Okres poufności wiadomości może być dłuższy niż życie urządzenia i kryptografii użytej do ustanowienia jej kluczy.
Wiadomość wysłana dziś może wymagać poufności znacznie dłużej niż będzie używany telefon, z którego ją wysłano. Dlatego istotna jest strategia „zbieraj dziś, odszyfruj później”: przeciwnik może zachować zaszyfrowany ruch teraz i spróbować odzyskać jego treść, jeśli przyszła technologia przełamie chroniącą go wymianę kluczy.
Nie ma ustalonej daty pojawienia się komputera kwantowego istotnego kryptograficznie. Wymóg dziesięciu lat poufności to przykład planistyczny, nie odliczanie. Trzeba ocenić, czy informacje nadal mogłyby powodować szkody po czasie potrzebnym na modernizację chroniących je systemów.
Czego potrzebowałby atakujący
Samo zapisanie szyfrogramu nie gwarantuje przyszłego odszyfrowania. Atakujący potrzebuje użytecznego przechwycenia, odpowiednich danych protokołu oraz sposobu przełamania zastosowanych zabezpieczeń. Brakujący ruch, niezależne sekrety i konstrukcja protokołu mogą wpływać na wynik.
Dostatecznie zaawansowany komputer kwantowy mógłby zagrozić powszechnie używanej kryptografii klucza publicznego RSA i opartej na krzywych eliptycznych. Nie oznacza to, że każdy istniejący komputer kwantowy może złamać komunikator ani że każde szyfrowanie zawodzi w ten sam sposób. Szyfrowanie symetryczne, takie jak AES, i ustanawianie kluczy z użyciem kryptografii klucza publicznego, takie jak ECDH, mają różne założenia bezpieczeństwa.
Program postkwantowy NIST zaleca rozpoczęcie migracji do opublikowanych standardów, uznając niepewność dotyczącą harmonogramu rozwoju komputerów kwantowych. Planowanie z wyprzedzeniem ma znaczenie, bo późniejsza aktualizacja nie odbierze przeciwnikowi wcześniej przechwyconych danych.
Dlaczego zwykła poufność w przód nie wystarcza
Poufność w przód ma ograniczać ujawnienie wcześniejszych wiadomości po późniejszym przejęciu klucza długoterminowego, przy założeniu prawidłowego usunięcia starych sekretów sesji. Jest cenna już dziś.
Jednak wymiana zależna od problemu matematycznego podatnego na ataki kwantowe nie staje się odporna na nie tylko dlatego, że jej wartości prywatne były tymczasowe. Jeśli przyszły atakujący odtworzy te wartości z zapisanych publicznych wymian, odpowiednia historyczna sesja może nadal być zagrożona. Dokładny wynik zależy od całego protokołu i przechwyconego materiału.
Postkwantowe ustanawianie kluczy odpowiada na to odmienne zagrożenie. FIPS 203 standaryzuje ML-KEM, mechanizm ustanawiania wspólnego sekretu. Protokół komunikatora może wykorzystać ten sekret do wyprowadzania kluczy, a następnie szyfrować wiadomości symetrycznym szyfrem uwierzytelnionym. ML-KEM nie jest inną nazwą samego szyfru wiadomości.
Co wnosi konstrukcja hybrydowa
Konstrukcja hybrydowa łączy wkłady klasyczne i postkwantowe według określonej metody. Jej zamierzoną korzyścią jest odporność, gdy założenia jednego składnika zawiodą, a drugi pozostanie bezpieczny. Zależy to od prawidłowego połączenia, uwierzytelniania, losowości i implementacji; dwie nazwy algorytmów na stronie funkcji nie wystarczą.
Przegląd bezpieczeństwa Livary opisuje LVR1 wykorzystujący P-256 wraz z okresowymi epokami ML-KEM-768. Traktuj to jako opis udokumentowanego protokołu, a nie niezależną gwarancję identycznej ochrony każdego przechowywanego elementu, trybu połączeń czy starszego klienta. Dystrybucja kluczy grupowych, załączniki i nagrania wymagają osobnego sprawdzenia zakresu ochrony.
Praktyczny arkusz horyzontu poufności
Poniższe pytania pomagają zamienić ogólną obawę kwantową w konkretny przegląd:
| Pytanie | Przykład przydatnej odpowiedzi |
|---|---|
| Jak długo treść musi pozostawać poufna? | Krótkotrwały kod spotkania i wieloletnia dokumentacja badań mają różne horyzonty |
| Gdzie znajdują się kopie? | Urządzenia końcowe czatu, eksporty, załączniki, kopie zapasowe i odbiorcy |
| Jaka wymiana chroni nowy ruch? | Dokładny protokół i wersja, w tym ścieżki zgodności lub awaryjne |
| Jak chronione są przechowywane archiwa? | Algorytm szyfrowania, piecza nad kluczami i ewentualne klucze wyprowadzone z haseł |
| Jak długo potrwa migracja? | Aktualizacje klientów, testy współdziałania, testy odzyskiwania i wycofanie starszych ścieżek |
Organizacja może nadać priorytet informacjom o długim okresie poufności i powolnej ścieżce migracji. Osoba prywatna może zacząć od aktualizacji klientów, sprawdzenia, czy ochrona obejmuje używaną rozmowę, i ograniczenia zbędnych kopii wrażliwych danych.
Czy aktualizacja może chronić stare wiadomości wstecznie?
Może chronić przyszły ruch lub nową kopię zaszyfrowaną innym kluczem. Nie może usunąć wcześniej przechwyconej kopii szyfrogramu ani tekstu jawnego. Ponowne szyfrowanie archiwum ma sens tylko w szerszym planie uwzględniającym stare kopie zapasowe, wyeksportowane pliki i przejęte klucze.
Podobnie usunięcie widoku czatu nie dowodzi bezpiecznego usunięcia każdej kopii z urządzeń lub od odbiorców. Praktyki lokalnego przechowywania i tworzenia kopii zapasowych pozostają ważne nawet wtedy, gdy sieciowa wymiana kluczy jest odporna postkwantowo.
Czego to nie rozwiązuje
Kryptografia postkwantowa nie ukrywa wszystkich metadanych komunikacji, nie zapobiega zrzutom ekranu, nie usuwa złośliwego oprogramowania ani nie czyni kanału publicznego prywatnym. Nie gwarantuje też przyszłego bezpieczeństwa wobec każdego nowego wyniku kryptoanalizy.
W przypadku wiadomości na lata połącz utrzymywany i poddawany analizie protokół z ochroną urządzeń końcowych, przemyślanymi kopiami zapasowymi i jasną polityką retencji. Korzystaj z modelu zagrożeń Livary, aby zachować widoczność tych odrębnych ryzyk, zamiast traktować słowo „kwantowy” jako pełną ocenę bezpieczeństwa.
