연구팀은 공개 계수-슬롯(C2S) 평가 키와 클라이언트의 1비트 유효성 응답이 결합된 CKKS 배포 환경에서 프로토콜 수준의 반응 유출을 연구했다. 이 배포 표면에서는 악의적 평가자가 비밀 키의 엔트로피 H에 대해 점근적으로 최적인 O(H)개의 반응 질의만으로 3진 비밀 키를 복구할 수 있는데, 이는 RLWE나 CKKS의 IND-CPA 보안 자체를 깨는 것이 아니라 클라이언트 측 유효성 반응과 공개 동형 선형 변환 사이의 상호작용을 악용하는 것이다. Lattigo v6.2.0에 전체 공격을 구현해 표준 CKKS 프리셋 4종에서 전체 비밀 키를 복구했으며, 균일 3진 비밀의 경우 O(N) 질의로 엔트로피 하한의 2배 미만 수준에 도달했고 매 질의가 독립적으로 무작위화돼 클라이언트 측에서 손쉬운 탐지도 피할 수 있었다.
- •공개 C2S 평가 키와 1비트 유효성 응답이 결합된 CKKS 배포에서 프로토콜 수준 반응 유출 발견
- •비밀 키 엔트로피에 점근적으로 최적인 O(H) 질의만으로 3진 비밀 키 완전 복구
- •RLWE·CKKS 암호학적 가정 자체는 깨지 않고, 클라이언트 반응과 공개 선형 변환의 상호작용만 악용
- •Lattigo v6.2.0에 실제 구현, 표준 프리셋 4종에서 공격 성공 및 탐지 회피 특성 확인
0단 자동
AI가 규칙대로 쓰고 그대로 게시했습니다. 사람이 따로 보지 않았습니다.
- 규칙 판
- 규칙 판 도입 이전 기사입니다.
- 남기는 것
- 규칙 판 · 모델 · 시각
- 판 기록
- 아직 없습니다.
Reaction Attack on CKKS Deployments with Asymptotically Optimal Query Complexity
- 1.CKKS 공개 C2S 평가키와 클라이언트 1비트 유효성 응답을 결합한 반응 누출 취약점 발견
- 2.O(H) 쿼리만으로 3진 비밀키를 복구하는 공격으로 이론적 하한에 근접(H는 키 엔트로피)
- 3.Lattigo v6.2.0에 전체 공격을 구현, 표준 CKKS 프리셋 4종 모두에서 비밀키 완전 복구
- 4.매 쿼리를 영암호문으로 독립 랜덤화해 클라이언트 측 탐지를 회피
왜 중요한가?
CKKS/RLWE 자체의 수학적 안전성은 깨지 않지만, 실제 배포에서 흔한 '유효성 응답' 인터페이스를 악용해 비밀키를 완전 복구할 수 있음을 실증, 운영자에게 즉각적 설계 경고가 된다.
동형암호(CKKS) 배포 환경에서 1비트 유효성 응답을 이용한 '반응 공격' 취약점이 발견되었습니다. 국내에서 금융 및 헬스케어 등 민감 데이터를 다루는 분야에서 프라이버시 보호를 위한 동형암호 기술 도입이 활발해지는 가운데, 이러한 프로토콜 수준의 보안 위협을 심층적으로 이해하고 대비하는 것이 핵심입니다. 이는 국내 기업들이 기밀 컴퓨팅 솔루션을 안정적으로 구축하고 신뢰성을 확보하는 데 중요한 과제가 될 것입니다.
본문 미리보기
arXiv:2610.21127v1 Announce Type: new Abstract: We study a protocol-level reaction leakage in CKKS deployments where public coefficient-to-slot (C2S) evaluation keys are combined with a client's 1-bit validity response. Under this deployment surface, a malicious evaluator can recover a ternary secret key using asymptotically optimal $O(H)$ reaction queries, where $H$ is the entropy of the secret key. The attack does not break RLWE or CKKS IND-CPA security. Instead, it exploits the interaction
전체 내용이 궁금하다면?
원문을 직접 읽어보세요
이 글이 만들어진 과정
- 11:24AI 초안
