En agosto de 2022, semanas después de que el NIST seleccionara cuatro algoritmos de cifrado poscuántico para reemplazar eventualmente a RSA y Diffie-Hellman, investigadores del grupo de Seguridad Informática y Criptografía Industrial de KU Leuven publicaron «An Efficient Key Recovery Attack on SIDH» — una técnica que recupera las claves que protegen las transacciones protegidas por SIKE usando matemáticas complejas y una sola PC tradicional, en aproximadamente una hora. Wouter Castryck y Thomas Decru, autores del artículo, pasaron a ser elegibles para una recompensa de 50 000 dólares de Microsoft.
SIKE — Supersingular Isogeny Key Encapsulation — era uno de los cuatro algoritmos adicionales que el NIST promovió como posibles respaldos, y se pensaba que resistía a las computadoras cuánticas al codificar secretos en un grafo de isogenias supersingulares, una construcción considerada durante mucho tiempo como elegantemente difícil. El nuevo ataque muestra que su protocolo fundamental, SIDH (Supersingular Isogeny Diffie-Hellman), es vulnerable a glue-and-split, un teorema demostrado por el matemático Ernst Kani en 1997, además de herramientas de Howe, Leprévost y Poonen en 2000, sobre la base del conocido ataque adaptativo GPST.
La importancia fue inmediata: era probable que SIKE quedara fuera de la carrera por la estandarización, mientras que los cuatro algoritmos que el NIST había seleccionado como estándares — construidos sobre matemáticas completamente distintas — no se vieron afectados. David Jao, profesor de la Universidad de Waterloo y coinventor de SIKE, calificó la debilidad como «claramente un golpe importante» y el ataque como «realmente inesperado».
SIDH siempre incluía puntos auxiliares con un grado de isogenia conocido; un teorema de 1997 (glue-and-split) convierte esa comodidad del diseñador en una máquina de recuperación de claves.
El ataque reutilizó matemáticas de hace un cuarto de siglo, ocultas a la vista desde 1997.
No necesitó una computadora cuántica — la amenaza para la que se diseñó SIKE —, solo un núcleo y una hora.
El fallo era estructural: los puntos auxiliares y un grado de isogenia conocido estaban incorporados en el diseño del protocolo.
El resultado reordenó una competencia de estandarización gubernamental en cuestión de días tras su publicación.
Las comodidades incorporadas en el diseño de un protocolo son vulnerabilidades latentes: los datos auxiliares que un esquema expone por usabilidad pueden ser exactamente el asidero que un atacante necesita.
SIKE, un candidato alternativo del NIST, quedó efectivamente eliminado de consideración; los cuatro estándares poscuánticos ya seleccionados se basaban en matemáticas distintas y no se vieron afectados. Los investigadores podían cobrar la recompensa de 50 000 dólares de Microsoft, y el coinventor de SIKE, David Jao, confirmó públicamente la gravedad del ataque.
CONSULTA LAS PRUEBAS
Las fuentes
- Post-quantum encryption contender is taken out by single-core PC and 1 hour Ars Technica · arstechnica.com