Quantum-Aware Key Rank for Side-Channel Attacks evaluation

No mundo da segurança digital, a força de um código secreto é frequentemente testada ao tentar roubar a chave não quebrando a matemática, mas ouvindo a máquina. Quando um computador criptografa dados, ele vaza pequenas quantidades de informação através de seu consumo de energia ou sinais eletromagnéticos. Especialistas em segurança capturam esses vazamentos, conhecidos como traços (traces), e os utilizam para restringir a lista de possíveis chaves. Em vez de encontrar a chave correta imediatamente, esses ataques geralmente deixam uma lista ordenada e longa de candidatos, com a chave verdadeira escondida em algum lugar no meio. A posição da chave verdadeira nesta lista é chamada de seu rank (classificação). Se o rank for baixo, a chave é fácil de encontrar; se for alto, ela é efetivamente segura. Por décadas, laboratórios de segurança mediram este rank para decidir se um dispositivo é seguro, assumindo que um atacante usaria um computador padrão para pesquisar através das possibilidades restantes.

No entanto, as regras do jogo estão mudando com a chegada dos computadores quânticos. Essas máquinas operam sob princípios físicos diferentes e podem, em teoria, pesquisar listas de possibilidades muito mais rápido do que qualquer computador clássico. Um novo estudo de Yevgen Kotukh aborda uma lacuna crítica em nossa compreensão: o que acontece quando um atacante usa um computador clássico para coletar as pistas iniciais, mas depois muda para um computador quântico para terminar o trabalho? A pesquisa revela que a aceleração proporcionada pelos computadores quânticos não é tão dramática ou universal quanto algumas teorias anteriores sugeriram. Acontece que a vantagem depende inteiramente de quantos candidatos restam para pesquisar e de quanto tempo o computador quântico tem permitido para rodar.

Os pesquisadores construíram um modelo detalhado para simular este tipo específico de atacante híbrido. Eles imaginaram um cenário onde um hacker primeiro coleta traços de potência de um dispositivo e usa software padrão para criar uma lista classificada de potenciais chaves. Esta lista pode conter bilhões de candidatos. O hacker então pega esta lista e execza um algoritmo quântico para encontrar a chave correta. O estudo prova que, para qualquer dispositivo individual com um número específico de candidatos restantes, o computador quântico oferece uma aceleração que é exatamente proporcional à raiz quadrada desse número. Isso significa que, se um computador clássico precisa verificar um milhão de chaves, um computador quântico pode precisar verificar apenas mil. Isso é uma melhoria significativa, mas não é a explosão mágica e exponencial de velocidade que algumas teorias anteriores, mais abstratas, previram. Essas teorias anteriores sugeriam que os computadores quânticos poderiam ser ainda mais rápidos, mas a nova pesquisa mostra que essas previsões foram baseadas na média de resultados sobre muitos dispositivos diferentes, em vez de olhar para a realidade específica de um único ataque.

Uma parte crucial do estudo envolve os limites físicos dos computadores quânticos. Essas máquinas ainda não são perfeitas; elas só podem realizar um certo número de operações antes que seus estados quânticos delicados colapsem. Os pesquisadores aplicaram um limite estrito na profundidade do circuito quântico, representando o número máximo de etapas que um futuro computador quântico poderia dar em um ano ou uma década. Eles descobriram que a aceleração quadrática só funciona quando o número de chaves restantes está abaixo de um certo limiar. Se a lista de candidatos for muito longa, o computador quântico é forçado a rodar muitas cópias de si mesmo em paralelo para permanecer dentro de seu limite de tempo. Essa paralelização consome a vantagem de velocidade, reduzindo o benefício a um simples fator constante. Para padrões de criptografia modernos como o AES-128, esta "janela" de vantagem fecha quando o rank da chave atinge um ponto específico, correspondendo aproximadamente a um rank de 2 elevado à potência de 59. Além deste ponto, o computador quântico não é mais exponencialmente mais rápido; ele é apenas um número fixo de vezes mais rápido e, em alguns casos, a vantagem é tão pequena que mal importa.

Para ajudar os laboratórios de segurança a se adaptarem a esta nova realidade, o autor introduziu uma nova métrica chamada "rank de chave consciente de quântica" (quantum-aware key rank). Esta ferramenta permite que os avaliadores peguem o rank padrão que já calculam e o convertam em um valor que reflete o nível de segurança contra um atacante quântico com um limite de tempo específico. Por exemplo, se um dispositivo possui um rank clássico que sugere que ele é seguro, o rank consciente de quântica pode mostrar que ele é, na verdade, vulnerável porque o computador quântico pode encontrar a chave dentro do tempo permitido. O estudo fornece fórmulas claras para esta conversão, mostrando que, para manter o mesmo nível de segurança contra um adversário quântico, um dispositivo precisa de um rank clássico muito maior do que se pensava anteriormente. Especificamente, para um computador quântico limitado a uma profundidade de 2 elevado à potência de 40, um dispositivo precisa reter um rank clássico de cerca de 2 elevado à potência de 74 para ser tão seguro quanto um dispositivo com um rank clássico de 2 elevado à potência de 48.

A pesquisa também comparou duas maneiras diferentes de um computador quântico usar as informações vazadas para encontrar a chave. Um método envolve a preparação de um estado quântico especial que reflete a probabilidade de cada chave, enquanto o outro envolve a pesquisa através de blocos de chaves de uma forma estruturada. O estudo descobriu que, nos tipos de vazamentos de dados tipicamente vistos em ataques do mundo real, estes dois métodos são muito próximos em desempenho. O fator decisivo não é qual método é teoricamente mais rápido, mas sim o custo do hardware necessário para implementar o método mais complexo. Os pesquisadores simularam estes ataques em uma cifra pequena e simplificada ("toy cipher") e em modelos realistas de criptografia AES para confirmar suas teorias. Eles descobriram que, para um ataque típico com uma baixa relação sinal-ruído, um atacante quântico com um grande orçamento de portas lógicas (gate budget) vale cerca de 22 traços de potência extras para um atacante clássico. Em outras palavras, a vantagem quântica é real, mas é limitada e previsível.

Este trabalho resolve uma tensão na comunidade de segurança entre duas visões conflitantes: uma que afirmava que os computadores quânticos ofereceriam uma vantagem exponencial super-rápida, e outra que sugeria que eles poderiam não oferecer vantagem alguma devido aos limites de hardware. O estudo mostra que ambas as visões estão corretas, mas aplicam-se a situações diferentes. A vantagem super-rápida é uma média sobre muitos cenários possíveis, enquanto a vantagem quadrática limitada é o que acontece em qualquer ataque individual do mundo real. Ao fornecer uma métrica concreta e uma compreensão clara dos limites, esta pesquisa dá aos avaliadores de segurança as ferramentas necessárias para avaliar com precisão o risco de ataques quânticos. Ela move a conversa da especulação para o cálculo, garantindo que, à medida que a tecnologia quântica amadurece, nossas defesas possam ser ajustadas com precisão, em vez de suposições.