משך הסודיות הנדרש של הודעה עשוי לעלות הן על חיי המכשיר שלה והן על חיי הקריפטוגרפיה ששימשה לכינון המפתחות שלה.
הודעה שנשלחת היום עשויה להידרש להישאר פרטית הרבה אחרי שהטלפון ששימש לשליחתה יצא משימוש. הפער הזה מסביר מדוע ״לאסוף עכשיו, לפענח אחר כך״ חשוב: יריב יכול לשמור תעבורה מוצפנת כעת ולנסות לשחזר את תוכנה אם טכנולוגיה עתידית תתגבר על חילוף המפתחות שמגן עליה.
אין תאריך מוסכם להופעת מחשב קוונטי בעל יכולת משמעותית מבחינה קריפטוגרפית. דרישה לסודיות של עשר שנים היא דוגמה לתכנון, לא ספירה לאחור. השאלה היא האם המידע עדיין עלול לגרום נזק לאחר הזמן הדרוש לשדרוג המערכות שמגינות עליו.
מה יידרש לתוקף
שמירת טקסט מוצפן לבדה אינה מבטיחה פענוח עתידי. התוקף זקוק ללכידה שימושית, לחומרי הפרוטוקול הרלוונטיים ולדרך להתגבר על ההגנות שהוחלו. תעבורה חסרה, סודות עצמאיים ותכנון הפרוטוקול עשויים להשפיע על התוצאה.
מחשב קוונטי בעל יכולת מספקת עלול לאיים על קריפטוגרפיית המפתח הציבורי הנפוצה RSA ועל קריפטוגרפיית עקומים אליפטיים. אין פירוש הדבר שכל מחשב קוונטי קיים יכול לפרוץ יישום הודעות, או שכל ההצפנה נכשלת באותה דרך. להצפנה סימטרית כגון AES ולכינון מפתחות באמצעות מפתח ציבורי כגון ECDH יש הנחות אבטחה שונות.
התוכנית הפוסט־קוונטית של NIST ממליצה להתחיל במעבר לתקנים שפרסמה, תוך הכרה באי־הוודאות לגבי לוח הזמנים הקוונטי. תכנון מראש חשוב משום ששדרוג מאוחר יותר אינו יכול להשיב לידיכם חומר שהיריב לכד קודם לכן.
מדוע סודיות קדימה רגילה אינה כל התשובה
סודיות קדימה נועדה להגביל חשיפה של הודעות קודמות כאשר מפתח ארוך־טווח נפרץ בהמשך, בהנחה שסודות הפעלה ישנים נמחקו כראוי. היא חשובה כבר היום.
אולם חילוף שתלוי בבעיה מתמטית הפגיעה להתקפה קוונטית אינו נעשה עמיד לקוונטים רק מפני שערכיו הפרטיים היו זמניים. אם תוקף עתידי יוכל לשחזר את הערכים הללו מתוך חילופים ציבוריים שנרשמו, ההפעלה ההיסטורית הרלוונטית עדיין עלולה להיות בסיכון. התוצאה המדויקת תלויה בפרוטוקול המלא ובמה שנלכד.
כינון מפתחות פוסט־קוונטי מתמודד עם האיום האחר הזה. FIPS 203 מתקנן את ML-KEM, מנגנון לכינון סוד משותף. פרוטוקול הודעות יכול להשתמש בסוד הזה לגזירת מפתחות ולאחר מכן להצפין הודעות באמצעות צופן סימטרי מאומת. ML-KEM אינו שם חלופי לצופן ההודעות עצמו.
מה תורם תכנון היברידי
תכנון היברידי משלב תרומות קלאסיות ופוסט־קוונטיות באמצעות מבנה מוגדר. היתרון המיועד הוא חוסן אם ההנחות של רכיב אחד נכשלות בעוד שהאחר נותר תקין. יתרון זה תלוי בשילוב נכון, באימות, באקראיות ובמימוש; הצגת שני שמות אלגוריתמים בעמוד תכונות אינה מספיקה.
סקירת האבטחה של Livara מתארת את LVR1 המשתמש ב־P-256 לצד תקופות ML-KEM-768 מחזוריות. ראו בכך הצהרה על הפרוטוקול המתועד שלה, ולא ערובה עצמאית לכך שכל פריט שמור, מצב שיחה או לקוח ישן זוכים לאותה הגנה. הפצת מפתחות קבוצתיים, קבצים מצורפים והקלטות מחייבים בדיקה נפרדת של היקף ההגנה.
דף עבודה מעשי לאופק הסודיות
השתמשו בשאלות הבאות כדי להפוך חשש קוונטי כללי לבדיקה קונקרטית:
| שאלה | דוגמה לתשובה שימושית |
|---|---|
| כמה זמן התוכן חייב להישאר חסוי? | לקוד פגישה קצר־חיים ולרשומת מחקר לטווח ארוך יש אופקים שונים |
| היכן מוחזקים עותקים? | מכשירי הקצה של הצ׳אט, ייצוא, קבצים מצורפים, גיבויים ונמענים |
| איזה חילוף מגן על תעבורה חדשה? | הפרוטוקול והגרסה המדויקים, כולל מסלולי תאימות או נסיגה |
| כיצד מוגנים ארכיונים שמורים? | אלגוריתם ההצפנה, משמורת המפתחות וכל מפתח שנגזר מסיסמה |
| כמה זמן יימשך המעבר? | עדכוני לקוחות, בדיקות תאימות הדדית, בדיקות שחזור והוצאה משימוש של מסלולים ישנים |
ארגון יכול לתעדף מידע בעל חיי סודיות ארוכים ומסלול מעבר איטי. אדם פרטי יכול להתחיל בעדכון הלקוחות, לבדוק אם ההגנה חלה על השיחה שבשימוש ולהגביל עותקים מיותרים של מידע רגיש.
האם שדרוג יכול להגן על הודעות ישנות בדיעבד?
הוא יכול להגן על תעבורה עתידית או על עותק שמוצפן מחדש תחת מפתח אחר. הוא אינו יכול למחוק טקסט מוצפן שנלכד בעבר או עותק של טקסט גלוי. הצפנה מחדש של ארכיון שימושית רק כחלק מתוכנית רחבה יותר המתחשבת בגיבויים ישנים, בקבצים שיוצאו ובמפתחות שנפרצו.
בדומה לכך, מחיקת תצוגת צ׳אט אינה מוכיחה מחיקה מאובטחת של כל עותק במכשיר או אצל נמען. שיטות אחסון מקומי וגיבוי נותרות חשובות גם כשחילוף המפתחות ברשת עמיד לפוסט־קוונטים.
מה זה לא פותר
קריפטוגרפיה פוסט־קוונטית אינה מסתירה את כל מטא־נתוני התקשורת, אינה מונעת צילומי מסך, אינה מסירה נוזקות ואינה הופכת ערוץ ציבורי לפרטי. היא גם אינה יכולה להבטיח אבטחה עתידית מול כל תוצאה קריפטאנליטית חדשה.
עבור הודעות לטווח ארוך, שלבו פרוטוקול מתוחזק ונבחן עם הגנת מכשירי קצה, בחירות גיבוי שקולות ומדיניות שמירה ברורה. השתמשו במודל האיומים של Livara כדי לשמור על נראות הסיכונים הנפרדים האלה, במקום להתייחס למילה ״קוונטי״ כאל הערכת אבטחה מלאה.
