Я починаю серію легких для читання щоденних дописів про постквантову безпеку. Але я не знаю, скільки днів це триватиме :). Отже, давайте подивимось. ДЕНЬ 1: Алгоритм Шора та квантовий апокаліпсис(?) Більшість нашого стеку безпеки — RSA, ECC, Diffie-Hellman — базується на одному припущенні: факторизація цілих чисел і дискретні журнали є «складними». На класичному кремнії — так. Щоб зламати RSA-2048, потрібно просто більше часу, ніж вік Всесвіту. Але це не фізичний закон. Це обмеження класичних обчислень. У 1994 році Пітер Шор показав, що їх можна ефективно розв'язати на квантовому комп'ютері. Алгоритм Шора не просто переборює клавіші; він використовує квантове перетворення Фур'є (QFT [не квантова теорія поля, лол]) для визначення періоду функції f(x) = a^x mod N. Коли у вас є менструація, у вас є фактори. І коли у вас є фактори, приватний ключ мертвий. Тому що приватний ключ можна відтворити з публічного. Зміна складності — справжній «апокаліпсис». Переходимо від субекспоненціального часу до поліноміального часу O((log N)^3). Ми не говоримо про 10-кратне прискорення; йдеться про перехід від трильйонів років до кількох годин на CRQC. Подібно до RSA, ECC (криптографія еліптичних кривих) також НЕ є безпечною. Завдяки ефективній алгебраїчній груповій структурі розрив 256-бітного ключа ECC фактично потребує менше логічних кубітів, ніж RSA-2048. --- Дякую за прочитання! Завтра ми обговоримо, чому загроза HNDL (збирання зараз-розшифровки-пізніше) означає, що постквантовий перехід має відбутися саме зараз. (Візуально: Пітер Шор)

Я не впевнений, що більшість людей у сфері приватності повністю знають про атаку «збирай зараз, розшифровуй пізніше». Ми постійно кажемо, що до того часу, як перший зрілий квантовий комп'ютер запустить алгоритм Шора на реальному кейсі. Постквантова безпека — це не розкіш майбутнього, особливо для систем конфіденційності. Модель загроз уже змінилася: супротивникам сьогодні не потрібен квантовий комп'ютер, щоб зламати ваші дані завтра. Їм просто потрібно його зібрати. Кожна зашифрована транзакція, повідомлення або доказ, що потрапляє у публічний мемпул або ланцюжок, може бути заархівована безстроково. У момент, коли з'являється достатньо потужна квантова машина, все, що зашифровано за класичними припущеннями еліптичної кривої, стає відкритим текстом. Це проблема «тепер розшифрувати пізніше», і вона тихо знищує гарантію, що «зашифровано сьогодні означає приватне назавжди». Протоколи конфіденційності мають розглядати це як першокласне обмеження дизайну. Якщо ваша система покладається на ECDH, підписи secp256k1 для отримання ключів або будь-яке шифрування на основі еліптичних кривих у вашому шарі конфіденційності, ви вже піддаєте користувачів відкладеному витоку. Ми любимо думати, що приватність — це миттєва властивість, але насправді вона міцна: вона має витримувати час, розвиток апаратного забезпечення та супротивників із довгою пам'яттю та дешевим сховищем. Ось чому постквантова безпека набагато важливіша для приватності, ніж для загальної автентифікації чи консенсусу. Підпис можна обертати. Ключ валідатора можна мігрувати. Але шифротексти, опубліковані, стають постійними. І «розшифрування» — це не помилка, яку можна виправити. (Візуально: Пітер Шор)

Чудова розмова з колегами-учасниками панелі на сцені Privacy and Compliance Summit від @partyactionppl. Дякую за організацію!