Evaluating PQC KEMs, Combiners, and Cascade Encryption via Adaptive IND-CPA Testing Using Deep Learning

1. Il Problema

La transizione verso la crittografia post-quantistica (PQC) richiede non solo la standardizzazione di nuovi algoritmi, ma anche la loro validazione empirica, specialmente in contesti ibridi.

• Sfida della Validazione: Garantire l'indistinguibilità dei testi cifrati (proprietà IND-CPA) è fondamentale per la sicurezza. Tuttavia, la validazione empirica in implementazioni reali e in costruzioni ibride (che combinano algoritmi classici e PQC) presenta sfide pratiche.
• Contesto Ibrido: Per mitigare i rischi durante la transizione, si utilizzano spesso schemi ibridi che combinano più primitive crittografiche. La sicurezza teorica garantisce che se almeno un componente è sicuro, l'intero sistema lo è, ma verificare empiricamente questa proprietà in implementazioni complesse è difficile.
• Limiti dell'Analisi Tradizionale: L'analisi crittografica formale è rigorosa ma può non catturare vulnerabilità implementative o pattern sottili che emergono solo in pratica. È necessario un metodo adattivo e basato sui dati per valutare la sicurezza.

2. Metodologia

Gli autori propongono un framework basato sul Deep Learning (DL) per modellare i giochi di sicurezza IND-CPA (Indistinguishability under Chosen-Plaintext Attack) come problemi di classificazione binaria.

• Modellazione del Gioco IND-CPA:

  • Il compito di un avversario nel gioco IND-CPA (distinguere tra cifrature di due messaggi diversi) viene trasformato in un compito di classificazione binaria per una Rete Neurale Profonda (DNN).
  • Caso Non Ibrido (KEM puri): La DNN viene addestrata a distinguere tra due classi di cifrati:
    1. Cifrature di messaggi casuali uniformemente distribuiti.
    2. Cifrature di un messaggio fisso (es. tutti zeri).
       Se la DNN non supera la casualità (accuratezza ~50%), il sistema è considerato IND-CPA sicuro.
  • Caso Ibrido (Combinatori KEM): Viene introdotto un nuovo algoritmo (Algoritmo 2) per testare combinazioni di KEM. La DNN riceve in input la concatenazione dei cifrati di due componenti. Il compito è distinguere tra:
    1. Campioni dove i due segreti condivisi sono identici ($k_1 = k_2$).
    2. Campioni dove i segreti sono indipendenti.
       L'ipotesi è che se il combinatore è sicuro, la DNN non dovrebbe trovare pattern strutturali derivanti dall'uguaglianza dei segreti.
  • Crittografia a Cascata: Il metodo è applicato anche a cifrature simmetriche in cascata (es. AES-CTR seguito da AES-CBC), dove la DNN analizza il testo cifrato risultante.

• Setup Sperimentale:

  • Algoritmi Testati: KEM PQC (ML-KEM/Kyber, BIKE, HQC), combinati con cifrari asimmetrici (RSA-OAEP, RSA non padding) e plaintext. Per la crittografia simmetrica: AES (CTR, CBC, ECB), ChaCha20, DES.
  • Architettura: Due configurazioni di DNN (Piccola e Grande) addestrate con Stochastic Gradient Descent (SGD) e funzione di perdita Binary Cross-Entropy (BCE).
  • Validazione Statistica: Per evitare falsi positivi, i risultati non si basano solo sull'accuratezza, ma su un test binomiale a due code con livello di significatività $\alpha = 0.01$. L'ipotesi nulla ($H_0$) è che l'accuratezza sia 0.5 (casuale).

3. Contributi Chiave

1. Estensione del Framework DL: Adattamento di un approccio basato su DNN (originariamente proposto per attacchi crittografici) per testare sistematicamente le proprietà IND-CPA di KEM PQC e delle loro costruzioni ibride.
2. Nuovo Metodo per Combinatori Ibridi: Presentazione di un'estensione metodologica specifica per testare combinatori di KEM della forma $k = F(k_1, c) \oplus F(k_2, c)$, permettendo di valutare la sicurezza di combinazioni tra algoritmi PQC e classici (es. ML-KEM + RSA).
3. Generalità Metodologica: Dimostrazione che lo stesso framework può essere applicato alla crittografia simmetrica in cascata, testando combinazioni di blocchi e stream cipher.
4. Rigorosa Analisi Statistica: Introduzione di test statistici formali (binomiali) per determinare se un vantaggio della DNN è statisticamente significativo, superando la semplice osservazione di un'accuratezza leggermente superiore al 50%.

4. Risultati

Gli esperimenti sono stati condotti su un vasto set di dati (500.000 campioni per classe) e su diverse architetture di rete.

• KEM Puri (ML-KEM, BIKE, HQC):

  • Le DNN hanno raggiunto un'accuratezza vicina al 50% (es. 50.10% per ML-KEM).
  • I valori p sono stati molto superiori a 0.01, fallendo nel rifiutare l'ipotesi nulla.
  • Conclusione: Nessun algoritmo PQC testato ha mostrato vulnerabilità IND-CPA rilevabili tramite questo modello di avversario.
  • Nota: RSA non padding ha mostrato il 100% di accuratezza (come previsto, essendo deterministico), confermando la validità del metodo nel rilevare debolezze note.

• KEM Ibridi (Combinatori):

  • Le combinazioni di KEM PQC con RSA-OAEP, RSA non padding o plaintext non hanno mostrato vantaggi significativi per la DNN.
  • Anche combinando algoritmi "insicuri" (es. RSA non padding + plaintext), la DNN non ha trovato pattern sfruttabili in assenza di un oracolo di cifratura (limitazione del modello).
  • Conclusione: I risultati confermano empiricamente la teoria secondo cui un combinatore sicuro eredita la sicurezza dal componente più forte, mantenendo l'indistinguibilità.

• Crittografia a Cascata Simmetrica:

  • Tutte le combinazioni testate (inclusi casi con cifrari deterministici come AES-ECB o DES-ECB accoppiati a cifrari sicuri) hanno prodotto accuranze indistinguibili dal caso (range 49.74% - 50.27%).
  • Conclusione: Non ci sono prove che la crittografia a cascata degradi la sicurezza IND-CPA, a condizione che almeno un componente sia sicuro.

5. Significato e Conclusioni

Il lavoro dimostra che il Deep Learning può fungere da stimatore empirico adattivo, pratico e versatile per la valutazione dell'indistinguibilità dei testi cifrati.

• Validazione Complementare: Il metodo non sostituisce l'analisi formale, ma la completa offrendo uno strumento basato sui dati per rilevare potenziali debolezze nelle implementazioni o nelle composizioni che potrebbero sfuggire all'analisi teorica.
• Robustezza degli Ibridi: I risultati supportano empiricamente l'uso di costruzioni ibride nella transizione PQC, confermando che combinare algoritmi (anche con componenti meno sicuri) non introduce vulnerabilità IND-CPA rilevabili in questo modello di minaccia.
• Limitazioni e Futuro: Il modello attuale non ha accesso a chiavi pubbliche o oracoli di cifratura, il che limita la sua capacità di catturare certi vettori di attacco. Tuttavia, se una DNN ottenesse un vantaggio significativo, ciò indicherebbe fortemente una violazione della sicurezza IND-CPA. Il lavoro futuro si concentrerà sull'integrazione di questi fattori nel modello neurale.

In sintesi, la ricerca fornisce una metodologia robusta per la "sanity check" empirica degli algoritmi crittografici moderni e delle loro combinazioni, utilizzando l'intelligenza artificiale come strumento di analisi di sicurezza.