Loading article…
Kyber は、将来の強力な量子コンピュータによる暗号解読攻撃に耐えられるように設計された鍵カプセル化メカニズム(KEM)です。伝送システム内の ( IND-CCA2 ) 攻撃者が解読できないように、通信する 2 つの当事者間で共有秘密を確立するために使用されます。この非対称暗号システムは、基本的なトラップドア関数として、エラー付き学習格子問題のバリエーションを使用します。これは、NIST の最初のポスト量子暗号(PQ) 標準のコンペティションで優勝しました。 [1] NIST は、この標準をモジュール格子ベースの鍵カプセル化メカニズム( ML-KEM )と呼んでいます。[2]
プロパティ
このシステムは、エラー付きモジュール学習（M-LWE）問題と円 分環を組み合わせて構築されています。[3]最近、リングLWE問題をMLWEに厳密に形式的に数学的に還元する手法も発表されています。 [4] [5]競合するPQ方式と比較して、この方式は、実行時間や暗号文と鍵素材のサイズなど、格子ベースの方式の典型的な利点を備えています。[6]
異なるセキュリティレベルのバリアントが定義されています：Kyber512（NISTセキュリティレベル1、≈AES 128）、Kyber768（NISTセキュリティレベル3、≈AES 192）、Kyber1024（NISTセキュリティレベル5、≈AES 256）。[7] Kyber768レベルでは、秘密鍵のサイズは2400バイト、公開鍵は1184、暗号文は1088です。[8] [9]
それに応じて最適化された実装では、4キロバイトのメモリで暗号化操作に十分です。[10] liboqを使用したチャット暗号化シナリオでは、非常に効率的で量子耐性のないECDH鍵交換をCurve25519に置き換えると、実行時間が約2.3倍（1.5〜7）増加し、エネルギー消費が約2.3倍（1.4〜3.1）増加し、データオーバーヘッドが約70倍（48〜92）増加することがわかりました。[11]内部ハッシュ操作が実行時間の大部分を占めるため、対応するハードウェアアクセラレーションから大きなメリットが得られる可能性があります。
発達
Kyber は、2005 年にOded Regevによって公開された手法から派生したもので、欧州委員会、スイス、オランダ、ドイツからの資金提供を受けて、さまざまな政府系大学や研究機関、または民間企業に雇用されているヨーロッパと北米の開発者によって開発されました。[12]彼らはまた、関連し補完的な署名スキームDilithium を「Cryptographic Suite for Algebraic Lattices」(CRYSTALS) の別のコンポーネントとして開発しました。他の PQC-KEM 手法と同様に、Kyber は内部でハッシュを多用しています。Kyber の場合、Keccak のバリアント ( SHA-3 /SHAKE) がここで使用され、疑似乱数を生成するなどしています。[10] 2017 年に、この手法は米国国立標準技術研究所(NIST)に提出され、耐量子暗号プリミティブの最初の標準 (NISTPQC) の公開選定プロセスに使用されました。これは、NIST標準化プロセスの第3ラウンドの終わりに標準化対象として選択された唯一の鍵カプセル化メカニズムです。[4]決定を発表したレポートの脚注によると、これはさまざまな特許関連契約の実行を条件としており、NTRUはフォールバックオプションです。現在、標準化プロセスの第4ラウンドが進行中で、追加のKEMを標準化することを目指しています。選択プロセスの第2フェーズでは、アルゴリズムのいくつかのパラメータが調整され、公開鍵の圧縮が削除されました。[10]最近では、NISTは、対応するサイドチャネル攻撃（SCA）を防ぐためにランタイムをマスクする実装のランタイムと複雑さの点でコストに特に注意を払いました。[4]
進化
KyberはNIST標準化プロセス中に変更を受けました。特に、第2ラウンドの提出（いわゆるKyber v2）では、以下の機能が変更されました。[13]
- 公開鍵圧縮が削除されました（セキュリティ証明に関する NIST のコメントのため）。
- パラメータqが7681から3329に減少しました。
- 暗号文圧縮パラメータが変更されました。
- 多項式乗算を高速化するために、NTTRU に沿って数論変換(NTT) の定義が変更されました。
- ノイズ パラメータをη = 2に減らしてノイズ サンプリングを高速化します。
- NTT業務の保全のため、公開鍵の表現をNTTドメインに変更しました。
第3ラウンドへの提出ではさらに調整が行われました。[14]
- 藤崎–岡本変換（FO変換）の使用を修正しました。
- レベル 1 パラメータ セットではノイズ レベルが増加し、暗号文の圧縮が減少しました。
- サンプリングアルゴリズムが改善されました。
使用法
開発者らは、C言語で書かれたリファレンス実装をパブリックドメイン（またはCC0 ）でリリースしている。[15] Open Quantum Safe（OQS）プロジェクトのプログラムライブラリliboqsには、それに基づいた実装が含まれている。[ 16 ] [ 11] OQSは、 OpenSSL 3.x用の耐量子プロバイダーモジュールも管理しており、 [17]そのコードをBoringSSLとwolfSSLに統合している。[18] JavaScriptやJavaなど、サードパーティの開発者によるさまざまなプログラミング言語を使用した実装もいくつかある。[19] [20] [21]サイドチャネル攻撃に耐性のあるものなど、さまざまな（無料の）最適化されたハードウェア実装が存在する。[22] [23]ドイツ連邦情報セキュリティ庁は、 Thunderbirdへの実装を目指しており、この文脈ではBotanプログラムライブラリへの実装とOpenPGP標準への対応する調整も目指している。[24] 2023年、暗号化メッセージングサービスSignalは、 WhatsAppなどで使用されているSignalプロトコルに、Kyberベースの量子暗号アルゴリズムであるPQXDHを実装しました。 [25] [26]
実装
参考文献
- ^ ムーディー、ダスティン（2022）、NISTポスト量子暗号標準化プロセスの第3ラウンドのステータスレポート（PDF）、メリーランド州ゲイサーズバーグ、pp. NIST IR 8413、doi：10.6028 / nist.ir.8413、S2CID 247903639
{{citation}}: CS1 メンテナンス: 場所が見つかりません 発行者 (リンク) - ^ テクノロジー、国立標準技術研究所（2024 年 8 月 13 日）。「モジュール ラティス ベースのキー カプセル化メカニズム標準 [FIPS 203]」。米国商務省。
- ^ NIST は何を考えていたのか? (PDF ファイル)
- ^ abc NIST PQC 標準化プロセスの第 2 ラウンドのステータス レポート (PDF ファイル)
- ^ Chris Peikert、Zachary Pepin (2019)、「Algebraically Structured LWE, Revisited」(PDF)、暗号理論、コンピュータサイエンスの講義ノート(ドイツ語)、vol. 11891、Cham: Springer International Publishing、pp. 1–23、doi :10.1007/978-3-030-36030-6_1、ISBN 978-3-030-36029-0、S2CID 199455447
- ^ 格子ベースの暗号とSABER – Andrea Basso (PDF; 2.0 MB)
- ^ NIST ラウンド 3 耐量子暗号候補の概要 (PDF; 157 kB)
- ^ Joppe Bos、Léo Ducas、Eike Kiltz、Tancrède Lepoint、Vadim Lyubashevsky、John M. Schanck、Peter Schwabe、Gregor Seiler、Damien Stehlé (2018)、「CRYSTALS – Kyber: A CCA-Secure Module-Lattice-Based KEM」 、セキュリティとプライバシーに関する 2018 IEEE 欧州シンポジウム、EuroS&P 2018.、IEEE、pp. 353–367、doi :10.1109/EuroSP.2018.00032、hdl : 2066/195423、ISBN
978-1-5386-4228-3、S2CID 20449721
{{citation}}: CS1 maint: 複数の名前: 著者リスト (リンク) - ^ https://pq-crystals.org/kyber/data/kyber-specation-round3-20210804.pdf [裸のURL PDF ]
- ^ abc Leon Botros、Matthias J. Kannwischer、Peter Schwabe (2019)、「Cortex-M4 上の Kyber のメモリ効率の高い高速実装」(PDF)、Progress in Cryptology – AFRICACRYPT 2019、Lecture Notes in Computer Science (ドイツ語)、vol. 11627、Cham: Springer International Publishing、pp. 209–228、doi :10.1007/978-3-030-23696-0_11、ISBN
978-3-030-23696-0、S2CID 174775508
{{citation}}: CS1 maint: 複数の名前: 著者リスト (リンク) - ^ ab Ines Duits (2019-02-05)、トゥエンテ大学 (編)、ポスト量子信号プロトコル: 量子世界における安全なチャット(PDF) (ドイツ語)
- ^ [1] [裸のURL ]
- ^ ロベルト・アヴァンツィ、ジョッペ・ボス、レオ・デュカス、アイク・キルツ、タンクレード・ルポワン、ヴァディム・リュバシェフスキー、ジョン・M・シャンク、ピーター・シュワーベ、グレゴール・ザイラー、ダミアン・シュテーレ。 CRYSTALS – Kyber (ラウンド 2 プレゼンテーション) 2019 年 8 月 23 日。
- ^ ロベルト・アヴァンツィ、ジョッペ・ボス、レオ・デュカス、アイク・キルツ、タンクレード・ルポワン、ヴァディム・リュバシェフスキー、ジョン・M・シャンク、ピーター・シュワーベ、グレゴール・ザイラー、ダミアン・シュテーレ。 CRYSTALS – Kyber (ラウンド 3 プレゼンテーション) 2021 年 6 月 9 日。
- ^ Kyber/LICENSE at master · pq-crystals/kyber · GitHub
- ^ 「Kyber – Open Quantum Safe」。2021年4月20日時点のオリジナルよりアーカイブ。2022年1月13日閲覧。
- ^ 「OpenSSL 3.x 用の OQS プロバイダー」。oqs-provider。
- ^ 「wolfSSLとlibOQSの統合」。WolfSSL -Webサイト。2021-09-01。
- ^ “クリスタルカイバージャワ”. GitHub。 2021年10月25日。
- ^ 「CRYSTALS-KYBER JavaScript」。GitHub 。 2021年12月11日。
- ^ “Yawning/Kyber”. 2021年7月28日時点のオリジナルよりアーカイブ。2022年1月13日閲覧。
- ^ B. Dang、Kamyar Mohajerani、K. Gaj (2021)、高速ハードウェアアーキテクチャと公平な FPGA ベンチマーク(PDF) (ドイツ語)
{{citation}}: CS1 maint: 複数の名前: 著者リスト (リンク) - ^ Arpan Jati、Naina Gupta、A. Chattopadhyay、S. Sanadhya (2021)、「サイドチャネル保護を備えた構成可能な Crystals-Kyber ハードウェア実装」(PDF)、IACR Cryptol. ePrint Arch. (ドイツ語)
{{citation}}: CS1 maint: 複数の名前: 著者リスト (リンク) - ^ "E-Vergabe よ、Vergabeplattform des Bundes を死ね".
- ^ 「Kyber KEM を追加し、PQXDH プロトコルを実装する」。GitHub。
- ^ 「Signal Messenger、量子耐性暗号化技術PQXDHを導入」。The Hacker News 。 2023年9月22日閲覧。