Masa Depan Kriptografi Berbasis Isogeni

Pematahan SIKE oleh Castryck-Decru pada Juli 2022 mengubah bidang kriptografi isogeni secara drastis. Sebelum pematahan tersebut, kriptografi berbasis isogeni merupakan arah pascakuantum yang menjanjikan, dengan ukuran kunci yang kecil, upaya standardisasi yang aktif, dan komunitas yang terus berkembang. Setelah SIKE tumbang, bidang ini terpaksa meninjau kembali fondasinya. Pertanyaan utamanya adalah: aspek kriptografi berbasis isogeni mana yang tetap sulit setelah teknik isogeni Richelot yang baru? Jawabannya tampaknya adalah: kesulitan berbasis gelanggang endomorfisme (yang digunakan dalam SQISign) dan aksi grup kelas komutatif (CSIDH) tetap utuh. Kebocoran titik torsi tambahan yang khusus ada pada SIDH adalah komponen yang berhasil dipatahkan, bukan isogeni secara umum.

SQISign (Tanda Tangan Quaternion dan Isogeni Singkat, De Feo et al., 2020) adalah skema tanda tangan pascakuantum paling ringkas yang diketahui. Kunci publik: 64 byte (invarian-j supersingular). Tanda tangan: 177 byte pada Tingkat 1. Sebagai perbandingan, ML-DSA (Dilithium) memiliki kunci publik 1312 byte dan tanda tangan 2420 byte pada Tingkat 2. Keamanan SQISign didasarkan pada korespondensi Deuring: masalah menghitung isogeni berderajat tertentu antara dua kurva supersingular yang diberikan setara dengan menemukan suatu ideal dalam aljabar kuaternion pada gelanggang endomorfisme. SQISign menggunakan skema identifikasi Fiat-Shamir atas masalah sulit ini, sehingga menghasilkan tanda tangan sebagai representasi terkompresi dari isogeni respons.

Kekompakan SQISign harus dibayar dengan biaya kinerja yang sangat besar. Penandatanganan memerlukan penghitungan isogeni berderajat besar (sekitar p^{1/4}) menggunakan penerjemahan ideal-ke-isogeni dalam aljabar kuaternion — operasi yang intensif secara komputasi dan memerlukan sekitar 60–600 detik pada CPU desktop, bergantung pada kumpulan parameter. Verifikasi lebih cepat (sekitar 200 ms), tetapi masih jauh lebih lambat daripada verifikasi ML-DSA (mikrodetik). SQISign 2.0 (2023) meningkatkan kinerja 100 kali lipat melalui penyempurnaan algoritme, sehingga waktu penandatanganan menjadi 1–10 detik. SQISign HD (derajat tinggi) dan varian lainnya terus dioptimalkan. Sasaran penerapannya adalah kasus penggunaan dengan bandwidth yang sangat terbatas (sertifikat IoT, data rantai blok, komunikasi antariksa) dan ketika kecepatan komputasi bukan prioritas utama.

FESTA (Enkripsi Cepat dari Serangan Torsi Supersingular, 2023) adalah KEM yang dirancang khusus untuk menghindari kebocoran titik torsi ala SIDH. Wawasan utama dalam rancangannya adalah: alih-alih menerbitkan phi_A(P_B) dan phi_A(Q_B) seperti pada SIDH, FESTA menggunakan struktur isogeni yang berbeda, dengan kunci publik pihak yang mengenkripsi hanya berupa kurva citra (tanpa citra torsi). FESTA menggunakan isogeni 2^n dengan cara yang dimodifikasi sehingga memungkinkan dekripsi tanpa citra basis torsi pihak lawan. Analisis awal menunjukkan bahwa FESTA tahan terhadap serangan Castryck-Decru berkat struktur informasi tambahannya yang berbeda. FESTA merupakan arah yang menjanjikan, tetapi memerlukan kajian kriptanalisis yang lebih mendalam — komunitas isogeni bersikap berhati-hati setelah pematahan SIKE yang tidak terduga.

SCALLOP (Aksi Komutatif yang Dapat Diskalakan dengan Bilangan Prima Berorientasi Besar, 2023) mengatasi kelemahan keamanan kuantum CSIDH. Bilangan prima kecil CSIDH, p = 512 bit, hanya memberikan sekitar 65 bit keamanan kuantum (algoritme subeksponensial Kuperberg). SCALLOP menggunakan struktur aljabar yang berbeda: kurva dengan perkalian kompleks oleh orde kuadratik imajiner besar, dengan grup kelas yang dirancang khusus untuk menahan serangan kuantum gaya Kuperberg. SCALLOP menghasilkan grup kelas efektif yang lebih besar dengan parameter yang memberikan keamanan kuantum 128 bit pada ukuran parameter yang lebih kecil daripada CSIDH-5000. Komprominya: pengaturan aljabar SCALLOP lebih rumit dan telah menerima lebih sedikit analisis independen dibandingkan CSIDH.

Mengingat kekompakan unik skema berbasis isogeni (tanda tangan SQISign berukuran 177 byte, kunci CSIDH berukuran 64 byte) serta asumsi kesulitannya yang berbeda dari skema berbasis kisi, konstruksi hibrida menggabungkan komponen isogeni dan kisi sebagai pertahanan berlapis. Contoh KEM hibrida: lakukan enkapsulasi dengan ML-KEM-512 DAN dengan CSIDH-512, lalu gunakan fungsi hash pada kedua rahasia secara bersamaan. Kunci gabungan mengharuskan penyerang mematahkan ML-KEM (kesulitan LWE) dan CSIDH (aksi grup kelas) secara bersamaan. Jika salah satunya tetap tidak terpatahkan, hibrida tersebut aman. Pendekatan kelincahan kriptografis ini didukung oleh NIST dan NSA bagi organisasi yang menginginkan jaminan tambahan di luar satu primitif pascakuantum mana pun, terutama ketika linimasa kemunculan komputer kuantum belum pasti.

Bukti tanpa pengetahuan berbasis isogeni merupakan arah riset yang baru berkembang. Masalah jalur isogeni (menemukan phi: E -> E' jika kedua kurva diketahui) dapat digunakan sebagai masalah sulit untuk skema bukti pengetahuan. Protokol Sigma untuk "Saya mengetahui suatu isogeni dari E ke E'" memungkinkan autentikasi tanpa mengungkapkan isogeni tersebut. Vero (2022) mendemonstrasikan sistem bukti tanpa pengetahuan berbasis isogeni yang praktis. Bukti ini secara alami ringkas (pernyataannya hanya berupa dua invarian-j), tetapi saat ini terlalu lambat untuk diterapkan secara praktis. Seiring meningkatnya efisiensi penghitungan isogeni, bukti tanpa pengetahuan berbasis isogeni dapat menjadi alternatif bagi bukti berbasis kisi atau hash ketika keberagaman asumsi dianggap penting.

Teknik isogeni tidak hanya relevan untuk kriptografi pascakuantum — teknik ini juga memiliki penerapan dalam kriptografi kurva eliptik klasik. Algoritme Schoof-Elkies-Atkin (SEA) untuk menghitung titik pada kurva eliptik menggunakan isogeni untuk menghitung jejak Frobenius, sehingga memungkinkan pembuatan parameter kurva eliptik yang aman secara efisien. Isogeni muncul dalam penyempurnaan rho Pollard untuk penghitungan ECDLP. Metode CM (Perkalian Kompleks) untuk membangun kurva dengan orde tertentu menggunakan polinomial kelas yang pada dasarnya merupakan objek isogeni. Alat kriptanalisis berbasis isogeni (untuk menemukan jalur isogeni berderajat mulus) digunakan untuk mengevaluasi parameter kurva eliptik yang diusulkan terhadap pintu jebakan tersembunyi — hal yang berkaitan langsung dengan kekhawatiran mengenai Dual EC DRBG.

Hingga 2024, belum ada skema berbasis isogeni yang distandardisasi oleh NIST atau lembaga besar lainnya. Proses PQC NIST menstandardisasi ML-KEM, ML-DSA, SLH-DSA, dan FN-DSA — semuanya berbasis kisi atau hash. NIST sedang melaksanakan putaran kedua evaluasi tanda tangan PQC; SQISign telah diajukan, tetapi menghadapi kekhawatiran terkait kinerja. Komunitas isogeni sedang mengembangkan SQISign 3.0 yang lebih matang, dengan waktu penandatanganan praktis (target di bawah satu detik). ISO dan ETSI belum menstandardisasi skema isogeni apa pun. Jalur standardisasi jangka pendek yang paling mungkin adalah SQISign untuk aplikasi khusus yang memerlukan ukuran tanda tangan minimal, mungkin sebagai standar informasional, bukan primitif wajib. Penerapan secara luas memerlukan peningkatan kinerja beberapa orde besaran.

Arah riset aktif dalam kriptografi berbasis isogeni hingga 2024: (1) Varian SQISign (SQISign 2.0, HD, Fast SQISign) yang meningkatkan kinerja penandatanganan menuju operasi di bawah satu detik. (2) Analisis keamanan kuantum CSIDH dan variannya — memperketat estimasi serangan Kuperberg dan mengeksplorasi struktur aljabar yang dapat menahannya. (3) Asumsi kesulitan baru — penghitungan gelanggang endomorfisme supersingular, serta masalah modul atas gelanggang kuadratik imajiner. (4) Fungsi acak-semu tanpa pengungkapan input berbasis isogeni dan penerapannya pada protokol yang menjaga privasi. (5) Implementasi perangkat keras untuk aritmetika isogeni — memanfaatkan paralelisme FPGA untuk aksi grup kelas CSIDH. (6) Integrasi aksi grup berbasis isogeni dengan kerangka kerja kriptografi aksi grup umum untuk enkripsi fungsional dan skema berbasis atribut yang baru.

Pembobolan SIKE mungkin menyiratkan bahwa kriptografi berbasis isogeni harus ditinggalkan sepenuhnya. Komunitas kriptografi justru berpandangan sebaliknya: pembobolan itu berharga karena mengidentifikasi struktur mana yang tidak aman (kebocoran titik torsi SIDH) dan mana yang tetap sulit dipecahkan (cincin endomorfisme, aksi grup kelas). Mempelajari isogeni tetap penting karena: (1) keragaman pascakuantum — memiliki asumsi keamanan di luar kisi mengurangi risiko sistemik jika LWE dibobol; (2) SQISign menyediakan tanda tangan yang sangat ringkas dan saat ini belum memiliki tandingan; (3) teknik isogeni membantu kriptanalisis kurva eliptik dan validasi parameter; (4) matematikanya indah dan menghasilkan banyak kemajuan — alat yang dikembangkan untuk membobol SIKE secara langsung meningkatkan pemahaman tentang cincin endomorfisme kurva eliptik yang digunakan dalam konteks lain.

Asumsi kesulitan apa yang mendasari tanda tangan SQISign?

Setelah SIKE dibobol pada 2022, kriptografi isogeni terus berkembang melalui asumsi kesulitan yang berbeda. SQISign menyediakan tanda tangan pascakuantum berukuran 177 bita (yang terkecil yang diketahui) berdasarkan kesulitan cincin endomorfisme; kinerjanya terus membaik (targetnya di bawah satu detik). FESTA merancang mekanisme enkapsulasi kunci dengan mempertimbangkan kebocoran titik torsi SIDH. SCALLOP menargetkan keamanan kuantum 128 bit melalui kurva berorientasi. Skema hibrida isogeni dan kisi memberikan keragaman asumsi. Saat ini belum ada skema isogeni yang distandardisasi. Standardisasi SQISign merupakan jalur jangka pendek yang paling mungkin. Pembobolan SIKE memperkuat pemahaman tentang hal-hal yang harus disembunyikan dalam protokol isogeni dan menghasilkan alat matematika baru yang digunakan dalam berbagai bidang kriptografi kurva eliptik.