Z-Sigil: A Public-Key Cryptosystem with Chained Selection over a Fiber Bundle of Module-Lattice Keys

Resumen Técnico de "Z-Sigil: Un Criptosistema de Clave Pública con Selección Encadenada sobre un Fibrado de Módulos de Claves de Retículo"

Planteamiento del Problema
Los criptosistemas de clave pública estándar suelen fijar una única clave secreta para cifrar todos los bloques de un mensaje. Z-Sigil aborda la cuestión arquitectónica de si un texto en claro puede determinar el orden en que se accede a una familia pregenerada de claves secretas, creando un "recorrido" a través de un espacio de claves en lugar de la aplicación estática de una única clave. El artículo investiga esta arquitectura para determinar si tal acoplamiento de un estado alimentado por el texto en claro con una familia de claves de retículo puede construirse de forma segura y correcta, evitando al mismo tiempo los escollos de propuestas geométricas anteriores que inadvertidamente exponían escalares del texto en claro.

Metodología y Construcción
La construcción se basa en tres componentes distintos:

1. Fundamento de Module-LWE: La aritmética central se basa en el supuesto de Module-Learning With Errors (Module-LWE). Se genera una matriz pública compartida $A$ y una familia de vectores públicos $b_t = A s_t + e_t$, donde $s_t$ son vectores secretos pequeños y $e_t$ son vectores de error pequeños.
2. Abstracción Geométrica (Fibrado): La familia de claves se modela como una sección $\sigma$ de un fibrado discreto sobre una base finita $P$ (un conjunto de puntos de torsión en un toro de Kähler plano). La clave pública es una imagen ruidosa de esta sección. El mensaje no crea nuevas claves; más bien, traza un "recorrido" $\gamma$ sobre la base $P$, seleccionando qué fibra (y, por tanto, qué clave secreta $s_t$) se utiliza para cada bloque.
3. Mecanismo de Selección Encadenada:
   • Inicialización del Estado: Un nonce público inicializa un estado de hash $x_{-1}$.
   • Procesamiento de Bloques: Para cada bloque $i$, el estado actual $x_{i-1}$ se procesa mediante un hash para seleccionar un índice de clave $t_i$ y derivar una máscara de bits $\kappa_i$.
   • Cifrado: El bloque de texto en claro $m_i$ se enmascara ($\mu_i = m_i \oplus \kappa_i$) y se cifra utilizando la clave seleccionada $s_{t_i}$ mediante un mapa de bloques de estilo Lindner–Peikert/Kyber, produciendo el criptograma $(u_i, v_i)$.
   • Actualización del Estado: El texto en claro recuperado $m_i$ (conocido por el receptor, recuperado por el emisor) se retroalimenta a la función hash para actualizar el estado $x_i$, determinando la clave para el siguiente bloque.

Esto crea una dependencia donde la trayectoria de selección de claves depende del contenido del mensaje, pero las claves mismas se generan independientemente del mensaje antes del cifrado.

Contribuciones Clave
El artículo realiza las siguientes contribuciones técnicas específicas:

• Marco Geométrico: Define un fibrado discreto de claves de retículo de módulo sobre un toro de Kähler plano, donde la clave privada es una sección y la clave pública es una imagen ruidosa bajo un endomorfismo por fibra.
• Especificaciones Explícitas: Proporciona especificaciones completas y separadas para la generación de claves, el cifrado y el descifrado, incluyendo un mapa de bloques específico y una proposición de inversión encadenada.
• Prueba de Corrección: Demuestra que el descifrado tiene éxito si el ruido acumulado (de los errores de generación de claves y de los errores de cifrado frescos) permanece dentro de un límite específico. Se deriva un límite superior de fallo de decodificación, condicionado a la realización específica de la familia de claves (por ejemplo, $< 2^{-192}$ para 16 claves y 64 bloques).
• Reducción de Seguridad: Establece una reducción IND-CPA (indistinguibilidad bajo ataque de texto plano elegido) condicional para la cadena completa. Esta reducción permite que los mensajes sean elegidos después de que la clave pública es conocida, sin modelar la función hash como un oráculo aleatorio. La prueba utiliza dos rutas: adivinar la fibra (con un coste de un factor de $T$) o embeber los desafíos en todas las fibras simultáneamente.
• Análisis de Exposición Parcial: Proporciona leyes probabilísticas exactas para un modelo de recuperación de "prefijo directo" donde un adversario posee un subconjunto de claves. Demuestra que, si bien una clave expuesta permite la recuperación de un prefijo del mensaje, la estructura encadenada impide la recuperación inmediata de bloques subsiguientes a menos que el recorrido permanezca sobre las claves expuestas.
• Corrección de Trabajo Previo: Identifica y corrige explícitamente el fallo de una propuesta geométrica anterior (que exponía un escalar del texto en claro a lo largo de una dirección pública) asegurando que los textos en claro entren de forma aditiva y sean enmascarados, evitando la exposición de escalares.

Resultados y Límites

• Fiabilidad: Para una configuración con $T=16$ claves y $L=64$ bloques, la probabilidad de fallo de decodificación está acotada por debajo de $2^{-192}$. Este es un límite de fiabilidad, no una estimación del nivel de seguridad.
• Seguridad: La confidencialidad del esquema es condicional a la dureza del problema decisional Module-LWE. La reducción incurre en pérdidas multiplicativas (por ejemplo, factores de $T$ o $L$) dependiendo de la ruta de reducción elegida, lo que significa que el esquema no reclama un nivel de seguridad concreta específico (por ejemplo, 128 bits) sin supuestos adicionales sobre el problema de retículos subyacente.
• Límites de Exposición: En un modelo restringido donde un adversario posee una fracción $p$ de las claves, el número esperado de bloques directamente recuperables sigue una distribución geométrica acotada. Sin embargo, el artículo señala que esto no limita a los adversarios sin restricciones que podrían usar ataques de mensaje candidato o texto plano conocido para inferir estados futuros.

Significancia y Reivindicaciones
El artículo enmarca modestamente a Z-Sigil como un estudio de una arquitectura de composición específica, más que como una nueva primitiva criptográfica o una implementación que cumpla con un estándar (no es un ML-KEM).

• Sin Autenticación: El esquema no proporciona autenticación ni seguridad de texto cifrado elegido (IND-CCA).
• Sin Reivindicación de Aceleración Cuántica: La motivación geométrica hace referencia a conceptos de superposición cuántica (citando a Manin), pero establece explícitamente que esto es una motivación para estudiar la arquitectura, no un argumento de que el esquema prevenga ataques cuánticos.
• Dirección de Investigación: El trabajo sirve como un "banco de pruebas" para explorar la geometría dependiente de la trayectoria en criptografía. Distingue entre la geometría plana actual (que sirve como representación) y futuras investigaciones en fibrados no triviales y curvos con transporte y holonomía, señalando que las restricciones de transporte integral actuales son severas (limitadas a permutaciones con signo para preservar los presupuestos de ruido).
• Verificación: El artículo enfatiza la reproducibilidad, proporcionando perfiles de bytes, pseudocódigo y vectores de respuestas conocidas, manteniendo los registros de implementación separados de las pruebas matemáticas.

En resumen, Z-Sigil demuestra que se puede construir un recorrido dependiente del texto en claro sobre una familia pregenerada de claves de retículo con corrección y confidencialidad demostrables, siempre que se gestione el presupuesto de ruido y la estructura geométrica no exponga inadvertidamente escalares del texto en claro. Sirve como una propuesta rigurosa para una clase específica de cifrado con estado basado en familias de claves, distinta de los KEM estándar, con límites explícitos en sus garantías de seguridad.