💻 computer science

Partial Number Theoretic Transform Masking in Post-Quantum Cryptography (PQC) Hardware: A Security Margin Analysis

Este artículo evalúa la seguridad del acelerador de hardware "Adams Bridge" para criptografía post-cuántica, demostrando mediante un análisis integral de siete pistas que su esquema de enmascaramiento parcial es vulnerable debido a una entropía de mezcla insuficiente y a la capacidad de recuperación de coeficientes mediante algoritmos de propagación de creencias, lo que permite proponer una estrategia óptima de enmascaramiento de capas consecutivas para garantizar la seguridad.

Autores originales: Ray Iskander, Khaled Kirah

Publicado 2026-04-21

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Ray Iskander, Khaled Kirah

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

¡Claro que sí! Imagina que este artículo es como un informe de seguridad de un castillo digital muy nuevo y sofisticado, diseñado para proteger los secretos más valiosos de la era de las computadoras cuánticas.

Aquí tienes la explicación, traducida a un lenguaje sencillo y con analogías divertidas:

🏰 El Contexto: El Castillo "Adams Bridge"

Imagina que los ingenieros han construido un castillo digital llamado Adams Bridge. Su trabajo es proteger las llaves maestras que aseguran internet en el futuro (cuando las computadoras cuánticas intenten romper la seguridad actual).

Para protegerse, los arquitectos del castillo decidieron usar una estrategia de "enmascaramiento parcial":

La Puerta Principal (Capa 1): Está protegida por un escudo mágico muy fuerte (enmascaramiento booleano). Nadie puede ver lo que pasa aquí.
El Resto del Castillo (Capas 2 a 7/8): En lugar de poner escudos en cada habitación (lo cual sería muy caro y pesado), decidieron usar trampas de confusión (mezclado o "shuffling").

La promesa de los arquitectos: Dijeron: "¡No os preocupéis! Aunque las habitaciones de atrás no tengan escudos, las hemos mezclado de tal forma que un espía tendría que probar billones de billones de combinaciones para encontrar el secreto. ¡Es imposible!".

🔍 El Problema: Los Auditores Llegan

Un grupo de investigadores (los autores de este artículo) decidió revisar esos cálculos. No intentaron robar el castillo, sino que quisieron ver si los números que usaron los arquitectos eran reales o si eran solo "matemáticas de papel".

Usaron una lupa digital (análisis de código y simulaciones) para descubrir tres cosas importantes:

1. La Trampa de Confusión no es tan buena como pensaban

Los arquitectos pensaban que el "mezclado" (shuffling) era como barajar una baraja de 64 cartas de todas las formas posibles (¡hay billones de formas!).

La realidad: Descubrieron que el mecanismo real solo permite 64 formas específicas de mezclar, no todas las posibles.
La analogía: Es como si los arquitectos dijeran: "Hemos escondido el tesoro en uno de los 64 millones de laberintos del mundo". Pero los auditores vieron que, en realidad, solo hay 64 pasillos en un solo edificio. Es mucho más fácil encontrar la salida.

2. El Secreto se "Filtra" por las Grietas

Los arquitectos decían que, aunque no hubiera escudos, el secreto era tan complejo que nadie podría adivinarlo.

La realidad: Los investigadores usaron un tipo de ataque llamado SASCA (que es como un detective que no solo mira una pista, sino que conecta todas las pistas entre sí usando matemáticas avanzadas).
La analogía: Imagina que el secreto es un rompecabezas gigante. Los arquitectos pensaban que el espía tenía que adivinar cada pieza por separado (lo cual es muy difícil). Pero el nuevo método del detective conecta las piezas: "Si sé que esta pieza es azul, esa otra tiene que ser roja". Al conectar las piezas, el rompecabezas se resuelve mucho más rápido de lo que pensaban.

3. El "Salto" de Seguridad

Los arquitectos decían que la seguridad era de nivel 288 (un número gigantesco).

El hallazgo: Los auditores demostraron que, con sus nuevas técnicas, la seguridad real podría estar más cerca de 260 o incluso 15 en el peor de los casos.
La analogía: Es como si dijeran que el castillo tiene un muro de 100 metros de altura, pero al medirlo con una cinta métrica más precisa, resulta que tiene 20 metros. Sigue siendo alto, pero ya no es "imposible de escalar" para un experto.

🛠️ ¿Qué proponen los auditores? (Las Soluciones)

No dicen que el castillo se va a caer, pero sí que necesita refuerzos estratégicos. Sugieren dos cosas inteligentes:

Proteger la Entrada (Capa 1): Si proteges bien la primera capa, el resto del castillo se vuelve matemáticamente imposible de entender para un espía, sin importar cuánto mezcles las habitaciones de atrás. Es como cerrar la puerta principal con una caja fuerte; no importa si las ventanas de arriba están abiertas, nadie puede entrar.
El "Muro Intermedio" (Gap Masking): En lugar de proteger todas las habitaciones (que es muy caro) o solo una (que es peligroso), sugieren proteger 3 habitaciones seguidas en el medio. Esto crea un "hueco" en la visión del espía que hace que el rompecabezas matemático sea imposible de resolver con la tecnología actual, pero a un costo mucho menor que proteger todo el castillo.

🎯 Conclusión en una frase

Este artículo es una advertencia amigable: "Los arquitectos del castillo Adams Bridge han hecho un buen trabajo, pero han confiado demasiado en la confusión y poco en los escudos. Si quieren que su castillo sea seguro para los próximos 20 años, deberían poner un escudo extra en la entrada y en el medio, en lugar de confiar solo en que el enemigo se pierda en el laberinto".

Es un trabajo de auditoría de seguridad que nos dice que, en criptografía, no basta con decir "es difícil"; hay que demostrar matemáticamente que es imposible, y a veces, las matemáticas nos sorprenden.

Título: Análisis de Margen de Seguridad en el Enmascaramiento Parcial de la Transformada Numérica Teórica (NTT) en Hardware de Criptografía Post-Cuántica (PQC)

1. El Problema

La estandarización de los algoritmos de criptografía post-cuántica ML-KEM (FIPS 203) y ML-DSA (FIPS 204) ha llevado a su implementación en hardware crítico, como el "root of trust" Caliptra. Un desafío fundamental en el diseño de aceleradores de hardware para estas criptosistemas es el equilibrio entre el rendimiento, el área de silicio y la seguridad contra ataques de canal lateral.

El diseño Adams Bridge (un acelerador para Caliptra) adopta una estrategia de enmascaramiento parcial:

Enmascara con Booleano de primer orden solo la primera capa de la Transformada Numérica Inversa (INTT) y las multiplicaciones punto a punto.
Deja las capas restantes (7 de 8 en ML-DSA, 6 de 7 en ML-KEM) sin enmascarar, confiando en el barajado (shuffling) mediante un índice de inicio aleatorio (RSI) y argumentos de complejidad de búsqueda para protegerlas.

Los diseñadores afirman que esta combinación ofrece márgenes de seguridad extremadamente altos (complejidades de ataque de $2^{88}$ para ML-DSA y $2^{132}$ para ML-KEM). El problema central que aborda este artículo es determinar si estos márgenes de seguridad son válidos o si son optimistas, dado que la literatura existente sugiere que el barajado simple y el enmascaramiento parcial pueden ser vulnerables a ataques algebraicos avanzados.

2. Metodología

Los autores emplean un enfoque híbrido que combina análisis teórico, verificación de código y validación empírica simulada:

Análisis de Evidencia y Clasificación: Revisan más de 30 artículos publicados, clasificando cada afirmación con un nivel de confianza (Probado, Soportado por Literatura, Extrapolación, Especulativo) y especificando si la evidencia proviene de software (SW) o hardware (HW).
Verificación RTL: Analizan el código fuente de nivel de transferencia de registros (RTL) de Adams Bridge para verificar la implementación real del mecanismo de barajado (RSI) y la cobertura del enmascaramiento.
Pipeline de Ataque SASCA (Side-Channel Analysis): Desarrollan un pipeline de ataque algebraico basado en la Transformada Numérica Teórica (NTT) utilizando Propagación de Creencias (Belief Propagation - BP).
- Utilizan simulaciones de fugas de nivel RTL (modelo de distancia de Hamming) para extraer parámetros de relación señal-ruido (SNR).
- Construyen un grafo de factores completo del INTT de ML-KEM (896 factores, 2,048 variables).
- Ejecutan experimentos de Monte Carlo y ablation studies (estudios de ablación de capas) para determinar las condiciones necesarias para la recuperación de claves.
Verificación Formal: Utilizan solucionadores SMT (Z3 y CVC5) para verificar matemáticamente las reducciones de grados de libertad en las mariposas Gentleman-Sande y la completitud de las estrategias de enmascaramiento.

3. Contribuciones Clave

Evaluación de Estructura de Barajado: Demuestran que Adams Bridge utiliza un esquema RSI (Random Start Index) de doble nivel que genera solo 64 ordenamientos (6 bits de entropía) por capa, en lugar de la permutación aleatoria completa ( $64! \approx 2^{296}$ ) asumida en los argumentos de seguridad de los diseñadores.
Reducción del Espacio de Búsqueda: Identifican que la estructura algebraica de la mariposa Gentleman-Sande (INTT) restringe las incógnitas independientes, reduciendo la complejidad de búsqueda por mariposa más allá de lo estimado por los diseñadores.
Pipeline de Validación Empírica: Crean un pipeline de ataque SASCA que conecta mediciones de fugas RTL con la recuperación de claves, demostrando un hueco de 37 bits en el modelo de ataque (reduciendo la enumeración de $2^{46}$ a $2^9$ ) independientemente de las ganancias de la Propagación de Creencias.
Validación a Escala Completa de BP: Por primera vez, validan la Propagación de Creencias en un grafo de factores de INTT de ML-KEM a escala completa (7 capas, 256 coeficientes), logrando una recuperación del 100% de coeficientes bajo un modelo de observación perfilado.
Análisis de Ablación de Capas: Identifican cuatro condiciones estructurales (NC1-NC4) que gobiernan la convergencia de BP, descubriendo que la topología de observación (capas espaciadas uniformemente) es más crítica que la cantidad de capas observadas.
Metodología de Auditoría: Proponen un marco reutilizable para auditar márgenes de seguridad en aceleradores NTT parcialmente enmascarados, combinando verificación RTL, etiquetado de confianza y análisis de sensibilidad.

4. Resultados Principales

Margen de Seguridad Reducido: Bajo los supuestos más favorables para la defensa (Escenario B), los márgenes de seguridad efectivos caen a $2^{59}-2^{63}$ para ML-DSA y $2^{61}-2^{65}$ para ML-KEM. Esto representa una reducción de 25-29 bits y 67-71 bits respectivamente, en comparación con las estimaciones de los diseñadores ( $2^{88}$ y $2^{132}$ ).
Vulnerabilidad del Barajado RSI: El esquema RSI de 6 bits es trivialmente enumerable (64 intentos por capa) frente a la permutación completa. La Propagación de Creencias puede resolver el orden de barajado junto con los valores secretos.
Recuperación de Claves:
- En el modelo simulado (perfilado), el ataque logra recuperar el 100% de los coeficientes secretos con un producto SNR×N de 3,000.
- Se identifica una barrera estructural (NC1): Si la capa de entrada (L1) no se observa, la información mutua es cero y la recuperación es imposible, independientemente del número de trazas.
- Se demuestra que observar capas consecutivas es ineficiente; observar capas espaciadas uniformemente (ej. L1, L3, L5, L7) es crucial para la recuperación.
Estrategia de Contramedida Óptima: El análisis sugiere que enmascarar 3 capas consecutivas del medio (creando un "hueco" de observación $\ge 3$ ) ofrece una defensa efectiva contra ataques SASCA a presupuestos de trazas moderados, con un costo de área del 43% en comparación con el enmascaramiento completo.

5. Significado e Implicaciones

Advertencia de Diseño: El estudio demuestra que confiar en el barajado (shuffling) como protección principal para capas no enmascaradas en NTT es riesgoso, especialmente cuando se utiliza una implementación simplificada como RSI en lugar de una permutación aleatoria completa.
Cambio de Paradigma en Evaluación: Las afirmaciones de seguridad basadas únicamente en la complejidad de búsqueda por mariposa (CPA) son insuficientes. Los evaluadores deben considerar ataques algebraicos (SASCA/BP) que explotan dependencias entre operaciones.
Guía para la Industria: Proporciona una jerarquía de inversión en seguridad para diseñadores de hardware PQC:
1. Prioridad 1: Enmascarar la capa de entrada (L1) para crear una barrera estructural insuperable.
2. Prioridad 2: Enmascaramiento estratégico de huecos (gap masking) para aumentar el costo de las trazas necesarias para el ataque.
3. Prioridad 3: Enmascaramiento completo (DOM) para la máxima garantía.
Limitaciones y Futuro: El estudio aclara que, aunque los resultados son robustos en simulación RTL y modelos perfilados, aún falta la demostración de un ataque SASCA exitoso en hardware físico (silicio) con contramedidas activas. Sin embargo, el análisis de márgenes sugiere que la seguridad actual de Adams Bridge es más débil de lo que se afirma, lo que podría requerir revisiones antes de su despliegue masivo en infraestructuras críticas.

En resumen, el artículo no declara que el diseño sea inseguro en el sentido de que una clave sea recuperable hoy mismo, sino que expone una brecha significativa en el margen de seguridad, advirtiendo que la estrategia de enmascaramiento parcial actual no ofrece el colchón de seguridad necesario para resistir avances futuros en análisis de canales laterales.