Quantum-Aware Key Rank for Side-Channel Attacks evaluation

Dans le monde de la sécurité numérique, la force d'un code secret est souvent testée en essayant de voler la clé non pas en brisant les mathématiques, mais en écoutant la machine. Lorsqu'un ordinateur chiffre des données, il laisse fuiter de minuscules quantités d'informations à travers sa consommation d'énergie ou ses signaux électromagnétiques. Les experts en sécurité capturent ces fuites, appelées traces, et les utilisent pour réduire la liste des clés possibles. Au lieu de trouver la bonne clé immédiatement, ces attaques laissent généralement une longue liste ordonnée de candidats, où la véritable clé est cachée quelque part au milieu. La position de la véritable clé sur cette liste est appelée son rang. Si le rang est bas, la clé est facile à trouver ; s'il est élevé, la clé est effectivement sûre. Depuis des décennies, les laboratoires de sécurité mesurent ce rang pour décider si un dispositif est sécurisé, en supposant qu'un attaquant utiliserait un ordinateur standard pour fouiller parmi les possibilités restantes.

Cependant, les règles du jeu changent avec l'arrivée des ordinateurs quantiques. Ces machines fonctionnent selon des principes physiques différents et peuvent, en théorie, parcourir des listes de possibilités beaucoup plus rapidement qu'un ordinateur classique. Une nouvelle étude de Yevgen Kotukh aborde une lacune critique dans notre compréhension : que se passe-t-il lorsqu'un attaquant utilise un ordinateur classique pour recueillir les indices initiaux, mais change ensuite pour un ordinateur quantique pour terminer le travail ? La recherche révèle que l'accélération fournie par les ordinateurs quantiques n'est pas aussi spectaculaire ou universelle que certaines théories précédentes le suggéraient. Il s'avère que l'avantage dépend entièrement du nombre de candidats restants à rechercher et du temps que l'ordinateur quantique est autorisé à fonctionner.

Les chercheurs ont construit un modèle détaillé pour simuler ce type spécifique d'attaquant hybride. Ils ont imaginé un scénario où un pirate collecte d'abord des traces de puissance provenant d'un dispositif et utilise des logiciels standards pour créer une liste classée de clés potentielles. Cette liste peut contenir des milliards de candidats. Le pirate prend ensuite cette liste et exécute un algorithme quantique pour trouver la bonne clé. L'étude prouve que pour n'importe quel dispositif avec un nombre spécifique de candidats restants, l'ordinateur quantique offre une accélération qui est exactement proportionnelle à la racine carrée de ce nombre. Cela signifie que si un ordinateur classique doit vérifier un million de clés, un ordinateur quantique pourrait n'en vérifier que mille. C'est une amélioration significative, mais ce n'est pas l'explosion exponentielle de vitesse magique que certaines théories plus abstraites prédisaient auparavant. Ces théories antérieures suggéraient que les ordinateurs quantiques pourraient être encore plus rapides, mais la nouvelle recherche montre que ces prédictions étaient basées sur la moyenne des résultats sur de nombreux dispositifs différents, plutôt que sur l'examen de la réalité spécifique d'une seule attaque.

Un aspect crucial de l'étude concerne les limites physiques des ordinateurs quantiques. Ces machines ne sont pas encore parfaites ; elles ne peuvent effectuer qu'un certain nombre d'opérations avant que leurs états quantiques délicats ne s'effondrent. Les chercheurs ont appliqué une limite stricte sur la profondeur du circuit quantique, représentant le nombre maximal d'étapes qu'un futur ordinateur quantique pourrait accomplir en un an ou une décennie. Ils ont découvert que l'accélération quadratique ne fonctionne que lorsque le nombre de clés restantes est inférieur à un certain seuil. Si la liste de candidats est trop longue, l'ordinateur quantique est contraint de faire fonctionner de nombreuses copies de lui-même en parallèle pour rester dans sa limite de temps. Cette parallélisation grignote l'avantage de vitesse, réduisant le bénéfice à un simple facteur constant. Pour les normes de chiffrement modernes comme l'AES-128, cette « fenêtre » d'avantage se referme lorsque le rang de la clé atteint un point spécifique, correspondant approximativement à un rang de 2 à la puissance 59. Au-delà de ce point, l'ordinateur quantique n'est plus exponentiellement plus rapide ; il est seulement un nombre fixe de fois plus rapide, et dans certains cas, l'avantage est si faible qu'il importe à peine.

Pour aider les laboratoires de sécurité à s'adapter à cette nouvelle réalité, l'auteur a introduit une nouvelle métrique appelée « rang de clé conscient du quantique » (quantum-aware key rank). Cet outil permet aux évaluateurs de prendre le rang standard qu'ils calculent déjà et de le convertir en une valeur qui reflète le niveau de sécurité contre un attaquant quantique avec une limite de temps spécifique. Par exemple, si un dispositif possède un rang classique qui suggère qu'il est sûr, le rang conscient du quantique pourrait montrer qu'il est en réalité vulnérable car l'ordinateur quantique peut trouver la clé dans le temps imparti. L'étude fournit des formules claires pour cette conversion, montrant que pour maintenir le même niveau de sécurité contre un adversaire quantique, un dispositif doit posséder un rang classique beaucoup plus élevé que ce qui était prévu auparavant. Spécifiquement, pour un ordinateur quantique limité à une profondeur de 2 à la puissance 40, un dispositif doit conserver un rang classique d'environ 2 à la puissance 74 pour être aussi sûr qu'un dispositif avec un rang classique de 2 à la puissance 48.

La recherche a également comparé deux façons différentes dont un ordinateur quantique pourrait utiliser les informations fuitées pour trouver la clé. Une méthode consiste à préparer un état quantique spécial qui reflète la probabilité de chaque clé, tandis que l'autre consiste à chercher à travers des blocs de clés de manière structurée. L'étude a révélé que sur les types de fuites de données typiquement observés dans les attaques réelles, ces deux méthodes sont très proches en termes de performance. Le facteur décisif n'est pas la méthode théoriquement la plus rapide, mais le coût du matériel requis pour implémenter la méthode la plus complexe. Les chercheurs ont simulé ces attaques sur un petit chiffre de démonstration et sur des modèles réalistes de chiffrement AES pour confirmer leurs théories. Ils ont découvert que pour une attaque typique avec un faible rapport signal sur bruit, un attaquant quantique doté d'un large budget de portes logiques vaut environ 22 traces de puissance supplémentaires pour un attaquant classique. En d'autres termes, l'avantage quantique est réel, mais il est borné et prévisible.

Ce travail résout une tension dans la communauté de la sécurité entre deux vues conflictuelles : l'une affirmant que les ordinateurs quantiques offriraient un avantage exponentiel et ultra-rapide, et l'autre suggérant qu'ils n'offriraient aucun avantage en raison des limites matérielles. L'étude montre que les deux points de vue sont corrects, mais qu'ils s'appliquent à des situations différentes. L'avantage ultra-rapide est une moyenne sur de nombreux scénarios possibles, tandis que l'avantage quadratique et borné est ce qui se produit lors de toute attaque réelle et spécifique. En fournissant une métrique concrète et une compréhension claire des limites, cette recherche donne aux évaluateurs de sécurité les outils nécessaires pour évaluer précisément le risque des attaques quantiques. Elle fait passer la conversation de la spéculation au calcul, garantissant qu'à mesure que la technologie quantique mûrit, nos défenses puissent être ajustées avec précision plutôt que par tâtonnements.