Quantum-Aware Key Rank for Side-Channel Attacks evaluation

Nel mondo della sicurezza digitale, la forza di un codice segreto viene spesso testata cercando di rubare la chiave non violando la matematica, ma ascoltando la macchina. Quando un computer cripta i dati, questi perdono piccole quantità di informazioni attraverso il consumo di energia o i segnali elettromagnetici. Gli esperti di sicurezza catturano queste perdite, note come tracce, e le usano per restringere l'elenco delle possibili chiavi. Invece di trovare immediatamente la chiave corretta, questi attacchi di solito lasciano un lungo elenco ordinato di candidati, con la vera chiave nascosta in qualche punto nel mezzo. La posizione della vera chiave in questo elenco è chiamata il suo rango. Se il rango è basso, la chiave è facile da trovare; se è alto, la chiave è effettivamente sicura. Per decenni, i laboratori di sicurezza hanno misurato questo rango per decidere se un dispositivo sia sicuro, assumendo che un attaccante utilizzerebbe un computer standard per cercare tra le possibilità rimanenti.

Tuttavia, le regole del gioco stanno cambiando con l'arrivo dei computer quantistici. Queste macchine operano su principi fisici differenti e possono, in teoria, cercare attraverso elenchi di possibilità molto più velocemente di quanto possa fare un computer classico. Una nuova ricerca di Yevgen Kotukh affronta una lacuna critica nella nostra comprenszione: cosa succede quando un attaccante usa un computer classico per raccogliere gli indizi iniziali, ma poi passa a un computer quantistico per finire il lavoro? La ricerca rivela che l'accelerazione fornita dai computer quantistici non è così drammatica o universale come suggerivano alcune teorie precedenti. Si scopre che il vantaggio dipende interamente da quanti candidati rimangono da cercare e da quanto tempo il computer quantistico può operare.

I ricercatori hanno costruito un modello dettagliato per simulare questo specifico tipo di attaccante ibrido. Immaginavano uno scenario in cui un hacker prima raccoglie le tracce di potenza da un dispositivo e utilizza software standard per creare un elenco classificato di potenziali chiavi. Questo elenco potrebbe contenere miliardi di candidati. L'hacker prende poi questo elenco ed esegue un algoritmo quantistico per trovare la chiave corretta. Lo studio dimostra che, per qualsiasi singolo dispositivo con un numero specifico di candidati rimanenti, il computer quantistico offre un'accelerazione che è esattamente proporzionale alla radice quadrata di quel numero. Ciò significa che se un computer classico deve controllare un milione di chiavi, un computer quantistico potrebbe doverne controllare solo mille. Questo è un miglioramento significativo, ma non è l'esplosione magica ed esponenziale di velocità che alcune teorie precedenti, più astratte, avevano previsto. Quelle teorie precedenti suggerivano che i computer quantistici potessero essere ancora più veloci, ma la nuova ricerca mostra che tali previsioni si basavano sulla media dei risultati su molti diversi dispositivi, piuttosto che guardare alla realtà specifica di un singolo attacco.

Una parte cruciale dello studio riguarda i limiti fisici dei computer quantistici. Queste macchine non sono ancora perfette; possono eseguire solo un certo numero di operazioni prima che i loro delicati stati quantistici collassino. I ricercatori hanno applicato un limite rigoroso alla profondità del circuito quantistico, rappresentando il numero massimo di passi che un futuro computer quantistico potrebbe compiere in un anno o in un decennio. Hanno scoperto che l'accelerazione quadratica funziona solo quando il numero di chiavi rimanenti è al di sotto di una certa soglia. Se l'elenco dei candidati è troppo lungo, il computer quantistico è costretto a eseguire molte copie di se stesso in parallelo per rimanere entro il proprio limite di tempo. Questa parallelizzazione erode il vantaggio di velocità, riducendo il beneficio a un semplice fattore costante. Per gli standard di crittografia moderni come l'AES-128, questa "finestra" di vantaggio si chiude quando il rango della chiave raggiunge un punto specifico, corrispondente approssimativamente a un rango di 2 alla potenza di 59. Oltre questo punto, il computer quantistico non è più esponenzialmente più veloce; è solo un numero fisso di volte più veloce e, in alcuni casi, il vantaggio è così piccolo che quasi non conta.

Per aiutare i laboratori di sicurezza ad adattarsi a questa nuova realtà, l'autore ha introdotto una nuova metrica chiamata "rango della chiave consapevole del quantum" (quantum-aware key rank). Questo strumento permette ai valutatori di prendere il rango standard che già calcolano e convertirlo in un valore che rifletta il livello di sicurezza contro un attaccante quantistico con un determinato limite di tempo. Ad esempio, se un dispositivo ha un rango classico che suggerisce sia sicuro, il rango consapevole del quantum potrebbe mostrare che è in realtà vulnerabile perché il computer quantistico può trovare la chiave entro il tempo consentito. Lo studio fornisce formule chiare per questa conversione, mostrando che per mantenere lo stesso livello di sicurezza contro un avversario quantistico, un dispositivo deve avere un rango classico molto più alto di quanto precedentemente ipotizzato. Nello specifico, per un computer quantistico limitato a una profondità di 2 alla potenza di 40, un dispositivo deve mantenere un rango classico di circa 2 alla potenza di 74 per essere sicuro quanto un dispositivo con un rango classico di 2 alla potenza di 48.

La ricerca ha anche confrontato due modi diversi in cui un computer quantistico potrebbe usare le informazioni trapelate per trovare la chiave. Un metodo prevede la preparazione di uno stato quantistico speciale che riflette la probabilità di ogni chiave, mentre l'altro prevede la ricerca attraverso blocchi di chiavi in modo strutturato. Lo studio ha scoperto che, sui tipi di perdite di dati tipicamente osservati negli attacchi reali, questi due metodi sono molto vicini in termini di prestazioni. Il fattore decisivo non è quale metodo sia teoricamente più veloce, ma il costo dell'hardware richiesto per implementare il metodo più complesso. I ricercatori hanno simulato questi attacchi su un piccolo cifrario didattico e su modelli realistici di crittografia AES per confermare le loro teorie. Hanno scoperto che, per un attacco tipico con un basso rapporto segnale-rumore, un attaccante quantistico con un grande budget di porte (gate budget) vale circa 22 tracce di potenza extra rispetto a un attaccante classico. In altre parole, il vantaggio quantistico è reale, ma è limitato e prevedibile.

Questo lavoro risolve una tensione nella comunità della sicurezza tra due visioni contrastanti: una che sosteneva che i computer quantistici avrebbero offerto un vantaggio super-veloce ed esponenziale, e un'altra che suggeriva che potrebbero non offrire alcun vantaggio a causa dei limiti dell'hardware. Lo studio dimostra che entrambe le visioni sono corrette, ma si applicano a situazioni diverse. Il vantaggio super-veloce è una media su molti scenari possibili, mentre il vantaggio quadratico e limitato è ciò che accade in ogni singolo attacco reale. Fornendo una metrica concreta e una chiara comprensione dei limiti, questa ricerca offre ai valutatori di sicurezza gli strumenti necessari per valutare accuratamente il rischio degli attacchi quantistici. Sposta la conversazione dalla speculazione al calcolo, assicurando che, man mano che la tecnologia quantistica matura, le nostre difese possano essere regolate con precisione anziché con il semplice indovinare.