CRYSTALS-Kyber: lattice-आधारित KEM

CRYSTALS-Kyber (FIPS 203 में NIST द्वारा ML-KEM नाम दिया गया) Module-LWE पर आधारित Key Encapsulation Mechanism (KEM) है। यह कुंजी विनिमय के लिए RSA और ECDH का स्थान लेता है तथा व्यावहारिक प्रदर्शन के स्तर पर क्वांटम-प्रतिरोध प्रदान करता है।

KEM एक साझा रहस्य को आवेष्टित करता है: प्रेषक एक यादृच्छिक कुंजी K बनाता है और प्राप्तकर्ता की सार्वजनिक कुंजी से उसे एन्क्रिप्ट करता है (आवेष्टन), जिससे एक सिफर-पाठ C बनता है। प्राप्तकर्ता K को पुनः प्राप्त करने के लिए अपनी निजी कुंजी से C का अनावेष्टन करता है। किसी पारस्परिक कुंजी विनिमय की आवश्यकता नहीं होती।

काइबर Module-LWE का उपयोग वलय R_q = Z_q[x]/(x^256+1) पर करता है, जहाँ q=3329 है। आयाम k=2 (Kyber-512), k=3 (Kyber-768), और k=4 (Kyber-1024) हैं। सुरक्षा स्तर क्रमशः लगभग 128, 192 और 256 बिट हैं। k=3 (Kyber-768) अनुशंसित डिफ़ॉल्ट है।

बीज ρ से A ∈ R_q^{k×k} मैट्रिक्स बनाएँ (बीज का विस्तार किया जा सकता है)। गुप्त s और शोर e को केंद्रित द्विपद वितरण से चुनें (छोटे गुणांकों के साथ)। सार्वजनिक कुंजी: (ρ, t=As+e)। निजी कुंजी: s। शोर e छोटा होता है, लेकिन यह सार्वजनिक कुंजी से s की पुनर्प्राप्ति रोकता है।

सार्वजनिक कुंजी (ρ, t) धारक को साझा रहस्य भेजने के लिए, शोर वितरण से r, e1, e2 चुनें। u = A^T r + e1, v = t^T r + e2 + round(q/2)*m की गणना करें, जहाँ m एक यादृच्छिक 256-बिट संदेश है। साझा रहस्य K = KDF(m)। सिफर-पाठ = (u, v)।

निजी कुंजी s के साथ: m' = decompress(v - s^T u) = decompress(t^T r + e2 + round(q/2)*m - s^T(A^T r + e1)) की गणना करें। शोर पद लगभग एक-दूसरे को निरस्त कर देते हैं, जिससे m'≈m बचता है। K = KDF(m') की गणना करें। अनावेष्टन विफलता की प्रायिकता: < 2^{-139}।

Kyber-768: सार्वजनिक कुंजी 1184 बाइट, निजी कुंजी 2400 बाइट, सिफर-पाठ 1088 बाइट, साझा रहस्य 32 बाइट। इसकी तुलना ECDH-P256 से करें: सार्वजनिक कुंजी 65 बाइट, सिफर-पाठ 32 बाइट। काइबर लगभग 15 गुना बड़ा है, लेकिन क्वांटम-सुरक्षित है। फिर भी यह तेज़ है: आधुनिक CPU पर आवेष्टन और अनावेष्टन में 1 ms से कम समय लगता है।

R_q = Z_q[x]/(x^256+1) में बहुपद गुणन के लिए Number Theoretic Transform (NTT) का उपयोग होता है — यह FFT का मॉड्यूलर अंकगणितीय समतुल्य है। NTT बहुपद गुणन की जटिलता O(n^2) से घटाकर O(n log n) कर देता है। n=256 के लिए अच्छे NTT गुण प्राप्त करने हेतु q=3329 चुना गया है।

PQC स्थानांतरण के दौरान संकर कुंजी विनिमय का उपयोग करें: ECDH और काइबर को मिलाएँ। साझा रहस्य = KDF(ECDH_output || Kyber_output)। सुरक्षा के लिए दोनों को तोड़ना आवश्यक है: शास्त्रीय हमलावर इनमें से किसी को नहीं तोड़ सकते; क्वांटम हमलावर ECDH को तोड़ सकते हैं, लेकिन काइबर को नहीं। TLS 1.3 के प्रारूप (IETF RFC 8446) संकर KEM का समर्थन करते हैं।

भोले कार्यान्वयन में काइबर का अनावेष्टन स्थिर-समय वाला नहीं होता — अस्वीकृति नमूनाकरण चरण समय-संबंधी जानकारी लीक करता है। संदर्भ कार्यान्वयन स्थिर-समय वाले NTT और संपीड़ित सिफर-पाठ की तुलना का उपयोग करता है। NIST प्रस्तुति के संदर्भ कोड या ऑडिट किए गए लाइब्रेरी कार्यान्वयनों का उपयोग करें।

NIST ने अगस्त 2024 में FIPS 203 (ML-KEM) प्रकाशित किया। Chrome ने 2023 में TLS 1.3 में काइबर समर्थन जोड़ा। Cloudflare, गूगल और AWS संकर ECDH+Kyber परिनियोजित कर रहे हैं। OpenSSL 3.x में ML-KEM समर्थन जोड़ा गया। LibSSH और WireGuard के कार्यान्वयन प्रगति पर हैं।

काइबर (ML-KEM), Module-LWE पर आधारित KEM है जो ECDH का स्थान लेता है। कुंजी का आकार लगभग 1 KB है; NTT अंकगणित तेज़ है; और यह क्वांटम-प्रतिरोधी है। स्थानांतरण के दौरान इसे ECDH के साथ संकर रूप में परिनियोजित करें। इसे FIPS 203 के रूप में मानकीकृत किया गया है। अगला विषय: CRYSTALS-Dilithium और Falcon हस्ताक्षर योजनाएँ।