Я не уверен, что большинство людей в области конфиденциальности полностью осознают атаку «собрать сейчас — расшифровать позже». Мы продолжаем говорить, что у нас еще n лет до того, как первый зрелый квантовый компьютер запустит алгоритм Шора в реальном случае. Постквантовая безопасность не является роскошью будущего, особенно для систем конфиденциальности. Модель угроз уже изменилась: противникам не нужен квантовый компьютер сегодня, чтобы сломать ваши данные завтра. Им просто нужно их собрать. Каждая зашифрованная транзакция, сообщение или доказательство, попадающее в публичный мемпул или цепочку, может быть архивировано на неопределенный срок. В момент, когда появится достаточно мощная квантовая машина, все, что зашифровано на основе классических предположений об эллиптических кривых, станет открытым текстом. Это проблема «собрать сейчас — расшифровать позже», и она тихо убивает гарантию, что «зашифрованное сегодня означает частное навсегда». Протоколы конфиденциальности должны рассматривать это как первостепенное ограничение при проектировании. Если ваша система полагается на ECDH, подписи secp256k1 для получения ключей или любое шифрование на основе эллиптических кривых внутри вашего слоя конфиденциальности, вы уже подвергаете своих пользователей риску отложенного нарушения. Мы любим думать, что конфиденциальность — это мгновенное свойство, но на самом деле это долговечное свойство: оно должно пережить время, развитие аппаратного обеспечения и противников с долгой памятью и дешевым хранилищем. Вот почему постквантовая безопасность имеет гораздо большее значение для конфиденциальности, чем для общей аутентификации или консенсуса. Подпись можно заменить. Ключ валидатора можно перенести. Но шифротексты, однажды опубликованные, являются постоянными. И «расшифровка» — это не ошибка, которую можно исправить. (Визуализация: Питер Шор)