Google Chrome 改用 ML-KEM 进行后量子密码学防御

Google 宣布将在其 Chrome 网络浏览器中从 KYBER 切换到 ML-KEM，作为其持续努力的一部分，以抵御加密相关量子计算机 （CRQC） 带来的风险。

“Chrome 将为混合 ML-KEM（代码点 0x11EC）提供关键份额预测，”Chrome 团队的 David Adrian、David Benjamin、Bob Beck 和 Devon O’Brien 说。“PostQuantumKeyAgreementEnabled 标志和企业策略将适用于 Kyber 和 ML-KEM。”

这些更改预计将在 Chrome 版本 131 中生效，该版本有望于 2024 年 11 月初发布。谷歌指出，这两种混合后量子密钥交换方法本质上彼此不兼容，促使它放弃了 KYBER。

“对 ML-KEM 最终版本的更改使其与之前部署的 Kyber 版本不兼容，”该公司表示。“因此，TLS 中用于混合后量子密钥交换的码位从 Kyber768+X25519 的 0x6399 更改为 ML-KEM768+X25519 的 0x11EC。”

在美国国家标准与技术研究院 （NIST） 发布三种新加密算法的最终版本后不久，该开发过程使用量子技术保护当前系统免受未来攻击，标志着该机构八年努力的高潮。

有问题的算法是 FIPS 203（又名 ML-KEM）、FIPS 204（又名 CRYSTALS-Dilithium 或 ML-DSA）和 FIPS 205（又名 Sphincs+ 或 SLH-DSA）用于一般加密和保护数字签名。第四种算法 FN-DSA（最初称为 FALCON）计划于今年晚些时候完成。

ML-KEM 是 Module-Lattice-based Key-Encapsulation Mechanism 的缩写，源自 CRYSTALS-KYBER KEM 的第三轮版本，可用于在通过公共通道通信的两方之间建立共享密钥。

就 Microsoft 而言，它也通过宣布更新其 SymCrypt 加密库，支持 ML-KEM 和扩展默克尔签名方案 （XMSS），为后量子世界做好准备。

“向底层加密引擎添加后量子算法支持是迈向量子安全世界的第一步，”这家 Windows 制造商表示，并表示向后量子密码学 （PQC） 的过渡是一个“复杂的、多年的迭代过程”，需要仔细规划。

在英飞凌 SLE78、Optiga Trust M 和 Optiga TPM 安全微控制器中发现一个加密缺陷后，该漏洞可能允许从 YubiKey 硬件身份验证设备中提取椭圆曲线数字签名算法 （ECDSA） 私钥。

据信，Infineon 提供的库中的加密漏洞已经 14 年没有被注意到，并且经过了大约 80 次最高级别的通用标准认证评估。

NinjaLab 的 Thomas Roche 将侧信道攻击称为 EUCLEAK（CVE-2024-45678，CVSS 评分：4.9），它影响了所有嵌入加密库的 Infineon 安全微控制器和以下 YubiKey 设备 –

• YubiKey 5 系列5.7 之前的版本
• YubiKey 5 FIPS 系列，低于 5.7
• YubiKey 5 CSPN 系列，低于 5.7
• YubiKey Bio Series 5.7.2 之前的版本
• 安全密钥系列 5.7 之前的所有版本
• YubiHSM 2 2.4.0 之前的版本
• YubiHSM 2 FIPS 2.4.0 之前的版本

“攻击者需要实际拥有 YubiKey、安全密钥或 YubiHSM，了解他们想要针对的帐户，以及执行必要攻击的专用设备，”YubiKey 背后的公司 Yubico 在一份协调咨询中表示。

“根据用例，攻击者可能还需要其他知识，包括用户名、PIN、帐户密码或 [YubiHSM] 身份验证密钥。”

但是，由于具有易受攻击固件版本的现有 YubiKey 设备无法更新（这是一种有意的设计选择，旨在最大限度地提高安全性并避免引入新漏洞），因此它们永远容易受到 EUCLEAK 的影响。

此后，该公司宣布计划弃用对 Infineon 加密库的支持，转而将自己的加密库作为固件版本 YubiKey f5.7 和 YubiHSM 2.4 的一部分。

Roche 和 Victor Lomne 在 2021 年演示了针对 Google Titan 安全密钥的类似侧信道攻击，可能允许恶意行为者通过利用嵌入其中的芯片中的电磁侧信道来克隆设备。

“[EUCLEAK] 攻击需要对安全元件进行物理访问（很少的本地电磁侧信道采集，即几分钟就足够了）才能提取 ECDSA 密钥，”Roche 说。“在 FIDO 协议的情况下，这允许创建 FIDO 设备的克隆。”