🔢 mathematics

MCSI: A Masked Commutative Supersingular Isogeny Key Exchange with Blinded Ephemeral Keys

Este artigo introduz o MCSI, um protocolo de troca de chaves de duas mensagens construído sobre a ação de classe do CSIDH que utiliza criptografia autenticada para ocultar chaves efêmeras, alcançando assim autenticação mútua implícita, ocultando elementos efêmeros de bisbilhoteiros e reduzindo significativamente o overhead computacional ao permitir que os destinatários descartem mensagens não autenticadas antes de avaliações caras de ação de grupo.

Autores originais: Furkan Cifci (M.Emin Sarac High School), Osman Emre Donder (Bilkent University), Reyyan Cifci (King Fahd University of Petroleum and Minerals)

Publicado 2026-08-25✓ Author reviewed ⓘ

📖 6 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Furkan Cifci (M.Emin Sarac High School), Osman Emre Donder (Bilkent University), Reyyan Cifci (King Fahd University of Petroleum and Minerals)

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Na corrida para proteger as comunicações digitais do mundo contra futuros computadores quânticos, os criptógrafos estão explorando um cenário construído não sobre grandes números, mas sobre a geometria de curvas. Imagine um vasto campo plano onde cada ponto representa uma forma matemática única chamada curva elíptica. Neste campo, existe uma regra especial que permite que uma forma seja transformada em outra de uma maneira que é fácil de fazer se você conhecer o caminho secreto, mas quase impossível de reverter se você não o conhecer. Este é o fundamento da criptografia baseada em isogenias. Diferente de outros métodos que dependem de chaves massivas, esta abordagem utiliza chaves minúsculas, tornando-a altamente eficiente para armazenamento e transmissão. No entanto, uma vulnerabilidade importante foi descoberta em um sistema relacionado há alguns anos, forçando os pesquisadores a repensar como essas curvas são usadas. O desafio tornou-se encontrar uma maneira de trocar chaves secretas usando essas formas geométricas minúsculas sem revelar qualquer informação que possa ser explorada por um observador poderoso, tudo isso garantindo que as duas partes sejam verdadeiramente quem afirmam ser.

Uma equipe de pesquisadores introduziu um novo protocolo chamado MCSI, que significa Troca de Chave de Isogenia Supersingular Comutativa Mascarada (Masked Commutative Supersingular Isogeny Key Exchange). Este sistema é projetado para permitir que duas pessoas, vamos chamá-las de Alice e Bob, estabeleçam uma chave secreta compartilhada sobre uma rede aberta sem que um bisbilhoteiro aprenda nada sobre os valores temporários que eles usam durante a conversa. A inovação reside em como eles escondem esses valores temporários. Em tentativas anteriores, os valores temporários eram enviados à vista de todos, exigindo que o receptor realizasse uma operação matemática complexa e demorada para verificar se a mensagem era válida. Isso criou um risco de segurança: um invasor malicioso poderia inundar um servidor com mensagens falsas, forçando-o a desperdiçar seu poder de computação em cálculos inúteis. O MCSI resolve isso envolvendo o valor temporário em um envelope autenticado e seguro. Antes mesmo de o receptor abrir o envelope para verificar a matemática, ele verifica um selo digital. Se o selão estiver rompido ou ausente, a mensagem é descartada imediatamente, poupando o receptor de realizar o trabalho pesado. Essa mudança simples protege o sistema de ser sobrecarregado por agentes mal-intencionados.

Os pesquisadores provaram que este método funciona perfeitamente todas as vezes quando ambas as partes seguem as regras, com zero erros na chave final. Eles também demonstraram que os valores temporários dentro do envelope permanecem ocultos de qualquer pessoa que esteja ouvindo, e que o selo digital impede efetivamente que um invasor manipule a mensagem. Crucialmente, a segurança do sistema não depende de uma suposição matemática que se mostrou falsa para este tipo específico de curva. Em vez disso, ela depende da dificuldade de resolver um quebra-cabeça específico envolvendo o arranjo dessas curvas, um problema que permanece difícil mesmo para computadores quânticos. A equipe também mostrou que uma ideia comum — adicionar uma camada simples de substituições de bytes aleatórios à mensagem criptografada para fazê-la parecer mais aleatória — não adiciona segurança real nenhuma, uma descoberta que ajuda a simplificar projetos futuros.

Para garantir que sua teoria se sustentasse no mundo real, a equipe construiu o sistema duas vezes, uma em uma linguagem de programação de alto nível e outra em uma linguagem de baixo nível usada para software rápido. Eles realizaram milhares de testes, comparando os resultados de ambas as versões para garantir que coincidissem perfeitamente. Suas medições revelaram que o novo protocolo é uma implementação de referência funcional, sendo que o tempo gasto nas camadas de criptografia e descriptografia é tão pequeno que é quase invisível comparado ao tempo necessário para as operações matemáticas principais. No entanto, eles também encontraram uma fraqueza significativa em seu próprio código. Como o tempo para realizar o cálculo principal depende da própria chave secreta, um invasor que possa medir o tempo de muitas sessões diferentes poderia potencialmente adivinhar partes da chave secreta. Os pesquisadores foram explícitos sobre essa falha: sua implementação atual não é segura para implantação no mundo real até que seja reescrita para rodar em tempo constante, o que significa que a duração do cálculo deve ser a mesma, independentemente da chave secreta.

O artigo também abordou um equívoco comum sobre quais números primos devem ser usados para este sistema. Muitos especialistas usaram números primos grandes específicos para outros tipos de criptografia, assumindo que funcionariam aqui também. Os pesquisadores provaram que um dos primos mais famosos, usado em uma curva padrão chamada P-521, é completamente inutilizável para este tipo específico de troca de chaves. Eles mostraram que a estrutura matemática necessária para o sistema deles simplesmente não existe com esse primo, forçando o uso de um número diferente, especialmente construído. Esta descoberta é vital para qualquer pessoa que tente construir tal sistema, pois evita o uso de uma ferramenta padrão que levaria a um design quebrado.

Embora o protocolo consiga esconder os valores temporários e prevenir ataques de negação de serviço, os autores são cuidadosos ao declarar o que ainda não provaram. Eles não mostraram que o sistema permanece seguro se um invasor puder revelar os segredos temporários usados durante uma sessão, nem provaram que o sistema é seguro contra um invasor que possa interferir ativamente nas mensagens de maneiras mais complexas. Além disso, o ocultamento dos valores temporários não possui sigilo perfeito adiante (forward secrecy); se um invasor roubar uma chave secreta de longo prazo no futuro, ele poderá voltar e remover a proteção das mensagens antigas para ver os valores temporários, embora a chave de sessão final provavelmente permaneça segura. Os pesquisadores concluem que, embora o MCSI seja uma especificação sólida com uma implementação de referência funcional, ele ainda não está pronto para o público. O caminho a seguir exige a construção de uma versão que rode em tempo constante para fechar o vazamento de tempo e provar que o sistema pode resistir a ataques mais agressivos. Até que esses passos sejam tomados, o protocolo descrito aqui é uma especificação com uma implementação de referência, e não algo que alguém deva implantar.

Resumo Técnico: MCSI – Um Intercâmbio de Chaves de Isogenia Supersingular Comutativa Mascarada

1. Definição do Problema

O artigo aborda o design de um protocolo de intercâmbio de chaves autenticado pós-quântico (AKE) baseado na ação de CSIDH (Commutative Supersingular Isogeny Diffie-Hellman). Embora o CSIDH ofereça as menores chaves públicas entre as famílias pós-quânticas, as trocas não autenticadas padrão sobre esta ação de grupo sofrem de dois problemas primários:

Vulnerabilidade de Negação de Serviço (DoS): Em uma troca padrão, o receptor deve avaliar a ação de grupo dispendiosa (levando dezenas de milissegundos) em uma curva fornecida pelo iniciador antes de verificar a autenticidade da mensagem. Um atacante não autenticado pode forçar o receptor a realizar essa computação custosa repetidamente.
Falta de Confidencialidade Efêmera: As trocas CSIDH padrão transmitem o elemento público efêmero (a curva) em claro, permitindo que observadores passivos observem o estado intermediário do intercâmbio de chaves.

Além disso, o artigo esclarece um equívoco comum: ao contrário do ramo SIDH da criptografia de isogenia, o ramo de isogenia comutativa CSIDH não publica imagens de pontos de torção. Portanto, o "mascaramento" neste contexto não é uma contramedida contra ataques de pontos de torção (que quebraram o SIDH), mas sim um mecanismo para ocultar o elemento público efêmero e prevenir DoS.

2. Metodologia e Design do Protocolo

Os autores propõem o MCSI (Masked Commutative Supersingular Isogeny), um protocolo de intercâmbio de chaves de duas mensagens que integra a ação de grupo CSIDH com criptografia autenticada.

Mecanismo Central

Chaves Estáticas: Ambas as partes possuem pares de chaves estáticas de longo prazo $(a, pk_A)$ e $(b, pk_B)$ derivadas da ação do grupo de classes CSIDH.
Valor Compartilhado Estático-Estático ( $Z_{ss}$ ): Antes de qualquer sessão, as partes computam um valor compartilhado $Z_{ss} = (ab) \star x_0$ usando seus segredos estáticos e a chave pública estática do par. Devido à comutatividade do grupo de classes, ambas as partes derivam o mesmo $Z_{ss}$ .
Camada de Mascaramento (Blinding): O valor compartilhado estático-estático $Z_{ss}$ é usado para derivar uma chave simétrica para Criptografia Autenticada com Dados Associados (AEAD).
Fluxo do Protocolo:
1. Iniciador: Gera um segredo efêmero $u$ , computa o elemento público efêmero $T_A = u \star x_0$ , e criptografa $T_A$ usando o esquema AEAD chaveado por $Z_{ss}$ . O texto cifrado é enviado.
2. Receptor: Decifra a mensagem usando a chave armazenada em cache derivada de $Z_{ss}$ . Se a tag de autenticação falhar, o receptor aborta imediatamente após uma única verificação de hash/tag, evitando a avaliação da custosa ação de grupo. Se for válida, o receptor recupera $T_A$ , gera seu próprio segredo efêmero $w$ , computa $T_B = w \star x_0$ , e criptografa $T_B$ para enviar de volta.
3. Derivação de Chave: Ambas as partes computam a chave de sessão usando um hash do transcrito e três valores compartilhados:
  - $Z_{ee} = (uw) \star x_0$ (Efêmero-Efêmero, proporcionando segredo perfeito adiante/forward secrecy).
  - $Z_{es} = (ub) \star x_0$ (Efêmero-Estático, proporcionando autenticação).
  - $Z_{se} = (aw) \star x_0$ (Estático-Efêmero, proporcionando autenticação).
  - $Z_{ss}$ (Estático-Estático, usado para mascaramento).

Racional de Design

O artigo rejeita explicitamente derivar a chave de mascaramento do próprio segredo da sessão, pois isso cria uma dependência circular. Em vez disso, baseia-se no valor estático-estático pré-compartilhado. Os autores também provam que adicionar uma camada de substituição de bytes pública (S-box) ao texto cifrado não fornece segurança adicional, justificando o uso de AEAD padrão sem tais modificações.

3. Principais Contribuições

O artigo apresenta as seguintes contribuições específicas:

Especificação do Protocolo: Uma especificação completa do MCSI sobre uma ação de grupo abstrata e efetiva, instanciada com CSIDH. Inclui um argumento de design provando que a chave de mascaramento deve ser derivada de segredos estáticos, não do segredo da sessão.
Prova de Correção: Um teorema provando a correção de erro zero, baseando-se estritamente na comutatividade do grupo de classes, nos axiomas da ação de grupo e na unicidade do representante da curva de Montgomery.
Provas de Segurança: Três teoremas de segurança no Modelo de Oráculo Aleatório (ROM), todos reduzindo à Suposição de Paralelização Forte (GA-StCDH):
- Indistinguibilidade da Chave de Sessão: A chave de sessão é indistinguível de um valor aleatório contra um adversário passivo.
- Confidencialidade do Mascaramento: Os elementos efêmeros são ocultados de observadores passivos.
- Integridade do Transporte: Um adversário sem segredos estáticos não pode forjar uma mensagem que o destinatário aceite.
- Nota: As provas evitam explicitamente a Suposição de Decisão da Ação de Grupo (GA-DDH), que é conhecida por ser falsa para CSIDH devido à teoria do gênero.
Análise de Parâmetros: Uma análise crítica da seleção de primos. Os autores demonstram que primos escolhidos para problemas de logaritmo discreto em curvas elípticas padrão (ex: NIST P-521, onde $p = 2^{521}-1$ ) são inutilizáveis para CSIDH porque $p+1$ carece da suavidade necessária (fatores primos pequenos) para gerar uma ação de grupo de classe avaliável de forma eficiente.
Implementação de Referência: Uma implementação dupla em C portátil e Python, verificada cruzadamente usando vetores de resposta conhecidos.
Auditoria de Canal Lateral: Uma medição detalhada do comportamento de tempo da implementação de referência, revelando que a implementação não otimizada vaza a norma um do segredo privado através do tempo de execução.

4. Resultados e Medições

Desempenho e Sobrecarga

Custo: O protocolo requer quatro avaliações de ação de grupo por parte por sessão (mais uma avaliação em cache por par para $Z_{ss}$ ). Isso é um fator de dois maior do que um intercâmbio CSIDH não autenticado, mas a camada simétrica (AEAD) tem um custo de tempo desprezível (~~4 $\mu$ s) comparado à ação de grupo (~~130 ms).
Mitigação de DoS: O principal ganho de desempenho está na resistência a DoS. Uma mensagem não autenticada é rejeitada após uma verificação de tag (~~2,4 $\mu$ s) em vez de após uma avaliação de ação de grupo (~~130 ms), uma aceleração de aproximadamente 50.000x.
Tamanhos: O MCSI oferece chaves públicas significativamente menores do que as alternativas baseadas em reticulados (ML-KEM) ou baseadas em códigos (Classic McEliece). Para o nível de segurança de 512 bits, a chave pública é de 64 bytes e o tráfego total da sessão é de 192 bytes.

Achados de Implementação

Vazamentos de Tempo: A implementação de referência não é de tempo constante. Os autores mediram uma forte correlação (Pearson 0.90) entre a norma um da chave privada e o tempo de execução.
Gravidade do Vazamento: Duas chaves com normas um diferindo por apenas 5 (de um possível 370) podem ser distinguidas com aproximadamente 200 medições de tempo.
Validação: A função Validate (que verifica se uma curva é supersingular) foi considerada livre de fluxo de controle dependente de segredo na auditoria, embora a própria avaliação da ação de grupo vaze informações por construção.

5. Significância e Limitações

O artigo posiciona o MCSI como uma especificação com uma implementação de referência funcional, explicitamente não como uma solução pronta para implantação.

Significância:

Demonstra que o intercâmbio de chaves autenticado sobre CSIDH é viável com autenticação mútua implícita e confidencialidade efêmera.
Fornece uma prova rigorosa de que o "mascaramento" dos elementos efêmeros não depende da suposição decisória quebrada (GA-DDH).
Destaca a restrição crítica, frequentemente negligenciada, de que os primos para esquemas de isogenia comutativa devem ser construídos especificamente para suavidade, não escolhidos de padrões ECC existentes.

Limitações Explícitas (O que o artigo não prova):

Segredo Perfeito Adiante (Forward Secrecy) do Mascaramento: Se um adversário obtiver posteriormente um segredo estático, ele poderá recomputar $Z_{ss}$ e remover o mascaramento dos transcritos registrados para revelar os elementos efêmeros.
Modelos de Segurança Forte: As provas não cobrem os modelos Canetti-Krawczyk (CK) ou CK estendido (ex: resistência à revelação de chave efêmera ou comprometimento de chave por personificação).
Adversários Ativos: Embora a integridade do transporte seja provada, a segurança total da chave de sessão contra um adversário ativo que controla a entrega de mensagens não é estabelecida.
Segurança de Implementação: A implementação de referência não é de tempo constante e é vulnerável a ataques de tempo. Os autores afirmam que uma implementação de tempo constante é um pré-requisito para a implantação.
Pares Maliciosos: O protocolo não inclui uma transformação de Fujisaki-Okamoto para proteger contra um par que possui uma chave estática válida, mas age de forma maliciosa.

Em conclusão, o MCSI fornece um design teoricamente sólido, eficiente e de pequena pegada para intercâmbio de chaves pós-quânticas, mas os autores enfatizam que a implementação atual requer um endurecimento significativo (especificamente execução de tempo constante) antes de poder ser considerada segura para uso no mundo real.