연구진이 ML-KEM(CRYSTALS-Kyber)의 키 생성 과정에서 단 한 번의 전력 추적만으로 비밀키를 복구할 수 있는 부채널 공격 기법을 arXiv에 공개했다. ARM Cortex-M4에서 최적화된 pqm4 구현체를 대상으로 실험한 결과, 중앙이항분포(CBD) 샘플러는 각 계수의 부호는 거의 정확히 노출하지만 크기 정보는 충분히 새어나오지 않았고, 이어지는 수론적 변환(NTT) 단계에서 공개 트위들 인자와의 곱셈 과정에서 부족했던 크기 정보가 추가로 누출돼 두 단계의 누설 정보가 서로를 보완했다. 이를 격자 기반 프라이멀 공격의 힌트로 활용한 결과 ML-KEM-768의 추정 BKZ 블록 크기가 624에서 129로 줄어, 보안 강도가 2^182.2에서 2^37.7 수준으로 급격히 낮아졌다. 연구진은 대응책으로 각 샘플 값을 잉여류의 무작위 대표값으로 저장하는 'q-무작위화'를 제안했으며, 이를 적용하면 블록 크기가 611로 회복돼 보안 강도 손실을 약 4비트 수준으로 억제하면서 펌웨어 용량은 937바이트만 늘어난다고 밝혔다.

• •ML-KEM(CRYSTALS-Kyber) 키 생성 시 단 1회 전력 추적만으로 비밀키 복구 가능한 부채널 공격 제시
• •CBD 샘플러의 부호 누설과 NTT 단계의 크기 누설이 상호 보완돼 공격에 결정적 정보 제공
• •공격 적용 시 ML-KEM-768의 BKZ 블록 크기가 624→129로 감소, 보안강도 2^182.2→2^37.7로 급락
• •대응책 'q-무작위화' 적용 시 블록 크기 611로 회복, 보안 손실은 약 4비트·펌웨어 증가 937바이트에 불과