Quantum-Aware Key Rank for Side-Channel Attacks evaluation

In de wereld van digitale beveiliging wordt de kracht van een geheime code vaak getest door te proberen de sleutel te stelen, niet door de wiskunde te breken, maar door naar de machine te luisteren. Wanneer een computer gegevens versleutelt, lekt er een klein beetje informatie via het stroomverbruik of elektromagnetische signalen. Beveiligingsexperts vangen deze lekken op, bekend als traces, en gebruiken deze om de lijst met mogelijke sleutels in te perken. In plaats van de juiste sleutel onmiddellijk te vinden, laten deze aanvallen meestal een lange, geordende lijst met kandidaten achter, waarbij de ware sleutel ergens in het midden verborgen is. De positie van de ware sleutel op deze lijst wordt de rang genoemd. Als de rang laag is, is de sleutel gemakkelijk te vinden; als de rang hoog is, is de sleutel effectief veilig. Decennialang hebben beveiligingslaboratoria deze rang gemeten om te bepalen of een apparaat veilig is, uitgaande van het scenario dat een aanvaller een standaardcomputer zou gebruiken om door de resterende mogelijkheden te zoeken.

Echter, de regels van het spel veranderen met de komst van quantumcomputers. Deze machines werken volgens andere fysieke principes en kunnen in theorie veel sneller door lijsten met mogelijkheden zoeken dan een klassieke computer. Een nieuw onderzoek door Yevgen Kotukh pakt een kritiek gat in ons begrip aan: wat gebeurt er wanneer een aanvaller een klassieke computer gebruikt om de initiële aanwijzingen te verzamlen, maar vervolgens overschakelt naar een quantumcomputer om de klus te klaren? Het onderzoek onthult dat de versnelling die quantumcomputers bieden, niet zo spectaculair of universeel is als sommige eerdere theorieën suggereerden. Het blijkt dat het voordeel volledig afhangt van hoeveel kandidaten er over zijn om te doorzoeken en hoeveel tijd de quantumcomputer krijgt om te draaien.

De onderzoekers bouwden een gedetailleerd model om dit specifieke type hybride aanvaller te simuleren. Ze stelden zich een scenario voor waarin een hacker eerst stroomtraces van een apparaat verzamelt en standaardsoftware gebruikt om een gerangschikte lijst van potentiële sleutels te maken. Deze lijst kan miljarden kandidaten bevatten. De hacker neemt deze lijst vervolgens en laat een quantumalgoritme draaien om de juiste sleutel te vinden. De studie bewijst dat voor elk individueel apparaat met een specifiek aantal resterende kandidaten, de quantumcomputer een versnelling biedt die exact evenredig is aan de vierkantswortel van dat aantal. Dit betekent dat als een klassieke computer een miljoen sleutels moet controleren, een quantumcomputer er misschien slechts duizend hoeft te controleren. Dit is een significante verbetering, maar het is niet de magische, exponentiële explosie van snelheid die sommige eerdere, meer abstracte theorieën voorspelden. Die eerdere theorieën suggereerden dat quantumcomputers zelfs sneller zouden kunnen zijn, maar het nieuwe onderzoek toont aan dat die voorspellingen gebaseerd waren op het middelen van resultaten over veel verschillende apparaten, in plaats van te kijken naar de specifieke realiteit van een enkele aanval.

Een cruciaal onderdeel van de studie betreft de fysieke limieten van quantumcomputers. Deze machines zijn nog niet perfect; ze kunnen slechts een bepaald aantal operaties uitvoeren voordat hun delicate quantumtoestanden instorten. De onderzoekers pasten een strikte limiet toe op de diepte van het quantumcircuit, die de maximale hoeveelheid stappen vertegenwoordigt die een toekomstige quantumcomputer in een jaar of een decennium zou kunnen zetten. Ze ontdekten dat de kwadratische versnelling alleen werkt wanneer het aantal resterende sleutels onder een bepaalde drempelwaarde ligt. Als de lijst met kandidaten te lang is, wordt de quantumcomputer gedwongen om veel kopieën van zichzelf parallel te draaien om binnen de tijdslimiet te blijven. Deze parallellisatie vreet het snelheidsvoordeel op, waardoor het voordeel wordt teruggebracht tot een eenvoudige, constante factor. Voor moderne encryptiestandaarden zoals AES-128 sluit dit "venster" van voordeel wanneer de rang van de sleutel een specifiek punt bereikt, ongeveer overeenkomend met een rang van 2 tot de macht 59. Voorbij dit punt is de quantumcomputer niet langer exponentieel sneller; hij is slechts een vast aantal keren sneller, en in sommige gevallen is het voordeel zo klein dat het nauwelijks uitmaakt.

Om beveiligingslaboratoria te helpen zich aan deze nieuwe realiteit aan te passen, heeft de auteur een nieuwe metriek geïntroduceerd: de "quantum-bewuste sleutelrang" (quantum-aware key rank). Dit hulpmiddel stelt evaluatoren in staat om de standaardrang die ze al berekenen om te zetten in een waarde die de beveiligingsgraad reflecteert tegenover een quantum-aanvaller met een specifieke tijdslimiet. Bijvoorbeeld, als een apparaat een klassieke rang heeft die suggereert dat het veilig is, kan de quantum-bewuste rang laten zien dat het in werkelijkheid kwetsbaar is omdat de quantumcomputer de sleutel binnen de toegestane tijd kan vinden. De studie biedt duidelijke formules voor deze conversie, die laten zien dat een apparaat een veel hogere klassieke rang nodig heeft om dezelfde mate van beveiliging te behouden tegen een quantum-adversary. Specifiek, voor een quantumcomputer die beperkt is tot een diepte van 2 tot de macht 40, moet een apparaat een klassieke rang van ongeveer 2 tot de macht 74 behouden om even veilig te zijn als een apparaat met een klassieke rang van 2 tot de macht 48.

Het onderzoek vergeleek ook twee verschillende manieren waarop een quantumcomputer de gelekte informatie kan gebruiken om de sleutel te vinden. De ene methode houdt in dat er een speciale quantumtoestand wordt voorbereid die de waarschijnlijkheid van elke sleutel reflecteert, terwijl de andere methode het zoeken door blokken van sleutels op een gestructureerde manier behelst. De studie concludeerde dat deze twee methoden, bij de soorten datalekken die typisch zijn voor real-world aanvallen, qua prestaties zeer dicht bij elkaar liggen. De beslissende factor is niet welke methode theoretisch sneller is, maar de kosten van de hardware die nodig is om de complexere methode te implementeren. De onderzoekers simuleerden deze aanvallen op een kleine, eenvoudige cipher en op realistische modellen van AES-encryptie om hun theorieën te bevestigen. Ze ontdekten dat voor een typische aanval met een lage signaal-ruisverhouding, een quantum-aanvaller met een groot gate-budget ongeveer 22 extra stroomtraces waard is voor een klassieke aanvaller. Met andere woorden, het quantumvoordeel is reëel, maar het is begrensd en voorspelbaar.

Dit werk lost een spanning op in de beveiligingsgemeenschap tussen twee conflicterende visies: één die beweerde dat quantumcomputers een super-snelle, exponentiële voorsprong zouden bieden, en één die suggereerde dat ze door hardwarelimieten misschien helemaal geen voordeel zouden bieden. De studie toont aan dat beide visies correct zijn, maar dat ze op verschillende situaties van toepassing zijn. Het super-snelle voordeel is een gemiddelde over vele mogelijke scenario's, terwijl het begrensde, kwadratische voordeel is wat er gebeurt bij elke individuele, real-world aanval. Door een concreet metriek en een duidelijk begrip van de limieten te bieden, geeft dit onderzoek beveiligingsevaluatoren de instrumenten die ze nodig hebben om het risico van quantum-aanvallen nauwkeurig in te schatten. Het verplaatst het gesprek van speculatie naar berekening, waardoor ervoor gezorgd kan worden dat onze verdediging, naarmate quantumtechnologie volwassen wordt, met precisie in plaats van gokwerk kan worden aangepast.