เก็บเกี่ยวตอนนี้ ถอดรหัสภายหลัง: ปกป้องข้อความระยะยาว

ข้อความที่ส่งวันนี้อาจต้องเป็นความลับนานกว่าอายุของโทรศัพท์ที่ใช้ส่งมาก ช่องว่างนี้คือเหตุผลที่แนวคิด “เก็บเกี่ยวตอนนี้ ถอดรหัสภายหลัง” มีความสำคัญ ผู้โจมตีสามารถเก็บทราฟฟิกที่เข้ารหัสไว้ตอนนี้ แล้วพยายามกู้เนื้อหาหากเทคโนโลยีในอนาคตเอาชนะการแลกเปลี่ยนกุญแจที่ปกป้องมันได้

ยังไม่มีวันที่แน่นอนว่าคอมพิวเตอร์ควอนตัมที่มีศักยภาพกระทบความปลอดภัยของวิทยาการเข้ารหัสจะมาถึงเมื่อใด ข้อกำหนดให้เก็บความลับสิบปีเป็นตัวอย่างในการวางแผน ไม่ใช่การนับถอยหลัง สิ่งที่ต้องตัดสินใจคือข้อมูลนั้นยังอาจก่อความเสียหายได้หรือไม่ หลังจากผ่านเวลาที่ต้องใช้ในการอัปเกรดระบบที่ปกป้องข้อมูล

ผู้โจมตีต้องมีอะไรบ้าง

การบันทึกข้อความเข้ารหัสเพียงอย่างเดียวไม่ได้รับประกันว่าจะถอดรหัสได้ในอนาคต ผู้โจมตีต้องมีข้อมูลที่ดักเก็บมาแล้วใช้ประโยชน์ได้ ข้อมูลประกอบของโปรโตคอลที่เกี่ยวข้อง และวิธีเอาชนะการป้องกันที่ใช้กับข้อมูลนั้น ทราฟฟิกที่ขาดหาย ความลับที่เป็นอิสระต่อกัน และการออกแบบโปรโตคอลอาจมีผลต่อผลลัพธ์

คอมพิวเตอร์ควอนตัมที่มีความสามารถเพียงพออาจคุกคามการเข้ารหัสกุญแจสาธารณะ RSA และแบบเส้นโค้งวงรีที่ใช้กันอย่างแพร่หลาย ความกังวลนี้ไม่ได้หมายความว่าคอมพิวเตอร์ควอนตัมทุกเครื่องในปัจจุบันจะเจาะแอปแชตได้ หรือการเข้ารหัสทุกชนิดจะล้มเหลวในแบบเดียวกัน การเข้ารหัสแบบสมมาตร เช่น AES และการสร้างกุญแจด้วยกลไกกุญแจสาธารณะ เช่น ECDH มีสมมติฐานด้านความปลอดภัยต่างกัน

โครงการหลังควอนตัมของ NIST แนะนำให้เริ่มย้ายไปใช้มาตรฐานที่เผยแพร่แล้ว พร้อมยอมรับความไม่แน่นอนของกรอบเวลาควอนตัม การวางแผนล่วงหน้าสำคัญ เพราะการอัปเกรดภายหลังไม่สามารถเรียกคืนข้อมูลที่ผู้โจมตีเคยดักเก็บไปแล้ว

ทำไมความลับล่วงหน้าแบบทั่วไปจึงไม่ใช่คำตอบทั้งหมด

ความลับล่วงหน้า (forward secrecy) มุ่งจำกัดการเปิดเผยข้อความก่อนหน้าเมื่อกุญแจระยะยาวถูกเจาะในภายหลัง โดยสมมติว่าความลับของเซสชันเก่าถูกลบอย่างเหมาะสม คุณสมบัตินี้มีคุณค่าในปัจจุบัน

อย่างไรก็ตาม การแลกเปลี่ยนที่อาศัยปัญหาคณิตศาสตร์ซึ่งเปราะบางต่อการโจมตีควอนตัมไม่ได้กลายเป็นการต้านทานควอนตัมเพียงเพราะค่าลับของมันเป็นค่าชั่วคราว หากผู้โจมตีในอนาคตสามารถสร้างค่าเหล่านั้นกลับขึ้นมาจากการแลกเปลี่ยนข้อมูลสาธารณะที่ถูกบันทึกไว้ เซสชันในอดีตที่เกี่ยวข้องก็อาจยังเสี่ยงอยู่ ผลลัพธ์ที่แน่นอนขึ้นกับโปรโตคอลทั้งหมดและสิ่งที่ถูกดักเก็บ

การสร้างกุญแจหลังควอนตัมรับมือกับภัยคุกคามอีกแบบนี้ FIPS 203 กำหนดมาตรฐาน ML-KEM ซึ่งเป็นกลไกสร้างความลับร่วมกัน โปรโตคอลส่งข้อความสามารถใช้ความลับนั้นในการอนุพันธ์กุญแจ แล้วเข้ารหัสข้อความด้วยการเข้ารหัสสมมาตรที่มีการตรวจสอบความถูกต้องและความแท้จริง ML-KEM ไม่ใช่ชื่อใหม่ที่ใช้แทนตัวการเข้ารหัสข้อความเอง

การออกแบบแบบผสมช่วยอะไร

การออกแบบแบบผสมรวมองค์ประกอบจากวิธีดั้งเดิมและวิธีหลังควอนตัมด้วยโครงสร้างที่กำหนดไว้ ประโยชน์ที่มุ่งหวังคือความทนทานเมื่อสมมติฐานขององค์ประกอบหนึ่งล้มเหลว แต่อีกองค์ประกอบยังมั่นคง ประโยชน์นี้ขึ้นกับการรวมที่ถูกต้อง การยืนยันความแท้จริง ความสุ่ม และการนำไปใช้ เพียงใส่ชื่ออัลกอริทึมสองชื่อในหน้าแนะนำคุณสมบัติยังไม่เพียงพอ

ภาพรวมความปลอดภัย ของ Livara อธิบาย LVR1 ที่ใช้ P-256 ร่วมกับยุคกุญแจ ML-KEM-768 เป็นระยะ ควรมองว่านี่คือคำอธิบายโปรโตคอลตามเอกสาร ไม่ใช่การรับประกันโดยอิสระว่าทุกรายการที่จัดเก็บ ทุกโหมดการโทร หรือไคลเอนต์รุ่นเก่ามีการป้องกันเหมือนกัน การแจกจ่ายกุญแจกลุ่ม ไฟล์แนบ และสิ่งบันทึกเสียงหรือวิดีโอต้องตรวจสอบขอบเขตของตนเอง

แบบฝึกทบทวนระยะเวลาความลับที่ใช้ได้จริง

ใช้คำถามต่อไปนี้เปลี่ยนความกังวลกว้าง ๆ เรื่องควอนตัมให้เป็นการทบทวนที่เป็นรูปธรรม:

คำถาม	ตัวอย่างคำตอบที่เป็นประโยชน์
เนื้อหาต้องเป็นความลับนานเท่าใด?	รหัสประชุมอายุสั้นกับบันทึกงานวิจัยระยะยาวมีกรอบเวลาต่างกัน
สำเนาถูกเก็บไว้ที่ไหน?	อุปกรณ์ปลายทางของแชต ไฟล์ส่งออก ไฟล์แนบ ข้อมูลสำรอง และผู้รับ
การแลกเปลี่ยนใดปกป้องทราฟฟิกใหม่?	โปรโตคอลและรุ่นที่แน่นอน รวมเส้นทางความเข้ากันได้หรือเส้นทางสำรอง
คลังข้อมูลที่จัดเก็บถูกปกป้องอย่างไร?	อัลกอริทึมเข้ารหัส การดูแลกุญแจ และกุญแจใด ๆ ที่อนุพันธ์จากรหัสผ่าน
การย้ายระบบจะใช้เวลานานเท่าใด?	การอัปเดตไคลเอนต์ การทดสอบการทำงานร่วมกัน การทดสอบการกู้คืน และการเลิกใช้เส้นทางเก่า

องค์กรสามารถให้ความสำคัญกับข้อมูลที่ต้องเก็บเป็นความลับนานและย้ายระบบได้ช้า ส่วนบุคคลเริ่มได้ด้วยการอัปเดตไคลเอนต์ ตรวจสอบว่าการป้องกันครอบคลุมบทสนทนาที่ใช้อยู่หรือไม่ และลดสำเนาข้อมูลอ่อนไหวที่ไม่จำเป็น

การอัปเกรดปกป้องข้อความเก่าย้อนหลังได้หรือไม่

มันปกป้องทราฟฟิกในอนาคตหรือสำเนาที่เข้ารหัสใหม่ด้วยกุญแจอีกดอกได้ แต่ไม่สามารถลบสำเนาข้อความเข้ารหัสหรือข้อความธรรมดาที่ถูกดักเก็บไปแล้ว การเข้ารหัสคลังข้อมูลใหม่มีประโยชน์ต่อเมื่อเป็นส่วนหนึ่งของแผนที่กว้างกว่า ซึ่งคำนึงถึงข้อมูลสำรองเก่า ไฟล์ส่งออก และกุญแจที่ถูกเจาะ

เช่นเดียวกัน การลบมุมมองแชตไม่ได้พิสูจน์ว่าสำเนาบนอุปกรณ์ทุกเครื่องหรือของผู้รับทุกรายถูกลบอย่างปลอดภัย วิธีจัดเก็บในเครื่องและสำรองข้อมูลยังสำคัญ แม้การแลกเปลี่ยนกุญแจผ่านเครือข่ายจะต้านทานภัยหลังควอนตัมได้

สิ่งที่เทคโนโลยีนี้ไม่ได้แก้ไข

วิทยาการเข้ารหัสหลังควอนตัมไม่ได้ซ่อนเมทาดาทาการสื่อสารทั้งหมด ป้องกันภาพหน้าจอ กำจัดมัลแวร์ หรือทำให้ช่องสาธารณะเป็นส่วนตัว และไม่อาจรับประกันความปลอดภัยในอนาคตต่อผลการวิเคราะห์รหัสลับใหม่ทุกชนิด

สำหรับข้อความที่ต้องคงความลับระยะยาว ให้ใช้โปรโตคอลที่มีการดูแลและตรวจพิจารณาควบคู่กับการป้องกันอุปกรณ์ปลายทาง การเลือกวิธีสำรองข้อมูลอย่างรอบคอบ และนโยบายเก็บรักษาที่ชัดเจน ใช้ แบบจำลองภัยคุกคาม ของ Livara เพื่อให้ยังมองเห็นความเสี่ยงแต่ละด้าน แทนที่จะถือว่าคำว่า “ควอนตัม” เป็นการประเมินความปลอดภัยที่ครบถ้วน