Entwurfsentscheidungen
Die Autoren von NewHope haben bei der Entwicklung des Algorithmus mehrere Entwurfsentscheidungen getroffen:
- Binomial-Stichprobe: Obwohl eine Stichprobe einer hochwertigen diskreten Gauß-Verteilung bei Post-Quanten-gitterbasierten kompakten Signaturverfahren wie Falcon (GPV-artiges Hash-and-Sign-Paradigma) und BLISS (GLP-artiges Fiat–Shamir-Paradigma) wichtig ist, um zu verhindern, dass die Signatur Informationen über den privaten Schlüssel preisgibt, ist es ansonsten für das Schlüsselaustauschverfahren nicht so wichtig. Der Autor entschied sich für eine Stichprobe von Fehlervektoren aus der Binomialverteilung.
- Fehlerabgleich: Was NewHope von seinen Vorgängern unterscheidet ist die Methode für den Fehlerabgleich. Frühere Ring Learning with Error Key Exchange korrigieren Fehler jeweils um einen Koeffizienten nach dem anderen, wogegen NewHope Fehler um 2 oder 4 Koeffizienten auf einmal basierend auf hochdimensionaler Geometrie korrigiert. Dies ermöglicht eine geringere Fehlerquote bei der Entschlüsselung und eine höhere Sicherheit.
- Basisvektorgenerierung: Die Autoren von NewHope schlugen vor den Basis-„Generator“-Vektor (gemeinhin als A oder bezeichnet) aus der Ausgabe der XOF-Funktion SHAKE-128 abzuleiten, um zu verhindern, dass „Hintertür“-Werte verwendet werden können, wie das beim traditionellen Diffie–Hellman über einen Logjam-Angriff geschehen kann.
- Sicherheitsebenen: In den frühen Versionen der Abhandlung die NewHope beschrieben, schlugen die Autoren vor, ein Polynom mit 1024 Graden für eine 128-Bit-„Post-Quanten“-Sicherheitsstufe und ein Polynom mit 512 Graden als „Spielzeug“-Instanz für Kryptanalyse-Wettbewerbe vor. In der beim NIST eingereichten Version wird die 512-Grade-Version als auf einem Sicherheitsstufe mit „klassischer“ 128-Bit Verschlüsselung stehend kategorisiert.
