Lors de la désencapsulation de ML-KEM, on reconstruit un texte chiffré à partir du résultat du déchiffrement du texte chiffré reçu avec la clé privée, puis on le compare au texte chiffré reçu. Quelle précaution d'implémentation est correcte pour cette partie ?

Réponse : C. La comparaison prend le même temps quels que soient les secrets, et en cas de discordance, aucune erreur n'est renvoyée : on renvoie à la place une clé sans rapport dérivée d'une valeur secrète, de sorte que les cas ne puissent pas être distingués

L'étape de comparaison avec le texte chiffré reconstruit sert à contrer les attaques qui envoient des textes chiffrés forgés et observent la réaction (attaques à chiffrés choisis). Si la concordance ou la discordance fuit par la durée de la comparaison ou par une erreur signalant la discordance, cela devient en soi un indice pour l'attaque, et la clé privée risque d'être déduite petit à petit. FIPS 203 prévoit donc qu'en cas de discordance, aucune erreur ne soit renvoyée, mais une autre clé dérivée d'une valeur secrète et du texte chiffré (rejet implicite), et les implémentations effectuent la comparaison et la sélection du résultat en temps constant. Même si un schéma résiste aux ordinateurs quantiques, sa sécurité est perdue si des secrets fuient par le temps d'exécution ou la consommation de l'implémentation ; vers 2024, un problème d'implémentation où la durée d'une division dépendait de secrets (KyberSlash) a d'ailleurs été signalé.