מדדו את ערכה של ההגנה הפוסט־קוונטית לפי משך הסודיות של הנתונים, לא לפי תאריך משוער בעתיד.
מתקפת «אסוף עכשיו, פענח אחר כך», או HNDL, פירושה שתוקף אוסף כיום נתונים מוצפנים, בתקווה שבעתיד ישיג את הכלים הדרושים לקריאתם. בתרחיש הקוונטי, החשש העיקרי נוגע לשיטות מסוימות של הצפנה במפתח ציבורי, שמחשב קוונטי בעל יכולת מספקת עשוי לתקוף.
הסיכון הזה אינו אומר שההצפנה של כל ההודעות כיום כבר נפרצה, או שיש תאריך ודאי שבו זה יקרה. חשיבותו תלויה בסוג ההצפנה, בנתונים שאפשר לאסוף ובמשך הזמן שבו המידע צריך להישאר סודי.
מדוע «משך הסודיות» חשוב?
הודעה לתיאום יומיומי עשויה לאבד את רוב ערכה אחרי כמה שעות, אבל חוזה, תיק אישי או זהותו של מקור עיתונאי עשויים להישאר רגישים במשך שנים. צריך להביא את ההבדל הזה בחשבון בבחירת ההגנה ובתכנון המעבר.
ההסבר של NIST על קריפטוגרפיה פוסט־קוונטית מצביע בדיוק על הסיכון הזה לנתונים בעלי אורך חיים ממושך, ועל הזמן שנדרש למעבר. לא ידוע מתי יהיה מחשב קוונטי שיוכל לפרוץ את ההצפנה הקיימת; תכנון בתנאי אי־ודאות אינו זהה להכרזה על יום ודאי שבו האבטחה תקרוס.
| שאלה לגבי הנתונים שלכם | מדוע זה חשוב? |
|---|---|
| עד מתי הם צריכים להישאר סודיים? | מגדיר את הערך האפשרי של חשיפתם בעתיד |
| מי עשוי לאסוף עותק שלהם? | מכניס להערכה את היכולות והגישה של התוקף |
| כיצד המפתחות שלהם נוצרים ונשמרים? | שם צופן התוכן לבדו, למשל AES, אינו תשובה מלאה |
| אילו עותקים קיימים בגיבויים או במכשירים? | חלק מדרכי החשיפה אינן דורשות מחשב קוונטי כלל |
הטבלה הזאת היא כלי לקבלת החלטות, לא ציון סטטיסטי ולא הוכחה שהנתונים המסוימים שלכם תועדו.
מה עושה ML-KEM?
תקן FIPS 203 מגדיר את מנגנון ML-KEM ליצירת סוד משותף. ML-KEM-768 הוא אחד ממערכי הפרמטרים שלו. הסוד המתקבל יכול לשמש בתוך פרוטוקול להפקת מפתחות להצפנת תוכן; ML-KEM עצמו אינו שיטה להצפנה ישירה של סרט או טקסט ארוך.
עמידות פוסט־קוונטית אינה הוכחה לכך שההצפנה לא תיפרץ לעולם. האבטחה תלויה בהנחות מתמטיות, בשילוב נכון של האלגוריתמים, במימוש ובניהול המפתחות. הופעת השם ML-KEM בעמוד מוצר אינה אישור בלתי תלוי לאבטחת יישומון המסרים כולו.
מדוע משתמשים בגישה היברידית?
תכנון היברידי משלב חומר מפתח קלאסי ופוסט־קוונטי באמצעות מנגנון מוגדר, כדי לא להסתמך על משפחת אלגוריתמים אחת. המטרה עשויה להיות שמירה על הסודיות אם אחד הרכיבים נפרץ, אבל התוצאה הזאת תלויה בתכנון מנגנון השילוב ובהנחות הפרוטוקול; עצם הצבתם של שני שמות זה לצד זה אינה מספיקה.
סודיות קדימה ואבטחה לאחר חדירה הן גם תכונות נפרדות. פרוטוקול צריך להבהיר חשיפה של איזה מפתח משפיעה על איזה פרק זמן, ואילו קלטים חדשים נדרשים להשבת האבטחה. החלפת מפתחות לאורך שרשרת דטרמיניסטית אינה מסלקת, כשלעצמה, תוקף שעדיין נמצא במכשיר.
מה המשמעות עבור משתמשי Livara?
תיעוד האבטחה של Livara מתאר שימוש היברידי ב־P-256 וב־ML-KEM-768 עבור LVR1, והפצה של מפתחות קבוצתיים באמצעות סשנים זוגיים. זהו תיאור של היצרן; לצורך הערכה, בדקו בנפרד את גרסת המוצר, את הכיסוי של כל סוג שיחה ואת הראיות הטכניות.
אל תסיקו מהגנה על סוג אחד של הודעות שכל התכונות מוגנות. לשיחות, לגיבויים, לערוצים ציבוריים ולשחזור זהות עשויים להיות כללים שונים. מודל האיומים של Livara והמדריך לבחירת יישומון מסרים הם נקודות מוצא מתאימות יותר מתווית כללית של «קוונטי».
אילו בעיות לא נפתרות באמצעות הגנה פוסט־קוונטית על המפתחות?
- נוזקה או גישה למכשיר שמציג תוכן מפוענח.
- נמען ששומר את ההודעה, מצלם אותה או משתף אותה מחדש.
- מטא־נתונים שהמוצר שומר במכוון לצורך ניתוב.
- עותק גיבוי שאין לו הגנה עצמאית.
- תיעוד מחדש של תוכן שכבר נחשף.
נוסף על כך, שדרוג היום אינו משנה את עותק התעבורה שהתוקף כבר אסף בעבר. על ההבדל בין תוכן למידע נלווה, קראו במדריך למטא־נתונים ביישומוני מסרים.
מאיפה מתחילים?
תחילה זהו נתונים שצריכים להישאר סודיים במשך זמן רב. לאחר מכן שאלו באיזו גרסה ובאיזה תהליך חילופי מידע ההגנה הפוסט־קוונטית אכן פעילה, אילו מפרטים והערכות פורסמו ומהן מגבלות השחזור. במקביל, אל תזניחו עדכוני מכשירים, אימות אנשי קשר וגיבויים מאובטחים; הסיכונים האלה קיימים גם כיום.
האם עליי להניח שכל ההודעות שלי ייקראו בעתיד?
לא. אי אפשר להצדיק מסקנה כזאת בלי להכיר את התכנון הקריפטוגרפי ואת יכולות התוקף. HNDL הוא סיבה לתכנן באופן שמתאים לרגישות הנתונים, לא ודאות שכל ההודעות ייחשפו.
האם הצפנה מקצה לקצה היא כשלעצמה פוסט־קוונטית?
לא. הצפנה מקצה לקצה עוסקת במקום שבו יש גישה למפתחות ולתוכן; העמידות בפני מתקפה קוונטית תלויה באלגוריתמים ובפרוטוקול.
