Z-Sigil: A Public-Key Cryptosystem with Chained Selection over a Fiber Bundle of Module-Lattice Keys

Resumo Técnico de "Z-Sigil: Um Criptossistema de Chave Pública com Seleção Encadeada sobre um Feixe de Fibras de Chaves de Lattice de Módulo"

Problema
Os criptossistemas de chave pública padrão tipicamente fixam uma única chave secreta para criptografar todos os blocos de uma mensagem. O Z-Sigil aborda a questão arquitetural de se um texto simples pode determinar a ordem na qual uma família pré-gerada de chaves secretas é acessada, criando um "passeio" através de um espaço de chaves em vez da aplicação estática de uma única chave. O artigo investiga essa arquitetura para determinar se tal acoplamento de um estado alimentado pelo texto simples com uma família de chaves de lattice pode ser construído de forma segura e correta, evitando as armadilhas de propostas geométricas anteriores que inadvertidamente expunham escalares do texto simples.

Metodologia e Construção
A construção baseia-se em três componentes distintos:

1. Fundação Module-LWE: A aritmética central baseia-se na suposição Module-Learning With Errors (Module-LWE). Uma matriz pública $A$ compartilhada e uma família de vetores públicos $b_t = A s_t + e_t$ são gerados, onde $s_t$ são vetores secretos pequenos e $e_t$ são vetores de erro pequenos.
2. Abstração Geométrica (Feixe de Fibras): A família de chaves é modelada como uma seção $\sigma$ de um feixe de fibras discreto sobre uma base finita $P$ (um conjunto de pontos de torção em um toro de Kähler plano). A chave pública é uma imagem ruidosa desta seção. A mensagem não cria novas chaves; em vez disso, ela traça um "passeio" $\gamma$ na base $P$, selecionando qual fibra (e, portanto, qual chave secreta $s_t$) será usada para cada bloco.
3. Mecanismo de Seleção Encadeada:
   • Inicialização de Estado: Um nonce público inicializa um estado de hash $x_{-1}$.
   • Processamento de Bloco: Para cada bloco $i$, o estado atual $x_{i-1}$ é transformado por um hash para selecionar um índice de chave $t_i$ e derivar uma máscara de bits $\kappa_i$.
   • Criptografia: O bloco de texto simples $m_i$ é mascarado ($\mu_i = m_i \oplus \kappa_i$) e criptografado usando a chave selecionada $s_{t_i}$ via um mapa de bloco padrão do tipo Lindner–Peikert/Kyber, produzindo o texto cifrado $(u_i, v_i)$.
   • Atualização de Estado: O texto simples recuperado $m_i$ (conhecido pelo remetente, recuperado pelo destinatário) é retroalimentado na função de hash para atualizar o estado $x_i$, determinando a chave para o próximo bloco.

Isso cria uma dependência onde a trajetória de seleção de chave depende do conteúdo da mensagem, mas as chaves são geradas independentemente da mensagem antes da criptografia.

Principais Contribuições
O artigo apresenta as seguintes contribuições técnicas específicas:

• Estrutura Geométrica: Define um feixe de fibras discreto de chaves de lattice de módulo sobre um toro de Kähler plano, onde a chave privada é uma seção e a chave pública é uma imagem ruidosa sob um endomorfismo de fibra.
• Especificações Explícitas: Fornece especificações completas e separadas para geração de chave, criptografia e descriptografia, incluindo um mapa de bloco específico e uma proposição de inversão encadeada.
• Prova de Correção: Prova que a descriptografia ocorre com sucesso se o ruído acumulado (dos erros de geração de chave e dos erros de criptografia fresca) permanecer dentro de um limite específico. Um limite superior de falha de decodificação é derivado, condicionado à realização específica da família de chaves (ex: $< 2^{-192}$ para 16 chaves e 64 blocos).
• Redução de Segurança: Estabelece uma redução IND-CPA (Indistinguibilidade sob Ataque de Texto Simples Escolhido) condicional para a cadeia completa. Esta redução permite que as mensagens sejam escolhidas após a chave pública ser conhecida, sem modelar a função de hash como um oráculo aleatório. A prova utiliza duas rotas: adivinhar a fibra (custando um fator de $T$) ou incorporar desafios em todas as fibras simultaneamente.
• Análise de Exposição Parcial: Fornece leis probabilísticas exatas para um modelo de recuperação de "prefixo direto" onde um adversário possui um subconjunto de chaves. Demonstra que, embora uma chave exposta permita a recuperação de um prefixo da mensagem, a estrutura encadeada impede a recuperação imediata de blocos subsequentes, a menos que o passeio permaneça sobre as chaves expostas.
• Correção de Trabalho Anterior: Identifica e corrige explicitamente a falha de uma proposta geométrica anterior (que expunha um escalar do texto simples ao longo de uma direção pública) ao garantir que os textos simples entrem de forma aditiva e sejam mascarados, prevenindo a exposição de escalares.

Resultados e Limites

• Confiabilidade: Para uma configuração com $T=16$ chaves e $L=64$ blocos, a probabilidade de falha de decodificação é limitada abaixo de $2^{-192}$. Este é um limite de confiabilidade, não uma estimativa de nível de segurança.
• Segurança: A confidencialidade do esquema é condicional à dureza do problema Decisional Module-LWE. A redução incorre em perdas multiplicativas (ex: fatores de $T$ ou $L$) dependendo do caminho de redução escolhido, o que significa que o esquema não reivindica um nível concreto de segurança (ex: 128 bits) sem pressuposições adicionais sobre o problema de lattice subjacente.
• Limites de Exposição: Em um modelo restrito onde um adversário detém uma fração $p$ das chaves, o número esperado de blocos diretamente recuperáveis segue uma distribuição geométrica limitada. No entanto, o artigo observa que isso não limita adversários irrestritos que possam usar ataques de mensagem candidata ou texto conhecido para inferir estados futuros.

Significância e Alegações
O artigo enquadra modestamente o Z-Sigil como um estudo de uma arquitetura de composição específica, em vez de uma nova primitiva criptográfica ou uma implementação padrão (não é um ML-KEM).

• Sem Autenticação: O esquema não fornece autenticação ou segurança IND-CCA (Indistinguibilidade sob Ataque de Texto Cifrado Escolhido).
• Sem Alegação de Velocidade Quântica: A motivação geométrica referencia conceitos de superposição quântica (citando Manin), mas afirma explicitamente que isso é uma motivação para estudar a arquitetura, não um argumento de que o esquema previne ataques quânticos.
• Direção de Pesquisa: O trabalho serve como um "banco de testes" para explorar a geometria dependente de caminho na criptografia. Distingue a geometria plana atual (que serve como uma representação) de pesquisas futuras em feixes não triviais e curvos com transporte e holonomia, observando que as restrições de transporte integral atuais são severas (limitadas a permutações com sinal para preservar os orçamentos de ruído).
• Verificação: O artigo enfatiza a reprodutibilidade, fornecendo perfis de bytes, pseudocódigo e vetores de resposta conhecidos, mantendo os registros de implementação separados das provas matemáticas.

Em resumo, o Z-Sigil demonstra que um passeio dependente do texto simples sobre uma família pré-gerada de chaves de lattice pode ser construído com correção provável e confidencialidade condicional, desde que o orçamento de ruído seja gerenciado e a estrutura geométrica não exponha inadvertidamente escalares do texto simples. Serve como uma proposta rigorosa para uma classe específica de criptografia baseada em estado e família de chaves, distinta dos KEMs padrão, com limites explícitos em suas garantias de segurança.