· Michal Pietrus · 4 min read
Perspektywa odporności ekosystemu
Najnowszy papier Bernsteina pokazuje, że z powodu błędów implementacyjnych szacowana liczba możliwych do złamania kluczy ML-DSA może w 2027 roku osiągnąć rząd 2²⁷.
Z jednej strony to wybitny umysł człowieka, który potrafi patrzeć na problemy holistycznie, od projektowania schematów kryptograficznych, przez ich implementację, aż po realne wdrożenie i utrzymanie. Z drugiej, autor lub współautor rozwiązań kryptograficznych, które są dziś w znaczącej skali używane w komunikacji cyfrowej, w wielu domenach rynku.
Z trzeciej ktoś, kto konsekwentnie kwestionuje przyjęte założenia i często dostarcza własne alternatywy, wydajniejsze, albo bardziej transparentne. W tym kontekście warto porównać choćby historię Dual_EC_DRBG, która dobrze pokazuje, dlaczego transparentność i zaufanie do procesu standaryzacji mają w kryptografii fundamentalne znaczenie.
Z czwartej zaś, idealista walczący o bezpieczną (z perspektywy zwykłego konsumenta) komunikację cyfrową właściwie od początków poważnej transformacji cyfrowej (esej, uwaga długi).
Zatem perspektywa DJB na potencjalne problemy (i ich konsekwencje) związane z ML-DSA nie jest abstrakcyjną tezą wyciągniętą z kapelusza, a potencjalnie realistycznym scenariuszem, który warto uwzględnić przy modelowaniu zagrożeń.
Problem AABBCC i kwestia nonce-reuse omawiane w papierze
Bernstein analizuje ML-DSA, niedawno standaryzowany postkwantowy schemat podpisu cyfrowego i pokazuje, jak łatwe do popełnienia błędy implementacyjne mogą przejść testy funkcjonalne (a nawet testy interoperacyjności!).
No i co z tego wynika? Błędy były, są i będą.
Zgadza się. Właśnie dlatego warto rozważyć konstrukty hybrydowe dla podpisów cyfrowych, czyli jednoczesne użycie schematów ECC (preQ) oraz ML-DSA (postQ).
Błędy, które wskazuje Bernstein są subtelne, bo generują poprawne sygnatury, które jednocześnie jednak pozwolą atakującemu odzyskać klucz prywatny, a zatem fałszować podpisy. Problem współczynników AABBCC, praktycznie wymaga włączenia do testów deterministycznego generatora RNG (Random Number Generator). Innymi słowy, podmiany komponentu w schemacie ML-DSA, który daje przewidywalne wyjście.
Z kolei w kontekście drugiego problemu z nonce i podobieństwa do problemu Sony PlayStation 3 z przed lat, rzeczywiście przez drobny błąd implementacyjny dochodzi do sytuacji, w której nonce przestaje być jednorazowy. To z kolei prowadzi do problemu “nonce-reuse”, a zatem katastrofalnego, z punktu widzenia ekosystemu, błędu pozwalającego odzyskać klucz prywatny.
Zwłaszcza w pierwszym przypadku, nie sposób nie szukać podobieństwa do ataków kleptograficznych, np. manipulujących generatorem RNG, które dla ML-DSA mają podobne skutki. Papiery: Backdooring Post-Quantum Cryptography: Kleptographic Attacks on Lattice-based KEMs, Kilobyte-Bandwidth Subliminal Channels in FIPS 204 ML-DSA via Packed-Commitment Embedding.
Model ilościowy do szacowania wpływu niezałatanych podatności w różnych implementacjach
Papier przedstawia ilościową metodologię szacowania wpływu konstruktów hybrydowych vs. tylko ML-DSA na cały ekosystem, tj. na liczbę kluczy możliwych do złamania w wyniku błędów w implementacjach.
Warto przywołać kilka istotnych liczb z papieru:
- [estymacja] całkowita liczba aktywnie używanych kluczy wynosi 2^30,
- [estymacja] całkowity odsetek niezałatanych podatności w implementacjach ML-DSA wynosi 18% w 2027 roku,
- [estymacja] całkowity odsetek niezałatanych podatności w implementacjach krzywej Ed25519 (rodzina ECC) wynosi 1,6% w 2027 roku,
- [estymacja] całkowity odsetek niezałatanych podatności dla obu mechanizmów łącznie, czyli w trybie hybrydowym, wynosi 4,0928% w 2027 roku.
W rezultacie całkowita liczba potencjalnie podatnych kluczy podpisujących wynosi:
- [estymacja] dla ML-DSA: 2^(27,5) w 2027 roku,
- [estymacja] dla trybu hybrydowego: 2^(25,4) w 2027 roku,
- dla krzywej Ed25519: 2^(24) w 2027 roku.
Żeby lepiej pokazać różnicę:
- 2^(24) = 16 777 216,
- 2^(25,4) ≈ 44 275 338,
- 2^(27,5) ≈ 189 812 531,
- 2^(30) = 1 073 741 824.
To model pełen założeń, z których większości nie wyjaśniam tutaj szczegółowo. Można też zupełnie osobno rozważyć, dlaczego w ogóle warto traktować takie modele poważnie, ale nie o tym jest ten wpis.
Warto jednak pamiętać, że ML-DSA jest poważnie rozważany jako jeden z głównych składników postkwantowej Web PKI, tj. infrastruktury, która pozwala ludziom uzyskiwać bezpieczny dostęp do usług cyfrowych, w szczególności uwierzytelniać je i ustanawiać poufne kanały komunikacji.
Wnioski
Co właściwie mówi ten model? Patrząc wyłącznie na liczby, pokazuje skalę i wpływ, ale to nie daje pełnego obrazu. Holistyczne spojrzenie na kryptosystem obejmuje nie tylko zestandaryzowany algorytm, ale także dojrzałość ekosystemu, jakość implementacji, sposób składania komponentów kryptograficznych, np. PRG, oraz cykl życia kluczy i odporność na downgrade.
Czy konstrukcje hybrydowe są bardziej złożone? Tak, dodają złożoność. Oznaczają więcej algorytmów, większe certyfikaty, bardziej rozbudowaną logikę weryfikacji i większą przestrzeń na ataki downgrade.
Zarządzanie, sprawczość i cryptographic agility jako droga naprzód
Właśnie dlatego migracji do schematów post-quantum nie należy traktować jako prostej wymiany algorytmów. Powinna ona również naprawić to, co transformacja cyfrowa zrobiła źle: traktowanie kryptografii jako technicznego produktu ubocznego, wbudowanego w systemy, zamiast jako assetu operacyjnego.
Jeśli myślimy o przyszłej zwinności (agility), np. via NIST CSWP 39, to transformacja, wraz z jej złożonością, staje się możliwa do zarządzania, widoczna i zarządzalna. Czy użyć A, B, albo A i B, staje się egzekwowaniem polityki governance.
Istnieją wyjątki, np. krótkotrwałe certyfikaty SPIFFE, ale konstrukcje hybrydowe zmniejszają “blast radius” awarii pojedynczego algorytmu lub pojedynczej implementacji.
