Z-Sigil: A Public-Key Cryptosystem with Chained Selection over a Fiber Bundle of Module-Lattice Keys

Sintesi Tecnica di "Z-Sigil: Un Criptosistema a Chiave Pubblica con Selezione Concatenata su un Fascio Fibrato di Chiavi su Reticoli Modulari"

Problema
I tipici criptosistemi a chiave pubblica fissano una singola chiave segreta per cifrare tutti i blocchi di un messaggio. Z-Sigil affronta la questione architettonica se un testo in chiaro possa determinare l'ordine con cui viene acceduto a una famiglia pre-generata di chiavi segrete, creando un "cammino" attraverso uno spazio di chiavi anziché l'applicazione statica di una singola chiave. Il documento investiga questa architettura per determinare se un tale accoppiamento tra uno stato alimentato dal testo in chiaro e una famiglia di chiavi su reticolo possa essere costruito in modo sicuro e corretto, evitando al contempo le insidie di precedenti proposte geometriche che esponevano involontariamente scalari del testo in chiaro.

Metodologia e Costruzione
La costruzione si basa su tre componenti distinte:

1. Fondazione Module-LWE: L'aritmetica centrale si basa sull'assunto Module-Learning With Errors (Module-LWE). Una matrice pubblica condivisa $A$ e una famiglia di vettori pubblici $b_t = A s_t + e_t$ vengono generate, dove $s_t$ sono piccoli vettori segreti ed $e_t$ sono piccoli vettori di errore.
2. Astrazione Geometrica (Fascio Fibrato): La famiglia di chiavi è modellata come una sezione $\sigma$ di un fascio fibrato discreto su una base $P$ (un insieme di punti di torsione su un toro di Kähler piatto). La chiave pubblica è l'immagine rumorosa di questa sezione. Il messaggio non crea nuove chiavi; piuttosto, traccia un "cammino" $\gamma$ sulla base $P$, selezionando quale fibra (e quindi quale chiave segreta $s_t$) viene utilizzata per ogni blocco.
3. Meccanismo di Selezione Concatenata:
   • Inizializzazione dello Stato: Un nonce pubblico inizializza uno stato di hash $x_{-1}$.
   • Elaborazione del Blocco: Per ogni blocco $i$, lo stato corrente $x_{i-1}$ viene elaborato tramite hash per selezionare un indice di chiave $t_i$ e derivare una maschera di bit $\kappa_i$.
   • Cifratura: Il blocco di testo in chiaro $m_i$ viene mascherato ($\mu_i = m_i \oplus \kappa_i$) e cifrato utilizzando la chiave selezionata $s_{t_i}$ tramite una mappa di blocco standard in stile Lindner–Peikert/Kyber, producendo il ciphertext $(u_i, v_i)$.
   • Aggiornamento dello Stato: Il testo in chiaro recuperato $m_i$ (noto al mittente, recuperato dal destinatario) viene reinserito nella funzione di hash per aggiornare lo stato $x_i$, determinando la chiave per il blocco successivo.

Ciò crea una dipendenza in cui la traiettoria della selezione delle chiavi dipende dal contenuto del messaggio, ma le chiavi stesse sono generate indipendentemente dal messaggio prima della cifratura.

Contributi Chiave
Il documento apporta i seguenti contributi tecnici specifici:

• Framework Geometrico: Definisce un fascio fibrato discreto di chiavi su reticoli modulari su un toro di Kähler piatto, dove la chiave privata è una sezione e la chiave pubblica è un'immagine rumorosa sotto un endomorfismo per fibra.
• Specifiche Esplicite: Fornisce specifiche complete e separate per la generazione delle chiavi, la cifratura e la decifrazione, includendo una specifica mappa di blocco e una proposizione di inversione concatenata.
• Prova di Correttezza: Dimostra che la decifrazione ha successo se il rumore accumulato (dagli errori di generazione delle chiavi e dai nuovi errori di cifratura) rimane entro un determinato limite. Viene derivato un limite superiore del fallimento della decodifica, condizionato alla specifica realizzazione della famiglia di chiavi (ad es., $< 2^{-192}$ per 16 chiavi e 64 blocchi).
• Riduzione della Sicurezza: Stabilisce una riduzione IND-CPA (Indistinguibilità sotto Attacco a Testo in Chiaro Scelto) condizionale per l'intera catena. Questa riduzione permette ai messaggi di essere scelti dopo che la chiave pubblica è nota, senza modellare la funzione di hash come un oracolo casuale. La prova utilizza due percorsi: indovinare la fibra (che costa un fattore di $T$) o incorporare le sfide in tutte le fibre simultaneamente.
• Analisi dell'Esposizione Parziale: Fornisce leggi probabilistiche esatte per un modello di recupero "diretto-prefisso" in cui un avversario possiede un sottoinsieme di chiavi. Dimostra che, mentre una chiave esposta consente il recupero di un prefisso del messaggio, la struttura concatenata impedisce il recupero immediato dei blocchi successivi a meno che il cammino non rimanga sulle chiavi esposte.
• Correzione del Lavoro Precedente: Identifica ed esplicita il fallimento di una precedente proposta geometrica (che esponeva uno scalare del testo in chiaro lungo una direzione pubblica) assicurando che i testi in chiaro entrino additivamente e siano mascherati, prevenendo l'esposizione degli scalari.

Risultati e Limiti

• Affidabilità: Per una configurazione con $T=16$ chiavi e $L=64$ blocchi, la probabilità di fallimento della decodifica è limitata sotto $2^{-192}$. Questo è un limite di affidabilità, non una stima del livello di sicurezza.
• Sicurezza: La riservatezza dello schema è condizionata dalla durezza del problema Decisional Module-LWE. La riduzione incorre in perdite moltiplicative (ad es., fattori di $T$ o $L$) a seconda del percorso di riduzione scelto, il che significa che lo schema non rivendica un livello specifico di sicurezza concreta (ad es., 128 bit) senza ulteriori assunzioni sul problema sottostante dei reticoli.
• Limiti di Esposizione: In un modello ristretto in cui un avversario possiede una frazione $p$ delle chiavi, il numero atteso di blocchi direttamente recuperabili segue una distribuzione geometrica troncata. Tuttavia, il documento osserva che ciò non limita gli avversari non ristretti che potrebbero usare attacchi a messaggio candidato o testo in chiaro noto per inferire stati futuri.

Significato e Rivendicazioni
Il documento inquadra modestamente Z-Sigil come uno studio di una specifica architettura di composizione piuttosto che come un nuovo primitivo crittografico o un'implementazione conforme agli standard (non è un ML-KEM).

• Nessuna Autenticazione: Lo schema non fornisce autenticazione o sicurezza IND-CCA (Indistinguibilità sotto Attacco a Testo in Chiaro Scelto).
• Nessuna Rivendicazione di Accelerazione Quantistica: La motivazione geometrica fa riferimento a concetti di sovrapposizione quantistica (citando Manin), ma dichiara esplicitamente che questo è una motivazione per studiare l'architettura, non un argomento secondo cui lo schema previene attacchi quantistici.
• Direzione della Ricerca: Il lavoro funge da "banco di prova" per esplorare la geometria dipendente dal percorso in crittografia. Distingue tra l'attuale geometria piatta (che serve come rappresentazione) e i futuri fasci non banali e curvi con trasporto e olonomia, notando che i vincoli di trasporto integrale attuali sono severi (limitati a permutazioni con segno per preservare i budget di rumore).
• Verificabilità: Il documento enfatizza la riproducibilità, fornendo profili di byte, pseudocodice e vettori di risposta noti, mantenendo al contempo i record di implementazione separati dalle prove matematiche.

In sintesi, Z-Sigil dimostra che un cammino dipendente dal testo in chiaro su una famiglia pre-generata di chiavi su reticoli può essere costruito con correttezza provabile e riservatezza condizionale, a patto che il budget di rumore sia gestito e che la struttura geometrica non esponga involontariamente scalari del testo in chiaro. Serve come una proposta rigorosa per una specifica classe di cifratura basata su famiglie di chiavi e con stato, distinta dai KEM standard, con confini espliciti sulle sue garanzie di sicurezza.