Onion-Routed Multi-Circuit Key Establishment for Quantum-Resilient Sessions

Resumen Técnico: Establecimiento de Claves para Sesiones Resilientes a lo Cuántico Mediante Rutas de Cebolla y Circuitos Múltiples

Enunciado del Problema
La comunicación segura actual depende de primitivas de clave pública (RSA, Diffie–Hellman, ECC) vulnerables al algoritmo de Shor en un ordenador cuántico suficientemente capaz. Esto crea un modelo de amenaza de "cosechar ahora, descifrar después" (HNDL), donde los adversarios archivan el texto cifrado hoy para descifrarlo retroactivamente una vez que esté disponible un ordenador cuántico criptográficamente relevante (CRQC). Aunque surgen estándares de Criptografía Post-Cuántica (PQC) (por ejemplo, FIPS 203/204/205 de NIST), la migración se ve obstaculizada por los puntos finales restringidos y el hecho de que los metadatos (saber quién se comunicó con quién y cuándo) siguen siendo sensibles. Incluso si la carga útil está cifrada con PQC, un adversario que pueda vincular los metadatos de una sesión a puntos finales específicos puede correlacionar futuros descifrados con esos puntos finales. Las defensas existentes a menudo protegen la carga útil pero dejan intacta la vinculación de los metadatos.

Metodología
Los autores proponen un esquema de establecimiento de clave de sesión que distribuye una clave simétrica recién generada como múltiples fragmentos cifrados de forma independiente a través de circuitos Tor distintos y efímeros. La arquitectura del sistema comprende tres componentes:

1. Servidor de Gestión de Claves Cuánticas (QKMS): Genera una clave de sesión simétrica, la divide en $n$ fragmentos, cifra cada uno bajo la clave pública del cliente (actualmente RSA clásica en el prototipo) y los despacha.
2. Proxy de Servicio de Cebolla: Actúa como intermediario. Recibe la solicitud del cliente, la reenvía al QKMS, recibe los fragmentos cifrados y reenvía cada paquete de fragmentos al cliente a través de un circuito Tor nuevo e independiente.
3. Cliente: Un servicio de cebolla de Tor que solicita la clave, recibe los fragmentos, los descifra y reconstruye la clave de sesión.

Mecanismos Clave:

• Distribución Multicircuito: La clave se divide en $n$ fragmentos. Cada fragmento se envía a través de un circuito Tor separado.
• Circuitos Efímeros: El proxy utiliza la señal NEWNYM del controlador de Tor para forzar un nuevo circuito para cada paquete de fragmentos, asegurando que ningún par de fragmentos recorra el mismo camino.
• Servicios de Cebolla: Tanto el cliente como el proxy operan como servicios de cebolla de Tor, garantizando el anonimato bidireccional (ninguna de las partes revela su dirección IP).
• Compartición Secreta $(n, n)$: El diseño utiliza una división de todo-o-nada; se requieren todos los $n$ fragmentos para la reconstrucción. Esto evita la sobrecarga de ancho de banda de los esquemas de umbral mientras mantiene el argumento de seguridad de que un adversario debe comprometer cada circuito para vincular los fragmentos.

Contribuciones Clave

1. Instanciación sobre Tor Público: Los autores implementan la variante de rutas anónimas diferidas sobre la red pública de Tor, utilizando señales NEWNYM para obtener rutas frescas para cada paquete de fragmentos.
2. Límite de Vinculabilidad Multicircuito: El artículo demuestra que un adversario que vigila una fracción $f$ de los nodos de retransmisión de Tor puede correlacionar todos los $n$ circuitos efímeros pertenecientes a una sola sesión con una probabilidad limitada aproximadamente por $f^{2n}$. Esto asume que los circuitos son aproximadamente extracciones independientes de la población de nodos de retransmisión.
3. Formalización de la Reconstrucción que Preserva el Anonimato: Los autores definen la propiedad de seguridad donde un adversario no puede vincular los $n$ fragmentos de texto cifrado a un par común de puntos finales con una probabilidad significativamente mayor que una adivinanza uniforme, incluso si pueden descifrar fragmentos individuales más tarde.
4. Implementación de Prototipo: Se desplegó un prototipo basado en Flask en AWS EC2, con el proxy y el cliente ejecutándose como servicios de cebolla de Tor, para medir la latencia de extremo a extremo.

Resultados

• Latencia: El prototipo completa un establecimiento de clave en 13–20 segundos en promedio, con un rango observado completo de 7–50 segundos.
• Descomposición de la Latencia: Aproximadamente el 88% de la latencia es atribuible a retrasos relacionados con Tor (específicamente el tiempo requerido para construir circuitos frescos mediante NEWNYM y el protocolo de encuentro de servicios de cebolla de seis saltos). El ~12% restante se debe a operaciones criptográficas (cifrado/descifrado) y lógica de aplicación, que son despreciables.
• Escalabilidad: La latencia escala aproximadamente de forma lineal con el número de fragmentos ($n$) porque cada fragmento incurre en su propio retraso de construcción de circuito.

Significado y Afirmaciones
El artículo posiciona este trabajo como un "complemento" al protocolo Aquaman, centrándose específicamente en el aspecto de vinculabilidad de la resiliencia cuántica en lugar de la confidencialidad de la carga útil en sí misma.

• Defensa en Profundidad: Los autores declaran explícitamente que el esquema no proporciona confidencialidad post-cuántica para la carga útil del fragmento (que actualmente está cifrada con RSA clásica). En su lugar, aumenta el costo de vincular fragmentos descifrados a una sesión específica y a puntos finales. Si un adversario captura y descifra más tarde un solo fragmento, aprende el texto plano de ese fragmento, pero sin correlacionar con éxito todos los $n$ circuitos, no puede atribuir la clave reconstruida a un par específico de comunicantes.
• Compensación: El diseño acepta una penalización significativa de latencia (13–20 s) como el costo de lograr un decaimiento geométrico en la probabilidad de vinculabilidad ($f^{2n}$). Los autores argumentan que esto es aceptable para datos que requieren vidas útiles de confidencialidad de varios años donde HNDL es una preocupación principal, pero señalan que puede no ser adecuado para aplicaciones sensibles a la latencia.
• Limitaciones: Los autores reconocen que el límite de seguridad depende de la suposición de circuitos independientes, lo cual es imperfecto en Tor debido al anclaje de nodos de guardia y la selección de caminos ponderada por el ancho de banda. También señalan que el prototipo aún no implementa KEMs híbridos PQC para los túneles de línea, lo cual sería necesario para una solución totalmente resistente a lo cuántico lista para producción.

En resumen, el artículo demuestra que distribuir fragmentos de clave a través de múltiples circuitos Tor efímeros puede romper eficazmente la vinculabilidad entre los metadatos de una sesión y sus puntos finales, proporcionando una mitigación práctica, aunque pesada en latencia, contra las amenazas HNDL durante el período de transición antes de la adopción universal de PQC.