Срок, в течение которого сообщение должно оставаться секретным, может превышать срок службы устройства и криптографии, использованной для установления его ключей.
Сообщение, отправленное сегодня, может нуждаться в конфиденциальности гораздо дольше, чем прослужит телефон, с которого его отправили. Именно поэтому важен подход «собрать сейчас, расшифровать позже»: противник может сохранить зашифрованный трафик сейчас и попытаться восстановить его содержимое, если будущая технология преодолеет защищающий его обмен ключами.
Установленной даты появления квантового компьютера, значимого для криптографии, нет. Требование сохранять секретность десять лет — пример для планирования, а не обратный отсчёт. Вопрос в том, сможет ли информация всё ещё причинить вред после времени, необходимого для обновления защищающих её систем.
Что потребуется атакующему
Одного сохранения шифротекста недостаточно для гарантированной будущей расшифровки. Атакующему нужны пригодный перехват, соответствующие материалы протокола и способ преодолеть применённую защиту. Отсутствующие фрагменты трафика, независимые секреты и устройство протокола могут влиять на результат.
Достаточно мощный квантовый компьютер мог бы угрожать широко используемой криптографии с открытым ключом RSA и на эллиптических кривых. Это не означает, что любой существующий квантовый компьютер способен взломать мессенджер или что всё шифрование теряет защиту одинаково. Симметричное шифрование, например AES, и установление ключей на основе открытых ключей, например ECDH, опираются на разные предположения безопасности.
Постквантовая программа NIST рекомендует начинать переход на опубликованные стандарты, признавая неопределённость сроков квантового развития. Заблаговременное планирование важно: позднейшее обновление не может забрать у противника ранее перехваченные данные.
Почему обычная прямая секретность — не полный ответ
Прямая секретность призвана ограничивать раскрытие прежних сообщений при последующей компрометации долгосрочного ключа, если старые секреты сеансов были надлежащим образом удалены. Она полезна уже сегодня.
Однако обмен, зависящий от математической задачи, уязвимой для квантовых атак, не становится квантово-устойчивым лишь потому, что его закрытые значения были временными. Если будущий атакующий сможет восстановить их из записанных публичных обменов, соответствующий прошлый сеанс всё ещё может оказаться под угрозой. Точный результат зависит от полного протокола и состава перехваченных данных.
Постквантовое установление ключей противодействует этой другой угрозе. FIPS 203 стандартизирует ML-KEM — механизм установления общего секрета. Протокол обмена сообщениями может использовать этот секрет при выработке ключей, а затем шифровать сообщения симметричным шифром с аутентификацией. ML-KEM — не другое название самого шифра сообщений.
Что даёт гибридная схема
Гибридная схема объединяет классические и постквантовые составляющие с помощью определённой конструкции. Её предполагаемое преимущество — устойчивость, если предположения одной составляющей перестанут выполняться, а другой останутся верными. Это преимущество зависит от правильного объединения, аутентификации, случайности и реализации; двух названий алгоритмов на странице функций недостаточно.
В обзоре безопасности Livara описан LVR1 с P-256 и периодическими эпохами ML-KEM-768. Рассматривайте это как описание документированного протокола, а не независимую гарантию одинаковой защиты всех хранимых объектов, режимов звонков или старых клиентов. Для распределения групповых ключей, вложений и записей нужна отдельная проверка области действия защиты.
Практическая таблица горизонта секретности
Следующие вопросы помогут превратить общую тревогу о квантовых угрозах в конкретную проверку:
| Вопрос | Пример полезного ответа |
|---|---|
| Как долго содержимое должно оставаться конфиденциальным? | У краткосрочного кода встречи и многолетней исследовательской записи разные горизонты |
| Где находятся копии? | Конечные устройства чата, экспорты, вложения, резервные копии и получатели |
| Какой обмен защищает новый трафик? | Точные протокол и версия, включая пути совместимости или резервные варианты |
| Как защищены сохранённые архивы? | Алгоритм шифрования, хранение ключей и любые ключи, выработанные из паролей |
| Сколько времени займёт переход? | Обновления клиентов, проверки совместимости, проверки восстановления и вывод старых путей из эксплуатации |
Организация может отдавать приоритет информации с долгим сроком конфиденциальности и медленным переходом. Частный пользователь может начать с обновления клиентов, проверки действия защиты в используемом разговоре и ограничения ненужных копий чувствительных данных.
Может ли обновление задним числом защитить старые сообщения?
Оно может защитить будущий трафик или заново зашифрованную копию под другим ключом. Оно не может стереть уже перехваченный шифротекст или копию открытого текста. Повторное шифрование архива полезно лишь в рамках более широкого плана, учитывающего старые резервные копии, экспортированные файлы и скомпрометированные ключи.
Аналогично, удаление чата из представления не доказывает безопасное стирание всех копий на устройствах или у получателей. Практики локального хранения и резервного копирования остаются важными, даже если сетевой обмен ключами постквантово-устойчив.
Чего это не решает
Постквантовая криптография не скрывает все метаданные общения, не предотвращает снимки экрана, не удаляет вредоносное ПО и не делает публичный канал приватным. Она также не может гарантировать будущую безопасность против каждого нового результата криптоанализа.
Для сообщений с долгим сроком секретности сочетайте поддерживаемый и исследуемый протокол с защитой конечных устройств, осознанным выбором резервного копирования и чёткой политикой хранения. Используйте модель угроз Livara, чтобы не упускать эти отдельные риски, вместо того чтобы считать слово «квантовый» полноценной оценкой безопасности.
