X-Wing — это гибридный механизм инкапсуляции ключей (KEM), разработанный для устойчивости к криптоанализу с помощью будущих мощных квантовых компьютеров , а также для защиты от классических (например, неквантовых) атак, когда базовый, относительно новый, постквантовый алгоритм криптографии оказывается слабым. Он объединяет классический обмен ключами X25519 ECDH с ML-KEM-768 в качестве постквантового алгоритма. Он используется для установления общего секрета между двумя взаимодействующими сторонами без возможности его расшифровки злоумышленником ( IND-CCA2 ) в системе передачи. [1]
X-Wing реализует гибридный обмен ключами , что означает, что он объединяет несколько алгоритмов обмена ключами для создания одного общего секрета . Это мотивировано переходом к постквантовой криптографии [2] , которая подверглась меньшему криптоанализу , чем классические алгоритмы. Чтобы гарантировать, что обмен ключами не будет ослаблен этими постквантовыми алгоритмами, оба обмена ключами объединены таким образом, что если один из них полностью взломан, система все еще будет иметь свойства безопасности не взломанного алгоритма.
В то время как ML-KEM-768 устойчив к IND-CCA2, X25519 — нет. [1] X-Wing выбирает использование свойств IND-CCA2 ML-KEM-768, включая открытый ключ и шифртекст X25519 в окончательном выводе ключа. Этот окончательный вывод ключа использует SHA3-256, который объединяет (уже защищенный IND-CCA2) общий секрет ML-KEM-768 с общим секретом, открытым ключом и шифртекстом X25519.
Любое изменение злоумышленником открытого ключа или зашифрованного текста приведет к получению неверного ключа, который не сможет пройти последующее подтверждение ключа.
X-Wing и KEM в целом не обеспечивают аутентификацию обмена ключами. Для проверки того, что обмен ключами был выполнен с доверенной стороной [3] , необходимо использовать отдельную схему аутентификации , которая не является частью механизма X-Wing.
В целом, гибридный KEM обеспечивает небольшое снижение производительности по сравнению с чисто постквантовым алгоритмом, но это снижение невелико. [4]