{"id":112780,"date":"2024-01-09T21:10:14","date_gmt":"2024-01-09T19:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber"},"modified":"2024-01-09T21:10:14","modified_gmt":"2024-01-09T19:10:14","slug":"uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/uyazvimost-v-realizacziyah-postkvantovogo-algoritma-shifrovaniya-kyber","title":{"rendered":"Vulnerabilidade nas implementa\u00e7\u00f5es do algoritmo de criptografia p\u00f3s-qu\u00e2ntico Kyber","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Na implementa\u00e7\u00e3o do algoritmo de criptografia Kyber, vencedor do concurso de criptografia resistente a ataques de computadores qu\u00e2nticos, foi identificada uma vulnerabilidade que permite a realiza\u00e7\u00e3o de ataques por canais laterais para a reconstru\u00e7\u00e3o de chaves secretas com base na medi\u00e7\u00e3o do tempo das opera\u00e7\u00f5es durante a descriptografia do texto cifrado fornecido pelo atacante. O problema afeta tanto a implementa\u00e7\u00e3o de refer\u00eancia do mecanismo de encapsulamento de chaves CRYSTALS-Kyber KEM quanto muitas bibliotecas de criptografia de terceiros que suportam Kyber, incluindo a biblioteca pqcrypto utilizada no mensageiro Signal. <\/p>\n

A ess\u00eancia da vulnerabilidade, nomeada KyberSlash, reside no uso do processo de decodifica\u00e7\u00e3o da opera\u00e7\u00e3o de divis\u00e3o «t = (((t < 1) + KYBER_Q\/2)\/KYBER_Q) & 1;», onde o dividendo cont\u00e9m um valor secreto «t» do tipo «double» e o divisor \u00e9 um valor p\u00fablico bem conhecido, KYBER_Q. O problema \u00e9 que o tempo da opera\u00e7\u00e3o de divis\u00e3o n\u00e3o \u00e9 constante e, em diferentes ambientes, o n\u00famero de ciclos de CPU executados para a divis\u00e3o depende dos dados de entrada. Assim, com base na varia\u00e7\u00e3o do tempo das opera\u00e7\u00f5es, \u00e9 poss\u00edvel deduzir o car\u00e1ter dos dados utilizados na divis\u00e3o. <\/p>\n

Daniel Bernstein, conhecido especialista em criptografia, conseguiu preparar uma demonstra\u00e7\u00e3o funcional que prova a possibilidade de realizar um ataque na pr\u00e1tica. Em dois dos tr\u00eas experimentos realizados na placa Raspberry Pi 2, foi poss\u00edvel reconstruir completamente a chave privada Kyber-512 com base na medi\u00e7\u00e3o do tempo de decodifica\u00e7\u00e3o dos dados. O m\u00e9todo tamb\u00e9m pode ser adaptado para chaves Kyber-768 e Kyber-1024. Para a realiza\u00e7\u00e3o bem-sucedida do ataque, \u00e9 necess\u00e1rio que o texto cifrado fornecido pelo atacante seja processado usando o mesmo par de chaves e que o tempo de execu\u00e7\u00e3o da opera\u00e7\u00e3o possa ser medido com precis\u00e3o. <\/p>\n

Nas algumas bibliotecas, foi identificada mais uma vulnerabilidade (KyberSlash2), que tamb\u00e9m surge devido ao uso de um valor secreto durante a execu\u00e7\u00e3o da divis\u00e3o. As diferen\u00e7as em rela\u00e7\u00e3o \u00e0 primeira vers\u00e3o se resumem \u00e0 chamada na fase de criptografia (nas fun\u00e7\u00f5es poly_compress e polyvec_compress), e n\u00e3o durante a descriptografia. No entanto, a segunda variante pode ser \u00fatil para um ataque apenas em casos onde o procedimento \u00e9 utilizado em opera\u00e7\u00f5es de recriptografia, nas quais a sa\u00edda do texto criptografado \u00e9 considerada confidencial. <\/p>\n

A vulnerabilidade j\u00e1 foi corrigida nas bibliotecas: <\/p>\n