A medida que nos acercamos a un mundo poscuántico, todas las miradas se dirigen al NIST (Instituto Nacional de Normas y Tecnología).
NIST is the organization responsible for standardizing an algorithm specifically designed to be resilient against quantum computer attacks. The multi-year selection process is nearing its final phase, with three algorithms (BIKE, Classic McEliece, and HQC) passing a rigorous testing process in 2023 and making it to the fourth round.
Ahora, estos algoritmos están un paso más cerca de ser accesibles a organizaciones de todo el mundo para que los integren en su infraestructura de cifrado. Pero aún no han llegado.
The latest step in the journey to standardization was NIST’s Fifth PQC Standardization Conference, held this April in Rockville, Maryland.
El objetivo de la conferencia era debatir diversos aspectos de los algoritmos y obtener valiosos comentarios que servirán de base a las decisiones sobre normalización. Los equipos de BIKE, Classic McEliece, Falcon y HQC también presentaron información actualizada sobre sus algoritmos.
Tuve la oportunidad de asistir a la conferencia, y aquí están mis principales conclusiones.
Pero primero, por qué importa...
Antes de entrar en los pormenores de la Conferencia de Normalización PQC, es importante dejar clara la importancia de este proceso.
La criptografía cuántica está al caer y, aunque nadie sabe exactamente cuándo llegará, sabemos que una vez que los primeros ordenadores cuánticos estén en funcionamiento, la mayoría de nuestros algoritmos de cifrado actuales quedarán obsoletos.
So, while our current algorithms can still protect against non-quantum threats, experts emphasize the need for proactive planning to ensure long-term security. This is particularly important as integrating new algorithms across all computer systems can be time-consuming and span several years.
En consecuencia, la industria y las organizaciones gubernamentales se apresuran a implantar nuevas normas para hacer frente al avance del PQC. El algoritmo o algoritmos seleccionados por el NIST cumplirán esas normas, proporcionando al mundo las primeras herramientas para proteger la información sensible frente a esta nueva amenaza.
Una nueva etapa implica nuevos retos
El NIST anunció que publicará las Normas Federales de Procesamiento de la Información (FIPS) 203, 204 y 205 en torno al verano de 2024. Este anuncio llevó a cada uno de los candidatos de la Ronda 4 a compartir actualizaciones sobre cómo planean avanzar. Varios candidatos también abordaron los recientes retos descubiertos con sus algoritmos. He aquí los principales mensajes de cada uno de ellos:
BIKE
The BIKE team addressed a paper attacking their algorithm, claiming the attack was not practical in practice, and proposed a change in the implementation to fix it.
Classic McEliece
The Classic McEliece team stays strong on their algorithm. They claim it’s the most stable of all the other PQC algorithms, citing several projects that have used it, including Adva in high-speed optical networks, crypt4a in HSM, software implementations like Bouncy Castle, and VPNs like MULLVAD VPN and ROSENPASS.
Falcon
The Falcon team (along with NIST) will release an initial draft sometime in the fall of 2024. They mentioned the difficulty of implementing floating-point arithmetics and the problems it could uncover, sharing how they plan to adopt features from the Hawk algorithm, which uses ANTRAG to reduce the amount of floating-point arithmetic operations.
HQC
The HQC team released new security proofs that have no effect on the current state of the implementation or its inputs and outputs. They also addressed a countermeasure for a recent timing attack and a fix for their diversion modular timing side-channel attack.
Los nuevos FIPS introducen cambios adicionales
El NIST hizo varios anuncios sobre los cambios que cabe esperar con los nuevos documentos FIPS. El FIPS 203 para Kyber/ML-KEM sufrirá algunos cambios significativos. Estos cambios incluyen la reversión de la indexación de la matriz A, lo que hará que ya no sea compatible con versiones anteriores y cambiará los vectores de prueba estandarizados.
A continuación, Sample NTT utilizará ahora una API XOF específica porque la norma existente no permitía SHAKE como flujo. También especificarán una API desandomizada de "nivel inferior", que permite las pruebas CAVP, y no darán orientaciones a los KEM en FIPS 203, sino en SP 800-277.
El FIPS 204 Dilithium/ML-DSA también tendrá grandes cambios. La función SampleInBall cambiará, lo que causará problemas de retrocompatibilidad y requerirá nuevos vectores de prueba. Mientras tanto, ExpandMask no utilizará un desplazamiento para la salida SHAKE, se han corregido las comprobaciones que faltaban y se han introducido las variantes domain-separated pure y pre-hash.
Por último, el FIPS 205 no tendrá cambios significativos. El mayor cambio será que las funciones internas tomen la aleatoriedad como entrada para permitir las pruebas CAVP.
Los ataques por canal lateral están en el punto de mira
Los canales laterales salieron a relucir varias veces, con muchas conversaciones sobre cómo evitar estos ataques.
Un ponente habló de cómo hicieron Sphincs+ resistente a los canales laterales, pero redujo el rendimiento de la implementación de referencia en un 70%. Mientras tanto, otro ponente compartió su experiencia combinando varias fugas físicas débiles de HQC para recuperar la clave compartida utilizando SASCA; sin embargo, esto solo era aplicable a la implementación de referencia de HQC y no a la versión optimizada.
En particular, en una sesión sobre el tema se utilizaron redes neuronales para atacar la función de desempaquetado de claves de Dilithium y recuperar la clave secreta. Dilithium respondió que considera que la función de desempaquetado está protegida y sugirió enmascarar estáticamente la clave almacenada, realizar una codificación de peso constante o barajar el bucle de desempaquetado de claves para evitar vulnerabilidades.
Planificación de la transición a PQC
Aunque las normas aún no se han finalizado, las organizaciones de todo el mundo deben tener muy presente la transición a PQC. Por ello, la preparación de esta transición fue un tema importante durante la conferencia.
Las actividades clave para la transición incluyen la identificación de todos los objetos PKI y su vida útil en el sistema, la preparación de formatos de datos y restricciones tecnológicas, y la implementación y utilización de las herramientas disponibles en open-source .
Some common post-quantum engineering obstacles organizations are already encountering include algorithm identifiers, object encoding, interoperability awareness, and cryptographic tokens. Specifically, the ASN.1 OIDs are very messy and need to be more unified. Fortunately, some efforts are underway to help, like the IETF Hackathon GitHub page, which has a table of current OIDs.
Comprender el impacto de PQC en las conexiones del mundo real
Una pregunta que surgió fue sobre el efecto que tendrá PQC en las conexiones del mundo real, como TLS 1.3.
La respuesta corta es que los algoritmos PQC ralentizan el proceso de handshake para TLS. Dicho esto, cuantos más datos necesita una página web, menos impacto tiene en la ralentización del handshake. En consecuencia, fijarse sólo en la velocidad del handshake no es una forma viable de medir la eficiencia, ya que los datos enviados son importantes.
Las firmas digitales siguen siendo un importante punto de interés
Se habló mucho de los métodos utilizados en la nueva ronda de firmas, sobre todo de cómo se optimizaron los árboles GGM para que fueran útiles en los algoritmos de firmas.
En concreto, ANTRAG simplifica y mejora Falcon sin comprometer la seguridad al utilizar un muestreador híbrido en lugar de un muestreador kgpy. Como resultado, el uso de ANTRAG hace que el esquema de firma sea mucho más simple, con un rendimiento mejorado y sin pérdida de seguridad, razón por la cual el equipo de Falcon está interesado en adaptar este enfoque a su algoritmo. Sin embargo, no elimina el problema de los puntos flotantes con el que se enfrenta actualmente el NIST (pero lo reduce).
También hay estudios que exploran los conjuntos de parámetros de Sphincs+ para casos de uso específicos. Para casos de uso como la firma de firmware, es redundante tener una capacidad de firma máxima tan alta, y reducir este límite ayuda a reducir el tamaño de la firma en un 50% y mejora la verificación en un 80%. El riesgo de este enfoque es que el recuento de firmas de seguimiento lo convierta en algo con estado, en cuyo caso hay mejores opciones que Sphincs+. Además, tener límites de uso bajos ha sido problemático en el pasado, como en el caso de AES-GCM.
Por último, hubo varias charlas sobre hardware centradas en los nuevos algoritmos de firma y la teoría que los sustenta. En una de las charlas se mencionó un nuevo diseño de BIKE, denominado lean BIKE, que sacrifica la seguridad CCA para mejorar el rendimiento y simplificar la implementación. También se debatió si los KEM multirreceptor podrían proporcionar sincronización de estados en flotas HSM y hacer más eficientes los MLS treeKEM.
¿Podemos acelerar el hashing?
En una charla se habló de acelerar SLH-DSA en dos órdenes de magnitud, pero sólo para hardware. Por desgracia, es difícil acelerar software , ya que gran parte del cuello de botella proviene del hash y los aceleradores de hash están diseñados para hacer hash de datos, no de otros hashes, por lo que es difícil acelerar este proceso.
¿Qué significa todo esto? PQC se acerca rápidamente y ahora es el momento de prepararse
La Quinta Conferencia sobre Normalización de PQC del NIST estuvo repleta de conversaciones con visión de futuro sobre lo que cabe esperar en un mundo poscuántico, los cambios que se están produciendo en la actualidad y los retos a tener en cuenta. Quizá lo más importante es que el PQC llegará antes de que nos demos cuenta, y aún queda mucho por preparar.
To that end, NIST will continue working toward standardizing the final algorithms and making additional changes to maintain security in a post-quantum world. At the same time, every organization must start preparing for the algorithm shift and any other changes NIST may recommend as we approach PQC.
Need help getting started? Keyfactor’s team of PKI experts can help future-proof your PKI strategy. Contact us here.
Suscríbase a The Source
Stay secure with Keyfactor's monthly newsletter, packed with expert insights and practical steps for quantum-readiness.
