CRYSTALS-Kyber: Örgü Tabanlı KEM

CRYSTALS-Kyber (NIST tarafından FIPS 203'te ML-KEM olarak yeniden adlandırılmıştır), Module-LWE'ye dayalı bir Anahtar Kapsülleme Mekanizmasıdır (KEM). Anahtar değişiminde RSA ve ECDH'nin yerini alır ve pratik performans düzeylerinde kuantum direnci sağlar.

Bir KEM, ortak bir sırrı kapsüller: gönderen rastgele bir K anahtarı üretir, bunu alıcının açık anahtarıyla şifreler (kapsüller) ve C adlı bir şifreli metin üretir. Alıcı, K'yı geri elde etmek için C'nin kapsülünü gizli anahtarıyla açar. Etkileşimli bir anahtar değişimi gerekmez.

Kyber, q=3329 olacak şekilde R_q = Z_q[x]/(x^256+1) halkası üzerinde Module-LWE kullanır. Boyut k=2 (Kyber-512), k=3 (Kyber-768), k=4 (Kyber-1024) şeklindedir. Güvenlik düzeyleri sırasıyla yaklaşık 128, 192 ve 256 bittir. Önerilen varsayılan değer k=3 (Kyber-768)'dir.

ρ tohumundan A ∈ R_q^{k×k} matrisini üretin (genişletilebilir). Gizli s ve gürültü e değerlerini merkezlenmiş binom dağılımından örnekleyin (küçük katsayılar). Açık anahtar: (ρ, t=As+e). Özel anahtar: s. Gürültü e küçüktür; ancak açık anahtardan s'nin geri elde edilmesini engeller.

(ρ, t) açık anahtarının sahibine ortak bir sır göndermek için r, e1 ve e2 değerlerini gürültü dağılımından örnekleyin. u = A^T r + e1, v = t^T r + e2 + round(q/2)*m hesaplarını yapın; burada m, rastgele 256 bitlik bir iletidir. Ortak sır K = KDF(m) olur. Şifreli metin = (u, v).

s özel anahtarıyla m' = decompress(v - s^T u) = decompress(t^T r + e2 + round(q/2)*m - s^T(A^T r + e1)) hesaplayın. Gürültü terimleri yaklaşık olarak birbirini götürür ve geriye m'≈m kalır. K = KDF(m') hesaplayın. Kapsülden çıkarma başarısızlığı olasılığı: < 2^{-139}.

Kyber-768: açık anahtar 1184 bayt, özel anahtar 2400 bayt, şifreli metin 1088 bayt, ortak sır 32 bayttır. ECDH-P256 ile karşılaştırıldığında: açık anahtar 65 bayt, şifreli metin 32 bayttır. Kyber yaklaşık 15 kat daha büyüktür; ancak kuantuma karşı güvenlidir. Yine de hızlıdır: modern işlemcilerde kapsülleme ve kapsülden çıkarma işlemleri 1 ms'den kısa sürer.

R_q = Z_q[x]/(x^256+1) halkasındaki polinom çarpımı, FFT'nin modüler aritmetik karşılığı olan Sayı Teorik Dönüşümünü (NTT) kullanır. NTT, polinom çarpımını O(n^2)'den O(n log n)'ye düşürür. q=3329, n=256 için iyi NTT özelliklerine sahip olduğu için seçilmiştir.

PQC geçişi sırasında hibrit anahtar değişimi kullanın: ECDH ile Kyber'ı birleştirin. Ortak sır = KDF(ECDH_output || Kyber_output). Güvenlik için her ikisinin de kırılması gerekir: klasik saldırganlar ikisini de kıramaz; kuantum saldırganlar ECDH'yi kırabilir, ancak Kyber'ı kıramaz. TLS 1.3 taslakları (IETF RFC 8446), hibrit KEM'leri destekler.

Kyber'ın kapsülden çıkarma işlemi, basit uygulamalarda sabit zamanlı değildir; reddetmeli örnekleme adımı zamanlama bilgisi sızdırır. Referans uygulaması sabit zamanlı NTT ve sıkıştırılmış şifreli metin karşılaştırması kullanır. NIST başvurusundaki referans kodu veya denetlenmiş kütüphane uygulamalarını kullanın.

NIST, FIPS 203'ü (ML-KEM) Ağustos 2024'te yayımladı. Chrome, 2023'te TLS 1.3'e Kyber desteği ekledi. Cloudflare, Google ve AWS hibrit ECDH+Kyber'ı kullanıma sunuyor. OpenSSL 3.x, ML-KEM desteği ekledi. LibSSH ve WireGuard uygulamaları geliştirilmeye devam ediyor.

CRYSTALS-Kyber'ı hangi NIST standardı belgesi standartlaştırır?

Kyber (ML-KEM), ECDH'nin yerini alan Module-LWE tabanlı bir KEM'dir. Anahtar boyutları yaklaşık 1 KB'tır; hızlı NTT aritmetiği kullanır ve kuantuma dirençlidir. Geçiş sırasında ECDH ile hibrit olarak kullanıma alınmalıdır. FIPS 203 olarak standartlaştırılmıştır. Sırada: CRYSTALS-Dilithium ve Falcon imza şemaları.