Deux mathématiciens ont cassé le chiffrement post-quantique SIKE en une heure sur un seul PC

En août 2022, quelques semaines après que le NIST a sélectionné quatre algorithmes de chiffrement post-quantique destinés à terme à remplacer RSA et Diffie-Hellman, des chercheurs du groupe Computer Security and Industrial Cryptography de la KU Leuven ont publié « An Efficient Key Recovery Attack on SIDH » — une technique qui récupère les clés protégeant les transactions sécurisées par SIKE grâce à des mathématiques complexes et à un seul PC classique, en environ une heure. Wouter Castryck et Thomas Decru, les auteurs de l'article, sont devenus éligibles à une récompense de 50 000 dollars de la part de Microsoft.

SIKE — Supersingular Isogeny Key Encapsulation — était l'un des quatre algorithmes supplémentaires que le NIST avait retenus comme solutions de repli potentielles, et était censé résister aux ordinateurs quantiques en encodant les secrets dans un graphe d'isogénies supersingulières, une construction longtemps considérée comme élégamment difficile. La nouvelle attaque montre que son protocole fondateur, SIDH (Supersingular Isogeny Diffie-Hellman), est vulnérable au glue-and-split, un théorème démontré par le mathématicien Ernst Kani en 1997, ainsi qu'à des outils de Howe, Leprévost et Poonen datant de 2000, s'appuyant sur l'attaque adaptative GPST connue.

La portée fut immédiate : SIKE était probablement hors course pour la standardisation, tandis que les quatre algorithmes que le NIST avait retenus comme standards — bâtis sur des mathématiques totalement différentes — n'étaient pas affectés. David Jao, professeur à l'Université de Waterloo et co-inventeur de SIKE, a qualifié la faiblesse de « clairement un coup majeur » et l'attaque de « vraiment inattendue ».

SIDH livrait toujours des points auxiliaires avec un degré d'isogénie connu ; un théorème de 1997 (glue-and-split) transforme cette commodité de conception en machine à récupération de clés.

L'attaque a réutilisé des mathématiques vieilles d'un quart de siècle, restées cachées à la vue de tous depuis 1997.

Elle n'avait besoin d'aucun ordinateur quantique — la menace pour laquelle SIKE avait été conçu —, juste d'un cœur et d'une heure.

La faille était structurelle : les points auxiliaires et un degré d'isogénie connu étaient inscrits dans la conception même du protocole.

Le résultat a rebattu les cartes d'une compétition de standardisation gouvernementale en quelques jours après sa publication.

Les commodités intégrées à la conception d'un protocole sont des vulnérabilités latentes : les données auxiliaires qu'un schéma expose pour en faciliter l'usage peuvent être exactement la prise dont un attaquant a besoin.

SIKE, candidat alternatif du NIST, a été de fait écarté de l'examen ; les quatre standards post-quantiques déjà sélectionnés reposaient sur des mathématiques différentes et n'ont pas été touchés. Les chercheurs pouvaient prétendre à la prime de 50 000 dollars de Microsoft, et le co-inventeur de SIKE, David Jao, a publiquement confirmé la gravité de l'attaque.