MCSI: A Masked Commutative Supersingular Isogeny Key Exchange with Blinded Ephemeral Keys
Dit artikel introduceert MCSI, een twee-berichten sleuteluitwisselingsprotocol gebouwd op de CSIDH-klasgroepactie dat authentieke versleuteling gebruikt om efemere sleutels te verbergen, waardoor impliciete wederzijdse authenticatie wordt bereikt, efemere elementen voor afluisteraars worden verborgen en de computationele overhead aanzienlijk wordt verminderd door ontvangers in staat te stellen niet-geauthenticeerde berichten te verwijderen vóór dure groepactie-evaluaties.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
In de race om de digitale communicatie van de wereld te beveiligen tegen toekomstige kwantumcomputers, verkennen cryptografen een landschap dat niet gebouwd is op grote getallen, maar op de geometrie van krommen. Stel je een uitgestrekt, vlak veld voor waar elk punt een unieke wiskundige vorm vertegenwoordigt, een elliptische kromme genoemd. In dit veld is er een speciale regel die ervoor zorgt dat één vorm in een andere getransformeerd kan worden op een manier die gemakkelijk uit te voeren is als je het geheime pad kent, maar bijna onmogelijk om te keren als je dat niet doet. Dit is de basis van isogenie-gebaseerde cryptografie. In tegen tegenstelling tot andere methoden die vertrouwen op enorme sleutels, gebruikt deze aanpak piepkleine sleutels, wat het zeer efficiënt maakt voor opslag en transmissie. Echter, een grote kwetsbaarheid werd enkele jaren geleden ontdekt in een gerelateerd systeem, wat onderzoekers dwong om opnieuw na te denken over hoe deze krommen worden gebruikt. De uitdaging is geworden om een manier te vinden om geheime sleutels uit te wisselen met behulp van deze kleine, geometrische vormen zonder enige informatie te onthullen die door een machtige waarnemer geëxploiteerd zou kunnen worden, terwijl men er tegelijkertijd voor zorgt dat beide partijen echt zijn wie ze beweren te zijn.
Een team van onderzoekers heeft een nieuw protocol geïntroduceerd genaamd MCSI, wat staat voor Masked Commutative Supersingular Isogeny Key Exchange. Dit systeem is ontworpen om twee mensen, laten we ze Alice en Bob noemen, een gedeelde geheime sleutel te laten vaststellen over een open netwerk zonder dat een afluisteraar iets leert over de tijdelijke waarden die zij tijdens het gesprek gebruiken. De innovatie ligt in de manier waarop zij deze tijdelijke waarden verbergen. In eerdere pogingen werden de tijdelijke waarden in het volle zicht verzonden, waardoor de ontvanger een complexe en tijdrovende wiskundige operatie moest uitvoeren om te controleren of het bericht geldig was. Dit creëerde een beveiligingsrisico: een kwaadwillende aanvaller zou een server kunnen overspoelen met valse berichten, waardoor deze zijn rekenkracht zou verspillen aan nutteloze berekeningen. MCSI lost dit op door de tijdelijke waarde in een veilige, geauthenticeerde envelop te wikkelen. Voordat de ontvanger de envelop opent om de wiskunde te controleren, verifieert hij een digitaal zegel. Als het zegel verbroken of ontbrekend is, wordt het bericht onmiddellijk weggegooid, waardoor de ontvanger wordt behoed voor het zware werk. Deze eenvoudige verandering beschermt het systeem tegen het overspoeld worden door kwaadwillende actoren.
De onderzoekers bewezen dat deze methode perfect werkt elke keer wanneer beide partijen de regels volgen, met nul fouten in de uiteindelijke sleutel. Ze hebben ook aangetoond dat de tijdelijke waarden binnen de envelop verborgen blijven voor iedereen die meeluistert, en dat het digitale zegel effectief voorkomt dat een aanvaller met het bericht rommelt. Cruciaal is dat de beveiliging van het systeem niet rust op een wiskundige aanname die voor dit specifieke type kromme als onjuist is aangetoond. In plaats daarvan rust het op de moeilijkheid van het oplossen van een specifieke puzzel met betrekking tot de ordening van deze krommen, een probleem dat zelfs voor kwantumcomputers moeilijk blijft. Het team heeft ook aangetoond dat een veelvoorkomend idee — het toevoegen van een eenvoudige laag van willekeurige byte-substituties aan het versleutelde bericht om het er willekeuriger uit te laten zien — geen echte beveiliging toevoegt, een bevinding die helpt bij het stroomlijnen van toekomstige ontwerpen.
Om te garanderen dat hun theorie standhoudt in de echte wereld, hebben het team het systeem tweemaal gebouwd, één keer in een programmeertaal op hoog niveau en één keer in een programmeertaal op laag niveau die wordt gebruikt voor snelle software. Ze hebben duizenden tests uitgevoerd en de resultaten van beide versies vergeleken om te zorgen dat ze perfect overeenkwamen. Hun metingen onthulden dat het nieuwe protocol een werkende referentie-implementatie is, waarbij de tijd die wordt besteed aan de encryptie- en decryptielagen zo klein is dat deze bijna onzichtbaar is vergeleken met de tijd die nodig is voor de kernwiskundige operaties. Echter, ze ontdekten ook een aanzienlijke zwakte in hun eigen code. Omdat de tijd die het uitvoeren van de kernberekening kost afhangt van de geheime sleutel zelf, kan een aanvaller die de tijd van vele sessies kan meten, potentieel delen van de geheime sleutel raden. De onderzoekers waren expliciet over dit gebrek: hun huidige implementatie is niet veilig voor inzet in de echte wereld totdat het wordt herschreven om in constante tijd te draaien, wat betekent dat de duur van de berekening onafhankelijk moet zijn van de geheime sleutel.
Het artikel behandelde ook een veelvoorkomend misverstand over welke wiskundige priemgetallen gebruikt moeten worden voor dit systeem. Veel experts hebben specifieke grote priemgetallen gebruikt voor andere soorten encryptie, in de veronderstelling dat deze hier ook zouden werken. De onderzoekers bewezen dat een van de meest beroemde priemgetallen, gebruikt voor een standaardkromme genaamd P-521, volkomen onbruikbaar is voor dit specifieke type sleuteluitwisseling. Ze toonden aan dat de wiskundige structuur die vereist is voor hun systeem simpelweg niet bestaat met dat priemgetal, wat het gebruik van een ander, speciaal geconstrueerd getal afdwingt. Deze bevinding is essentieel voor iedereen die een dergelijk systeem probeert te bouwen, omdat het het gebruik van een standaard hulpmiddel voorkomt dat tot een gebrekkig ontwerp zou leiden.
Ho Hoewel het protocol erin slaagt de tijdelijke waarden te verbergen en denial-of-service-aanvallen te voorkomen, zijn de auteurs voorzichtig in het vermelden wat zij nog niet hebben bewezen. Ze hebben niet aangetoond dat het systeem veilig blijft als een aanvaller de tijdelijke geheimen kan onthullen die tijdens een sessie zijn gebruikt, noch hebben ze bewezen dat het systeem veilig is tegen een aanvaller die op complexere manieren actief ingrijpt in de berichten. Bovendien is het verbergen van de tijdelijke waarden niet 'forward secret'; als een aanvaller in de toekomst een langetermijngeheime sleutel steelt, kan hij teruggaan en de bescherming van oude opgenomen berichten verwijderen om de tijdelijke waarden te zien, hoewel de uiteindelijke sessiesleutel waarschijnlijk veilig blijft. De onderzoekers concluderen dat hoewel MCSI een solide specificatie is met een werkende referentie-implementatie, het nog niet klaar is voor het publiek. De weg vooruit vereist het bouwen van een versie die in constante tijd draait om de timing-lek te sluiten, en het bewijzen dat het systeem bestand is tegen agressievere aanvallen. Tot die tijd is het protocol dat hier beschreven wordt een specificatie met een werkende referentie, en niet iets dat men zomaar zou moeten implementeren.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.