💻 computer science

From Finite Enumeration to Universal Proof: Ring-Theoretic Foundations for PQC Hardware Masking Verification

Questo lavoro presenta la prima dimostrazione universale e verificata meccanicamente in Lean 4 della correttezza del mascheramento hardware per la crittografia post-quantistica, sostituendo le verifiche finite su domini specifici con un fondamento teorico basato sugli assiomi degli anelli commutativi che garantisce la sicurezza per qualsiasi modulo $q$ .

Autori originali: Ray Iskander, Khaled Kirah

Pubblicato 2026-04-22

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Ray Iskander, Khaled Kirah

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

🛡️ Il Grande Cambio di Guardia: Come abbiamo reso i segreti digitali invulnerabili (senza contare tutto)

Immagina di dover proteggere un segreto prezioso, come la chiave di una cassaforte digitale. Nel mondo della crittografia moderna (quella che ci salverà dai computer quantistici del futuro), usiamo un trucco chiamato "Mascheramento".

Invece di tenere il segreto intero, lo spezziamo in due pezzi (chiamati "azioni" o shares) e li diamo a due persone diverse. Nessuno dei due pezzi da solo rivela nulla. Solo mettendoli insieme si ricostruisce il segreto.

Il problema? I computer fisici non sono perfetti. Quando elaborano questi pezzi, emettono piccole scintille di energia o fanno rumore. Un hacker potrebbe ascoltare questo rumore e indovinare il segreto, anche senza vedere i pezzi.

🧩 Il Problema: "Abbiamo controllato solo un esempio"

Fino a poco tempo fa, gli scienziati (gli autori di questo studio) avevano costruito un sistema di sicurezza molto potente chiamato QANARY. Questo sistema controllava se il "rumore" dei pezzi era davvero innocuo.

Ma c'era un piccolo difetto nel loro metodo di controllo:
Immagina di voler dimostrare che tutte le mele di un frutteto sono rosse.
Il metodo precedente diceva: "Ok, abbiamo controllato 5 mele specifiche. Sono tutte rosse! Quindi, probabilmente lo sono tutte."

Il problema è che il frutteto della crittografia quantistica è enorme. Ci sono milioni di mele diverse (moduli matematici diversi). Controllare solo 5 mele non ti garantisce che le altre 999.995 siano rosse. Gli scienziati avevano usato dei "super-calcolatori" (chiamati solutori SMT) che provavano a contare e verificare ogni singola possibilità per quei 5 casi. Era come contare ogni granello di sabbia di una spiaggia per capire se la sabbia è morbida: funziona per quella spiaggia, ma non per tutte le spiagge del mondo.

✨ La Soluzione: La "Prova Universale" in 5 Righe

In questo nuovo studio, gli autori (Ray Iskander e Khaled Kirah) hanno fatto un salto mentale geniale. Invece di continuare a contare le mele una per una, hanno chiesto: "Qual è la regola matematica che rende una mela una mela?"

Hanno scoperto che la sicurezza di questi sistemi non dipende dal numero specifico di mele, ma dalle regole dell'aritmetica (la struttura dell'anello commutativo).

Hanno usato un nuovo strumento chiamato Lean 4, che è come un "controllore di logica" infallibile. Invece di dire "controlliamo 5 casi", hanno scritto una dimostrazione matematica che dice: "Per qualsiasi numero di mele che tu possa immaginare, la regola vale sempre."

L'analogia della chiave:

Il vecchio metodo (SMT): Era come provare ad aprire 5 serrature diverse con 5 chiavi diverse per vedere se funzionavano. Se funzionavano, si sperava che funzionassero anche le altre.
Il nuovo metodo (Lean 4): È come dimostrare che la serratura è fatta in modo tale che nessuna chiave sbagliata può aprirla, indipendentemente da quanti tentativi fai. Hanno dimostrato che la struttura stessa della serratura è sicura.

📜 Cosa hanno scoperto esattamente?

La prova di 5 righe: Hanno dimostrato che se il sistema è progettato correttamente (una proprietà chiamata "indipendenza dal valore"), allora il "rumore" che emette non rivela mai il segreto. Questa prova, che prima richiedeva milioni di calcoli per 5 casi, ora è una frase di 5 righe in un linguaggio matematico formale. È come passare da un'enciclopedia di 1000 pagine a una singola legge fisica.
Copertura totale: Ora la sicurezza è garantita non solo per i 5 casi controllati prima, ma per tutti i sistemi crittografici che verranno usati in futuro (inclusi quelli standardizzati dal NIST per ML-KEM e ML-DSA). Non importa se il numero è piccolo o enorme, la matematica regge.
Nessun "bug" nascosto: Il vecchio metodo si affidava a software complessi (come Z3) che potrebbero avere errori. Il nuovo metodo si affida al "nucleo" di Lean 4, che è così piccolo e semplice che è quasi impossibile che contenga errori. È come passare da un castello di carte gigante a un blocco di granito.

🚀 Perché è importante per te?

Immagina che il tuo telefono, la tua banca o i dati governativi stiano passando a una nuova generazione di sicurezza per resistere ai computer quantistici.

Prima: Gli esperti dicevano: "Abbiamo controllato un campione, sembra sicuro, ma non possiamo esserne certi al 100% per tutti i casi."
Ora: Gli esperti dicono: "Abbiamo dimostrato matematicamente che è sicuro per sempre, per ogni numero possibile. Non serve ricontrollare ogni volta che cambiamo un parametro."

Hanno chiuso il "buco" che lasciava spazio al dubbio. Hanno trasformato una verifica basata sulla "probabilità" (abbiamo controllato 5 casi) in una certezza assoluta (la regola vale per l'infinito).

In sintesi: hanno smesso di contare i mattoni e hanno capito che l'architettura dell'edificio è indistruttibile. E l'hanno fatto con una dimostrazione così elegante e breve che sembra quasi magia. 🪄🔐

Titolo: Dalle Enumerazioni Finite alla Dimostrazione Universale: Fondamenti Teorico-Anulari per la Verifica Hardware del Masking PQC

Autori: Ray Iskander e Khaled Kirah
Contesto: Verifica formale della sicurezza dei circuiti hardware per la Crittografia Post-Quantistica (PQC), in particolare per gli standard NIST ML-KEM (FIPS 203) e ML-DSA (FIPS 204).

1. Il Problema

La sicurezza dei dispositivi hardware che implementano la crittografia post-quantistica (PQC) dipende spesso dal masking (mascheramento) aritmetico per proteggersi dagli attacchi tramite canali laterali (es. analisi del consumo energetico).
Il framework di verifica esistente, QANARY, ha dimostrato la capacità di analizzare su larga scala (1,17 milioni di celle) la dipendenza strutturale nei circuiti. Tuttavia, la sua garanzia di correttezza (Teorema 3.9.1) presentava una limitazione critica:

Verifica a dominio finito: La correttezza del teorema era stata verificata tramite solver SMT (Z3 e CVC5) solo per un modulo piccolo ( $q=5$ ), enumerando 225 funzioni booleane.
Il "Gap" di Portabilità: Questa verifica non garantiva la sicurezza per i moduli reali utilizzati in produzione: $q=3.329$ (ML-KEM) e $q=8.380.417$ (ML-DSA).
Limiti degli SMT: I solver SMT operano per enumerazione e non possono effettuare induzione strutturale su $q$ . Una prova valida per $q=5$ non è logicamente sufficiente per garantire la sicurezza per $q=3.329$ o valori arbitrari.

2. Metodologia

Gli autori hanno chiuso questo gap sostituendo l'approccio basato sull'enumerazione finita con una dimostrazione formale universale utilizzando un Teorema Interattivo (ITP).

Strumento: Utilizzo di Lean 4 con la libreria matematica Mathlib.
Astrazione Algebrica: Invece di trattare i dati come vettori di bit (bit-vector) con controlli di overflow espliciti, gli autori hanno modellato l'aritmetica nel campo quoziente $\mathbb{Z}/q\mathbb{Z}$ (anelli commutativi).
Approccio "Sorry-Free": Tutte le dimostrazioni sono state verificate dal kernel di Lean 4 senza stubs non verificati (sorry), riducendo la "base di fiducia" (trusted base) a poche righe di codice C++ del kernel, eliminando la dipendenza da solver esterni complessi e non verificati come Z3.
Concetto Chiave: La dimostrazione si basa sull'identità algebrica della reparametrizzazione (sostituire le condivisioni $s_0, s_1$ con $x, s_1$ dove $s_0 = x - s_1$ ). Nel contesto degli anelli, questa è un'identità strutturale, non una procedura computazionale soggetta a overflow.

3. Contributi Chiave

Il paper presenta nove teoremi (T1–T6, T1', T3') che costituiscono una suite di prove completa:

Dimostrazione Universale del Sottoteorema $r$ -free (T1):
- Dimostra che per ogni $q > 0$ , ogni funzione di filo (wire function) e ogni coppia di segreti, se la funzione è value-independent (indipendente dal valore del segreto), allora la sua distribuzione marginale è costante.
- Efficienza: Una dimostrazione di 5 righe in Lean 4 sostituisce le 225 valutazioni booleane eseguite in precedenza.
- Generalità: Vale per qualsiasi output type $\beta$ e qualsiasi modulo $q$ .
Prove di Supporto:
- T2 & T3: Conferma della correttezza della reparametrizzazione booleana (XOR) e aritmetica (sottrazione modulare) per qualsiasi $q$ e larghezza di bit.
- T3': Dimostrazione della bijectività della mappatura di reparametrizzazione.
- T4: Dimostrazione dei limiti di "no-overflow", garantendo che le implementazioni hardware a vettori di bit rispettino i vincoli algebrici.
- T5: Caratterizzazione del bias degli RNG (Random Number Generator) e dimostrazione di limiti universali per il bias, inclusa una verifica specifica per ML-KEM ( $q=3329$ ).
- T6: Un controesempio universale che dimostra che il teorema non è "stretto" (non-tight): esistono funzioni con distribuzione marginale costante che non sono value-independent. Questo conferma che l'approccio conservativo di QANARY (etichettare come insicuri certi casi) è corretto e inevitabile.

4. Risultati

Verifica Completa: La suite di prove è stata compilata con successo su Lean 4.30.0-rc1, completando 1.739 task di build con zero errori e zero sorry.
Copertura Universale: La correttezza è ora garantita per tutti i moduli $q > 0$ , inclusi i parametri attuali di NIST (ML-KEM, ML-DSA) e futuri standard PQC, senza necessità di riesecuzione della verifica.
Riduzione della Base di Fiducia: Si passa dal dover fidarsi di solver SMT (Z3, CVC5) e script Python a fidarsi esclusivamente del kernel di Lean 4.
Efficienza Algebrica: La dimostrazione di 5 righe evidenzia che la proprietà di sicurezza è una conseguenza diretta degli assiomi degli anelli commutativi, non una proprietà complessa da enumerare.

5. Significato e Implicazioni

Certificazione FIPS 140-3: La prova universale elimina la necessità di rieseguire verifiche costose per ogni nuovo set di parametri, facilitando la certificazione dei moduli crittografici.
Portabilità del Design: Aggiornamenti ai parametri crittografici (es. cambio di $q$ in risposta a nuove analisi crittografiche) non invalidano la garanzia di sicurezza, poiché la prova è quantificata universalmente su $q$ .
Cambio di Paradigma: Il lavoro stabilisce che la teoria degli anelli (e non la logica booleana o i vettori di bit) è il livello di astrazione naturale per la verifica del masking aritmetico nell'hardware PQC.
Futuro: Questo lavoro getta le basi per la prossima fase (Paper 4), che colmerà il divario tra il sottoteorema $r$ -free e la garanzia completa di sicurezza distribuzionale ( $I(x; w) = 0$ ) includendo la randomizzazione fresca.

In sintesi, questo paper trasforma la verifica della sicurezza del masking da un processo basato su casi specifici e enumerazione limitata a una garanzia matematica universale e formalmente verificata, fondamentale per l'adozione sicura della crittografia post-quantistica nell'hardware.