Bei der Entkapselung in ML-KEM wird aus dem Ergebnis der Entschlüsselung des empfangenen Geheimtexts mit dem privaten Schlüssel der Geheimtext erneut erzeugt und mit dem empfangenen Geheimtext verglichen. Welcher Implementierungshinweis für diesen Teil ist richtig?

Antwort: C. Der Vergleich läuft unabhängig von Geheimnissen in derselben Zeit ab, und auch bei fehlender Übereinstimmung wird kein Fehler zurückgegeben, sondern ein aus einem geheimen Wert abgeleiteter, unabhängiger Schlüssel, sodass die Fälle nicht unterscheidbar sind

Der Vergleich mit dem neu erzeugten Geheimtext dient dazu, Angriffe abzuwehren, die präparierte Geheimtexte senden und die Reaktion beobachten (Chosen-Ciphertext-Angriffe). Dringt Übereinstimmung oder Nichtübereinstimmung über die Dauer des Vergleichs oder über eine Fehlermeldung nach außen, wird das selbst zum Hinweis für einen Angriff, und der private Schlüssel könnte Stück für Stück erschlossen werden. FIPS 203 legt daher fest, dass bei fehlender Übereinstimmung kein Fehler zurückgegeben wird, sondern ein anderer, aus einem geheimen Wert und dem Geheimtext abgeleiteter Schlüssel (implizite Zurückweisung), und Implementierungen führen den Vergleich und die Auswahl des Ergebnisses in konstanter Zeit aus. Selbst wenn ein Verfahren Quantencomputern standhält, ist seine Sicherheit verloren, wenn Geheimnisse über Zeitverhalten oder Leistungsaufnahme der Implementierung durchsickern; um 2024 wurde zudem ein Implementierungsproblem gemeldet, bei dem die Dauer einer Division von Geheimnissen abhing (KyberSlash).