MCSI: A Masked Commutative Supersingular Isogeny Key Exchange with Blinded Ephemeral Keys
Questo articolo introduce MCSI, un protocollo di scambio di chiavi a due messaggi basato sull'azione del gruppo di classe CSIDH che utilizza la cifratura autenticata per mascherare le chiavi effimere, ottenendo così l'autenticazione reciproca implicita, nascondendo gli elementi effimeri agli intercettatori e riducendo significativamente il carico computazionale consentendo ai destinatari di scartare i messaggi non autenticati prima delle costose valutazioni dell'azione di gruppo.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Nella corsa a proteggere le comunicazioni digitali mondiali contro i futuri computer quantistici, i crittografi stanno esplorando un panorama costruito non su grandi numeri, ma sulla geometria delle curve. Immaginate un vasto campo piatto dove ogni punto rappresenta una forma matematica unica chiamata curva ellittica. In questo campo, esiste una regola speciale che permette a una forma di trasformarsi in un'altra in un modo che è facile da eseguire se si conosce il percorso segreto, ma quasi impossibile da invertire se non lo si conosce. Questa è la base della crittografia basata su isogenia. A differenza di altri metodi che si affidano a chiavi massicce, questo approccio utilizza chiavi minuscole, rendendolo altamente efficiente per l'archiviazione e la trasmissione. Tuttavia, una vulnerabilità maggiore è stata scoperta in un sistema correlato qualche anno fa, costringendo i ricercatori a ripensare a come queste curve vengono utilizzate. La sfida è diventata trovare un modo per scambiare chiavi segrete utilizzando queste piccole forme geometriche senza rivelare alcuna informazione che possa essere sfruttata da un osservatore potente, il tutto garantendo che le due parti siano realmente chi dichiarano di essere.
Un team di ricercatori ha introdotto un nuovo protocollo chiamato MCSI, che sta per Masked Commutative Supersingular Isogeny Key Exchange. Questo sistema è progettato per permettere a due persone, chiamiamole Alice e Bob, di stabilire una chiave segreta condivisa su una rete aperta senza che un eavesdropper (intercettatore) apprenda nulla sui valori temporanei utilizzati durante la conversazione. L'innovazione risiede nel modo in cui nascondono questi valori temporanei. Nei tentativi precedenti, i valori temporanei venivano inviati in chiaro, richiedendo al ricevente di eseguire un'operazione matematica complessa e dispendiosa in termini di tempo per verificare se il messaggio fosse valido. Ciò creava un rischio di sicurezza: un malintenzionato avrebbe potuto inondare un server con messaggi falsi, costringendolo a sprecare la propria potenza di calcolo in calcoli inutili. MCSI risolve questo problema avvolgendo il valore temporaneo in una busta sicura e autenticata. Prima ancora che il ricevente apra la busta per controllare la matematica, verifica un sigillo digitale. Se il sigillo è rotto o mancante, il messaggio viene scartato immediatamente, risparmiando al ricevente il lavoro pesante. Questo semplice cambiamento protegge il sistema dall'essere sopraffatto da attori malintenzionati.
I ricercatori hanno dimostrato che questo metodo funziona perfettamente ogni volta che entrambe le parti seguono le regole, con zero errori nella chiave finale. Hanno anche dimostrato che i valori temporanei all'interno della busta rimangono nascosti a chiunque ascolti, e che il sigillo digitale impedisce efficacemente a un attaccante di manomettere il messaggio. Fondamentalmente, la sicurezza del sistema non si basa su un'assunzione matematica che si è rivelata falsa per questo specifico tipo di curva. Al contrario, si basa sulla difficoltà di risolvere un puzzle specifico riguardante la disposizione di queste curve, un problema che rimane difficile anche per i computer quantistici. Il team ha anche mostrato che un'idea comune — aggiungere uno strato semplice di sostituzioni di byte casuali al messaggio criptato per farlo apparire più casuale — non aggiunge alcuna sicurezza reale, una scoperta che aiuta a snellire i futuri progetti.
Per garantire che la loro teoria reggesse nel mondo reale, il team ha costruito il sistema due volte, una volta in un linguaggio di programmazione di alto livello e una volta in un linguaggio di basso livello usato per software veloci. Hanno eseguito migliaoli di test, confrontando i risultati di entrambe le versioni per garantire che corrispondessero perfettamente. Le loro misurazioni hanno rivelato che il nuovo protocollo è un'implementazione di riferimento funzionante, con il tempo speso nei livelli di cifratura e decifratura così piccolo da essere quasi invisibile rispetto al tempo necessario per le operazioni matematiche centrali. Tuttavia, hanno anche riscontrato una debolezza significativa nel proprio codice. Poiché il tempo necessario per eseguire il calcolo centrale dipende dalla chiave segreta stessa, un attaccante che può misurare il tempo di molte sessioni diverse potrebbe potenzialmente indovinare parti della chiave segreta. I ricercatori sono stati espliciti riguardo a questo difetto: la loro attuale implementazione non è sicura per l'impiego nel mondo reale finché non viene riscritta per eseguire in tempo costante, ovvero la durata del calcolo deve essere la stessa indipendentemente dalla chiave segreta.
Il documento ha anche affrontato un malinteso comune su quali numeri primi debbano essere usati per questo sistema. Molti esperti hanno usato specifici grandi numeri primi per altri tipi di crittografia, assumendo che funzionerebbero anche qui. I ricercatori hanno dimostrato che uno dei numeri primi più famosi, usato in una curva standard chiamata P-521, è completamente inutilizzabile per questo specifico tipo di scambio di chiavi. Hanno mostrato che la struttura matematica richiesta per il loro sistema semplicemente non esiste con quel numero primo, costringendo all'uso di un numero diverso, costruito appositamente. Questa scoperta è vitale per chiunque cerchi di costruire un sistema simile, poiché impedisce l'uso di uno strumento standard che porterebbe a un design fallimentare.
Sebbene il protocollo nasconda con successo i valori temporanei e prevenga attacchi di tipo Denial-of-Service, gli autori sono cauti nello dichiarare ciò che non hanno ancora dimostrato. Non hanno mostrato che il sistema rimanga sicuro se un attaccante può rivelare i segreti temporanei utilizzati durante una sessione, né hanno provato che il sistema sia sicuro contro un attaccante che può interferire attivamente con i messaggi in modi più complessi. Inoltre, la protezione dei valori temporanei non è "forward secret"; se un attaccante rubasse una chiave segreta a lungo termine in futuro, potrebbe tornare indietro e rimuovere la protezione dai vecchi messaggi registrati per vedere i valori temporanei, sebbene la chiave di sessione finale rimarrebbe probabilmente al sicuro. I ricercatori concludono che, sebbene MCSI sia una specifica solida con un'implementazione di riferimento funzionante, non è ancora pronta per il pubblico. La strada da seguire richiede la creazione di una versione che operi in tempo costante per chiudere la fuga temporale, e la prova che il sistema possa resistere ad attacchi più aggressivi. Fino a quando questi passaggi non saranno compiuti, il protocollo descritto qui è una specifica con un riferimento funzionante, e non qualcosa che chiunque dovrebbe distribuire.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.