عمر محرمانگی یک پیام می‌تواند از عمر دستگاه آن و رمزنگاریِ به‌کاررفته برای برقراری کلیدهایش بیشتر باشد.
پیامی که امروز می‌فرستید ممکن است بسیار بیشتر از عمر تلفنی که با آن ارسال شده محرمانه بماند. همین فاصله دلیل اهمیت «اکنون جمع‌آوری کن، بعداً رمزگشایی کن» است: مهاجم می‌تواند ترافیک رمزنگاری‌شده را امروز نگه دارد و اگر فناوری آینده تبادل کلید محافظ آن را شکست، برای بازیابی محتوا تلاش کند.
هیچ تاریخ قطعی برای ظهور رایانهٔ کوانتومیِ مؤثر در شکستن رمزنگاری وجود ندارد. نیاز به ده سال محرمانگی نمونه‌ای برای برنامه‌ریزی است، نه شمارش معکوس. پرسش این است که آیا اطلاعات پس از گذشت زمان لازم برای ارتقای سامانه‌های محافظ آن، همچنان می‌تواند آسیب‌زا باشد.
مهاجم به چه چیزهایی نیاز دارد؟
ذخیرهٔ متن رمز‌شده به‌تنهایی رمزگشایی آینده را تضمین نمی‌کند. مهاجم به دادهٔ ضبط‌شدهٔ مفید، مواد مرتبط با پروتکل و راهی برای شکستن حفاظت‌های اعمال‌شده نیاز دارد. ترافیک ازدست‌رفته، رازهای مستقل و طراحی پروتکل می‌توانند بر نتیجه اثر بگذارند.
رایانهٔ کوانتومی با توان کافی می‌تواند رمزنگاری کلید عمومیِ پرکاربرد RSA و منحنی بیضوی را تهدید کند. این نگرانی به معنای توانایی هر رایانهٔ کوانتومی موجود برای شکستن یک پیام‌رسان، یا شکست یکسان همهٔ انواع رمزنگاری نیست. رمزنگاری متقارن مانند AES و برقراری کلید با روش‌های کلید عمومی مانند ECDH فرض‌های امنیتی متفاوتی دارند.
برنامهٔ پساکوانتومی NIST با اذعان به نامشخص‌بودن زمان‌بندی کوانتومی، آغاز مهاجرت به استانداردهای منتشرشده‌اش را توصیه می‌کند. برنامه‌ریزی زودهنگام مهم است، چون ارتقای بعدی نمی‌تواند داده‌ای را که مهاجم قبلاً ضبط کرده پس بگیرد.
چرا محرمانگی پیشروِ معمول تمام پاسخ نیست؟
محرمانگی پیشرو می‌کوشد در صورت افشای بعدی یک کلید بلندمدت، میزان افشای پیام‌های قبلی را محدود کند؛ با این فرض که رازهای نشست‌های قدیمی به‌درستی پاک شده‌اند. این ویژگی امروز هم ارزشمند است.
اما تبادل کلیدی که به مسئله‌ای ریاضیِ آسیب‌پذیر در برابر کوانتوم وابسته است، صرفاً به دلیل موقتی‌بودن مقادیر خصوصی‌اش مقاوم به کوانتوم نمی‌شود. اگر مهاجم آینده بتواند این مقادیر را از تبادل‌های عمومیِ ضبط‌شده بازسازی کند، نشست تاریخی مربوطه همچنان ممکن است در خطر باشد. نتیجهٔ دقیق به کل پروتکل و آنچه ضبط شده بستگی دارد.
برقراری کلید پساکوانتومی با این تهدید متفاوت مقابله می‌کند. FIPS 203، سازوکار ML-KEM را برای برقراری یک راز مشترک استاندارد می‌کند. پروتکل پیام‌رسان می‌تواند از آن راز در مشتق‌سازی کلید استفاده کند و سپس پیام‌ها را با رمز متقارنِ احرازشده رمزنگاری کند. ML-KEM نام جایگزینی برای خودِ رمز پیام نیست.
طراحی ترکیبی چه کمکی می‌کند؟
طراحی ترکیبی، با ساختاری مشخص، مؤلفه‌های کلاسیک و پساکوانتومی را با هم ترکیب می‌کند. مزیت موردنظر آن تاب‌آوری در شرایطی است که فرض‌های یک مؤلفه شکست بخورد ولی مؤلفهٔ دیگر همچنان معتبر بماند. این مزیت به ترکیب صحیح، احراز اصالت، تصادفی‌بودن و پیاده‌سازی وابسته است؛ درج نام دو الگوریتم در صفحهٔ امکانات کافی نیست.
نمای کلی امنیت لیوارا، LVR1 را با استفاده از P-256 در کنار دوره‌های منظم ML-KEM-768 توصیف می‌کند. این را توضیحی دربارهٔ پروتکل مستندشده بدانید، نه تضمینی مستقل مبنی بر اینکه همهٔ اقلام ذخیره‌شده، حالت‌های تماس یا کلاینت‌های قدیمی حفاظت یکسانی دارند. توزیع کلید گروه، پیوست‌ها و فایل‌های ضبط‌شده هرکدام به بررسی دامنهٔ حفاظت خود نیاز دارند.
کاربرگ عملیِ افق محرمانگی
با پرسش‌های زیر، نگرانی کلی دربارهٔ کوانتوم را به بررسی مشخص تبدیل کنید:
| پرسش | نمونهٔ پاسخ مفید |
|---|---|
| محتوا تا چه زمانی باید محرمانه بماند؟ | کد جلسهٔ کوتاه‌عمر و سابقهٔ پژوهشی بلندمدت افق‌های متفاوتی دارند |
| نسخه‌ها کجا نگهداری می‌شوند؟ | دستگاه‌های طرف‌های چت، خروجی‌ها، پیوست‌ها، پشتیبان‌ها و گیرندگان |
| کدام تبادل کلید از ترافیک جدید محافظت می‌کند؟ | پروتکل و نسخهٔ دقیق، از جمله مسیرهای سازگاری یا بازگشت به روش جایگزین |
| آرشیوهای ذخیره‌شده چگونه محافظت می‌شوند؟ | الگوریتم رمزنگاری، نحوهٔ نگهداری کلید و هر کلید مشتق‌شده از گذرواژه |
| مهاجرت چقدر طول می‌کشد؟ | به‌روزرسانی کلاینت، آزمون تعامل‌پذیری، آزمون بازیابی و کنارگذاشتن مسیرهای قدیمی |
سازمان می‌تواند اطلاعات دارای عمر محرمانگی طولانی و مسیر مهاجرت کند را در اولویت بگذارد. فرد می‌تواند با به‌روزرسانی کلاینت‌ها، بررسی اعمال حفاظت بر گفت‌وگوی در حال استفاده و محدودکردن نسخه‌های غیرضروری داده‌های حساس شروع کند.
آیا ارتقا می‌تواند از پیام‌های قدیمی به‌صورت گذشته‌نگر محافظت کند؟
ارتقا می‌تواند از ترافیک آینده یا نسخه‌ای که تازه با کلیدی متفاوت رمزنگاری شده محافظت کند. اما نمی‌تواند نسخهٔ متن رمز‌شده یا متن آشکاری را که قبلاً ضبط شده پاک کند. رمزنگاری دوبارهٔ آرشیو فقط در چارچوب برنامه‌ای گسترده‌تر که پشتیبان‌های قدیمی، فایل‌های خروجی و کلیدهای افشاشده را در نظر بگیرد سودمند است.
به همین ترتیب، حذف نمای چت ثابت نمی‌کند همهٔ نسخه‌های موجود روی دستگاه‌ها یا نزد گیرندگان به‌طور امن پاک شده‌اند. حتی وقتی تبادل کلید شبکه در برابر تهدید پساکوانتومی مقاوم است، شیوه‌های ذخیره‌سازی محلی و پشتیبان‌گیری همچنان اهمیت دارند.
این فناوری چه چیزهایی را حل نمی‌کند؟
رمزنگاری پساکوانتومی همهٔ فراداده‌های ارتباطی را پنهان نمی‌کند، مانع اسکرین‌شات نمی‌شود، بدافزار را حذف نمی‌کند و کانال عمومی را خصوصی نمی‌سازد. همچنین نمی‌تواند امنیت آینده را در برابر تمام دستاوردهای جدید تحلیل رمز تضمین کند.
برای پیام‌های بلندعمر، پروتکلی را که نگهداری و موشکافی می‌شود با حفاظت از دستگاه‌های انتهایی، انتخاب آگاهانهٔ پشتیبان‌ها و سیاست روشن نگهداری داده ترکیب کنید. از مدل تهدید لیوارا استفاده کنید تا این خطرهای جداگانه دیده شوند، نه اینکه واژهٔ «کوانتوم» را ارزیابی کامل امنیت تلقی کنید.
