现在收集，以后解密：保护长期保密的消息

消息的保密期限可能超过其设备的寿命，也可能超过用于建立其密钥的密码技术的安全寿命。

今天发送的消息，可能需要保密的时间远远超过发送它的手机的使用寿命。这正是“现在收集，以后解密”值得关注的原因：攻击者可以现在保留加密流量，如果未来技术能攻破保护它的密钥交换，再尝试恢复其内容。

具备密码学意义的量子计算机何时出现，目前没有确定日期。十年的保密要求只是规划示例，并非倒计时。需要判断的是：在完成保护系统升级所需的时间之后，这些信息是否仍可能造成伤害。

攻击者需要什么

仅保存密文并不保证未来能解密。攻击者需要有用的捕获数据、相关协议材料，以及攻破其保护措施的方法。流量缺失、独立秘密和协议设计都会影响结果。

能力足够强的量子计算机可能威胁广泛使用的 RSA 和椭圆曲线公钥密码技术。这并不意味着现有的每台量子计算机都能攻破聊天软件，也不意味着所有加密都会以相同方式失效。AES 等对称加密与 ECDH 等公钥密钥建立机制具有不同的安全假设。

NIST 后量子项目建议开始向其已发布的标准迁移，同时承认量子技术时间表的不确定性。提前规划很重要，因为后来的升级无法收回攻击者此前捕获的数据。

前向保密旨在限制长期密钥日后失陷时早期消息的暴露程度，前提是旧会话秘密已被妥善擦除。它在今天仍然很有价值。

然而，依赖易受量子攻击的数学问题的密钥交换，不会仅因私有值是临时的就变得抗量子。如果未来的攻击者能根据记录下来的公开交换重建这些值，相关历史会话仍可能面临风险。具体结果取决于完整协议以及捕获了哪些内容。

后量子密钥建立针对的是这一不同威胁。FIPS 203将 ML-KEM 标准化，它是一种建立共享秘密的机制。消息协议可以将该秘密用于密钥派生，再以具有认证能力的对称密码加密消息。ML-KEM 不是消息加密算法本身的另一个名称。

混合设计通过指定的构造结合传统与后量子组件的贡献。它旨在当一个组件的假设失效、另一个仍然可靠时提供韧性。这一收益依赖正确的组合、认证、随机性和实现；仅在功能页面列出两个算法名称并不够。

Livara 的安全概览介绍了 LVR1，它使用 P-256 并定期引入 ML-KEM-768 密钥时期。应将其视为对文档所述协议的说明，而不是独立保证所有存储项目、通话模式或旧客户端都具有相同保护。群组密钥分发、附件和录制内容各自都需要检查适用范围。

用以下问题，将笼统的量子担忧转化为具体审查：

组织可以优先处理保密期限长且迁移缓慢的信息。个人可以从更新客户端、检查保护是否适用于当前使用的会话，以及减少敏感数据的不必要副本开始。

它可以保护未来流量，或使用不同密钥重新加密的副本。但它无法擦除先前已被捕获的密文或明文副本。只有在考虑旧备份、导出文件和已失陷密钥的更广泛计划中，重新加密归档才有意义。

同样，删除聊天视图不能证明每台设备或每位接收者持有的副本都已被安全擦除。即使网络密钥交换具备后量子抗性，本地存储和备份做法仍然重要。

后量子密码技术不会隐藏所有通信元数据、阻止截图、清除恶意软件，也不会使公开频道变为私密。它也无法保证未来能抵御每一项新的密码分析成果。

对于需要长期保密的消息，应将持续维护且经过审视的协议，与端点保护、审慎选择的备份方式和明确的保留政策结合起来。利用 Livara 的威胁模型持续关注这些不同风险，而不是把“量子”一词当作完整的安全评估。