Wartość ochrony postkwantowej oceniaj na podstawie okresu poufności danych, a nie przypuszczalnej daty w przyszłości.
„Zbieraj teraz, odszyfruj później”, czyli HNDL, oznacza, że atakujący gromadzi dziś zaszyfrowane dane w nadziei, że w przyszłości zdobędzie narzędzia pozwalające je odczytać. W scenariuszu kwantowym główna obawa dotyczy niektórych metod kryptografii klucza publicznego, które mógłby zaatakować odpowiednio wydajny komputer kwantowy.
To zagrożenie nie oznacza, że szyfrowanie wszystkich dzisiejszych wiadomości zostało już złamane ani że istnieje pewna data, kiedy do tego dojdzie. Jego znaczenie zależy od rodzaju kryptografii, danych możliwych do zebrania i okresu, przez jaki informacje muszą pozostać poufne.
Dlaczego okres poufności ma znaczenie?
Zwykła wiadomość służąca ustaleniu codziennych spraw może po kilku godzinach stracić większość wartości, ale umowa, dokumentacja osobista czy tożsamość źródła dziennikarskiego mogą pozostać wrażliwe przez lata. Tę różnicę należy uwzględnić przy wyborze ochrony i planowaniu migracji.
NIST w wyjaśnieniu kryptografii postkwantowej wskazuje właśnie na zagrożenie dla danych wymagających długotrwałej poufności oraz czasochłonność migracji. Nie wiadomo, kiedy powstanie komputer kwantowy zdolny złamać obecną kryptografię. Planowanie w warunkach niepewności to coś innego niż ogłaszanie konkretnego dnia załamania zabezpieczeń.
| Pytanie dotyczące Twoich danych | Dlaczego jest ważne? |
|---|---|
| Jak długo muszą pozostać poufne? | Określa potencjalną wartość ich ujawnienia w przyszłości |
| Kto mógłby zebrać ich kopię? | Pozwala uwzględnić możliwości i dostęp atakującego |
| Jak są tworzone i przechowywane ich klucze? | Sama nazwa szyfru chroniącego treść, na przykład AES, nie daje pełnej odpowiedzi |
| Jakie wersje danych znajdują się w kopiach zapasowych lub na urządzeniach? | Niektóre drogi ujawnienia w ogóle nie wymagają komputera kwantowego |
Ta tabela jest narzędziem ułatwiającym podjęcie decyzji, a nie punktacją statystyczną ani dowodem, że Twoje konkretne dane zostały przechwycone.
Co robi ML-KEM?
Standard FIPS 203 definiuje mechanizm ML-KEM służący do uzgadniania wspólnego sekretu. ML-KEM-768 jest jednym z jego zestawów parametrów. Uzyskany sekret może posłużyć w protokole do wyprowadzenia klucza szyfrującego treść; sam ML-KEM nie jest metodą bezpośredniego szyfrowania filmu ani długiego tekstu.
Odporność postkwantowa nie jest dowodem, że zabezpieczenie na zawsze pozostanie nie do złamania. Bezpieczeństwo zależy od założeń matematycznych, prawidłowego łączenia algorytmów, implementacji i zarządzania kluczami. Obecność nazwy ML-KEM na stronie produktu nie stanowi niezależnej certyfikacji całego komunikatora.
Dlaczego stosuje się podejście hybrydowe?
Projekt hybrydowy łączy klasyczny i postkwantowy materiał kluczowy za pomocą określonego mechanizmu, aby nie polegać na jednej rodzinie algorytmów. Celem może być zachowanie poufności w razie złamania jednego ze składników, ale osiągnięcie tego zależy od konstrukcji mechanizmu łączącego i założeń protokołu. Samo zestawienie dwóch nazw nie wystarczy.
Poufność z wyprzedzeniem, czyli forward secrecy, i bezpieczeństwo po kompromitacji, czyli post-compromise security, również są odrębnymi właściwościami. Protokół powinien jasno określać, na jaki okres wpływa ujawnienie konkretnego klucza i jakie świeże dane wejściowe są potrzebne do odzyskania bezpieczeństwa. Sama rotacja deterministycznego łańcucha nie usuwa atakującego, który nadal jest obecny na urządzeniu.
Co to oznacza dla użytkownika Livary?
Dokumentacja bezpieczeństwa Livary opisuje łączne wykorzystanie P-256 i ML-KEM-768 w LVR1 oraz dystrybucję kluczy grupowych przez sesje między parami uczestników. Jest to opis producenta. W ocenie należy osobno uwzględnić wersję produktu, zakres ochrony każdego rodzaju rozmowy i dowody techniczne.
Z ochrony jednego typu wiadomości nie należy wnioskować o ochronie wszystkich funkcji. Połączenia, kopie zapasowe, kanały publiczne i odzyskiwanie tożsamości mogą podlegać innym zasadom. Model zagrożeń Livary i poradnik wyboru bezpiecznego komunikatora są lepszymi punktami wyjścia niż ogólna etykieta „kwantowy”.
Czego nie rozwiązuje zastosowanie kluczy postkwantowych?
- Złośliwego oprogramowania lub dostępu do urządzenia, które wyświetla odszyfrowaną treść.
- Odbiorcy, który zapisuje, fotografuje lub ponownie udostępnia wiadomość.
- Metadanych celowo przechowywanych przez produkt na potrzeby kierowania wiadomości.
- Kopii zapasowej, która nie ma odrębnej ochrony.
- Ponownego rejestrowania treści, która już została ujawniona.
Ponadto dzisiejsza aktualizacja nie zmienia kopii ruchu, którą atakujący zebrał wcześniej. Aby poznać różnicę między treścią a informacjami towarzyszącymi, przeczytaj poradnik o metadanych komunikatorów.
Od czego zacząć?
Najpierw wskaż dane wymagające długotrwałej poufności. Następnie zapytaj, w której wersji i w którym przepływie ochrona postkwantowa jest rzeczywiście aktywna, jakie specyfikacje i oceny opublikowano oraz jakie są ograniczenia odzyskiwania bezpieczeństwa. Jednocześnie nie zaniedbuj aktualizacji urządzeń, weryfikacji kontaktów i bezpiecznych kopii zapasowych; te zagrożenia istnieją już teraz.
Czy mam zakładać, że w przyszłości wszystkie moje wiadomości zostaną odczytane?
Nie. Bez znajomości projektu kryptograficznego i możliwości atakującego taki wniosek jest nieuzasadniony. HNDL jest powodem do planowania ochrony odpowiedniej dla wrażliwych danych, a nie pewnością ujawnienia wszystkich wiadomości.
Czy szyfrowanie end-to-end samo w sobie jest postkwantowe?
Nie. Szyfrowanie end-to-end określa, gdzie możliwy jest dostęp do kluczy i treści; odporność na atak kwantowy zależy od algorytmów i protokołu.
