Bij de decapsulatie van ML-KEM wordt uit het resultaat van het ontsleutelen van de ontvangen cijfertekst met de privésleutel opnieuw een cijfertekst opgebouwd en vergeleken met de ontvangen cijfertekst. Welke voorzorg bij de implementatie van dit deel is juist?

Antwoord: C. De vergelijking kost dezelfde tijd ongeacht de geheimen, en bij een afwijking wordt geen fout teruggegeven maar een niet-gerelateerde sleutel die uit een geheime waarde is afgeleid, zodat de gevallen niet te onderscheiden zijn

De stap waarin met de opnieuw opgebouwde cijfertekst wordt vergeleken, dient om aanvallen tegen te houden die bewerkte cijferteksten sturen en de reactie bekijken (chosen-ciphertext-aanvallen). Als overeenkomst of afwijking uitlekt via de tijd van de vergelijking of via een foutmelding die een afwijking aangeeft, wordt dat zelf een aanwijzing voor een aanval, en kan de privésleutel beetje bij beetje worden afgeleid. Daarom schrijft FIPS 203 voor dat bij een afwijking geen fout wordt teruggegeven, maar een andere sleutel die uit een geheime waarde en de cijfertekst is afgeleid (impliciete afwijzing), en voeren implementaties de vergelijking en de keuze van het resultaat in constante tijd uit. Ook als een schema bestand is tegen kwantumcomputers, gaat de veiligheid verloren als geheimen uitlekken via de tijd of het stroomverbruik van de implementatie, en rond 2024 werd ook een implementatieprobleem gemeld waarbij de tijd van een deling van geheimen afhing (KyberSlash).