Posta del NIST

Apr 07, 2023

Di

Flipboard

Reddit

Pinterest

WhatsApp

WhatsApp

E-mail

Un algoritmo presentato al concorso di crittografia post-quantistica del NIST – e che è arrivato al quarto round – è stato sconfitto. L'algoritmo, Supersingular Isogeny Key Encapsulation (SIKE), è stato rotto da Wouter Castryck e Thomas Decru della KU Leuven e il processo è stato descritto in un articolo scritto alla fine di luglio 2022.

I crittografi non sono sorpresi da un simile evento; ma i leader della sicurezza, preoccupati per la loro capacità di proteggere i segreti dopo l’arrivo dei computer quantistici, devono considerare le implicazioni.

Per crittografi

La sconfitta di SIKE segue un attacco di recupero chiave al protocollo di scambio di chiavi Supersingular Isogeny Diffie-Hellman e la sua istanziazione come SIKE nella competizione NIST. L'attacco si basa sul teorema “colla e spacca” sviluppato nel 1997 dal matematico Ernst Kani.

In particolare, spiegano i due ricercatori, "il nostro attacco sfrutta l'esistenza di un piccolo endomorfismo non scalare sulla curva iniziale, e si basa anche sulle informazioni ausiliarie sui punti di torsione che Alice e Bob condividono durante il protocollo".

L'attacco utilizza il codice Magma dei ricercatori per prendere di mira la chiave segreta di Bob. Potrebbe anche essere utilizzato per individuare la chiave di Alice, ma il primo produce risultati più rapidi. Si tratta di un attacco matematico contro l'algoritmo di crittografia piuttosto che di un attacco di forza bruta contro le singole chiavi.

L’attacco è stato eseguito su un singolo computer classico, in particolare una CPU Intel Xeon. "Eseguito su un singolo core, il codice Magma aggiunto risolve le sfide Microsoft SIKE... in circa 4 minuti e 6 minuti, rispettivamente. Un'esecuzione sui parametri SIKE, precedentemente ritenuti conformi al livello di sicurezza quantistica 1 del NIST, ha richiesto ancora una volta circa 62 minuti su un singolo core."

Questa sconfitta elimina di fatto SIKE dalla competizione del NIST, ma non impedisce necessariamente che l'algoritmo venga modificato e restituito alla competizione.

Per il resto di noi

SIKE è un algoritmo di incapsulamento delle chiavi, progettato per fornire le chiavi in ​​modo sicuro dall'origine alla destinazione attraverso una rete non attendibile. È stato progettato per essere a prova quantistica ed è considerato uno dei candidati più forti nella competizione del NIST.

La sconfitta di un algoritmo di crittografia a prova quantistica finalista del NIST su un singolo PC in poco più di un’ora è drammatica. Ciò suggerisce che dobbiamo ripensare il nostro atteggiamento nei confronti della crittografia in generale e post-crittografia quantistica in particolare. SIKE non è diversa da qualsiasi altra crittografia, pre o post quantistica: è sicura solo finché non lo è più, e non lo è non appena può essere violata.

I crittografi, soprattutto quelli finanziati dagli stati nazionali, sono alla continua ricerca di modi per sconfiggere gli algoritmi di crittografia. In teoria quello che è successo ieri al SIKE potrebbe succedere domani alla RSA. L’unico motivo per cui un crack di algoritmo è diverso da una vulnerabilità zero-day è che è improbabile che sentiamo parlare della prima. È improbabile che l'uso di un algoritmo scoperto dallo stato contro i dati rubati e archiviati diventi di pubblico dominio.

In effetti, quindi, l’uso di qualsiasi crittografia è un atto di fede. Ci viene detto che è sicuro e non abbiamo motivo di non crederci, ma non ne abbiamo e non possiamo averne una conoscenza assoluta. Poiché la crittografia si basa su problemi matematici, esiste sempre la possibilità che gli algoritmi possano essere attaccati matematicamente, in particolare da computer quantistici estremamente potenti.

L’attuale necessità di sostituire gli algoritmi esistenti e apparentemente affidabili con algoritmi nuovi e non ancora testati nel tempo sta promuovendo la pratica di sviluppo nota come agilità crittografica (crypto agility). L'idea è che se l'algoritmo in uso viene sconfitto, può essere sostituito con un algoritmo diverso senza modifiche significative all'infrastruttura del sistema.

Si tratta di una buona pratica, ma non risolve il problema di fondo "raccogli ora, decrittografa dopo" posto dai computer quantistici. Se si ritiene che un algoritmo raccomandato dal NIST sia sicuro e utilizzato per dieci anni fino a quando non viene sconfitto, tutte le comunicazioni intercettate e archiviate dagli avversari durante quei dieci anni possono essere immediatamente decrittografate. L'unica differenza tra allora e adesso è che sappiamo che ciò accadrà all'attuale crittografia a chiave pubblica (grazie all'algoritmo di Shor), mentre non sappiamo che non accadrà con i nuovi algoritmi post-quantistici.