MCSI: A Masked Commutative Supersingular Isogeny Key Exchange with Blinded Ephemeral Keys
Dieses Paper stellt MCSI vor, ein Zwei-Nachrichten-Schlüsselaustauschprotokoll, das auf der CSIDH-Klassengruppenaktion aufbaut und eine authentifizierte Verschlüsselung nutzt, um ephemere Schlüssel zu verschleiern, wodurch implizite gegenseitige Authentifizierung erreicht, ephemere Elemente vor Lauschern verborgen und der Rechenaufwand signifikant reduziert wird, indem es dem Empfänger ermöglicht, unauthentifizierte Nachrichten vor teuren Gruppenaktions-Evaluierungen zu verwerfen.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Im Wettlauf um die Sicherung der weltweiten digitalen Kommunikation gegen zukünftige Quantencomputer erkunden Kryptographen eine Landschaft, die nicht auf großen Zahlen, sondern auf der Geometrie von Kurven basiert. Stellen Sie sich ein weites, flaches Feld vor, in dem jeder Punkt eine einzigartige mathematische Form darstellt, eine sogenannte elliptische Kurve. In diesem Feld gibt es eine besondere Regel, die es ermöglicht, eine Form in eine andere zu transformieren – auf eine Weise, die leicht durchzuführen ist, wenn man den geheimen Pfad kennt, aber nahezu unmöglich zu umkehren, wenn man ihn nicht kennt. Dies ist das Fundament der Isogenie-basierten Kryptographie. Im Gegensatz zu anderen Methoden, die auf massiven Schlüsseln beruhen, verwendet dieser Ansatz winzige Schlüssel, was ihn hocheffizient für die Speicherung und Übertragung macht. Jedoch wurde vor einigen Jahren eine erhebliche Schwachstelle in einem verwandten System entdeckt, die Forscher dazu zwang, die Verwendung dieser Kurven neu zu überdenken. Die Herausforderung besteht nun darin, einen Weg zu finden, wie diese winzigen, geometrischen Formen zum Austausch geheimer Schlüssel genutzt werden können, ohne Informationen preiszugeben, die von einem mächtigen Beobachter ausgenutzt werden könnten, während gleichzeitig sichergestellt wird, dass die beiden Parteien tatsächlich die sind, die sie zu sein behaupten.
Ein Team von Forschern hat ein neues Protokoll namens MCSI vorgestellt, was für Masked Commutative Supersingular Isogeny Key Exchange steht. Dieses System ist darauf ausgelegt, zwei Personen – nennen wir sie Alice und Bob – zu ermöglichen, einen gemeinsamen geheimen Schlüssel über ein offenes Netzwerk zu etablieren, ohne dass ein Lauscher etwas über die temporären Werte erfährt, die sie während des Gesprächs verwenden. Die Innovation liegt darin, wie sie diese temporären Werte verbirgt. In früheren Versuchen wurden die temporären Werte im Klartext gesendet, was erforderte, dass der Empfänger eine komplexe und zeitintensive mathematische Operation durchführte, um zu prüfen, ob die Nachricht gültig war. Dies schuf ein Sicherheitsrisiko: Ein böswilliger Angreifer könnte einen Server mit gefälschten Nachrichten überfluten und ihn dazu zwingen, seine Rechenleistung für nutzlose Berechnungen zu verschwenden. MCSI löst dies, indem es den temporären Wert in einen sicheren, authentifizierten Umschlag hüllt. Bevor der Empfänger den Umschlag überhaupt öffnet, um die Mathematik zu prüfen, verifiziert er ein digitales Siegel. Wenn das Siegel gebrochen oder fehlend ist, wird die Nachricht sofort verworfen, was den Empfänger davor bewahrt, die schwere Arbeit zu leisten. Diese einfache Änderung schützt das System davor, von böswilligen Akteuren überwältigt zu werden.
Die Forscher haben bewiesen, dass diese Methode jedes Mal perfekt funktioniert, wenn beide Parteien die Regeln befolgen, mit null Fehlern beim fertigen Schlüssel. Sie haben auch demonstriert, dass die temporären Werte innerhalb des Umschlags vor jedem Beobachter verborgen bleiben und dass das digitale Siegel effektiv verhindert, dass ein Angreifer die Nachricht manipuliert. Entscheidend ist, dass die Sicherheit des Systems nicht auf einer mathematischen Annahme beruht, die für diesen spezifischen Typ von Kurve als falsch erwiesen wurde. Stattdessen beruht sie auf der Schwierigkeit, ein spezifisches Rätsel bezüglich der Anordnung dieser Kurven zu lösen – ein Problem, das selbst für Quantencomputer schwer bleibt. Das Team zeigte zudem, dass eine gängige Idee – eine einfache Ebene von zufälligen Byte-Substitutionen zur verschlüsselten Nachricht hinzuzufügen, damit sie zufälliger aussieht – keinen wirklichen Sicherheitsgewinn bringt, eine Erkenntnis, die hilft, zukünftige Designs zu optimieren.
Um sicherzustellen, dass ihre Theorie in der realen Welt Bestand hat, bauten das Team das System zweimal: einmal in einer Hochsprache und einmal in einer für schnelle Software verwendeten Niedrigsprache. Sie führten tausende Tests durch und verglichen die Ergebnisse beider Versionen, um sicherzustellen, dass sie perfekt übereinstimmen. Ihre Messungen ergaben, dass das neue Protokoll eine funktionierende Referenzimplementierung ist, wobei die Zeit, die für die Verschlüsselungs- und Entschlüsselungsschichten aufgewendet wird, im Vergleich zur Zeit der Kernmathematik-Operationen so gering ist, dass sie fast unsichtbar ist. Sie fanden jedoch auch eine signifikante Schwachstelle in ihrem eigenen Code. Da die Zeit, die für die Kernberechnung benötigt wird, von selbst abhängt, kann ein Angreifer, der in der Lage ist, die Zeit vieler verschiedener Sitzungen zu messen, Teile des geheimen Schlüssels erraten. Die Forscher waren explizit über diesen Fehler: Ihre aktuelle Implementierung ist nicht sicher für den realen Einsatz, bis sie so umgeschrieben wird, dass sie in konstanter Zeit läuft (constant time), was bedeutet, dass die Dauer der Berechnung unabhängig vom geheimen Schlüssel gleich sein muss.
Das Paper befasste sich auch mit einem weit verbreiteten Missverständnis darüber, welche mathematischen Primzahlen für dieses System verwendet werden sollten. Viele Experten haben spezifische große Primzahlen für andere Arten der Verschlüsselung verwendet und angenommen, dass sie hier ebenfalls funktionieren würden. Die Forscher bewiesen, dass eine der berühmtesten Primzahlen, die für eine Standardkurve namens P-521 verwendet wird, für diese spezifische Art des Schlüsselaustauschs völlig unbrauchbar ist. Sie zeigten, dass die für ihr System erforderliche mathematische Struktur mit dieser Primzahl gar nicht existiert, was die Verwendung einer anderen, speziell konstruierten Zahl erzwingt. Dieser Befund ist entscheidend für jeden, der ein solches System bauen möchte, da er die Verwendung eines Standardwerkzeugs verhindert, das zu einem fehlerhaften Design führen würde.
Während das Protokoll die temporären Werte erfolgreich verbirgt und Denial-of-Service-Angriffe verhindert, sind die Autoren vorsichtig darin, was sie noch nicht bewiesen haben. Sie haben nicht gezeigt, dass das System sicher bleibt, falls ein Angreifer die während einer Sitzung verwendeten temporären Geheimnisse offenlegen kann, noch haben sie bewiesen, dass das System gegen einen Angreifer sicher ist, der die Nachrichten auf komplexere Weise aktiv stört. Darüber hinaus ist das Verbergen der temporären Werte nicht vorwärts sicher (not forward secret); falls ein Angreifer in der Zukunft einen langfristigen geheimen Schlüssel stiehlt, könnte er zurückgehen und den Schutz alter Nachrichten entfernen, um die temporären Werte zu sehen, obwohl der endgültige Sitzungsschlüssel wahrscheinlich sicher bliebe. Die Forscher kommen zu dem Schluss, dass MCSI zwar eine solide Spezifikation mit einer funktionierenden Referenzimplementierung ist, aber noch nicht bereit für die Öffentlichkeit ist. Der Weg nach vorn erfordert den Bau einer Version, die in konstanter Zeit läuft, um das Zeit-Leck zu schließen, sowie den Beweis, dass das System aggressiveren Angriffen standhalten kann. Bis diese Schritte unternommen sind, handelt es sich bei dem hier beschriebenen Protokoll um eine Spezifikation mit einer funktionierenden Referenz und nicht um etwas, das man eigenständig einsetzen sollte.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.