Postkwantumencryptie-algoritme gekraakt met eenvoudige aanval

De wereld kent al diverse encryptiemethoden, maar een deel daarvan is in de toekomst eenvoudig te kraken met een kwantumcomputer. Daarom wordt gewerkt aan zogeheten postkwantumcryptografische methoden, die wél weerstand kunnen bieden tegen kwantumcomputers en de huidige encryptiemethoden moeten gaan vervangen.

Het Amerikaanse National Institute for Standards and Technology (NIST) koos vorige maand vier algoritmes die de huidige methoden gaan vervangen. Daarnaast werden vier algoritmes als optie aangewezen, maar die moeten eerst nog verder getest worden. Eén van die vier laatste algoritmes - SIKE - blijkt nu echter eenvoudig te kraken, zo schrijft Ars Technica.

Onderzoekers van de KU Leuven beschrijven in een paper hoe ze aan de hand van complexe wiskunde en een enkele, traditionele PC de encryptiesleutels kunnen achterhalen. Het gehele proces blijkt slechts een uur in beslag te nemen. 

Nieuw algoritme, oude aanvalsmethoden

David Jao, professor bij de University of Waterloo en mede-uitvinder van SIKE, zegt tegenover Ars Technica dat de nieuw gevonden kwetsbaarheid een harde klap is voor SIKE en dat het erg onverwacht is. Toch is de gebruikte aanval niet nieuw. Sterker nog: het gebruikt tools die jaren geleden al gemaakt zijn. 

SIKE is in principe namelijk een sterkere variant van een techniek die ook nu al gebruikt wordt. Het algoritme werkt aan de hand van een symmetrische sleutel die verborgen wordt met inkapselingsmechanismen, zodat hij via publieke media - zoals het internet - gedeeld kan worden tussen partijen, zonder dat hij in verkeerde handen valt. De huidige inkapselingsmechanismen zijn echter gemakkelijk te kraken met kwantumcomputers. SIKE zou veel sterker zijn, omdat het een complexe, wiskundige constructie gebruikt, genaamd supersingular isogeny graph. 

Om dat mogelijk te maken, gebruikt SIKE een protocol genaamd SIDH. Maar SIDH blijkt kwetsbaar te zijn voor een wiskundige stelling uit 1997 en tools die al in 2000 werden gemaakt. 

'Snap er niet genoeg van'

Jao bevestigt dat de gebruikte aanval niet echt nieuw is. Dat de kwetsbaarheid nu pas opgemerkt wordt en niet eerder is opgevallen bij de makers, heeft volgens hem te maken met dat lang niet iedereen genoeg van wiskunde begrijpt als zou moeten.

"Er is veel diepe wiskunde waarover in de wiskundige literatuur gepubliceerd is, maar niet goed begrepen wordt door cryptografen Ik plaats mezelf in de categorie van vele onderzoekers die in cryptografie werken, maar niet zoveel van wiskunde begrijpen als we eigenlijk zouden moeten. Dus soms is er niet meer nodig dan iemand die de toepasbaarheid van bestaande theoretische wiskunde op deze nieuwe cryptosystemen herkent. Dat is wat hier gebeurd is."

Toch is dit niet per se het einde voor SIKE. De versie van het algoritme die bij NIST werd ingediend, gebruikt namelijk maar één stap om een sleutel te genereren. Een mogelijke variant kan twee stappen gaan gebruiken. Die variant is volgens Jao niet kwetsbaar voor de gebruikte wiskunde.