💻 computer science

A Generalized PNE Framework: Taking ChaCha Further in Syncopated Rhythm

Este artículo introduce un marco generalizado de Expresiones Neutras Probabilísticas (PNE, por sus siglas en inglés) que incorpora técnicas novedosas como la sincopación y la preservación de acarreo para mejorar significativamente los ataques de recuperación de clave sobre ChaCha con reducción de rondas, logrando el primer ataque de clave relacionada sobre ChaCha8 y rompiendo 7.5 rondas de ChaCha de 256 bits.

Autores originales: Shichang Wang, Meicheng Liu, Shiqi Hou, Chengan Hou, Dongdai Lin

Publicado 2026-08-31

📖 4 min de lectura☕ Lectura para el café

CC BY 4.0

Autores originales: Shichang Wang, Meicheng Liu, Shiqi Hou, Chengan Hou, Dongdai Lin

Artículo original bajo licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

En el vasto paisaje digital donde viajan nuestros mensajes privados, transacciones financieras y conexiones seguras, existe un guardián silencioso conocido como cifrado de flujo. Piense en él como una máquina de alta velocidad que genera una larga secuencia de números con apariencia aleatoria para codificar los datos, asegurando que solo alguien con la clave secreta correcta pueda descodificarlos y leer el mensaje original. Una de las máquinas más confiables de este tipo se llama ChaCha. Es el motor detrás de la seguridad de muchos protocolos cotidianos de Internet, protegiendo desde su navegación web hasta sus correos electrónicos cifrados. Debido a que es ampliamente utilizado, su fuerza es probada constantemente por criptoanalistas: especialistas que intentan romper estos códigos no para robar secretos, sino para comprender sus límites y asegurar que sigan siendo seguros. El desafío central al romper un cifrado como ChaCha es que está construido sobre una estructura que mezcla operaciones simples como sumar números, rotar bits y cambiar interruptores de una manera que rápidamente se vuelve increíblemente compleja. Para encontrar una debilidad, los investigadores deben rastrear cómo un cambio diminuto en la entrada se propaga a través de estas operaciones para ver si crea un patrón predecible en la salida.

Un equipo de investigadores ha dado ahora un paso significativo hacia adelante en la comprensión de los límites de ChaCha mediante el desarrollo de un nuevo método para analizar cómo se comportan estas ondulaciones. Se centraron en una técnica específica llamada criptoanálisis diferencial, que consiste en alimentar el cifrado con dos entradas ligeramente diferentes y observar cómo evolucionan las diferencias. En intentos previos para romper ChaCha, los investigadores tenían que adivinar un número masivo de claves posibles para ver cuál encajaba con los patrones observados, un proceso que a menudo era demasiado lento para ser práctico. El nuevo estudio introduce un enfoque refinado que utiliza un concepto llamado "sincopación". En el contexto de este cifrado, esta técnica permite a los investigadores identificar partes específicas de la clave secreta que tienen casi ninguna influencia en la salida final codificada bajo ciertas condiciones. Al aislar estas partes no influyentes, los investigadores pueden ignorarlas efectivamente durante las etapas iniciales del ataque, reduciendo drásticamente el número de posibilidades que necesitan probar. Esto es similar a resolver un rompecabezas complejo mediante el apartado previo de las piezas que claramente no pertenecen al centro de la imagen, lo que le permite concentrar su energía en las piezas críticas que realmente importan.

Utilizando esta técnica de sincopación, combinada con una nueva estrategia para adivinar los bits de clave restantes, los investigadores pudieron romper versiones de ChaCha que anteriormente habían sido consideradas seguras contra tales ataques. Específicamente, demostraron un ataque exitoso en una versión del cifrado con 7.5 rondas de procesamiento. Si bien la versión completa y estándar de ChaCha utiliza 20 rondas, romper 7.5 rondas es un logro notable porque es la primera vez que se realiza un ataque de recuperación de clave sobre este número específico de rondas que es más rápido que simplemente adivinar cada posible clave una por una. Los investigadores también demostraron que sus métodos podrían mejorar los ataques en versiones de 7 rondas del cifrado, haciéndolos significativamente más eficientes que los intentos anteriores. Además, aplicaron sus técnicas a una versión relacionada del cifrado llamada ChaCha8, que utiliza solo 8 rondas. En un escenario donde un atacante tiene permitido usar dos claves que son muy similares entre sí, encontraron una forma de romper ChaCha8, sugiriendo que esta variante específica podría no ofrecer el nivel completo de seguridad que sus diseñadores pretendían si tal condición llegara a cumplirse.

El estudio también analizó una versión más corta del cifrado que utiliza una clave de 128 bits en lugar de la clave estándar de 256 bits. Aquí, los investigadores lograron romper una versión de 7 rondas de este cifrado más corto, siempre que se eliminara el último paso del proceso de codificación. Estos resultados no significan que la versión completa de 20 rondas de ChaCha utilizada en aplicaciones del mundo real como su navegador web esté actualmente rota. La versión completa sigue siendo segura. Sin embargo, estos hallazgos son cruciales porque expanden los límites de lo que se conoce sobre la mecánica interna del cifrado. Al demostrar que el cifrado puede debilitarse bajo condiciones específicas y controladas, los investigadores proporcionan una retroalimentación valiosa a la comunidad criptográfica. Esto ayuda a asegurar que los algoritmos que protegen nuestras vidas digitales sean robustos y que cualquier vulnerabilidad potencial sea identificada y abordada antes de que pueda ser explotada en el mundo real. El trabajo representa un paso pequeño pero difícil hacia adelante en el esfuerzo continuo por comprender y asegurar los fundamentos matemáticos de nuestra privacidad digital.

Resumen Técnico: Un Marco PNE Generalizado: Llevando a ChaCha Más Allá con un Ritmo Sincopado

1. Planteamiento del Problema

El cifrado de flujo ChaCha, particularmente la variante de 256 bits, está ampliamente desplegado en protocolos del mundo real como TLS, SSH y QUIC. A pesar de su uso extensivo, el margen de seguridad de las versiones de ChaCha con reducción de rondas ha sido objeto de intensa investigación criptanalítica. Antes de este trabajo, los ataques de recuperación de clave más efectivos sobre ChaCha de 7 rondas (con complejidades temporales que a menudo superan $2^{220}$ ) o 7.25 rondas, y no se había demostrado con éxito ningún ataque más rápido que la fuerza bruta ( $2^{256}$ ) para 7.5 rondas en el entorno de clave única. Además, la seguridad de la variante de 8 rondas (ChaCha8) en el entorno de claves relacionadas permanecía en gran medida inexplorada con ataques eficientes.

El desafío central en el criptoanálisis diferencial de ChaCha radica en el compromiso entre el número de Bits Neutros Probabilísticos (PNBs) identificados y la correlación de la aproximación hacia atrás. Los métodos tradicionales suelen tener dificultades para encontrar un conjunto grande de PNBs que mantengan simultáneamente una alta correlación, lo que limita la eficiencia de los ataques de encuentro en el medio (meet-in-the-middle). Adicionalmente, los análisis previos de "claves fuertes" (claves para las cuales no existe un IV adecuado que satisfaga las características diferenciales) carecían de una justificación teórica exhaustiva para todos los casos.

2. Metodología

El artículo introduce un marco refinado para el criptoanálisis diferencial basado en Bits Neutros Probabilísticos (PNBs) y lo generaliza en un marco basado en Expresiones Neutras Probabilísticas (PNEs). La metodología consta de tres pilares técnicos primarios:

2.1 Técnica de Sincopación para PNBs

Los autores introducen la "sincopación" para abordar la contradicción entre encontrar numerosos PNBs y mantener una alta correlación.

Concepto: La función de aproximación hacia atrás $f$ se descompone en $f = f_1 \circ f_0$ . La técnica aplica restricciones sobre bits específicos no-PNB (bits restringidos) para asegurar que la salida de la primera parte ( $f_0$ ) sea independiente de los PNBs (bits de sincopación).
Mecanismo: Aprovechando las propiedades de la suma y resta modular en estructuras ARX, los autores derivan condiciones bajo las cuales la propagación del acarreo es controlada. Esto permite que la salida de segmentos específicos sea determinada únicamente por valores públicos conocidos y no-PNBs, efectivamente "sincopando" la dependencia de los PNBs desconocidos.
Resultado: Esta técnica amplifica significativamente la correlación de la aproximación hacia atrás. Los autores también proporcionan una herramienta (Algoritmo 1) para determinar sistemáticamente segmentos sincopados rentables y un algoritmo voraz (Algoritmo 2) para construir conjuntos óptimos de PNBs Condicionales (CPNBs).

2.2 Marco PNE Generalizado

Para mejorar aún más la eficiencia, el artículo generaliza el concepto de PNB a Expresiones Neutras Probabilísticas (PNEs).

Estrategia de Adivinación de Clave: En lugar de adivinar directamente los bits de la clave original, el ataque adivina una clave equivalente $H(K)$ , donde $H$ es una función invertible adaptada a la estructura del cifrado (por ejemplo, combinaciones lineales que involucran rotaciones y XORs).
Técnica de Preservación de Acarreo: Se introduce una técnica novedosa para la suma modular. Al imponer condiciones lineales en los datos públicos, el vector de acarreo de la suma modular puede determinarse sin conocer los bits de clave desconocidos (PNBs). Esto simplifica la operación no lineal, permitiendo que la aproximación ignore las partes desconocidas de la clave mientras mantiene una alta correlación.
Integración: Este marco permite el descubrimiento de más elementos neutros (PNEs) en escenarios donde los PNBs tradicionales son escasos, particularmente en las rondas tardías o en diagonales específicas de la matriz de estado.

2.3 Análisis Diferencial de Avance Refinado

El artículo proporciona un análisis teórico más profundo de las ecuaciones diferenciales que gobiernan la primera ronda de ChaCha.

Análisis de Claves Fuertes: Los autores ofrecen una explicación teórica exhaustiva para la existencia de "claves fuertes" (claves donde ningún IV satisface el diferencial), cubriendo los ocho casos de las variables de estado interno, mientras que el trabajo previo solo cubría dos. Demuestran que aproximadamente el 29.6875% de las claves son claves fuertes.
Generación Eficiente de Pares: Al analizar las ecuaciones diferenciales, los autores identifican bits de IV específicos que pueden invertirse para satisfacer las restricciones diferenciales con alta probabilidad, reduciendo la complejidad de datos requerida para encontrar pares correctos.

3. Principales Contribuciones

Técnica de Sincopación: Un nuevo método para amplificar las correlaciones de la aproximación hacia atrás explotando las propiedades estructurales de ARX, lo que conduce a una selección de PNB más eficiente.
Marco PNE Generalizado: Una extensión del método PNB utilizando expresiones de clave equivalente y una técnica de preservación de acarreo, permitiendo ataques con menos bits adivinados y mayores correlaciones.
Completitud Teórica: Una derivación teórica completa de las probabilidades de claves fuertes para todos los casos diferenciales en la primera ronda, corrigiendo y extendiendo análisis parciales previos.
Nuevos Resultados de Ataque:
- ChaCha de 256 bits: El primer ataque de recuperación de clave sobre 7.5 rondas que es más rápido que la fuerza bruta ( $2^{254.6}$ de complejidad temporal). Ataques mejorados en 7 y 7.25 rondas con complejidades reducidas.
- ChaCha8 (Clave Relacionada): El primer ataque de clave relacionada sobre ChaCha8 de 256 bits (8 rondas), demostrando una complejidad temporal de $2^{253.3}$ cuando se utiliza un par de claves con una diferencia fija.
- ChaCha de 128 bits: Ataques mejorados en 6.5 rondas y un nuevo ataque en 7 rondas (excluyendo la última rotación, denotado como $7\ll$ ).

4. Resultados

El artículo presenta los siguientes resultados de complejidad de ataque (Tiempo/Datos):

ChaCha7 de 256 bits:
- $2^{210.3}$ tiempo / $2^{103.3}$ datos (usando 89 CPNBs).
- $2^{216.9}$ tiempo / $2^{68.9}$ datos (usando 74 CPNBs).
- Mejorado a $2^{187.2}$ tiempo / $2^{108.2}$ datos usando sincopación en un distinguidor de DL de 5 rondas.
ChaCha7.25 de 256 bits:
- $2^{220.0}$ tiempo / $2^{109}$ datos.
ChaCha7.5 de 256 bits:
- $2^{254.6}$ tiempo / $2^{125.3}$ datos. Este es el primer ataque sobre 7.5 rondas más rápido que la fuerza bruta ( $2^{256}$ ).
ChaCha8 de 256 bits (Clave Relacionada):
- $2^{253.3}$ tiempo / $2^{99.2}$ datos. Esto rompe la afirmación de seguridad de 256 bits de ChaCha8 bajo el modelo de clave relacionada.
ChaCha de 128 bits:
- ChaCha6.5: $2^{114.3}$ tiempo / $2^{100.3}$ datos.
- ChaCha7 $\ll$ : $2^{122.9}$ tiempo / $2^{108.8}$ datos.

Se realizó una verificación experimental en ChaCha de 5 y 6 rondas con 64 bits de clave desconocidos, confirmando las mejoras de correlación teórica y las probabilidades de éxito (aprox. 70% para 5 rondas y 62.5-71.4% para 6 rondas).

5. Significado y Reivindicaciones

El artículo afirma dar un "paso pequeño pero difícil hacia adelante" en el análisis de seguridad de ChaCha. Su principal importancia radica en:

Romper la Barrera de las 7.5 Rondas: Es la primera vez que se demuestra un ataque de recuperación de clave sobre 7.5 rondas de ChaCha de 256 bits que es más eficiente que una búsqueda de fuerza bruta.
Primer Ataque de Clave Relacionada en ChaCha8: Demuestra que ChaCha8 no logra alcanzar la seguridad de 256 bits si se permite un par de claves con una diferencia específica, desafiando las suposiciones de seguridad práctica de la variante de 8 rondas.
Avance Metodológico: La introducción de la técnica de Sincopación y el Marco PNE Generalizado (incluyendo la preservación de acarreo y nuevas estrategias de adivinación de claves) proporciona un conjunto de herramientas más poderoso para analizar cifrados basados en ARX, potencialmente aplicable a otros diseños como Salsa o Chaskey.

Los autores declaran explícitamente que estos ataques no amenazan el ChaCha de 20 rondas completo utilizado en despliegues reales, pero reducen significativamente el margen de seguridad para las variantes de rondas reducidas y resaltan debilidades teóricas en el entorno de clave relacionada de 8 rondas.