Quantum-Aware Key Rank for Side-Channel Attacks evaluation

In der Welt der digitalen Sicherheit wird die Stärke eines Geheimcodes oft dadurch getestet, dass man versucht, den Schlüssel nicht durch das Knacken der Mathematik zu stehlen, sondern indem man die Maschine belauscht. Wenn ein Computer Daten verschlüsselt, gibt er winzige Mengen an Informationen durch seinen Stromverbrauch oder seine elektromagnetischen Signale preis. Sicherheitsexperten erfassen diese Lecks, die als Spuren (Traces) bezeichnet werden, und nutzen sie, um die Liste der möglichen Schlüssel einzugrenzen. Anstatt den korrekten Schlüssel sofort zu finden, hinterlassen diese Angriffe meist eine lange, geordnete Liste von Kandidaten, wobei der wahre Schlüssel irgendwo in der Mitte verborgen liegt. Die Position des wahren Schlüssels auf dieser Liste wird als sein Rang bezeichnet. Wenn der Rang niedrig ist, ist der Schlüssel leicht zu finden; wenn er hoch ist, ist er effektiv sicher. Seit Jahrzehnten messen Sicherheitslabore diesen Rang, um zu entscheiden, ob ein Gerät sicher ist, wobei sie davon ausgehen, dass ein Angreifer einen Standardcomputer verwenden würde, um die verbleibenden Möglichkeiten zu durchsuchen.

Doch die Spielregeln ändern sich mit der Ankunft von Quantencomputern. Diese Maschinen arbeiten nach anderen physikalischen Prinzipien und können theoretisch Listen von Möglichkeiten viel schneller durchsuchen als jeder klassische Computer. Eine neue Studie von Yevgen Kotukh adressiert eine kritische Lücke in unserem Verständnis: Was passiert, wenn ein Angreifer einen klassischen Computer verwendet, um die ersten Hinweise zu sammeln, aber dann zum Abschluss des Jobs zu einem Quantencomputer wechselt? Die Forschung zeigt, dass die Geschwindigkeitssteigerung, die Quantencomputer bieten, nicht so dramatisch und universell ist, wie einige frühere Theorien suggerierten. Es stellt sich heraus, dass der Vorteil vollständig davon abhängt, wie viele Kandidaten übrig sind und wie viel Zeit dem Quantencomputer zur Verfügung steht.

Die Forscher bauten ein detailliertes Modell, um diesen spezifischen Typ eines hybriden Angreifers zu simulieren. Sie stellten sich ein Szenario vor, in dem ein Hacker zuerst Leistungsspuren von einem Gerät sammelt und eine Standardsoftware verwendet, um eine geordnete Liste potenzieller Schlüssel zu erstellen. Diese Liste kann Milliarden von Kandidaten enthalten. Der Hacker nimmt diese Liste dann und lässt einen Quantenalgorithmus laufen, um den korrekten Schlüssel zu finden. Die Studie beweist, dass ein Quantencomputer für jedes einzelne Gerät mit einer spezifischen Anzahl verbleibender Kandidaten eine Geschwindigkeitssteigerung bietet, die exakt proportional zur Quadratwurzel dieser Anzahl ist. Das bedeutet: Wenn ein klassischer Computer eine Million Schlüssel prüfen muss, muss ein Quantencomputer möglicherweise nur tausend prüfen. Dies ist eine signifikante Verbesserung, aber es ist nicht die magische, exponentielle Geschwindigkeitsexplosion, die einige frühere, abstraktere Theorien vorhersagten. Diese früheren Theorien suggerierten, dass Quantencomputer noch schneller sein könnten, aber die neue Forschung zeigt, dass jene Vorhersagen darauf basierten, Ergebnisse über viele verschiedene Geräte hinweg zu mitteln, anstatt die spezifische Realität eines einzelnen Angriffs zu betrachten.

Ein entscheidender Teil der Studie betrifft die physikalischen Grenzen von Quantencomputern. Diese Maschinen sind noch nicht perfekt; sie können nur eine bestimmte Anzahl von Operationen durchführen, bevor ihre empfindlichen Quantenzustände kollabieren. Die Forscher legten ein striktes Limit auf die Tiefe des Quantenschaltkreises fest, was die maximale Anzahl von Schritten repräsentiert, die ein zukünftiger Quantencomputer in einem Jahr oder einem Jahrzehnt ausführen könnte. Sie fanden heraus, dass die quadratische Geschwindigkeitssteigerung nur dann funktioniert, wenn die Anzahl der verbleibenden Schlüssel unter einem bestimmten Schwellenwert liegt. Wenn die Liste der Kandidaten zu lang ist, ist der Quantencomputer gezwungen, viele Kopien seiner selbst parallel laufen zu lassen, um innerhalb seines Zeitlimits zu bleiben. Diese Parallelisierung frisst den Geschwindigkeitsvorteil auf und reduziert den Nutzen auf einen einfachen, konstanten Faktor. Für moderne Verschlüsselungsstandards wie AES-128 schließt sich dieses „Fenster“ des Vorteils, wenn der Rang des Schlüssels einen spezifischen Punkt erreicht, der etwa einem Rang von 2 hoch 59 entspricht. Jenseits dieses Punktes ist der Quantencomputer nicht mehr exponentiell schneller; er ist nur noch um einen festen Faktor schneller, und in einigen Fällen ist der Vorteil so gering, dass er kaum eine Rolle spielt.

Um Sicherheitslaboren zu helfen, sich an diese neue Realität anzupassen, führte der Autor eine neue Metrik namens „quantenbewussten Schlüsselrang“ (quantum-aware key rank) ein. Dieses Werkzeug ermöglicht es Evaluatoren, den bereits berechneten Standardrang zu nehmen und ihn in einen Wert umzuwandeln, der das Sicherheitsniveau gegenüber einem Quantenangreifer mit einem spezifischen Zeitlimit widerspiegelt. Wenn zum Beispiel ein Gerät einen klassischen Rang hat, der Sicherheit suggeriert, könnte der quantenbewusste Rang zeigen, dass es tatsächlich verwundbar ist, weil der Quantencomputer den Schlüssel innerhalb der erlaubten Zeit finden kann. Die Studie liefert klare Formeln für diese Umwandlung und zeigt, dass ein Gerät einen viel höheren klassischen Rang benötigt, um das gleiche Sicherheitsniveau gegen einen Quantenangreifer aufrechtzuerhalten. Speziell benötigt ein Gerät für einen Quantencomputer, der auf eine Tiefe von 2 hoch 40 begrenzt ist, einen klassischen Rang von etwa 2 hoch 74, um so sicher zu sein wie ein Gerät mit einem klassischen Rang von 2 hoch 48.

Die Forschung verglich auch zwei verschiedene Wege, wie ein Quantencomputer die geleakten Informationen nutzen könnte, um den Schlüssel zu finden. Eine Methode beinhaltet das Vorbereiten eines speziellen Quantenzustands, der die Wahrscheinlichkeit jedes Schlüssels widerspiegelt, während die andere Methode darin besteht, durch Blöcke von Schlüsseln auf eine strukturierte Weise zu suchen. Die Studie fand heraus, dass sich diese beiden Methoden bei den Arten von Datenlecks, die typischerweise in realen Angriffen auftreten, in ihrer Leistung sehr ähnlich sind. Der entscheidende Faktor ist nicht, welche Methode theoretisch schneller ist, sondern die Kosten der Hardware, die zur Implementierung der komplexeren Methode erforderlich sind. Die Forscher simulierten diese Angriffe auf eine kleine, vereinfachte Chiffre und auf realistische Modelle der AES-Verschlüsselung, um ihre Theorien zu bestätigen. Sie entdeckten, dass bei einem typischen Angriff mit einem niedrigen Signal-Rausch-Verhältnis ein Quantenangreifer mit einem großen Gate-Budget etwa 22 zusätzliche Leistungsspuren (Power Traces) wert ist wie ein klassischer Angreifer. Mit anderen Worten: Der Quantenvorteil ist real, aber er ist begrenzt und vorhersehbar.

Diese Arbeit löst eine Spannung innerhalb der Sicherheitsgemeinschaft auf, die zwischen zwei gegensätzlichen Ansichten besteht: der einen, die behauptete, Quantencomputer würden einen superschnellen, exponentiellen Vorteil bieten, und der anderen, die darauf hindeutete, dass sie aufgrund von Hardwarebeschränkungen möglicherweise gar keinen Vorteil bieten würden. Die Studie zeigt, dass beide Ansichten korrekt sind, aber sie gelten für unterschiedliche Situationen. Der superschnelle Vorteil ist ein Durchschnitt über viele mögliche Szenarien, während der begrenzte, quadratische Vorteil das ist, was in jedem einzelnen, realen Angriff geschieht. Durch die Bereitstellung einer konkreten Metrik und eines klaren Verständnisses der Grenzen gibt diese Forschung den Sicherheitsbewertenern die Werkzeuge an die Hand, die sie benötigen, um das Risiko von Quantenangriffen genau zu bewerten. Sie verlagert die Diskussion von der Spekulation zur Berechnung und stellt sicher, dass unsere Verteidigungsmaßnahmen, während sich die Quantentechnologie reift, mit Präzision statt durch bloßes Raten angepasst werden können.