ML-DSA (FIPS 204) ve SLH-DSA (FIPS 205)

ML-DSA (Modül-Kafes Tabanlı Sayısal İmza Algoritması), FIPS 204 olarak standardize edilmiş ve CRYSTALS-Dilithium'dan türetilmiştir. Dilithium, Ducas, Kiltz, Lepoint, Lyubashevsky, Schwabe, Seiler ve Stehle tarafından tasarlanmış ve 2017'de NIST'e sunulmuştur. ML-DSA, Fiat-Shamir ve iptaller çerçevesini Module-LWE'ye uygular ve güçlü güvenlik ispatlarına sahip pratik bir imza şeması üretir.

Klasik Fiat-Shamir dönüşümleri, etkileşimli kimlik doğrulama protokollerini imzalara dönüştürür. Kafes şemalarında doğrudan uygulama, yanıt vektörü aracılığıyla gizli anahtar hakkında bilgi sızdırır. Lyubashevsky'nin “iptalli” tekniği, reddetmeli örnekleme ekler: imzalayan, yanıtın bilgi sızdırıp sızdırmayacağını kontrol eder; sızdıracaksa işlemi iptal edip yeniden dener. Bu, imzalama işlemine küçük bir ek yük getirir; ancak güvenlik için zorunludur.

ML-DSA imzalama sırasında tekdüze bir dağılımdan bir maskeleme vektörü y örnekler, w = Ay taahhüdünü hesaplar, (mesaj, w) çiftini özetleyerek c meydan okuma polinomunu elde eder ve z = y + cs yanıtını hesaplar. Reddetmeli örnekleme, z'nin s hakkında bilgi sızdırıp sızdırmadığını kontrol eder. Kontrol başarılı olursa imza, verimli doğrulama için bir ipucuyla birlikte (c, z) çiftidir. Başarılı olmazsa süreç tekrarlanır.

ML-DSA üç parametre kümesi tanımlar: ML-DSA-44 (NIST güvenlik seviyesi 2, yaklaşık 128 bit), ML-DSA-65 (seviye 3, yaklaşık 192 bit) ve ML-DSA-87 (seviye 5, yaklaşık 256 bit). Sayılar, şemadaki modül derecelerini ifade eder. Açık anahtar boyutları sırasıyla 1312, 1952 ve 2592 bayttır. ML-DSA-65 imzalarının boyutu 3293 bayttır; 128 bit güvenlikte Ed25519 için bu boyut 64 bayttır.

ML-DSA'nın ECDSA veya EdDSA'ya kıyasla en önemli dezavantajı imza boyutudur. ML-DSA-65 imzaları 3293 bayt iken Ed25519 imzaları 64 bayttır. Çok sayıda imza ileten protokollerde (TLS sertifika zincirleri, kod imzalama) bu durum bant genişliği kullanımını artırır. Ancak ML-DSA ile imzalama ve doğrulama çok hızlıdır (ECDSA ile karşılaştırılabilir veya ondan daha hızlıdır); dolayısıyla ödünleşim öncelikle iletişim maliyetindedir.

SLH-DSA (Durumsuz Özet Tabanlı Sayısal İmza Algoritması), FIPS 205 olarak standardize edilmiş ve SPHINCS+'dan türetilmiştir. Kafes şemalarının aksine SLH-DSA'nın güvenliği yalnızca temelindeki özet işlevinin (SHA-256 veya SHAKE-256) çakışma direncine ve ikinci ön görüntü direncine dayanır. Bu, SLH-DSA'yı son derece temkinli bir seçenek hâline getirir: kafes varsayımları bozulsa bile güvenli kalır.

SLH-DSA, özel anahtarın rastgele dizeler kümesi, açık anahtarın ise bu dizelerin her birinin art arda özetlenmesiyle elde edildiği özet tabanlı bir şema olan WOTS+'ı (Winternitz Tek Kullanımlık İmzası) temel alır. İmzalama, ileti bitlerine göre kısmi özetleme yapılmasını içerir. WOTS+ her anahtar çifti için güvenli biçimde yalnızca bir kez kullanılabilir; iki kez kullanılması bilgi sızdırır. SLH-DSA, ağaçlar aracılığıyla WOTS+ üzerine çok kullanımlı imzalamayı kurar.

SLH-DSA bir üst ağaç kullanır: Merkle ağaçlarından oluşan bir ağaç. Her yaprak bir WOTS+ örneğinin açık anahtarıdır. Kök, SLH-DSA açık anahtarıdır. Bir imza, ileti için WOTS+ imzasından ve yapraktan köke uzanan doğrulama yolundan oluşur. Üst ağaç yapısı, farklı WOTS+ yapraklarını kullanarak tek bir anahtar çiftiyle çok sayıda imza oluşturulmasını sağlar.

SLH-DSA; özet işlevini (SHA-256 veya SHAKE-256), güvenlik seviyesini (128s/128f, 192s/192f, 256s/256f) ve optimizasyonu (s = küçük imzalar, f = hızlı imzalama) birleştiren 12 parametre kümesine sahiptir. 128f çeşidi hızlı imzalama ile 7856 baytlık imzalara sahiptir; 128s çeşidinde de imzalar 7856 bayttır, ancak imzalama daha yavaştır. Tümü ML-DSA'dan çok daha büyüktür; bunun karşılığında mümkün olan en güçlü güvenlik varsayımına sahiptir.

Performans ve bant genişliği önemli olduğunda ve kafes varsayımlarına güvenildiğinde ML-DSA tercih edilir. SLH-DSA, yalnızca özet işlevinin güvenilir kabul edildiği son derece temkinli kurulumlarda veya olası kafes kırılmalarına karşı geleceğe hazırlık amacıyla tercih edilir. Seyrek imza atan ancak en üst düzey güvenceye ihtiyaç duyan sertifika yetkilileri ve devlet sistemleri SLH-DSA'yı tercih edebilirken sık imza atan TLS sunucuları ML-DSA'yı tercih edecektir.

FN-DSA (FIPS 206, FALCON tabanlı), NTRU kafeslerini ve Gauss örneklemesini kullanarak ML-DSA'dan daha küçük imzalar sunar (128 bit güvenlikte FALCON-512 için 897 bayt). Ancak FALCON, Gauss örnekleyicisinden kaynaklanan yan kanal saldırılarını önlemek için dikkatli bir sabit zamanlı uygulama gerektirir. FIPS 206'nın FIPS 203-205'ten sonra standardize edilmesi bekleniyor ve kaynakları kısıtlı ortamlar için yüksek performanslı bir seçenek sağlayacak.

SLH-DSA'nın ML-DSA'ya göre temel güvenlik avantajı nedir?

ML-DSA (FIPS 204), Module-LWE üzerinde iptalli Fiat-Shamir kullanır ve 192 bit güvenlikte 3 KB'lik imzalarla hızlı imzalama sunar. SLH-DSA (FIPS 205), yalnızca özet işlevi güvenliğine dayanan özet tabanlı Merkle ağaçlarını (WOTS+) kullanır ve 7-50 KB'lik imzalara sahiptir. ML-DSA performansa duyarlı uygulamalar için, SLH-DSA ise en yüksek temkinlilik için tercih edilir. FN-DSA (FALCON, FIPS 206), daha küçük imzalı bir kafes seçeneği ekleyecek.