tijdens de deling. De verschillen ten opzichte van de eerste versie liggen in de oproep tijdens de versleuteling (in de functies poly_compress en polyvec_compress), en niet tijdens de decryptie. De tweede variant kan echter nuttig zijn voor een aanval, alleen in gevallen waar de procedure wordt gebruikt in herhaalde versleuteling, waarbij de uitvoer van de versleutelde tekst als vertrouwelijk wordt beschouwd. <\/p>\n

De kwetsbaarheid is al verholpen in de bibliotheken: <\/p>\n