آلية تغليف المفاتيح

يتكون KEM من ثلاث خوارزميات: ^{[ 1 ] [ 2 ] [ 3 ] [ 11 ] [ 12 ]}

1. توليد المفاتيح ،${\displaystyle ({\mathit {pk}},{\mathit {sk}}):=\operatorname {Gen} ()}$لا يتطلب أي مدخلات ويعيد زوجًا من المفاتيح العامة${\displaystyle {\mathit {pk}}}$ومفتاح خاص${\displaystyle {\mathit {sk}}}$.
2. التغليف ،${\displaystyle (k,c):=\operatorname {Encap} ({\mathit {pk}})}$، يأخذ مفتاحًا عامًا${\displaystyle {\mathit {pk}}}$يختار مفتاحًا سريًا بشكل عشوائي${\displaystyle k}$، والعائدات${\displaystyle k}$إلى جانب تغليفه${\displaystyle c}$.
3. إزالة الغلاف ،${\displaystyle k':=\operatorname {Decap} ({\mathit {sk}},c')}$، يأخذ مفتاحًا خاصًا${\displaystyle {\mathit {sk}}}$والتغليف${\displaystyle c'}$و إما أن تُعيد مفتاحًا سريًا مُغلّفًا${\displaystyle k'}$أو يفشل، ويُشار إليه أحيانًا بالعودة${\displaystyle \bot }$(يسمى " القاع ").

في الإطار التقاربي للتشفير النظري، تكون جميع الخوارزميات ذات وقت متعدد الحدود احتمالي في معلمة أمان${\displaystyle \lambda }$وطول المفتاح السري${\displaystyle k}$هي دالة لمعامل الأمان${\displaystyle \lambda }$[ ^{1 ] [ 2 ]​}

في علم التشفير العملي، المفتاح السري${\displaystyle k}$يكون طول المفتاح السري عادةً ثابتًا لكل خوارزمية. على سبيل المثال، تستخدم خوارزمية ML-KEM دائمًا مفاتيح سرية بطول 256 بت، ^{[ 4 ] : ​​§ 3.3، ص 16،} بينما تتراوح المفاتيح السرية في الخوارزميات المذكورة في RFC 9180 بين 256 و384 و512 بت؛ ^{[ 5 ] : § 7.1.} ويمكن اشتقاق مفاتيح سرية ذات أطوال مختلفة من ${\displaystyle k}$بواسطة دالة اشتقاق رئيسية . ^{[ 13 ] : § 5.3 [ 5 ]}

تكون KEM صحيحة إذا، لأي زوج من المفاتيح${\displaystyle ({\mathit {pk}},{\mathit {sk}})}$تم إنشاؤه بواسطة${\displaystyle \operatorname {Gen} }$، إزالة غلاف التغليف${\displaystyle c}$تمت إعادته بواسطة${\displaystyle (k,c):=\operatorname {Encap} ({\mathit {pk}})}$باحتمالية عالية ينتج نفس المفتاح${\displaystyle k}$، إنه،${\displaystyle \operatorname {Decap} ({\mathit {sk}},c)=k}$[ ^{2 ] [ 3 ] [ 11 ] [ 12 ]​}

يُقاس أمان نظام إدارة المفاتيح (KEM) بمدى عدم قدرته على التمييز ضد هجوم النص المشفر المُختار التكيفي (IND-CCA)، والذي يُشير بشكل عام إلى مدى تفوق قدرة المُهاجم على تحديد ما إذا كان المفتاح المُعطى، عند إعطائه مفتاحًا عشوائيًا وتغليفًا، مُغلفًا بهذا التغليف أم أنه مفتاح عشوائي مستقل، مقارنةً برمي عملة معدنية. ^{[ 2 ] [ 3 ] [ 11 ] [ 12 ] [ 1 ]}

وبالتحديد، في مباراة IND-CCA:

1. يتم تشغيل خوارزمية توليد المفاتيح لتوليد${\displaystyle ({\mathit {pk}},{\mathit {sk}}):=\operatorname {Gen} ()}$.
2. ${\displaystyle {\mathit {pk}}}$يتم الكشف عنها للخصم.
3. يمكن للخصم الاستعلام${\displaystyle \operatorname {Decap} ({\mathit {sk}},c')}$للتغليف العشوائي${\displaystyle c'}$من اختيار الخصم.
4. يتم تشغيل خوارزمية التغليف لتوليد مفتاح سري وتغليف بشكل عشوائي${\displaystyle (k_{0},c):=\operatorname {Encap} ({\mathit {pk}})}$ومفتاح سري آخر${\displaystyle k_{1}}$يتم توليدها بشكل مستقل وعشوائي.
5. يتم رمي عملة معدنية عادلة ، مما يعطي نتيجة${\displaystyle b\in \{0,1\}}$.
6. الزوجان${\displaystyle (k_{b},c)}$يتم الكشف عنها للخصم.
7. يمكن للخصم أن يستفسر مرة أخرى${\displaystyle \operatorname {Decap} ({\mathit {sk}},c')}$للتغليف العشوائي${\displaystyle c'}$من اختيار الخصم ، باستثناء${\displaystyle c}$.
8. يرد الخصم بتخمين${\displaystyle b'\in \{0,1\}}$ويفوز بالمباراة إذا${\displaystyle b=b'}$.

تتمثل ميزة IND -CCA للخصم في${\displaystyle \left|\Pr[b'=b]-1/2\right|}$أي أن الاحتمالية التي تتجاوز احتمالية رمية عملة عادلة في التمييز الصحيح بين مفتاح مغلف ومفتاح تم اختياره عشوائياً بشكل مستقل.

يمكن استخدام آلية تغليف المفاتيح مع تشفير متناظر موثق لإنشاء نظام تشفير بالمفتاح العام لأي رسائل. ويتمثل شرط الأمان للتشفير المتناظر، والذي يُسمى آلية تغليف البيانات ( DEM) ، في عدم إمكانية تمييز الرسالة المُشفرة من قِبل المُرسِل ضد هجوم النص المشفر المُختار . ^{[ 15 ] [ 11 ] [ 16 ]}

بافتراض وجود نظام إدارة مفاتيح آمن مزود بخوارزميات Gen/Encap/Decap، ونظام إدارة بيانات آمن${\displaystyle E_{k}(m)}$كما أن نظام التشفير الهجين التالي ذو المفتاح العام آمن أيضًا ضد هجوم النص المشفر المختار التكيفي في بيئة المفتاح العام: ^{[ 1 ] [ 2 ] : § 7.2، النظرية 7.3 [ 13 ] : § 6.2.1}

• توليد المفاتيح: نفس آلية توليد المفاتيح (KEM).
• لتشفير رسالة${\displaystyle m}$للحصول على مفتاح عام${\displaystyle {\mathit {pk}}}$:
  1. يترك${\displaystyle (k,c):=\operatorname {Encap} ({\mathit {pk}})}$.
  2. يترك${\displaystyle \sigma$ :=E_{k}(m)} .
  3. يرسل${\displaystyle (c,\sigma )}$كنص مشفر.
• لفك تشفير نص مشفر${\displaystyle (c',\sigma ')}$باستخدام المفتاح الخاص${\displaystyle {\mathit {sk}}}$:
  1. يترك${\displaystyle k':=\operatorname {Decap} ({\mathit {sk}},c')}$أو الفشل إذا فشل.
  2. أعد الرسالة${\displaystyle E_{k'}^{-1}(\sigma ')}$أو الفشل إذا فشل.

تجدر الإشارة إلى أنه - كما هو الحال مع أي تشفير بالمفتاح العام بمفرده - لا يُثبت هذا التشفير هوية المُرسِل: إذ يمكن لأي شخص يمتلك المفتاح العام إرسال رسالة إلى مُستقبِل يمتلك المفتاح الخاص. لذا، يجب استخدام تقنيات تشفير أخرى، مثل التوقيعات الرقمية ، في البروتوكول لكي يُثبت المُرسِل هويته للمُستقبِل. ^{[ 17 ]}

مع ذلك، يُعد استخدام تشفير متناظر موثق شرطًا أساسيًا في نظام التشفير المجهول هذا باستخدام المفتاح العام لتحقيق أمان IND-CCA. في حال استخدام تشفير غير موثق ، والذي يكون آمنًا فقط ضد هجوم النص الصريح المُختار (IND-CPA)، يُمكن للمهاجم تعديل الرسالة بشكل انتقائي من خلال نصها المشفر أثناء النقل، وهو ما لا يُخالف فقط معيار IND-CCA من الناحية التقنية ^{[ 18 ]} ، بل يُمكن أن يُعرّض السرية للخطر عمليًا كما في EFAIL ^{[ 19 ]} .

يمكن أيضًا استخدام KEM في بروتوكول اتفاقية مفاتيح مصادق عليه مثل TLS مع سرية أمامية لجلسة عبر الإنترنت، وذلك من خلال قيام العميل والخادم بإنشاء أزواج مفاتيح KEM وتبادل التغليفات الموقعة باستخدام أزواج المفاتيح هذه، والتي يقومون بعد ذلك بمسحها في نهاية الجلسة. ^{[ 13 ]}

تعتمد أنظمة إدارة المفاتيح (KEMs) المختلفة على مسائل رياضية متباينة لضمان أمانها. فعلى سبيل المثال، يعتمد أمان نظام Rabin-KEM على صعوبة تحليل الأعداد الصحيحة إلى عواملها الأولية ^{[ 11 ]} ، وهي مسألة دُرست لقرون، ولكنها معروفة بضعفها أمام الحواسيب الكمومية القادرة على تشغيل خوارزمية شور . في المقابل، يعتمد أمان نظام ML-KEM على صعوبة التعلم مع الأخطاء ^{[ 4 ]} ، وهي مسألة دُرست لعقود فقط، ولكنها ليست معروفة بضعفها حتى أمام خصم يمتلك حاسوبًا كموميًا قادرًا على تشغيل خوارزمية شور.

مُجمِّع KEM هو مخطط لدمج اثنين من KEMs، KEM ₁ و KEM ₂ مع خوارزميات التغليف الخاصة بهما KEM ₁ .Encap و KEM ₂ .Encap وهكذا، في KEM مدمج يكون آمنًا إذا كان KEM ₁ أو KEM ₂ آمنًا. ^{[ 20 ]}

يُطلق أحيانًا على نظام إدارة المفاتيح (KEM) الذي يجمع بين نظام إدارة مفاتيح معرض للهجمات الكمومية مثل DH-KEM باستخدام X25519 ونظام إدارة مفاتيح ما بعد الكموم مثل ML-KEM اسم النظام الهجين ، ^{[ 21 ] [ 10 ] [ 22 ]} ولا ينبغي الخلط بينه وبين نظام التشفير الهجين الذي يجمع بين التشفير بالمفتاح العام والتشفير بالمفتاح المتماثل .

التشفير التقليدي RSA ، مع${\displaystyle t}$المعاملات والأسس ذات البتات${\displaystyle e}$، ويتم تعريفها على النحو التالي: ^{[ 23 ] [ 24 ] [ 25 ]}

• توليد المفاتيح ،${\displaystyle ({\mathit {pk}},{\mathit {sk}}):=\operatorname {Gen} ()}$:

1. إنشاء${\displaystyle t}$عدد شبه أولي بت${\displaystyle n}$مع${\displaystyle 2^{t-1}<n<2^{t}}$بشكل عشوائي مُرضٍ${\displaystyle \gcd(e,\lambda (n))=1}$، أين${\displaystyle \lambda (n)}$هي دالة كارمايكل .
2. الحوسبة${\displaystyle d:=e^{-1}{\bmod {\lambda }}(n)}$.
3. يعود${\displaystyle {\mathit {pk}}:=n}$باعتباره المفتاح العام و${\displaystyle {\mathit {sk}}:=(n,d)}$كمفتاح خاص. (تتوفر العديد من الاختلافات في خوارزميات توليد المفاتيح وتنسيقات المفاتيح الخاصة. ^{[ 26 ]} )

• تشفير​${\displaystyle (t-1)}$رسالة بت${\displaystyle m}$إلى المفتاح العام${\displaystyle {\mathit {pk}}=n}$، إعطاء${\displaystyle c:=\operatorname {Encrypt} ({\mathit {pk}},m)}$:

1. قم بتشفير سلسلة البتات${\displaystyle m}$كعدد صحيح${\displaystyle r}$مع${\displaystyle 0\leq r<n}$.
2. يعود${\displaystyle c:=r^{e}{\bmod {n}}}$.

• فك تشفير النص المشفر${\displaystyle c'}$باستخدام المفتاح الخاص${\displaystyle {\mathit {sk}}=(n,d)}$، إعطاء${\displaystyle m':=\operatorname {Decrypt} ({\mathit {sk}},c')}$:

1. الحوسبة${\displaystyle r':=(c')^{d}{\bmod {n}}}$.
2. فك تشفير العدد الصحيح${\displaystyle r'}$كسلسلة بت${\displaystyle m'}$.

هذا النهج الساذج غير آمن تماماً. فعلى سبيل المثال، ولأنه غير عشوائي، فإنه لا يمكن أن يكون آمناً حتى ضد هجوم النص الصريح المعروف - إذ يمكن للمهاجم أن يحدد ما إذا كان المرسل هو من يرسل الرسالة ATTACK AT DAWNأم لا، ATTACK AT DUSKوذلك ببساطة عن طريق تشفير تلك الرسائل ومقارنة النص المشفر.

حتى لو${\displaystyle m}$يكون دائمًا مفتاحًا سريًا عشوائيًا، مثل مفتاح AES ذي 256 بت ، عندما${\displaystyle e}$يتم اختيارها لتحسين الكفاءة كما${\displaystyle e=3}$الرسالة${\displaystyle m}$يمكن حسابها من النص المشفر${\displaystyle c}$ببساطة عن طريق أخذ الجذور التكعيبية للأعداد الحقيقية ، وهناك العديد من الهجمات الأخرى ضد خوارزمية RSA العادية . ^{[ 23 ] [ 24 ]} وقد تم ابتكار العديد من مخططات الحشو العشوائي في محاولات - باءت بعضها بالفشل، مثل RSAES-PKCS1-v1_5 ^{[ 23 ] [ 27 ] [ 28 ]} - لجعلها آمنة للرسائل القصيرة العشوائية.${\displaystyle m}$[ ^{23 ] [ 24 ]​}

منذ الرسالة${\displaystyle m}$عادةً ما يكون مفتاحًا سريًا قصيرًا لتشفير متماثل مُصادق عليه، يُستخدم لتشفير رسالة سلسلة بتات عشوائية. أما النهج الأبسط المسمى RSA-KEM فهو اختيار عنصر من${\displaystyle \mathbb {Z} /n\mathbb {Z} }$يتم اختيارها عشوائيًا واستخدامها لاستخلاص مفتاح سري باستخدام دالة استخلاص المفاتيح.${\displaystyle H}$، تقريبًا كما يلي: ^{[ 15 ] [ 8 ] [ 16 ]}

• توليد المفاتيح : كما هو مذكور أعلاه.
• تغليف المفتاح العام${\displaystyle {\mathit {pk}}=n}$، إعطاء${\displaystyle (k,c):=\operatorname {Encap} ({\mathit {pk}})}$:

1. اختر عددًا صحيحًا${\displaystyle r}$مع${\displaystyle 0\leq r<n}$بشكل عشوائي منتظم.
2. يعود${\displaystyle k:=H(r)}$و${\displaystyle c:=r^{e}{\bmod {n}}}$كغلاف لها.

• إزالة الغلاف عن${\displaystyle c'}$باستخدام المفتاح الخاص${\displaystyle {\mathit {sk}}=(n,d)}$، إعطاء${\displaystyle k':=\operatorname {Decap} ({\mathit {sk}},c')}$:

1. الحوسبة${\displaystyle r':=(c')^{d}{\bmod {n}}}$.
2. يعود${\displaystyle k':=H(r')}$.

هذا النهج أسهل في التنفيذ، ويوفر اختزالًا أكثر دقة لمشكلة RSA ، مقارنةً بمخططات الحشو مثل RSAES-OAEP . ^{[ 15 ]}

يتم تعريف تشفير Elgamal التقليدي على مجموعة فرعية ضربية من الحقل المنتهي${\displaystyle \mathbb {Z} /p\mathbb {Z} }$مع مولد كهربائي${\displaystyle g}$من النظام${\displaystyle q}$كما يلي: ^{[ 29 ] [ 30 ]}

• توليد المفاتيح ،${\displaystyle (pk,sk):=\operatorname {Gen} ()}$:

1. يختار${\displaystyle x\in \mathbb {Z} /q\mathbb {Z} }$بشكل عشوائي منتظم.
2. الحوسبة${\displaystyle y:=g^{x}{\bmod {p}}}$.
3. يعود${\displaystyle {\mathit {sk}}:=x}$كمفتاح خاص و${\displaystyle {\mathit {pk}}:=y}$باعتباره المفتاح العام.

• تشفير الرسالة${\displaystyle m\in \mathbb {Z} /p\mathbb {Z} }$إلى المفتاح العام${\displaystyle {\mathit {pk}}=y}$، إعطاء${\displaystyle c:=\operatorname {Encrypt} ({\mathit {pk}},m)}$:

1. يختار${\displaystyle r\in \mathbb {Z} /q\mathbb {Z} }$بشكل عشوائي منتظم.
2. الحساب:$${\displaystyle {\begin{aligned}t&:=y^{r}{\bmod {p}}\\c_{1}&:=g^{r}{\bmod {p}}\\c_{2}&:=(t\cdot m){\bmod {p}}\end{aligned}}}$$
3. أعد النص المشفر${\displaystyle c:=(c_{1},c_{2})}$.

• فك تشفير نص مشفر${\displaystyle c'=(c'_{1},c'_{2})}$للحصول على مفتاح خاص${\displaystyle {\mathit {sk}}=x}$، إعطاء${\displaystyle m':=\operatorname {Decrypt} ({\mathit {sk}},c')}$:

1. الفشل والعودة${\displaystyle \bot }$لو${\displaystyle (c'_{1})^{(p-1)/q}\not \equiv 1{\pmod {p}}}$أو إذا${\displaystyle (c'_{2})^{(p-1)/q}\not \equiv 1{\pmod {p}}}$أي، إذا${\displaystyle c'_{1}}$أو${\displaystyle c'_{2}}$ليس ضمن المجموعة الفرعية التي تم إنشاؤها بواسطة${\displaystyle g}$.
2. الحوسبة${\displaystyle t':=(c'_{1})^{x}{\bmod {p}}}$.
3. يعود${\displaystyle m':=t^{-1}c'_{2}{\bmod {p}}}$.

يتوافق هذا مع قواعد نظام التشفير بالمفتاح العام، والمقتصر على الرسائل الموجودة في المساحة${\displaystyle \mathbb {Z} /p\mathbb {Z} }$(مما يحد من حجم الرسالة إلى بضع مئات من البايتات للقيم النموذجية لـ${\displaystyle p}$من خلال التحقق من صحة النصوص المشفرة أثناء فك التشفير، يتم تجنب تسريب أجزاء من المفتاح الخاص.${\displaystyle x}$من خلال نصوص مشفرة مختارة بشكل خبيث خارج المجموعة التي تم إنشاؤها بواسطة${\displaystyle g}$.

ومع ذلك، فإن هذا لا يحقق عدم القدرة على التمييز ضد هجوم النص المشفر المختار . على سبيل المثال، إذا كان لدى الخصم نص مشفر${\displaystyle c=(c_{1},c_{2})}$لرسالة غير معروفة${\displaystyle m}$يمكن فك تشفيرها بسهولة عن طريق الاستعلام من وسيط فك التشفير عن النص المشفر المميز${\displaystyle c':=(c_{1},c_{2}g)}$مما ينتج عنه النص الأصلي ذي الصلة${\displaystyle m':=mg{\bmod {p}}}$، منها${\displaystyle m}$يمكن استردادها بواسطة${\displaystyle m=m'g^{-1}{\bmod {p}}}$[ ^{29 ]​}

يمكن تكييف تشفير Elgamal التقليدي مع بيئة المنحنى الإهليلجي، ولكنه يتطلب طريقة ما لترميز الرسائل بشكل عكسي كنقاط على المنحنى، وهو أمر أقل بساطة من ترميز الرسائل كأعداد صحيحة modulo${\displaystyle p}$[ ^{31 ]​}

منذ الرسالة${\displaystyle m}$عادةً ما يكون المفتاح السري قصيرًا لخوارزمية تشفير متناظرة تُستخدم لتشفير رسالة سلسلة بتات عشوائية، وهناك نهج أبسط - يُسمى Elgamal-KEM أو DH-KEM - يتمثل في اشتقاق المفتاح السري من${\displaystyle t}$والاستغناء عن${\displaystyle m}$و${\displaystyle c_{2}}$بشكل عام، كـ KEM، باستخدام دالة اشتقاق رئيسية${\displaystyle H}$: ^{[ 1 ] [ 5 ]}

• توليد المفاتيح : كما هو مذكور أعلاه.
• تغليف المفتاح العام${\displaystyle {\mathit {pk}}=y}$، إعطاء${\displaystyle (k,c):=\operatorname {Encap} ({\mathit {pk}})}$:

1. يختار${\displaystyle r\in \mathbb {Z} /q\mathbb {Z} }$بشكل عشوائي منتظم.
2. الحوسبة${\displaystyle t:=y^{r}{\bmod {p}}}$.
3. يعود${\displaystyle k:=H(t)}$و${\displaystyle c:=g^{r}{\bmod {p}}}$كغلاف لها.

• إزالة الغلاف عن${\displaystyle c'}$باستخدام المفتاح الخاص${\displaystyle {\mathit {sk}}=x}$، إعطاء${\displaystyle k':=\operatorname {Decap} ({\mathit {sk}},c')}$:

1. الفشل والعودة${\displaystyle \bot }$لو${\displaystyle (c')^{(p-1)/q}\not \equiv 1{\pmod {p}}}$أي، إذا${\displaystyle c'}$ ليس ضمن المجموعة الفرعية التي تم إنشاؤها بواسطة${\displaystyle g}$.
2. الحوسبة${\displaystyle t':=(c')^{x}{\bmod {p}}}$.
3. يعود${\displaystyle k':=H(t')}$.

عند دمجها مع خوارزمية تشفير موثقة لتشفير رسائل سلسلة بتات عشوائية، فإن هذا المزيج يُشكل أساسًا نظام التشفير المتكامل . ولأن هذا النظام لا يتطلب سوى دالة اشتقاق مفتاح أحادية الاتجاه لتجزئة عناصر عشوائية من المجموعة التي يُعرَّف عليها،${\displaystyle \mathbb {Z} /p\mathbb {Z} }$في هذه الحالة، وليس التشفير العكسي للرسائل، من السهل التوسع إلى مجموعات المنحنيات الإهليلجية الأكثر إحكاما وكفاءة لنفس مستوى الأمان، كما هو الحال في ECIES، مخطط التشفير المتكامل للمنحنى الإهليلجي ، أو حالات RFC 9180 DHKEM(...).