רכיב מתוקנן הוא נקודת פתיחה לבדיקה, לא תעודה לכל אפליקציית המסרים.
ML-KEM-768 עוזר לשני צדדים ליצור סוד משותף שאפשר להשתמש בו לאחר מכן להגנה על הודעות. הוא רכיב אחד במערכת מסרים, לא פרוטוקול צ׳אט שלם, צופן הודעות או תעודה לכך שאפליקציה מאובטחת.
NIST פרסם את FIPS 203 ב־13 באוגוסט 2024, ובכך תקנן את ML-KEM ואת קבוצות הפרמטרים שלו: 512, 768 ו־1024. האבטחה שלהן נשענת על בעיות מבוססות סריגים שנחשבות עמידות למתקפות קוונטיות. ״נחשבות עמידות״ היא הנחת אבטחה הנתמכת בניתוח, לא הבטחה שלא תיתכן חולשה בעתיד. NIST FIPS 203.
היכן משתלב KEM בצ׳אט מוצפן
דרך מועילה לקרוא טענת הצפנה היא לעקוב אחרי חומר המפתחות:
- אמתו את הצד השני המיועד. חילוף מפתחות עם מתחזה הוא עדיין חילוף מפתחות עם האדם הלא נכון.
- צרו חומר סודי משותף. KEM תורם סוד באמצעות כימוס והתרת כימוס.
- גזרו מפתחות למטרותיהם המסוימות. פונקציית גזירת מפתחות מפרידה בין החומר המשמש חלקים שונים של הפרוטוקול.
- הצפינו ואמתו הודעות. שיטת הצפנה מאומתת מגינה על תוכן ומזהה שינוי בלתי מורשה.
- נהלו את ההפעלה לאורך זמן. החלפת מפתחות, מחיקה, שינויי מכשירים ושחזור קובעים מה עלול להיחשף בעקבות פריצה מאוחרת יותר.
השלבים האלה מסבירים מדוע תקן לשלב השני אינו יכול לתקף את האפליקציה כולה. השאלות הנפוצות של NIST בנושא פוסט־קוונטי מספקות הקשר לפריסת התקנים החדשים.
למה לשלב ML-KEM עם הסכמה קלאסית על מפתחות?
תכנון היברידי משתמש ברכיב פוסט־קוונטי לצד רכיב קלאסי, כגון דיפי–הלמן בעקומים אליפטיים. היתרון המיועד הוא להימנע מתלות בלעדית באחת משתי קבוצות ההנחות בתקופת מעבר.
טענת האבטחה שייכת למנגנון השילוב ולפרוטוקול המלאים, לא רק לרשימה של שני אלגוריתמים. הבודקים צריכים לדעת אילו קלטים מאומתים, איך הם מקודדים ומשולבים, איזה הקשר נקשר לגזירה ומה קורה כשאחד הרכיבים נכשל. שרשור סודות בלי מבנה מוגדר אינו טיעון אבטחה.
עבור המשתמשים, השאלה המעשית אינה ״האם בעמוד ההגדרות כתוב בטוח קוונטית?״ אלא ״אילו שיחות וגרסאות באמת משתמשות במבנה הזה, ואילו ראיות תומכות באמירה?״
מה Livara מתעדת
תיעוד האבטחה של Livara מתאר הפעלות צ׳אט אישי של LVR1 שמשתמשות בחומר קלאסי של P-256 ובחומר ML-KEM-768, עם AES-256-GCM לתוכן. הוא מתאר קבוצות פרטיות של LGS1 כשרשראות שולחים שמופצות דרך הפעלות זוגיות של LVR1. אלה שכבות שונות: הודעה קבוצתית רגילה אינה בהכרח חילוף ML-KEM חדש לכל נמען.
קראו את התיעוד כתיאור של המפתח. ציון אבני בניין מתוקננות אינו מראה שההרכבה המותאמת של Livara עברה ביקורת עצמאית או שכל בנייה מותקנת מממשת אותה נכון. Proof Lab מגביל במפורש את ההדגמה בדפדפן: היא אינה מבצעת את מנגנוני ה־ratchet המלאים של LVR1/LGS1 ואינה מהווה ביקורת פרוטוקול.
מה הגנה פוסט־קוונטית אינה מכסה
| שאלה | מדוע ML-KEM לבדו אינו עונה עליה |
|---|---|
| האם נמען יכול להעתיק את ההודעה שלי? | הנמען מקבל תוכן קריא. |
| האם המכשיר שלי נקי מרוגלות? | שלמות נקודת הקצה היא הנחת אמון נפרדת. |
| האם הגיבויים מוגנים? | מפתחות גיבוי וכללי שחזור דורשים תכנון משלהם. |
| האם שינויי חברות בקבוצה בטוחים? | כללי אימות, חברות והחלפת מפתחות חשובים. |
| האם השירות שומר מטא־נתונים? | הצפנת תוכן אינה מסתירה אוטומטית ניתוב או תזמון. |
| האם שיחה קולית מוגנת כמו צ׳אט טקסט? | איתות שיחה ומדיה עשויים להשתמש בפרוטוקולים שונים. |
מודל האיומים של Livara גם מבחין בין שיחות פרטיות לערוצים ציבוריים ומכיר בחשיפה ברמת המכשיר. אל תרחיבו טענה לגבי צ׳אט אישי לכל משטח במוצר.
רשימת בדיקה לקונה של ״מסרים עם FIPS 203״
בקשו את קבוצת הפרמטרים המדויקת ואת גרסת הפרוטוקול; תיאור של אימות הצד השני ושל שילוב מפתחות; גרסאות לקוח נתמכות; התנהגות מול לקוחות לא תואמים; ובדיקות או ממצאי סקירה הקשורים למימוש שמופץ בפועל. אם ספק טוען לתיקוף FIPS, בקשו את רשומת התיקוף הרלוונטית ואת היקפה. שימוש באלגוריתם המתואר בפרסום FIPS אינו, כשלעצמו, ראיה לתיקוף מוצר או מודול.
אל תסיקו חיי סוללה, קצב העברת נתונים או תגובתיות אפליקציה משם הפרמטרים. אלה דורשים מדידות עם מכשיר, בנייה ועומס עבודה מתועדים.
השינוי המועיל למסרים הוא כלי חדש לסודיות לטווח ארוך. ערכו תלוי בשילוב, במימוש ובגבולות התפעוליים, ולא בהחלפת תווית שיווקית אחת באחרת.
