antonio leandro

primariatechcienciaen

IACR ePrint

Repositório de preprints da International Association for Cryptologic Research: cerca de dez artigos por dia, sem revisão por pares e com carimbo de data. É onde ataques e defesas da criptografia aparecem primeiro, às vezes com dias de diferença entre um e outro.

100 textos no acervo · publica a cada ~0 dias · último em

escrito por pipeline de llm, revisado por antonio leandro antes de publicar

o que esta fonte defende

O IACR ePrint não defende nada. É infraestrutura: um servidor de preprints onde qualquer pessoa da comunidade deposita um PDF e recebe um número e uma data. Não há editor, não há revisão por pares antes da publicação, não há linha. Os cem textos deste arquivo não formam uma tese — formam um censo de no que a criptografia acadêmica estava trabalhando nos últimos meses. Dizer o contrário seria inventar coerência onde há só volume.

Dito isso, o arquivo tem forma, e ela é visível. A mais nítida é a briga em tempo real. Em 7 de agosto aparece um distinguisher quasipolinomial contra o McEliece com códigos de Goppa [51] — o esquema pós-quântico mais conservador que existe, escolhido justamente por ser o mais antigo e o menos atacado. Em 20 de agosto, uma nota transforma o distinguisher em recuperação de chave [44]. Em 24, alguém calcula o custo em operações de bit para cada conjunto de parâmetros do Classic McEliece [39]. Em 26, outro artigo apresenta um limite inferior argumentando que aquele caminho de recuperação não desce abaixo de certo custo [24]. Três semanas, quatro artigos, uma discussão que em uma revista levaria dois anos. O mesmo padrão se repete no wedge attack contra assinaturas multivariadas [3][55][16] e na sequência sobre isogenias, em que uma melhoria assintótica anunciada em junho é submetida a uma avaliação concreta de segurança poucas semanas depois [14][12].

O segundo padrão é um deslocamento de eixo. “Pós-quântico” deixou de ser o tema e virou o pressuposto: quase ninguém mais argumenta que a transição é necessária, e muita gente trabalha em fazê-la caber — ML-DSA em lote dentro de mTLS [5], verificação de assinaturas BLS no cliente Ethereum [6], NTT formalmente verificada e gerada por compilador [52], HQC num Cortex-M4 [84]. Junto com isso vem a categoria de ataque que não toca na matemática: SDitH v2 e MQOM v2, candidatos ao processo adicional do NIST, caem por reuso de IV e por expansão de raiz sem salt [25][56]; PRESENT mascarado cai num processador RISC-V fora de ordem porque o renomeamento de registradores desfaz a separação entre shares [62]. A fronteira útil, hoje, está no código e no silício mais do que na suposição.

O que o arquivo não tem é conversa entre linhas. Teoria de dureza [4][41][48], criptanálise simétrica [8][43][50] e sistemas de prova aplicados [23][54][31] correm em paralelo sem se citar. E vale o aviso de leitura: sem revisão por pares, um preprint do ePrint é rascunho até que alguém responda — e o próprio arquivo mostra que a resposta às vezes é “esse ataque não funciona”.

por tema

as quebras que acontecem em público (12 textos)

A parte mais distintiva do arquivo é a disputa aberta, com datas. Três frentes correm simultaneamente. Na primeira, o McEliece: um distinguisher clássico quasipolinomial para códigos de Goppa no regime do Classic McEliece [51], estendido para recuperação de chave [44], depois orçado em operações de bit para cada conjunto de parâmetros [39], e finalmente contestado por um limite inferior algébrico-geométrico que argumenta que a reconstrução da representação Reed–Solomon escondida não é tão barata quanto se propôs [24]. Na segunda, o wedge attack contra UOV: reformulado num quadro algébrico-geométrico mais limpo e estendido a sistemas multi-homogêneos sobre característica arbitrária, com aplicação ao SNOVA [55][3]. E um artigo faz o contraponto de custo, estimando quanto o modelo de RAM com acesso livre à memória subconta o trabalho real do atacante [16] — a mesma crítica metodológica que aparece do lado do McEliece.

A terceira frente é isogenias. Depois que um algoritmo heurístico derrubou o problema do caminho de isogenias supersingulares de p^(1/2) para p^(1/3), o arquivo traz a avaliação concreta do impacto sobre parâmetros propostos [14], uma variante sem memória do algoritmo de Delfs–Galbraith usando escadas de isogenias [12] e uma abordagem quântica para amostrar curvas seguras sem setup confiável [74]. No mesmo bloco entram propostas que tentam sobreviver a esse tipo de pressão: assinaturas multivariadas ultracurtas construídas para escapar dos ataques MinRank que derrubaram o GeMSS [49] e um algoritmo médio-caso para conjugação de códigos matriciais [46].

onde a dureza mora: reticulados, códigos e separações (13 textos)

A camada teórica do arquivo pergunta de que exatamente depende a segurança. Duas suposições recentes de LWE sobre as quais se constroem primitivas avançadas são provadas equivalentes, fechando uma das direções que faltava [4]. Do lado negativo, um artigo prova que o CVP euclidiano exato é NP-completo nos reticulados de coeficientes de ideais principais em anéis ciclotômicos de potência de dois — exatamente a estrutura usada em esquemas implantados [41] —, enquanto outro estabelece limites de inaproximabilidade e mostra até onde eles podem ir sem colapsar classes de complexidade [48]. Há também o alerta de que estrutura algébrica cobra preço: reticulados de módulo com simetrias de Galois são mais fáceis do que a dimensão sugere [28], e ataques híbridos de decodificação exploram a estrutura de Module-LWE e Ring-LWE que as análises de segurança concreta normalmente ignoram [70]. Um artigo revisita a ideia dos anos 1990 de usar não comutatividade contra ataques de reticulado no NTRU [82].

O bloco quântico e fundacional traz uma separação de ofuscação por indistinguibilidade quântica em relação a suposições falsificáveis [33] e o problema de remover interação de provas para QMA via Fiat–Shamir [38]. Completam a linha a primeira PRF computável em NC¹ a partir de variantes bem fundamentadas de LPN [72], a caracterização de estruturas de acesso com compartilhamento de segredo ideal sobre domínios pequenos [40], amostradores e resolvedores de CVP aproximado para normas arbitrárias [90][95] e um resultado de precisão em pesos de Lewis que vem da álgebra linear numérica [36].

o ataque que entra pela implementação (10 textos)

Uma fatia consistente do arquivo não ataca o algoritmo, ataca a máquina que o executa. O caso mais desconfortável é a primeira recuperação completa de chave relatada contra PRESENT mascarado num processador RISC-V fora de ordem: renomeamento de registradores e escalonamento dinâmico recombinam shares que o esquema de masking havia separado, e a prova de segurança continua válida — é o modelo de vazamento que não descreve o hardware [62]. Um artigo companheiro faz a análise arquitetural do vazamento em núcleos RISC-V [83], outro examina em profundidade a interação entre LFSRs e Boolean masking [53], e outro propõe gadgets OPINI de baixa latência e pouca aleatoriedade com verificação formal [78].

O resto do bloco é ataque ativo e passivo em cima de coisas que rodam hoje. Falhas injetadas em cifras white-box, cujo modelo de ameaça só previa adversário passivo [0]. Ataques diferenciais de falha nas cifras GEA do padrão GPRS, ainda suportadas por telefones em circulação [27], e no stream cipher leve Atom, contornando seu duplo filtro de chave [60]. Cartões MIFARE Ultralight e NTAG DNA — inclusive clones — expostos por redução de espaço de chaves e ataques de relay [77]. Ataques analíticos de canal lateral escalados para grafos de fatores grandes via propagação de crenças [11]. E a extração de redes neurais por acesso oracular, tratada com o ferramental de criptanálise diferencial, questionando se o caso hard-label é mesmo polinomial [86].

criptanálise simétrica e esquemas que não sobrevivem (14 textos)

O lado simétrico tem tanto ferramenta nova quanto demolição. A demolição mais direta: MERIDIAN, proposta como alternativa leve ao AES, tem camada de substituição não injetiva — uma colisão explícita produz colisão de 12 rodadas para toda chave, o que significa que nenhuma instância é permutação e nenhuma função de decifração existe [17]. Nas ferramentas, um modelo MILP totalmente automatizado para criptanálise diferencial-linear do stream cipher Forró [8], criptanálise linear em que o grupo das diferenças é trocado por outra estrutura abeliana elementar, gerando distinguishers de chave fraca para o CRAFT [43], e um quadro geométrico para relações rotacionais-XOR que dispensa as hipóteses de independência usuais [50]. Há também trabalho de fundo sobre funções booleanas — não linearidade máxima em permutações de seis bits [26], funções bent rotação-simétricas fora da classe Maiorana–McFarland [34] — MACs com atualização eficiente [37] e a quantificação do compromisso desempenho/segurança em hashes amigáveis a ZK [85].

Junto vai a categoria dos esquemas já publicados que não sobrevivem à leitura atenta. Dois candidatos do processo adicional de assinaturas do NIST caem por detalhe de construção, não por matemática: no SDitH v2, a expansão de shares usa o segredo como chave de bloco com IV zerado, permitindo recuperar a chave de assinatura a partir de transcrições públicas [25]; no MQOM v2, a derivação de raízes sem salt permite ataque passivo EUF-CMA e forja [56]. Ambos os artigos propõem o conserto. Um sistema de compartilhamento de dados médicos publicado em periódico é mostrado dando acesso não autorizado a prontuários alheios [32]. E as propriedades BUFF — segurança sob chaves maliciosamente geradas — são analisadas tanto no ECDSA com recuperação de chave usado no Ethereum [94] quanto nas submissões pós-quânticas do NIST [98]. Fechando, o retrospecto de sete anos do Verifpal, verificador simbólico que trocou generalidade por uma linguagem que um engenheiro lê sem treinamento [47].

fazer o pós-quântico caber em hardware e em rede (12 textos)

Aqui a pergunta não é se o esquema é seguro, é se ele roda dentro do orçamento. Em mTLS, cada conexão paga assinatura pós-quântica dos dois lados; a proposta é executar operações ML-DSA de handshakes concorrentes em lote, apesar de a assinatura divergir por rejeição e a verificação usar chaves heterogêneas [5]. No cliente Ethereum, a verificação de assinaturas BLS de atestações e comitês de sincronização disputa CPU com transição de estado e propagação de mensagens dentro do prazo do slot [6]. Do lado da aritmética: geração de código para NTT com redução de Plantard, formalmente verificada, alvo único para ML-KEM, ML-DSA e FN-DSA [52]; vetorização com sistema de resíduos para acelerar aritmética modular em geral [69]; multiplicação de polinômios do HQC num Cortex-M4 [84]; e uma ALU modular compacta com tolerância a falhas para IoT [58].

O bloco de transição trata de como sair do atual sem parar o mundo: PAKE híbrido universalmente componível contra harvest-now-decrypt-later [1], troca de chaves que alterna dinamicamente entre QKD, pós-quântico e clássico com fusão de entropia [30], e uma formalização de quanto poder de computação quântica seria preciso para atacar assinaturas de blockchain PoW no momento do gasto, para dimensionar a urgência da migração [63]. Há ainda um protocolo de light client com comunicação ótima para razões UTxO [73] e dois trabalhos de síntese de circuitos quânticos — codificação SMT para otimização [20] e algoritmos gulosos para circuitos CNOT de baixa profundidade [35] — que interessam sobretudo a quem estima o custo do adversário quântico.

computar sobre o que não se pode ver (15 textos)

A linha de computação com privacidade está claramente na fase de engenharia de desempenho. Em recuperação privada de informação, um protocolo de servidor único implementa quase toda a computação do servidor como multiplicação densa de matrizes de 8 bits em tensor cores de GPU, respondendo consulta a uma base de 4 GB em 8,2 ms sem comunicação offline [19]; outros dois atacam o mesmo compromisso pelos lados da comunicação logarítmica com busca por palavra-chave [21] e do equilíbrio entre segundos de computação e centenas de kilobytes de tráfego [22]. Junto vai o produto interno privado sobre registros coincidentes, com aplicação a medição de conversão de anúncios [10], e o produto matriz-vetor cifrado a partir de códigos duais secretos [92].

Em cifração homomórfica, o problema é sempre o mesmo — a parte não linear. Um sistema automatiza, em cerca de uma hora, a aproximação polinomial de softmax, normalização e ativação de um Transformer sob CKKS [18]; outro corrige o erro de modulus switching que limita a precisão de entradas reais no bootstrapping do TFHE [57]; outro roda LSTM homomórfico via bootstrapping programável [61]. Do lado das definições, resolve-se a construção de um esquema verdadeiramente linearmente homomórfico com segurança CCA1 sob suposição padrão, via variante de Paillier-ElGamal [67], e avança-se nas noções vCCA que tentam ultrapassar a barreira CCA1 para FHE [91]. Em MPC, um SoK sobre computação a partir de secret shares [81], otimização explorando a interação entre adições e multiplicações em compartilhamento linear em níveis [71], MPC autenticado com apoio de TEE para dispositivos de borda que não aguentam o pré-processamento [45], tratamento de segurança concreta para 2PC com provas justas para PSI e OPRFs [96] e leilões seguros diante de adversários racionais [99].

provas sucintas, limiares e identidade (24 textos)

Sistemas de prova ocupam o maior naco do arquivo, e o vetor é claro: reduzir custo do provador e tamanho da prova. Folding baseado em reticulados que cabe em poucos kilobytes [23], compromisso polinomial que melhora a fase de avaliação sem perder proof size [54], extensão de frameworks reticulares sucintos com sumcheck [80] e folding de k instâncias R1CS independentes em log k rodadas com verificação sublinear [97]. Do lado conceitual, um quadro modular para não maleabilidade de reduções de conhecimento [13] e zk-SNARKs dinâmicos com verificador designado [75]. As aplicações são específicas e reveladoras do que se espera provar em 2026: correção de funções não polinomiais em ponto flutuante [79], conformidade de busca vetorial IVF-Flat em serviços de RAG — o cliente não consegue verificar que o contexto devolvido corresponde ao índice prometido [31] —, genômica verificável [66] e apuração de votação ponderada em DAO que revela só o vencedor [42].

O bloco de assinaturas distribuídas e credenciais trata de quem detém a chave e de quem consegue ser rastreado. Cifração por limiar com corrupções internamente motivadas, modelo mais próximo de mempools cifradas do que corrupção estática ou adaptativa [7]; assinaturas e cifração de limiar silenciosas adaptadas a comitês dinâmicos como os do Ethereum [15]; ECDSA de limiar robusto com custo amortizado [76]; assinaturas de limiar sobre reticulados com DKG e abort identificável [88]; esquemas hash-based com estado no cenário otimista [29]. Em privacidade: revogação preservadora de privacidade na carteira de identidade digital europeia, comparando quatro construções que a literatura descreve em termos incompatíveis [9]; assinaturas em anel pós-quânticas rápidas [87]; EPID sobre reticulados com revogação eficiente [89]; matchmaking encryption que desacopla o custo do tamanho da política [2]; proveniência anônima para áudio editado, tema que a síntese de voz tornou urgente [59]; endereços furtivos e chaves públicas derivadas [64]; e o que acontece com moedas de privacidade quando a viewing key é comprometida — uma tentativa explícita de meio-termo com o regulador [65]. Fecham o bloco o tratamento modular de armazenamento em nuvem seguro sob adversários de rede e corrupções adaptativas [68] e a relação entre segurança HRA e CCA em proxy re-encryption sobre reticulados [93].

onde ela discorda de outras fontes do acervo

A discordância mais interessante é interna, e o servidor a exibe sem mediação. No caso McEliece, três artigos constroem uma recuperação de chave a partir do distinguisher de Goppa e a orçam em detalhe [51][44][39]; dias depois, outro apresenta um limite inferior argumentando que aquela reconstrução não é viável nos custos alegados [24]. Na linha do wedge attack contra UOV, um artigo acusa os modelos de custo usados pelos próprios ataques de subcontar acessos à memória [16] — a mesma crítica metodológica, na frente oposta. Um leitor que só visse o artigo de ataque sairia com uma conclusão; um que só visse a réplica, com a inversa. É o custo de ler um arquivo sem revisão por pares, e também o que o torna útil.\n\nSecundariamente, o arquivo contraria a narrativa de que a padronização encerrou o assunto pós-quântico. Dois candidatos do processo adicional do NIST caem aqui por detalhe de implementação [25][56], o McEliece — escolhido por ser o conservador — vira alvo de uma sequência de ataques em três semanas, e o problema de caminho de isogenias sofre melhoria assintótica que exige reavaliação imediata de parâmetros [14]. Quem trata “o NIST padronizou” como ponto final está lendo outra coisa que não este servidor.

linha do tempo