两位数学家用一台普通电脑在一小时内攻破SIKE后量子加密

2022年8月，在NIST选定四种最终将取代RSA和Diffie-Hellman的后量子加密算法数周后，鲁汶大学计算机安全与工业密码学研究组的研究人员发表了《针对SIDH的高效密钥恢复攻击》——一种利用复杂数学和一台普通个人电脑、在大约一小时内恢复保护SIKE交易密钥的技术。论文作者Wouter Castryck和Thomas Decru因此有资格获得微软提供的5万美元奖励。

SIKE——超奇异同源密钥封装——是NIST推进作为潜在备份的四种附加算法之一，曾被认为能够抵御量子计算机，因为它将秘密编码在超奇异同源图中，这种构造长期被视为优雅而困难。新攻击表明，其基石协议SIDH（超奇异同源Diffie-Hellman）易受“粘合-分裂”定理影响，该定理由数学家Ernst Kani于1997年证明，并结合了Howe、Leprévost和Poonen在2000年的工具，建立在已知的GPST自适应攻击之上。

其意义立竿见影：SIKE很可能已退出标准化竞争，而NIST已选定为标准的四种算法——建立在完全不同的数学之上——未受影响。滑铁卢大学教授、SIKE共同发明人David Jao称这一弱点“显然是一次重大打击”，并称该攻击“确实出人意料”。

SIDH一直随附具有已知同源次数的辅助点；1997年的一项定理（粘合-分裂）将这种设计上的便利变成了密钥恢复机器。

该攻击重新利用了已有四分之一世纪历史的数学，自1997年以来一直隐藏在明处。

它不需要量子计算机——SIKE正是为防范这种威胁而设计——只需一个核心和一小时。

缺陷是结构性的：辅助点和已知的同源次数被内置于协议设计中。

结果在发表后数天内就重新排定了政府标准化竞赛的格局。

为协议设计的便利就是潜在漏洞：方案为可用性而暴露的辅助数据，可能正是攻击者所需的抓手。

SIKE作为NIST备选候选方案实际上已被排除在考虑之外；已选定的四种后量子标准依赖不同的数学，未受影响。研究人员有望领取微软的5万美元赏金，SIKE共同发明人David Jao公开确认了该攻击的严重性。