⚡ electrical engineering

Evaluating PQC KEMs, Combiners, and Cascade Encryption via Adaptive IND-CPA Testing Using Deep Learning

Die Studie nutzt Deep Learning, um als adaptive, datengestützte Methode die IND-CPA-Ununterscheidbarkeit von Post-Quanten-KEMs, hybriden Kryptosystemen und Kaskadenverschlüsselungen empirisch zu validieren, wobei keine signifikanten Schwächen in den getesteten Algorithmen oder Kombinationen festgestellt wurden.

Ursprüngliche Autoren: Simon Calderon, Niklas Johansson, Onur Günlü

Veröffentlicht 2026-04-09

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Simon Calderon, Niklas Johansson, Onur Günlü

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

🕵️‍♂️ Die Suche nach dem perfekten Versteck: Wie KI Kryptografie prüft

Stell dir vor, du hast einen sehr wichtigen Brief, den du an einen Freund schicken willst. Du willst sicherstellen, dass niemand außer deinem Freund den Inhalt lesen kann. Aber es gibt noch ein anderes, noch wichtigeres Ziel: Niemand soll wissen können, ob du einen Brief geschickt hast oder nicht, und schon gar nicht, was drin steht, selbst wenn er den Brief nur sieht.

In der Welt der Kryptografie nennen wir das „Ununterscheidbarkeit". Ein guter Verschlüsselungscode sollte so aussehen wie ein Haufen zufälliger Buchstaben und Zahlen. Ein Angreifer sollte nicht erkennen können: „Aha, das hier ist ein verschlüsselter Brief über ein Geburtstagsgeschenk, und das hier ist einer über ein Geheimtreffen."

🚀 Der neue Kampf: Quantencomputer kommen!

Bisher waren unsere besten Verschlüsselungsmethoden (wie RSA) sehr sicher. Aber es droht eine neue Gefahr: Quantencomputer. Diese sind wie superschnelle Taschenrechner, die in der Lage sein könnten, unsere alten Schlösser in Sekunden zu knacken.

Deshalb entwickeln Wissenschaftler neue Schlösser, die auch für Quantencomputer schwer zu knacken sind. Man nennt sie PQC (Post-Quantum-Kryptografie). Aber wie prüft man, ob diese neuen Schlösser wirklich sicher sind?

🧠 Die Idee: Ein KI-Trainer als Prüfer

Normalerweise prüfen Mathematiker diese Schlösser mit sehr komplexen Formeln. In diesem Papier schlagen die Autoren einen anderen Weg vor: Sie nutzen Künstliche Intelligenz (KI), genauer gesagt ein Neurales Netzwerk (eine Art künstliches Gehirn).

Stell dir vor, du hast einen sehr schlauen Detektiv (die KI), der trainiert wird, zwei Dinge zu unterscheiden:

Fall A: Ein verschlüsselter Brief, der zufällig generiert wurde (wie ein Haufen Kaugummipapier).
Fall B: Ein verschlüsselter Brief, der eine echte Nachricht enthält (wie ein gefalteter Brief).

Wenn der Detektiv nach viel Training immer noch nur raten muss (50/50 Chance), dann ist das Schloss sicher. Wenn er aber lernt, Muster zu erkennen und oft richtig liegt (z. B. 60% oder 70%), dann ist das Schloss unsicher. Die KI hat einen „Fehler" gefunden, den die Mathematiker vielleicht übersehen haben.

🧪 Was haben sie getestet?

Die Autoren haben drei verschiedene Arten von Schlössern getestet:

Die neuen PQC-Schlösser:
Sie haben die neuen Standards getestet (ML-KEM, BIKE, HQC). Das sind die neuen Schlösser, die bald überall eingesetzt werden sollen.
- Das Ergebnis: Die KI war völlig verwirrt. Sie konnte keine Muster finden. Sie rät nur zufällig. Das ist eine gute Nachricht! Es bedeutet, dass diese neuen Schlösser sicher sind.
Die „Hybrid"-Schlösser (Das Doppel-Schloss):
Da man den alten Schlössern noch nicht ganz traut und den neuen auch nicht zu 100%, macht man sie oft zusammen. Man schließt das alte Schloss und das neue Schloss auf einmal zu.
- Die Frage: Wenn das alte Schloss (z. B. RSA) unsicher ist, ist dann die Kombination unsicher?
- Die Theorie: Nein, solange mindestens eines der beiden Schlösser sicher ist, sollte die Kombination sicher sein.
- Das Ergebnis: Die KI hat auch hier keine Schwachstellen gefunden. Selbst wenn sie ein unsicheres Schloss mit einem sicheren kombinierten, konnte sie den Inhalt nicht erraten. Die Kombination funktioniert!
Die „Kaskaden"-Schlösser (Schloss auf Schloss):
Hier wird eine Nachricht erst mit einem Code verschlüsselt, dann mit einem zweiten, dann mit einem dritten. Wie eine Matroschka-Puppe.
- Das Ergebnis: Auch hier hat die KI nichts gefunden. Selbst wenn man ein schwaches Schloss (wie ein altes DES-Schloss) mit einem starken kombiniert, bleibt die Nachricht für die KI ununterscheidbar.

🎲 Das große Fazit

Die Autoren haben gezeigt, dass man KI nutzen kann, um Verschlüsselungen praktisch zu testen. Es ist wie ein Stresstest für Software.

Keine bösen Überraschungen: Bei allen getesteten neuen und kombinierten Methoden hat die KI keine Schwachstellen gefunden. Sie konnte die Nachrichten nicht von zufälligem Rauschen unterscheiden.
Die Methode funktioniert: Diese KI-Methode ist ein neues, nützliches Werkzeug. Sie ergänzt die theoretische Mathematik. Man kann damit schnell prüfen, ob eine neue Implementierung eines Codes Fehler hat, bevor man ihn weltweit einsetzt.

Zusammengefasst in einem Satz:
Die Autoren haben einen KI-Detektiv trainiert, der versucht, geheime Nachrichten zu entlarven. Der Detektiv hat bei den neuen Quanten-Schlössern und ihren Kombinationen versagt – und das ist genau das, was wir uns wünschen, denn es bedeutet, dass unsere Geheimnisse sicher sind! 🔒✨

1. Problemstellung

Der Übergang zur Post-Quanten-Kryptographie (PQC) erfordert die Validierung neuer Algorithmen und hybrider Konstruktionen, die klassische und quantenresistente Primitive kombinieren. Ein zentrales Sicherheitsziel ist die Unterscheidbarkeit unter gewählten Klartextangriffen (IND-CPA). Während theoretische Sicherheitsbeweise existieren, ist die empirische Validierung in realen Implementierungen und hybriden Settings schwierig.
Das Paper adressiert die Frage, ob Deep Learning (DL) als adaptives, datengesteuertes Werkzeug eingesetzt werden kann, um Schwachstellen in PQC-Key-Encapsulation-Mechanismen (KEMs), hybriden KEMs und Kaskaden-Verschlüsselungen aufzudecken, indem es versucht, Muster in Chiffretexten zu erkennen, die theoretisch nicht existieren sollten.

2. Methodik

Die Autoren modellieren das IND-CPA-Sicherheitsspiel als ein binäres Klassifikationsproblem für ein Deep Neural Network (DNN).

Grundlegender Ansatz (Algorithmus 1):
- Ein DNN wird trainiert, um zwischen zwei Klassen von Chiffretexten zu unterscheiden:
  1. Verschlüsselung von gleichmäßig zufälligen Klartexten.
  2. Verschlüsselung eines festen Klartextes (z. B. Nullen).
- Wenn das Verschlüsselungsschema IND-CPA-sicher ist, sollte das DNN keine bessere Genauigkeit als zufälliges Raten (50 %) erreichen.
- Der Verlust wird mittels Binary Cross-Entropy (BCE) berechnet, und das Training erfolgt via Stochastic Gradient Descent (SGD).
Erweiterung für hybride KEMs (Algorithmus 2):
- Für hybride KEMs, die einen Kombinator der Form $k = F(k_1, c) \oplus F(k_2, c)$ verwenden (wobei $\oplus$ die bitweise XOR-Operation ist), wird ein spezieller Ansatz gewählt.
- Das DNN erhält die verketteten Chiffretexte beider Komponenten als Eingabe.
- Die Klassifikationsaufgabe unterscheidet zwischen:
  1. Fällen, in denen die beiden Komponenten denselben zugrunde liegenden Geheimwert (Shared Secret) entschlüsseln ( $k_1 = k_2$ ).
  2. Fällen, in denen sie zwei unabhängige Werte entschlüsseln ( $k_1 \neq k_2$ ).
- Aufgrund der XOR-Eigenschaft führt $k_1 = k_2$ zu einem strukturell anderen Muster (alle Nullen im Differenzvektor), was das DNN theoretisch erkennen könnte, wenn die Sicherheit nicht gewährleistet ist.
Experimentelles Setup:
- Algorithmen: Getestet wurden ML-KEM (Kyber), BIKE und HQC (NIST-PQC-Kandidaten).
- Hybride Szenarien: Kombinationen von PQC-KEMs mit RSA (OAEP und ungerahmt/padded), Plain RSA und reinem Plaintext.
- Kaskaden-Verschlüsselung: Kombinationen von AES (CTR, CBC, ECB), ChaCha20 und DES.
- Netzwerkarchitekturen: Zwei Varianten (klein und groß) mit ReLU-Aktivierungsfunktionen und Sigmoid-Ausgang.
- Statistische Validierung: Um zu bestimmen, ob eine Genauigkeit signifikant von 50 % abweicht, wird ein zweiseitiger Binomialtest mit einem Signifikanzniveau von $\alpha = 0.01$ verwendet.

3. Wichtige Beiträge

Empirische IND-CPA-Tests für PQC-KEMs: Anwendung des DL-Frameworks auf die zugrunde liegenden Public-Key-Encryption (PKE)-Schemata von ML-KEM, BIKE und HQC.
Neue Erweiterung für hybride KEMs: Entwicklung eines Algorithmus (Algorithmus 2) zur empirischen Prüfung von hybriden KEMs, die auf beweisbar sicheren Kombinatoren basieren, selbst wenn eine Komponente unsicher ist (z. B. Plain RSA).
Methodische Allgemeingültigkeit: Demonstration, dass der Ansatz auch auf symmetrische Kaskaden-Verschlüsselungen (Cascade Encryption) anwendbar ist, um die Sicherheit von Kombinationen verschiedener Block- und Stromchiffren zu testen.
Rigorose Statistische Analyse: Im Gegensatz zu früheren DL-basierten Arbeiten wird hier eine strenge Hypothesenprüfung (Binomialtest) durchgeführt, um zu bestätigen, ob das DNN einen nicht vernachlässigbaren Vorteil erzielt.

4. Ergebnisse

Die Experimente ergaben folgende Hauptbefunde:

Einzelne Algorithmen:
- Plain RSA: Das DNN erreichte 100 % Genauigkeit, was die bekannte Unsicherheit von deterministischem RSA unter IND-CPA bestätigt.
- RSA-OAEP, ML-KEM, BIKE, HQC: Die Genauigkeit lag statistisch nicht signifikant über 50 % (p-Werte > 0.01). Dies bestätigt die theoretische IND-CPA-Sicherheit dieser Algorithmen unter dem betrachteten DL-Adversary-Modell.
Hybride KEMs:
- Kombinationen von PQC-KEMs mit RSA-OAEP, Plain RSA oder Plaintext zeigten keine signifikante Unterscheidbarkeit (Genauigkeit ca. 50 %).
- Selbst wenn eine Komponente unsicher war (z. B. Plain RSA), konnte das DNN keine Muster erkennen, die eine bessere als zufällige Vorhersage ermöglichen. Dies bestätigt die theoretische Eigenschaft, dass hybride Konstruktionen mit einem sicheren Kombinator die Sicherheit der stärkeren Komponente erben.
- Hinweis: Ein theoretischer Angriff auf „Plain RSA + Plaintext" wäre möglich, wenn der Angreifer Zugriff auf eine Verschlüsselungs-Oracle hätte, was das eingeschränkte DL-Modell (kein Oracle-Zugriff) jedoch nicht abbildet.
Kaskaden-Verschlüsselung:
- Alle getesteten Kombinationen (einschließlich solcher mit unsicheren Komponenten wie AES-ECB oder DES-ECB) zeigten keine signifikante Abweichung von 50 %.
- Dies empirisch validiert, dass die Kaskadierung mindestens eines IND-CPA-sicheren Algorithmus die Sicherheit des Gesamtsystems erhält.

5. Bedeutung und Fazit

Das Paper demonstriert erfolgreich Deep Learning als praktisches, adaptives und vielseitiges Werkzeug zur empirischen Validierung von IND-CPA-Sicherheit.

Validierung: Die Ergebnisse stimmen mit den theoretischen Sicherheitsgarantien überein: Weder die einzelnen PQC-Algorithmen noch ihre hybriden oder kaskadierten Kombinationen zeigten unter dem getesteten DL-Adversary-Modell verwundbare Muster.
Ergänzung zur Kryptoanalyse: Die Methode ergänzt die formale Sicherheitsanalyse, indem sie eine datengesteuerte Validierung von Implementierungen und Zusammensetzungen ermöglicht.
Limitationen: Das Modell hat Grenzen, da es keinen Zugriff auf öffentliche Schlüssel oder Verschlüsselungs-Oracles hat (im Gegensatz zum vollständigen IND-CPA-Modell). Ein signifikant besseres Ergebnis als zufälliges Raten würde jedoch stark auf eine echte Schwachstelle hindeuten.
Zukunft: Die Autoren schlagen vor, zukünftige neuronale Klassifikatoren so zu erweitern, dass sie Zugriff auf Oracles und öffentliche Parameter integrieren, um noch realistischere Angriffsszenarien abzubilden.

Zusammenfassend liefert das Paper einen robusten Beweis dafür, dass Deep Learning effektiv eingesetzt werden kann, um die Sicherheit moderner und hybrider Kryptosysteme empirisch zu überprüfen, ohne dabei falsche Positive bei den getesteten Standards (ML-KEM, BIKE, HQC) zu produzieren.