{"id":112780,"date":"2024-01-09T21:10:14","date_gmt":"2024-01-09T19:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber"},"modified":"2024-01-09T21:10:14","modified_gmt":"2024-01-09T19:10:14","slug":"uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","title":{"rendered":"Vulnerability in the implementations of the post-quantum encryption algorithm Kyber","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

W realizacji algorytmu szyfrowania Kyber, kt\u00f3ry wygra\u0142 konkurs na kryptograficzne algorytmy odporne na ataki z wykorzystaniem komputer\u00f3w kwantowych, ujawniono podatno\u015b\u0107, kt\u00f3ra umo\u017cliwia przeprowadzanie atak\u00f3w z wykorzystaniem kana\u0142\u00f3w bocznych w celu rekonstrukcji tajnych kluczy na podstawie pomiaru czasu operacji podczas odszyfrowywania dostarczonego przez atakuj\u0105cego tekstu szyfrowanego. Problem dotyczy zar\u00f3wno referencyjnej realizacji mechanizmu kapsu\u0142kowania kluczy CRYSTALS-Kyber KEM, jak i wielu zewn\u0119trznych bibliotek szyfruj\u0105cych obs\u0142uguj\u0105cych Kyber, w tym biblioteki pqcrypto stosowanej w komunikatorze Signal. <\/p>\n

G\u0142\u00f3wna kwestia podatno\u015bci o nazwie KyberSlash polega na wykorzystaniu w trakcie dekodowania wiadomo\u015bci operacji dzielenia «t = (((t < 1) + KYBER_Q\/2)\/KYBER_Q) & 1;». W tym przypadku, dzielna zawiera tajn\u0105 warto\u015b\u0107 «t» typu «double», a dzielnik to powszechnie znana warto\u015b\u0107 publiczna KYBER_Q. Problem polega na tym, \u017ce czas wykonywania operacji dzielenia nie jest sta\u0142y, a w r\u00f3\u017cnych \u015brodowiskach liczba cykli CPU potrzebnych do wykonania dzielenia zale\u017cy od danych wej\u015bciowych. W ten spos\u00f3b, na podstawie zmiany czasu operacji, mo\u017cna uzyska\u0107 informacje o charakterze danych u\u017cywanych w operacji dzielenia. <\/p>\n

Daniel Bernstein, znany ekspert w dziedzinie kryptografii, zdo\u0142a\u0142 przygotowa\u0107 dzia\u0142aj\u0105c\u0105 demonstracj\u0119 dowodu na mo\u017cliwo\u015b\u0107 przeprowadzenia ataku w praktyce. W dw\u00f3ch z trzech przeprowadzonych eksperyment\u00f3w, podczas wykonywania kodu na p\u0142ycie Raspberry Pi 2, uda\u0142o si\u0119 w pe\u0142ni zrekonstruowa\u0107 prywatny klucz Kyber-512 na podstawie pomiaru czasu dekodowania danych. Metoda ta mo\u017ce by\u0107 r\u00f3wnie\u017c dostosowana do kluczy Kyber-768 i Kyber-1024. Aby przeprowadzenie ataku by\u0142o skuteczne, dane szyfrowane dostarczone przez atakuj\u0105cego musz\u0105 by\u0107 przetwarzane z u\u017cyciem tej samej pary kluczy, a tak\u017ce konieczne jest dok\u0142adne mierzenie czasu wykonania operacji. <\/p>\n

W niekt\u00f3rych bibliotekach wykryto kolejny wyciek (KyberSlash2), kt\u00f3ry r\u00f3wnie\u017c wyst\u0119puje z powodu u\u017cycia sekretnej warto\u015bci podczas wykonywania dzielenia. R\u00f3\u017cnice w stosunku do pierwszej wersji sprowadzaj\u0105 si\u0119 do wywo\u0142ania na etapie szyfrowania (w funkcjach poly_compress i polyvec_compress), a nie w czasie deszyfrowania. Przy tym druga wersja mo\u017ce okaza\u0107 si\u0119 przydatna do atak\u00f3w tylko w przypadkach u\u017cycia procedury w operacjach ponownego szyfrowania, w kt\u00f3rych wynik szyfrogramu jest uznawany za poufny. <\/p>\n

Vulnera bil\u0105d zosta\u0142a ju\u017c usuni\u0119ta w bibliotkach: <\/p>\n