İzojeni Tabanlı Kriptografinin Geleceği

Castryck-Decru'nun Temmuz 2022'de SIKE'ı kırması, izojeni alanını büyük ölçüde değiştirdi. Kırılmadan önce izojeni tabanlı kriptografi, küçük anahtar boyutları, aktif standardizasyon çalışmaları ve büyüyen bir toplulukla umut vadeden bir kuantum sonrası yön olarak görülüyordu. SIKE'ın düşüşünden sonra alan, temellerini yeniden incelemek zorunda kaldı. Temel soru şuydu: Yeni Richelot izojeni tekniklerinden sonra izojeni tabanlı kriptografinin hangi yönleri hâlâ zordur? Görünüşe göre endomorfizma halkası tabanlı zorluk (SQISign'de kullanılır) ve değişmeli sınıf grubu etkileri (CSIDH) geçerliliğini korumaktadır. Kırılan bileşen, genel olarak izojeniler değil, SIDH'ye özgü yardımcı torsiyon noktası sızıntısıdır.

SQISign (Kısa Kuaterniyon ve İzojeni İmzası, De Feo ve diğerleri, 2020), bilinen en kompakt kuantum sonrası imza şemasıdır. Açık anahtar: 64 bayt (bir süpersingüler j-değişmezi). İmza: 1. Seviyede 177 bayt. Karşılaştırma için ML-DSA (Dilithium), 2. Seviyede 1312 baytlık açık anahtarlara ve 2420 baytlık imzalara sahiptir. SQISign'nin güvenliği Deuring bağıntısına dayanır: Verilen iki süpersingüler eğri arasında belirlenmiş derecede bir izojeni hesaplama problemi, endomorfizma halkasının kuaterniyon cebirinde bir ideal bulmaya denktir. SQISign, bu zor problem üzerinde bir Fiat-Shamir tanımlama şeması kullanır ve imzayı, yanıt izojenisinin sıkıştırılmış bir gösterimi olarak üretir.

SQISign'nin kompaktlığı ciddi bir performans maliyeti getirir. İmzalama, kuaterniyon cebirinde idealden izojeniye dönüşüm kullanarak büyük dereceli (yaklaşık p^{1/4}) bir izojeni hesaplamayı gerektirir; bu, parametre kümesine bağlı olarak masaüstü CPU'sunda yaklaşık 60-600 saniye süren, hesaplama açısından yoğun bir işlemdir. Doğrulama daha hızlıdır (yaklaşık 200 ms), ancak yine de ML-DSA doğrulamasından (mikrosaniyeler) çok daha yavaştır. SQISign 2.0 (2023), algoritma iyileştirmeleri sayesinde performansı 100 kat artırarak imzalama süresini 1-10 saniyeye indirmiştir. SQISign HD (yüksek derece) ve diğer varyantlar optimizasyon çalışmalarını sürdürmektedir. Hedef uygulamalar; bant genişliğinin ciddi biçimde kısıtlı olduğu (Nesnelerin İnterneti sertifikaları, blok zinciri verileri, uzay iletişimi) ve hesaplama hızının ikincil önem taşıdığı kullanım alanlarıdır.

FESTA (Süpersingüler Torsiyon Saldırılarından Hızlı Şifreleme, 2023), SIDH tarzı torsiyon noktası sızıntısından kaçınmak üzere açıkça tasarlanmış bir KEM'dir. Temel tasarım fikri şudur: SIDH'de olduğu gibi phi_A(P_B) ve phi_A(Q_B) değerlerini yayımlamak yerine FESTA, şifreleyenin açık anahtarının yalnızca görüntü eğrisi olduğu farklı bir izojeni yapısı kullanır; torsiyon görüntüleri yayımlanmaz. FESTA, karşı tarafın torsiyon tabanı görüntüleri olmadan şifre çözmeyi mümkün kılan değiştirilmiş bir 2^n-izojenisi kullanımından yararlanır. İlk analizler, farklı yardımcı bilgi yapısı sayesinde FESTA'nın Castryck-Decru saldırısına dirençli olduğunu göstermektedir. FESTA umut vadeden bir yön olsa da daha fazla kriptanalitik inceleme gerektirir; SIKE'ın beklenmedik biçimde kırılmasından sonra izojeni topluluğu temkinli davranmaktadır.

SCALLOP (Büyük Yönlendirilmiş Asallarla Ölçeklenebilir Değişmeli Etkiler, 2023), CSIDH'nin kuantum güvenliği zayıflığını ele alır. CSIDH'nin 512 bitlik küçük p asalı, Kuperberg'in alt üstel algoritması nedeniyle yalnızca yaklaşık 65 bitlik kuantum güvenliği sağlar. SCALLOP farklı bir cebirsel yapı kullanır: büyük sanal ikinci dereceden mertebelerle karmaşık çarpıma sahip eğriler; burada sınıf grubu, özellikle Kuperberg tarzı kuantum saldırılarına direnç gösterecek şekilde tasarlanmıştır. SCALLOP, CSIDH-5000'den daha küçük parametre boyutlarıyla 128 bitlik kuantum güvenliği sağlayan parametreler ve daha büyük bir etkin sınıf grubu sunar. Ödünleşim şudur: SCALLOP'nin cebirsel kurulumu daha karmaşıktır ve CSIDH'ye kıyasla daha az bağımsız incelemeden geçmiştir.

İzojeni şemalarının benzersiz kompaktlığı (SQISign'nin 177 baytlık imzaları, CSIDH'nin 64 baytlık anahtarları) ve kafes şemalarından farklı zorluk varsayımları göz önüne alındığında, hibrit yapılar derinlemesine savunma amacıyla izojeni ve kafes bileşenlerini birleştirir. Hibrit bir KEM'de ML-KEM-512 ile AND CSIDH-512 kullanılarak kapsülleme yapılır ve her iki sır birlikte özetlenir. Birleşik anahtar, hem ML-KEM'in (LWE zorluğu) hem de CSIDH'nin (sınıf grubu etkisi) aynı anda kırılmasını gerektirir. Bunlardan biri bile kırılmadan kalırsa hibrit güvenlidir. Bu kriptografik çeviklik yaklaşımı, tek bir kuantum sonrası temel yapının sağlayabileceğinden daha fazla güvence isteyen kuruluşlar için, özellikle kuantum bilgisayarların ortaya çıkış zamanlaması belirsizken, NIST ve NSA tarafından desteklenmektedir.

İzojeni tabanlı sıfır bilgi ispatları, gelişmekte olan bir araştırma yönüdür. İzojeni yolu problemi (her iki eğri verildiğinde phi: E -> E' değerini bulma), bilgi ispatı şemaları için zor bir problem olarak kullanılabilir. "E'den E'ye bir izojeni bildiğimi biliyorum" türündeki Sigma protokolleri, izojeniyi açığa çıkarmadan kimlik doğrulamayı mümkün kılar. Vero (2022), pratik bir izojeni tabanlı ZK ispat sistemini gösterir. Bu ZK ispatları doğal olarak kompakttır (ifade yalnızca iki j-değişmezidir), ancak şu anda pratik kullanıma alınamayacak kadar yavaştır. İzojeni hesaplaması iyileştikçe, izojeni tabanlı ZK ispatları, varsayımların çeşitliliğine önem verilen durumlarda kafes tabanlı veya özet tabanlı ispatlara alternatifler sunabilir.

İzojeni teknikleri yalnızca kuantum sonrası kriptografi için önemli değildir; klasik eliptik eğri kriptografisinde de uygulamaları vardır. Eliptik eğriler üzerindeki noktaları saymaya yönelik Schoof-Elkies-Atkin (SEA) algoritması, Frobenius izini hesaplamak için izojenileri kullanır ve güvenli eliptik eğri parametrelerinin verimli biçimde oluşturulmasını sağlar. İzojeniler, ECDLP hesaplamasına yönelik Pollard rho iyileştirmelerinde de görülür. Belirlenmiş mertebeye sahip eğriler oluşturmak için kullanılan CM (Karmaşık Çarpım) yöntemi, temelde izojeni nesneleri olan sınıf polinomlarından yararlanır. İzojeni tabanlı kriptanaliz araçları (düzgün dereceli izojeni yollarını bulma), gizli arka kapıları değerlendirmek üzere önerilen eliptik eğri parametrelerini incelemek için kullanılır; bu durum, Dual EC DRBG endişesiyle doğrudan ilişkilidir.

2024 itibarıyla hiçbir izojeni tabanlı şema NIST veya başka bir büyük kuruluş tarafından standardize edilmemiştir. NIST PQC süreci, tümü kafes veya özet tabanlı olan ML-KEM, ML-DSA, SLH-DSA ve FN-DSA'yı standardize etmiştir. NIST, PQC imzalarının değerlendirilmesinin ikinci turunu yürütmektedir; SQISign başvurmuş, ancak performans kaygılarıyla karşılaşmıştır. İzojeni topluluğu, pratik imzalama sürelerine (saniye altı hedef) sahip daha olgun bir SQISign 3.0 için çalışmaktadır. ISO ve ETSI hiçbir izojeni şemasını standardize etmemiştir. Yakın vadede en olası standardizasyon yolu, en küçük imza boyutlarını gerektiren özel amaçlı uygulamalar için SQISign'dir; bu, zorunlu bir temel yapı yerine bilgilendirici bir standart olabilir. Yaygın kullanıma alma, performansta bir veya daha fazla mertebe iyileşme gerektirir.

2024 itibarıyla izojeni tabanlı kriptografideki etkin araştırma yönleri şunlardır: (1) İmzalama performansını saniye altı çalışmaya yaklaştıran SQISign varyantları (SQISign 2.0, HD, Hızlı SQISign). (2) CSIDH ve varyantlarının kuantum güvenlik analizi: Kuperberg saldırısı tahminlerini kesinleştirmek ve bu saldırıya direnen cebirsel yapıları araştırmak. (3) Yeni zorluk varsayımları: süpersingüler endomorfizma halkası hesaplamaları ve sanal ikinci dereceden halkalar üzerindeki modül problemleri. (4) İzojeni tabanlı girdi gizlemeli sözde rastgele fonksiyonlar ve gizliliği koruyan protokollere yönelik uygulamalar. (5) İzojeni aritmetiğinin donanım uygulamaları: CSIDH'nin sınıf grubu etkisi için FPGA paralelliğinden yararlanmak. (6) Yeni işlevsel şifreleme ve öznitelik tabanlı şemalar için izojeni tabanlı grup etkilerini genel grup etkisi kriptografisi çerçeveleriyle bütünleştirmek.

SIKE'in kırılması, izojeni tabanlı kriptografiden tamamen vazgeçilmesi gerektiğini düşündürebilir. Kriptografi topluluğu ise bunun tam tersini düşünüyor: Kırılma, hangi yapıların güvensiz olduğunu (SIDH'nin torsiyon noktası sızıntısı) ve hangilerinin hâlâ çözülmesinin zor olduğunu (endomorfizma halkaları, sınıf grubu etkileri) ortaya çıkardığı için özellikle değerliydi. İzojenileri incelemeye devam etmek şu nedenlerle önemini koruyor: (1) kuantum sonrası çeşitlilik — kafeslerin dışındaki güvenlik varsayımlarına sahip olmak, LWE kırılırsa sistemik riski azaltır; (2) SQISign, şu anda rakibi bulunmayan, benzersiz ölçüde küçük imzalar sunar; (3) izojeni teknikleri, eliptik eğri kriptanalizine ve parametre doğrulamasına katkı sağlar; (4) matematik güzeldir ve verimli sonuçlar üretir — SIKE'in kırılmasını sağlayan araçlar, başka alanlarda kullanılan eliptik eğri endomorfizma halkalarının anlaşılmasını doğrudan geliştirmiştir.

SQISign imzalarının temelindeki zorluk varsayımı nedir?

SIKE'in 2022'de kırılmasının ardından izojeni kriptografisi, farklı zorluk varsayımlarıyla yoluna devam ediyor. SQISign, endomorfizma halkalarının zorluğuna dayalı 177 baytlık kuantum sonrası imzalar sunar ve bilinen en küçük imzalardır; başarımı gelişmektedir (bir saniyenin altında olma hedefi). FESTA, anahtar kapsülleme mekanizmalarını SIDH'nin torsiyon noktası sızıntısını temel almayacak şekilde tasarlar. SCALLOP, yönlendirilmiş eğriler aracılığıyla 128 bitlik kuantum güvenliğini hedefler. Hibrit izojeni ve kafes şemaları, varsayım çeşitliliği sağlar. Şu anda hiçbir izojeni şeması standardize edilmemiştir. SQISign standardizasyonu, yakın vadede en olası yoldur. SIKE'in kırılması, izojeni protokollerinde nelerin gizli tutulması gerektiğine ilişkin anlayışı güçlendirmiş ve eliptik eğri kriptografisinin çeşitli alanlarında kullanılan yeni matematiksel araçlar ortaya çıkarmıştır.