Dependency-Aware ROM/CBD Correctness Bounds for ML-KEM-768 at the Heuristic Failure Scale

En el mundo digital, la seguridad a menudo depende de problemas matemáticos que son fáciles de usar en una dirección pero extremadamente difíciles de revertir sin la información secreta adecuada. ML-KEM es un mecanismo de establecimiento de claves post-cuánticas diseñado para seguir siendo seguro incluso frente a las futuras computadoras cuánticas. Como otros sistemas criptográficos basados en redes, tiene una probabilidad extremadamente pequeña de lo que se llama un fallo de desencapsulación honesta: incluso cuando ambas partes se comportan correctamente, los dos lados podrían, en principio, derivar claves diferentes. Estimar qué tan raramente puede ocurrir esto es una cuestión de corrección importante. Los análisis anteriores han dependido en gran medida de estimaciones heurísticas de la escala de fallos, mientras que la obtención de un límite riguroso que preserve las dependencias matemáticas relevantes entre los diferentes términos de error es sustancialmente más difícil.

Un nuevo estudio de Aurélie Duriez y Christophe Tommasini aborda este problema mediante el desarrollo de un análisis matemático riguroso de ML-KEM-768 dentro de una abstracción explícita de función aleatoria idealizada / binomial centrada, o ROM/CBD. El trabajo no es una simulación y no intenta calcular la tasa de fallos exacta. En su lugar, los autores derivan un límite superior certificado sobre la probabilidad de un fallo de desencapsulación honesta, preservando al mismo tiempo las dependencias importantes entre los diferentes términos de error. En particular, el análisis rastrea las dependencias inducidas por la matriz pública y por ambos términos de compresión del texto cifrado, en lugar de simplemente tratarlos como independientes. El límite superior certificado resultante es menor que uno entre 2 a la potencia de 164.81.

Este hallazgo es significativo porque reemplaza una estimación heurística de la escala de fallos, dentro del modelo explícito estudiado, con un límite superior certificado que tiene en cuenta las dependencias. El análisis no simplemente asume que los errores relevantes son independientes; preserva las dependencias matemáticas que surgen entre ellos. El límite certificado alcanza esencialmente la misma escala que las estimaciones heurísticas anteriores, pero esto no debe interpretarse como la prueba de que esas estimaciones sean la probabilidad de fallo exacta. El resultado es deliberadamente más estrecho: dentro de la abstracción ROM/CBD explícita estudiada en el artículo, la probabilidad de un fallo de desencapsulación honesta está rigurosamente limitada por un valor extremadamente pequeño. El artículo también aclara que esta no es una tasa exacta de fallos de desencapsulación y no es una declaración de teoría de la información sobre la instancia fija de SHAKE de FIPS 203.

El trabajo requirió un enfoque diferente para abordar el problema. Los análisis heurísticos simplificados pueden volverse mucho más fáciles si algunos términos de error se tratan como independientes, pero la estructura algebraica real crea dependencias que un análisis riguroso debe preservar. Por lo tanto, los autores desarrollaron un método que sigue estas dependencias a través del cálculo en lugar de descartarlas. El proceso de investigación también utilizó una metodología asistida por IA para explorar enfoques candidatos, identificar casos críticos y estructurar el análisis. Este uso exploratorio de la IA se combinó con comprobaciones exhaustivas verificadas por computadora, aritmética exacta o certificada y cálculos comprobables de forma independiente para cerrar las partes más difíciles del argumento. Por lo tanto, las afirmaciones matemáticas finales descansan en evidencia explícita y reproducible en lugar de en el resultado de la IA en sí misma.

El resultado es un límite de corrección certificado, riguroso y transparente dentro de la abstracción declarada. Los investigadores pusieron su código, datos y artefactos de apoyo a disposición de cualquiera para que los cálculos puedan ser verificados de forma independiente. Este nivel de reproducibilidad es particularmente importante en criptografía, donde las afirmaciones matemáticas deben estar abiertas a la verificación independiente. El estudio muestra que, dentro de la abstracción ROM/CBD considerada, la probabilidad de un fallo de desencapsulación honesta está limitada en un nivel extremadamente pequeño. Sin embargo, no debe interpretarse como un certificado general de seguridad para ML-KEM-768, ni como una prueba de todas las propiedades de seguridad del esquema estandarizado, ni como una declaración que cubra cada implementación de hardware o software.

Este resultado hace avanzar la comprensión rigurosa de un aspecto específico de la corrección de ML-KEM-768 al pasar de una estimación heurística de la escala de fallos a un límite superior certificado que tiene en cuenta las dependencias dentro de una abstracción claramente definida. Demuestra que se puede establecer un límite en la escala heurística preservando al mismo tiempo las dependencias importantes entre los términos de error relevantes. El número 164.81 es el exponente certificado de este límite superior: dentro de la abstracción ROM/CBD declarada, la probabilidad de fallo de desencapsulación honesta está limitada por encima de 2 a la potencia de -164.81. Este número debe entenderse, por lo tanto, como una propiedad precisa del límite certificado probado en el artículo, en lugar de como una medida general de la seguridad o la protección de ML-KEM-768 en su conjunto.

Los investigadores también se encargaron de explicar los límites de su trabajo. Señalaron que su prueba se aplica a una abstracción específica del sistema, no necesariamente a cada implementación posible del software. No afirmaron haber resuelto el problema para todas las variaciones del estándar de encriptación, ni sugirieron que el sistema sea inmune a todo tipo de ataques. Su enfoque se centró estrictamente en la corrección del proceso de desencriptación bajo condiciones honestas. Al ser claros sobre lo que demostraron y lo que no, aseguraron que sus hallazgos no sean malinterpretados. El estudio es un testimonio del poder del análisis cuidadoso y detallado en un campo donde los pequeños errores pueden tener consecuencias enormes. Demuestra que, con suficiente rigor y las herramientas adecuadas, incluso los sistemas matemáticos más complejos pueden ser comprendidos y verificados.

Al final, el artículo entrega un resultado preciso pero deliberadamente acotado: dentro de la abstracción ROM/CBD declarada, la probabilidad de fallo de desencapsulación honesta está rigurosamente limitada por encima de 2 a la potencia de -164.81. Este es un límite superior certificado extremadamente pequeño, pero no es una tasa de fallo exacta y no es una prueba general de que el sistema ML-KEM-768 completo desplegado funcione sin fallos bajo todas las condiciones del mundo real. La contribución radica en reemplazar una estimación heurística de la escala de fallos con un límite reproducible, comprobable de forma independiente y que tiene en cuenta las dependencias dentro de un modelo claramente definido. Su fuerza no proviene de reclamar certeza más allá de ese modelo, sino de ser explícito tanto sobre lo que se ha probado como sobre lo que queda fuera del alcance del resultado.