Status report on the second round of the NIST post-quantum cryptography standardization process

Abstract

Certain commercial entities, equipment, or materials may be identified in this document in order to describe an experimental procedure or concept adequately. Such identification is not intended to imply recommendation or endorsement by NIST, nor is it intended to imply that the entities, materials, or equipment are necessarily the best available for the purpose. There may be references in this publication to other publications currently under development by NIST in accordance with its assigned statutory responsibilities. The information in this publication, including concepts and methodologies, may be used by federal agencies even before the completion of such companion publications. Thus, until each publication is completed, current requirements, guidelines, and procedures, where they exist, remain operative. For planning and transition purposes, federal agencies may wish to closely follow the development of these new publications by NIST. Organizations are encouraged to review all draft publications during public comment periods and provide feedback to NIST. Many NIST cybersecurity publications, other than the ones noted above, are available at https://csrc.nist.gov/publications.

Methods for calculating system parameters for electronic signature "Crystals-Dilithium" 128, 256, 384 and 512 bits of security levels

“…У [2,3,16] наведено пропозиції та результати досліджень щодо сутності, властивостей та умов застосування кандидата на постквантовий стандарт ЕП Сrystals-Dilithium (в подальшому Dilithium), що були сформовані та подані на конкурс NIST. На першому етапі досліджень в 2018 р. виявлені певні проблемні питання, щодо яких авторами проєкту стандарту були обґрунтовані та запропоновані певні удосконалення механізму ЕП Dilithium [3].…”

“…У цьому розділі розглянемо сутність та основні математичні та криптографічні положення Dilithium, що будуть потрібні для оцінки криптографічної стійкості. Причому, особливу увагу звернемо на рівні криптографічної стійкості, тобто 1 -5 рівні стійкості [1,2], що рекомендуються та можуть бути реалізованими поки ще в проєкті стандарту ЕП Dilithium. Відмітимо, що одним із основних проблемних питань, будемо мати на увазі обґрунтування необхідності та розробки удосконаленої версії ЕП Dilithium, що може забезпечувати в постквантовий період 128, 256, 384 і 512 біт безпеки проти класичного та 64, 128, 192 та 256 біт проти квантового криптоаналізу від найбільш загрозливих атак [2, 16 -18].…”

“…Схема вважається безпечною, якщо жоден (ефективний) зловмисник не має ні найменшої переваги у виконанні зазначених умов. Зазвичай кількість повідомлень q обмежується лише часом дій атакуючого, однак для спеціального випадку одноразових ЕП, зловмисник обмежується запитом лише одного підпису на кроці (2).…”

“…Аналіз показав [2,17,18], що серед схем ЕП на решітках суттєві переваги надано проєктам ЕП CRYSTALS -DILITHIUM та FALCON, вони рекомендовані для подальшого дослідження та стандартизації в процесі третього етапу конкурсу. Причому кращими визначено як математичні основи, так і алгоритми ЕП CRYSTALS -DILITHIUM [3, 16 -18].…”

“…NIST рекомендував розробникам ЕП DILITHIUM додати набір параметрів 5-го рівня безпеки (5-й -за нашою класифікацією це 1-й рівень безпеки із 4-х рівнів). Також необхідні додаткові дослідження розуміння конкретної безпеки, оскільки DILITHIUM має найнижчий набір параметрів безпеки CoreSVP [2,3] з усіх схем на основі решітки, які все ще знаходяться в процесі досліджень та порівняння. В той же час NIST вибрав DILITHIUM як фіналіста і очікує, що або DILITHIUM, або FALCON будуть стандартизовані як основна схема постквантового підпису в кінці третього раунду.…”