MCSI: A Masked Commutative Supersingular Isogeny Key Exchange with Blinded Ephemeral Keys
Este artículo presenta MCSI, un protocolo de intercambio de claves de dos mensajes basado en la acción de grupo de CSIDH que utiliza el cifrado autenticado para cegar las claves efímeras, logrando así una autenticación mutua implícita, ocultando los elementos efímeros a los espías y reduciendo significativamente la sobrecarga computacional al permitir que los destinatarios descarten los mensajes no autenticados antes de las costosas evaluaciones de la acción de grupo.
Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo
En la carrera por asegurar las comunicaciones digitales del mundo contra futuras computadoras cuánticas, los criptógrafos están explorando un paisaje construido no sobre grandes números, sino sobre la geometría de las curvas. Imagine un vasto campo plano donde cada punto representa una forma matemática única llamada curva elíptica. En este campo, existe una regla especial que permite que una forma se transforme en otra de una manera que es fácil de realizar si se conoce el camino secreto, pero casi imposible de revertir si no se conoce. Esta es la base de la criptografía basada en isogenias. A diferencia de otros métodos que dependen de claves masivas, este enfoque utiliza claves diminutas, lo que lo hace altamente eficiente para el almacenamiento y la transmisión. Sin embargo, hace unos años se descubrió una vulnerabilidad importante en un sistema relacionado, lo que obligó a los investigadores a repensar cómo se utilizan estas curvas. El desafío se ha convertido en encontrar una manera de intercambiar claves secretas utilizando estas formas geométricas diminutas sin revelar ninguna información que pudiera ser explotada por un observador poderoso, todo ello asegurando que las dos partes sean realmente quienes dicen ser.
Un equipo de investigadores ha introducido un nuevo protocolo llamado MCSI, que significa Intercambio de Claves de Isogenia Supersingular Conmutativo Enmascarado (Masked Commutative Supersingular Isogeny Key Exchange). Este sistema está diseñado para permitir que dos personas, llamémoslas Alice y Bob, establezcan una clave secreta compartida a través de una red abierta sin que un espía aprenda nada sobre los valores temporales que utilizan durante la conversación. La innovación reside en cómo ocultan estos valores temporales. En intentos anteriores, los valores temporales se enviaban a la vista de todos, lo que requería que el receptor realizara una operación matemática compleja y lenta para verificar si el mensaje era válido. Esto creaba un riesgo de seguridad: un atacante malintencionado podría inundar un servidor con mensajes falsos, obligándolo a desperdiciar su capacidad de cómputo en cálculos inútiles. El MCSI resuelve esto envolviendo el valor temporal en un sobre seguro y autenticado. Antes de que el receptor abra siquiera el sobre para comprobar las matemáticas, verifica un sello digital. Si el sello está roto o falta, el mensaje se descarta inmediatamente, evitando que el receptor realice el trabajo pesado. Este cambio simple protege al sistema de ser abrumado por actores malintencionados.
Los investigadores demostraron que este método funciona perfectamente cada vez que ambas partes siguen las reglas, con cero errores en la clave final. También demostraron que los valores temporales dentro del sobre permanecen ocultos para cualquiera que esté escuchando, y que el sello digital evita eficazmente que un atacante manipule el mensaje. Crucialmente, la seguridad del sistema no depende de un supuesto matemático que ha demostrado ser falso para este tipo específico de curva, sino que se basa en la dificultad de resolver un rompecabezas específico relacionado con la disposición de estas curvas, un problema que sigue siendo difícil incluso para las computadoras cuánticas. El equipo también mostró que una idea común —añadir una capa simple de sustituciones de bytes aleatorios al mensaje cifrado para que parezca más aleatorio— no añade seguridad real, un hallazgo que ayuda a optimizar diseños futuros.
Para asegurar que su teoría se mantuviera firme en el mundo real, el equipo construyó el sistema dos veces, una vez en un lenguaje de programación de alto nivel y otra vez en un lenguaje de bajo nivel utilizado para software rápido. Realizaron miles de pruebas, comparando los resultados de ambas versiones para asegurar que coincidieran perfectamente. Sus mediciones revelaron que el nuevo protocolo es una implementación de referencia funcional, donde el tiempo dedicado a las capas de cifrado y descifrado es tan pequeño que es casi invisible en comparación con el tiempo necesario para las operaciones matemáticas centrales. Sin embargo, también encontraron una debilidad significativa en su propio código. Debido a que el tiempo que toma realizar el cálculo central depende de la clave secreta misma, un atacante que pueda medir el tiempo de muchas sesiones diferentes podría adivinar partes de la clave secreta. Los investigadores fueron explícitos sobre este fallo: su implementación actual no es segura para el despliegue en el mundo real hasta que sea reescrita para ejecutarse en tiempo constante, lo que significa que la duración del cálculo debe ser la misma independientemente de la clave secreta.
El artículo también abordó un error conceptual común sobre qué números primos deben utilizarse para este sistema. Muchos expertos han utilizado números primos específicos y grandes para otros tipos de cifrado, asumiendo que funcionarían aquí también. Los investigadores demostraron que uno de los primos más famosos, utilizado en una curva estándar llamada P-521, es completamente inutilizable para este tipo específico de intercambio de claves. Mostraron que la estructura matemática requerida para su sistema simplemente no existe con ese primo, obligando al uso de un número diferente y especialmente construido. Este hallazgo es vital para cualquiera que intente construir tal sistema, ya que evita el uso de una herramienta estándar que conduciría a un diseño roto.
Aunque el protocolo oculta con éxito los valores temporales y evita los ataques de denegación de servicio, los autores son cuidadosos al declarar lo que aún no han demostrado. No han demostrado que el sistema permanezca seguro si un atacante puede revelar los secretos temporales utilizados durante una sesión, ni han probado que el sistema sea seguro contra un atacante que pueda interferir activamente en los mensajes de formas más complejas. Además, el ocultamiento de los valores temporales no posee secreto hacia adelante (forward secrecy); si un atacante roba una clave secreta a largo plazo en el futuro, podría volver atrás y despojar la protección de los mensajes antiguos para ver los valores temporales, aunque la clave de la sesión final probablemente permanecería segura. Los investigadores concluyen que, si bien el MCSI es una especificación sólida con una implementación de referencia funcional, aún no está listo para el público. El camino a seguir requiere construir una versión que se ejecute en tiempo constante para cerrar la fuga de tiempo, y demostrar que el sistema puede resistir ataques más agresivos. Hasta que esos pasos se tomen, el protocolo descrito aquí es una especificación con una referencia funcional, y no algo que alguien deba desplegar.
¿Ahogado en artículos de tu campo?
Recibe resúmenes diarios de los artículos más novedosos que coincidan con tus palabras clave de investigación — con resúmenes técnicos, en tu idioma.