Signature Placement in Post-Quantum TLS Certificate Hierarchies: An Experimental Study of ML-DSA and SLH-DSA in TLS 1.3 Authentication

Resumo Técnico: Posicionamento de Assinaturas em Hierarquias de Certificados TLS Pós-Quânticos

1. O Problema

A migração para a criptografia pós-quântica (PQ) no TLS 1.3 não deve ser vista apenas como uma substituição plana de algoritmos (trocar um algoritmo clássico por um pós-quântico). O artigo argumenta que o custo prático e a viabilidade operacional dependem criticamente de onde o algoritmo de assinatura é posicionado dentro da hierarquia de certificados (PKI).

Com a padronização do NIST de algoritmos como ML-DSA (baseado em reticulados, derivado do Dilithium) e SLH-DSA (baseado em hash, derivado do SPHINCS+), surge a questão: a simples presença de um algoritmo mais pesado (SLH-DSA) em qualquer parte da cadeia é suficiente para degradar o desempenho, ou o impacto é determinado especificamente pela sua colocação no certificado da folha (leaf) versus camadas superiores (raiz/intermediária)?

O estudo identifica uma lacuna na literatura: a maioria das avaliações foca no tamanho do certificado ou no custo primitivo, ignorando como a exposição efetiva da cadeia durante o handshake e a distribuição de carga computacional entre cliente e servidor variam drasticamente dependendo do posicionamento.

2. Metodologia Experimental

O estudo foi conduzido em um ambiente laboratorial controlado (bare metal) utilizando:

• Stack de Implementação: OpenSSL 3 com o provedor oqsprovider (Open Quantum Safe).
• Algoritmos Testados: ML-DSA e SLH-DSA.
• Modos de Troca de Chaves (KEX): Clássico (X25519), Híbrido (X25519 + ML-KEM-768) e Puro Pós-Quântico (ML-KEM-768).
• Variáveis de Design: Profundidade da hierarquia (2 e 3 níveis) e posicionamento da assinatura (Raiz, Intermediária, Folha).

O experimento foi dividido em quatro campanhas para isolar variáveis específicas:

1. Campanha A (Comparação apenas na Folha): Substituição direta do algoritmo no certificado do servidor, mantendo a hierarquia simples.
2. Campanha B (Matriz de Estratégia Completa): Avaliação de hierarquias completas (Raiz/Intermediária/Folha) com combinações mistas de ML-DSA e SLH-DSA.
3. Campanha C (Comparação de Profundidade): Análise do impacto de aumentar a profundidade da cadeia (2 vs 3 níveis) para diferentes famílias de assinaturas.
4. Campanha D (Exploração de KEX): Verificação se a escolha do modo de troca de chaves altera o cenário dominante.

Métricas: Latência do handshake (média e P95), tamanho dos dados transmitidos, contadores de desempenho de CPU (task-clock, instruções, ciclos) separados por cliente e servidor.

3. Principais Contribuições

• Foco no Posicionamento: Demonstra que o posicionamento da assinatura é uma variável explicativa mais poderosa do que a mera presença da família de algoritmos.
• Regime Distinto "Leaf-SLH": Identifica que colocar SLH-DSA no certificado da folha (leaf) cria um regime operacional catastrófico e distinto, não apenas um aumento gradual de custo.
• Decomposição de Custo: Prova que o gargalo no regime "Leaf-SLH" é quase exclusivamente computacional no lado do servidor, e não um problema de largura de banda ou validação no cliente.
• Tradução Operacional: Converte os dados de latência em métricas de capacidade de serviço (handshakes por segundo por vCPU) e custos econômicos, mostrando a inviabilidade de certas estratégias em ambientes de alto volume.

4. Resultados Chave

A. A Descontinuidade do "Leaf-SLH"

• Cenário ML-DSA (Base): O handshake ocorre em menos de 1 ms (média ~0,8 ms). O custo é equilibrado entre cliente e servidor.
• Cenário SLH-DSA na Raiz/Intermediária (com ML-DSA na Folha): Há um aumento de latência moderado (ex: de 0,8 ms para ~2,1 ms). O custo é "penalizado, mas plausível". A carga adicional recai principalmente na validação do lado do cliente.
• Cenário SLH-DSA na Folha (Leaf-SLH): Ocorre uma colapso operacional. A latência média salta para ~1,4 segundos (um aumento de ~1.700x a 2.000x em relação à base).
  • Causa: O custo computacional no servidor aumenta em ~2.500x. O servidor gasta quase 100% do tempo do handshake processando a assinatura da folha.
  • Transporte: O aumento no tamanho dos dados transmitidos (bytes) explica apenas uma fração mínima desse atraso. O gargalo é puramente computacional no servidor.

B. Profundidade da Hierarquia vs. Exposição Efetiva

• Aumentar a profundidade da cadeia (de 2 para 3 níveis) não é inerentemente prejudicial se o algoritmo pesado estiver nas camadas superiores.
• Em alguns casos (Raiz SLH + Folha ML), aumentar a profundidade reduziu a latência, pois removeu o certificado pesado da raiz da cadeia efetiva transmitida durante o handshake (substituindo-o por um intermediário mais leve). Isso prova que a "exposição efetiva" é mais importante que a "lógica PKI".

C. Impacto na Capacidade e Custos

• Capacidade: Um servidor que suporta ~6,4 milhões de handshakes por hora com ML-DSA cairia para ~2.500 handshakes por hora com Leaf-SLH.
• Custo: Para manter o mesmo throughput, a infraestrutura necessária aumentaria em ~2.500 vezes (multiplier de infraestrutura) para cenários Leaf-SLH, tornando-os economicamente inviáveis para serviços interativos de front-end.

5. Significado e Implicações

O artigo conclui que a migração para o TLS pós-quântico deve ser tratada como um problema de design de hierarquia de certificados, e não apenas de seleção de algoritmo.

• Estratégia Recomendada: Estratégias híbridas onde algoritmos mais pesados e conservadores (como SLH-DSA) são confinados às camadas superiores de confiança (Raiz/Intermediária), enquanto o certificado de folha (exposto diretamente ao cliente) utiliza algoritmos mais eficientes (como ML-DSA).
• Estratégia Inviável: Colocar SLH-DSA no certificado da folha do servidor é "operacionalmente desqualificante" para serviços interativos de alto volume, transformando a autenticação em um problema de escalabilidade catastrófico.
• Mensagem Final: O posicionamento da assinatura importa tanto quanto a escolha da família de algoritmos. Projetar a exposição da cadeia de certificados é parte intrínseca da engenharia de segurança e desempenho do protocolo.

Em suma, o estudo fornece evidências empíricas de que a migração para o pós-quântico exige uma abordagem matizada de PKI, evitando a colocação de assinaturas computacionalmente intensivas no ponto de interação direta (folha) para garantir a viabilidade operacional do TLS 1.3.