Стандартизація постквантової криптографії — це програма, організована Національним інститутом стандартів і технологій США (NIST) для включення постквантової криптографії у свої стандарти. Її було оголошено на PQCrypto 2016. 23 схеми підпису та 59 схем шифрування або були подані до кінцевого терміну подачі заявок в кінці 2017 року, з яких 69 відповідали базовим вимогам та потрапили до першого раунду конкурсу, що проводився в рамках цієї програми.

13 серпня 2024 року Інститут випустив фінальні версії перших трьох постквантових криптографічних стандартів: FIPS 203, FIPS 204 та FIPS 205.NIST Releases First 3 Finalized Post-Quantum Encryption Standards, NIST, August 13, 2024

Передумови Наукові дослідження потенційного впливу квантових комп'ютерів почалися щонайменше з 2001 року. У звіті NIST, опублікованому у квітні 2016 року, наводяться слова експертів, які визнають, що квантові технології зможуть взломувати широко використовуваний алгоритм RSA до 2030 року. Як наслідок, виникла потреба у стандартизації квантово-стійких криптографічних алгоритмів. Оскільки більшість симетричних криптографічних алгоритмів відносно легко модифікувати таким чином, щоб зробити їх квантово-стійкими, то зусилля були зосереджені на криптографії з відкритим ключем, зокрема на цифрових підписах та механізмах інкапсуляції ключів. У грудні 2016 року NIST ініціював процес стандартизації, оголосивши конкурс.

Перший раунд На розгляді були такі алгоритми: (закресленим позначаються зняті з конкурсу)

Тип PKE/KEM Цифровий підпис Цифровий підпис & PKE/ На основі ґраток Compact LWE

Ding Key Exchange EMBLEM та R.EMBLEM FrodoKEM HILA5 (знятий та об'єднаний з Round5) KCL (pka OKCN/AKCN/CNKE) KINDI LAC LIMA Lizard LOTUS NewHope

NTRU-HRSS-KEM NTRU Prime Odd Manhattan Round2 (знятий та об'єднаний з Round5) Round5 (об'єднаний з Round2 та Hila5, 4 серпня 2018 року) SABER Three Bears Titanium CRYSTALS-Dilithium DRS

pqNTRUSign qTESLA На основі кодів BIG QUAKE BIKE Класичний + NTS-KEM DAGS Edon-K HQC LAKE (знятий та об'єднаний з ROLLO) LEDAkem LEDApkc Lepton LOCKER (знятий та об'єднаний з ROLLO) McNie NTS-KEM ROLLO (об'єднаний з Ouroboros-R, LAKE та LOCKER) Ouroboros-R (знятий та об'єднаний з ROLLO) QC-MDPC KEM Ramstake RLCE-KEM RQC pqsigRM RaCoSS RankSign На основі хешів Gravity-SPHINCS SPHINCS+ CFPKM Giophantus DualModeMS GeMSS Gui HiMQ-3 LUOV MQDSS Rainbow SRTPI DME На основі групи кіс WalnutDSA На основі ізогеній суперсингулярних еліптичних кривих Інші Guess Again HK17 Mersenne-756839 RVB Picnic pqRSARSA з використанням 231 4096-бітових ключів із загальним розміром ключа 1 ТіБ. «Ключ ледве вміщається на жорсткому диску»

Алгоритми, для яких знайшли вразливості під час першого раунду Guess Again RVB RaCoSS HK17 SRTPI WalnutDSA DRS DAGS Edon-K RLCE Hila5 Giophantus RankSign McNie

Другий раунд Кандидати, які пройшли до другого раунду, були оголошені 30 січня 2019 року.

Тип PKE/KEM Цифровий підпис На основі ґраток CRYSTALS-Kyber FrodoKEM LAC

(об'єднання NTRUEncrypt та NTRU-HRSS-KEM) NTRU Prime Round5 SABER Three Bears CRYSTALS-Dilithium FALCON qTESLA На основі кодів BIKE Classic McEliece HQC LEDAcrypt (об'єднання LEDAkem та LEDApkc) NTS-KEM ROLLO (об'єднання Ouroboros-R, LAKE та LOCKER) RQC На основі хешів SPHINCS+ Багатовимірні GeMSS LUOV MQDSS Rainbow На основі ізогеній суперсингулярних еліптичних кривих SIKE На основі доведення з нульовим розголошенням Picnic

Третій раунд 22 липня 2020 року NIST оголосив сім фіналістів («перший трек»), а також вісім альтернативних алгоритмів («другий трек»). Перший трек містив алгоритми, які виглядали найбільш перспективними, та були розглянуті для стандартизації в кінці третього раунду. Алгоритми з другого треку все ще могли стати частиною стандарту після завершення третього раунду. NIST розраховував, що деякі з альтернативних кандидатів будуть розглянуті в четвертому раунді.

7-9 червня 2021 року NIST провів віртуально третю конференцію зі стандартизації постквантової криптографії. Конференція включала в себе презентації кандидатів та дискусії щодо впровадження, виконання та питань безпеки кандидатів. Увагу було приділено питанням інтелектуальної власності.

Фіналісти Тип PKE/KEM Цифровий підпис На основі ґраток

SABER CRYSTALS-Dilithium На основі кодів Класичний Rainbow

Альтернативні кандидати Тип PKE/KEM Цифровий підпис На основі ґраток FrodoKEM NTRU Prime На основі кодів BIKE HQC На основі хешів SPHINCS+ Багатовимірні GeMSS На основі ізогеній суперсингулярних еліптичних кривих На основі доведення з нульовим розголошенням Picnic

Питання інтелектуальної власності Після оголошення фіналістів та альтернативних кандидатів було висловлено різні занепокоєння щодо інтелектуальної власності, зокрема, навколо схем на основі ґраток, таких як Kyber та NewHope. Хоч NIST має підписані заяви від груп, які брали участь у конкурсі, що вони відмовляються від будь-яких юридичних претензій, але все ще існують занепокоєння, що треті сторони можуть втрутитись. NIST заявив, що вони візьмуть до уваги такі міркування при виборі алгоритмів-переможців.

Алгоритми, для яких знайшли вразливості під час третього раунду Rainbow (на класичному комп'ютері)

Адаптації Під час цього раунду у наступних кандидатів виявили вразливості до певних атак, але їх виправили: CRYSTAL-Kyber та SABER FALCON

Перша група переможців 5 липня 2022 року NIST оголосив першу групу переможців шестирічного конкурсу.

Тип PKE/KEM Цифровий підпис На основі ґраток CRYSTALS-Kyber CRYSTALS-Dilithium FALCON На основі хешів SPHINCS+

Четвертий раунд 5 липня 2022 року NIST оголосив чотирьох кандидатів на участь у четвертому раунді стандартизації постквантової криптографії.

Тип PKE/KEM На основі кодів BIKE Classic McEliece HQC На основі ізогеній суперсингулярних еліптичних кривих SIKE

Алгоритми, для яких знайшли вразливості під час четвертого раунду SIKE (на класичному комп'ютері)

Перший випуск стандартів 13 серпня 2024 року NIST випустив фінальні версії своїх перших трьох постквантових криптографічних стандартів. Згідно з анонсом до релізу:

Хоча в порівнянні з чорновими версіями стандартів не було внесено суттєвих змін, NIST змінив назви алгоритмів, щоб вказати версії, які фігурують у трьох фіналізованих стандартах, а саме: Федеральний стандарт обробки інформації (FIPS) 203, призначений як основний стандарт для загального шифрування. Серед його переваг — порівняно невеликі ключі шифрування, якими дві сторони можуть легко обмінюватися, а також швидкість роботи. В основі стандарту лежить алгоритм CRYSTALS-Kyber, який був перейменований на ML-KEM, скорочення від Module-Lattice-Based Key-Encapsulation Mechanism (Механізм інкапсуляції ключів на основі модулярної ґратки). FIPS 204, призначений як основний стандарт для цифрових підписів. Стандарт використовує алгоритм CRYSTALS-Dilithium, який було перейменовано на ML-DSA, скорочення від Module-Lattice-Based Digital Signature Algorithm (Алгоритм цифрового підпису на основі модулярної ґратки). FIPS 205, також призначений для цифрових підписів. Стандарт використовує алгоритм Sphincs+, який було перейменовано на SLH-DSA, скорочення від Stateless Hash-Based Digital Signature Algorithm. Стандарт базується на іншому математичному підході, ніж ML-DSA, і призначений як резервний метод на випадок, якщо ML-DSA виявиться вразливим. Аналогічно, коли буде випущено стандарт FIPS 206, побудований на основі FALCON, алгоритм отримає назву FN-DSA, скорочення від FFT (швидке перетворення Фур'є) над NTRU-Lattice-Based Digital Signature Algorithm (Алгоритм цифрового підпису на основі NTRU-ґратки).

Додаткові схеми цифрового підпису У вересні 2022 року NIST оголосив про розгляд додаткових пропозицій в категорії цифрових підписів у процесі стандартизації постквантової криптографії, щоб урізноманітнити свій набір постквантових підписів.

Перший раунд NIST отримав 50 заявок та визнав 40 з них відповідними до вимог участі. На розгляді були такі алгоритми:

Тип Цифровий підпис На основі ґраток EagleSign EHTv3 та EHTv4 HAETAE HAWK HuFu Raccoon SQUIRRELS На основі кодів CROSS Удосконалений pqsigRM FuLeeca LESS MEDS Wave MPC-in-the-Head MIRA MiRitH MQOM PERK RYDE SDitH Багатовимірні 3WISE («Заявник погоджується з тим, що схема є вразливою, але вважає за краще не відкликати заявку в надії, що вивчення схеми сприятиме розвитку криптоаналізу») Biscuit DME-Sign («Наше перше враження — атака працює, і ми перевіряємо деталі атаки. Ми працюємо над варіантом DME, який може протистояти атаці, але ми повинні перевірити його.») HPPC MAYO PROV QR-UOV SNOVA TUOV

VOX На основі ізогеній суперсингулярних еліптичних кривих На основі симетрій AIMer Ascon-Sign FAEST SPHINCS-alpha Інші ALTEQ eMLE-Sig 2.0 KAZ-SIGN Preon Xifrat1-Sign.I

Алгоритми, для яких знайшли вразливості під час першого раунду 3WISE EagleSign KAZ-SIGN Xifrat1-Sign.I eMLE-Sig 2.0 HPPC ALTEQ Biscuit MEDS FuLeeca LESS DME-Sign EHTv3 Удосконалений pqsigRM HAETAE HuFu SDitH VOX AIMer SNOVA PROV

Другий раунд Кандидати, які пройшли до другого раунду, були оголошені 24 жовтня 2024 року.

Тип Цифровий підпис На основі ґраток HAWK На основі кодів CROSS LESS MPC-in-the-Head Mirath (об'єднання MIRA та MiRitH) MQOM PERK RYDE SDitH Багатовимірні MAYO QR-UOV SNOVA UOV На основі ізогеній суперсингулярних еліптичних кривих SQIsign На основі симетрій FAEST

Примітки

Посилання NIST's official Website on the standardization process Post-quantum cryptography website (сайт Даніеля Бернштайна)