הפצת מפתחות קוונטית מול קריפטוגרפיה פוסט-קוונטית: מפני מה כל אחת מגינה

הפצת מפתחות קוונטית וקריפטוגרפיה פוסט-קוונטית מקובצות לעיתים יחד תחת הכותרת "טכנולוגיות בטוחות לקוונטים", אבל הן פותרות בעיות שונות בדרכים שונות. QKD היא שיטה ליצירת מפתחות סודיים משותפים, שהביטחון שלה קשור להתנהגות קוונטית-מכנית, בעוד ש-PQC היא משפחת אלגוריתמים, בעיקר של מפתח ציבורי, שנועדה לשמור על ביטחונן של המערכות הדיגיטליות של היום מול מחשבים קוונטיים עתידיים.

בפועל, הבחירה בדרך כלל אינה או/או. QKD עוסקת ביצירת מפתחות תוך זיהוי ציתות, תחת הנחות פיזיקליות ורשתיות מסוימות; PQC עוסקת בהחלפת אבני בניין קריפטוגרפיות פגיעות בכל רוחב התשתית הקיימת. כדי להבין מפני מה כל אחת מגינה, צריך להתחיל בהבחנה הזאת.

שתי תשובות שונות לאיום הקוונטי

החשש המרכזי שמאחורי שתי הגישות הוא שמחשוב קוונטי מאיים על רבות ממערכות המפתח הציבורי הנפוצות כיום. לפי הסיכום של Wikipedia על קריפטוגרפיה פוסט-קוונטית, רוב האלגוריתמים של מפתח ציבורי שנמצאים כיום בשימוש נשענים על פירוק לגורמים של מספרים שלמים, לוגריתמים בדידים או לוגריתמים בדידים על עקומים אליפטיים, ומחשב קוונטי חזק דיו שמריץ את האלגוריתם של Shor יוכל לפתור את הבעיות האלה ביעילות.

הירשמו לניוזלטר של DesignQuantum

חדשות ומאמרי הסבר בחינם על מחשוב קוונטי, עם קישור למקור לכל טענה. בחרו יומי, שבועי או חודשי.

Website

כתובת אימייל תדירותיומישבועיחודשי שפהEnglishEspañol简体中文हिन्दीالعربيةPortuguês (Brasil)FrançaisDeutsch日本語Русский한국어Bahasa IndonesiaTürkçeItalianoTiếng ViệtPolskiNederlandsไทยفارسیУкраїнськаবাংলাاردوKiswahiliBahasa Melayuעברית הרשמה בחינם

בחינם. אפשר לבטל את המינוי בלחיצה אחת בכל עת. מדיניות פרטיות

זה לא אומר שכל הקריפטוגרפיה נשברת בבת אחת. הסיכום של Wikipedia גם מציין שקריפטוגרפיה סימטרית ופונקציות גיבוב הנמצאות כיום בשימוש נחשבות בטוחות יחסית מול התקפות קוונטיות, אף שהאלגוריתם של Grover יכול להאיץ חיפוש בכוח גס, ובפועל ניתן להתמודד עם זה באמצעות הכפלת גודל המפתח.

מכאן ואילך, QKD ו-PQC מתפצלות:

• QKD נועדה לאפשר לשני צדדים לייצר מפתח סודי אקראי משותף באמצעות מצבים קוונטיים.
• PQC נועדה להחליף אלגוריתמים קלאסיים פגיעים של מפתח ציבורי באלגוריתמים חדשים, שכיום מקובל להעריך — אם כי לא הוכח — שהם עמידים להתקפות קוונטיות.

ההבדל הזה בהיקף חשוב. QKD לא מצפינה לבדה את נתוני היישום שלכם; היא מפיצה מפתחות. לעומת זאת, PQC נועדה להשתלב בדיוק במקומות שבהם קריפטוגרפיה של מפתח ציבורי כבר משמשת ליצירת מפתחות ולחתימות דיגיטליות.

מפני מה QKD מגינה

QKD היא שיטת תקשורת מאובטחת המבוססת על מכניקת הקוונטים, ובכלל זה עקרון ההפרעה כתוצאה ממדידה ומשפט אי-השכפול. מטרתה היא לאפשר לשני צדדים ליצור מפתח סודי משותף, הידוע רק להם.

תכונת האבטחה הייחודית שלה היא זיהוי ציתות. באופן כללי, מדידה של מערכת קוונטית מפריעה לה. לכן, אם צד שלישי מנסה ללמוד את המפתח באמצעות מדידת המצבים הקוונטיים המשודרים, ההתערבות הזאת יוצרת חריגות שהצדדים הלגיטימיים יכולים לזהות. אם ההפרעה הנצפית נמוכה מסף מסוים, הם עדיין עשויים לגזור מפתח מאובטח; אם היא גבוהה מדי, הם מבטלים את התהליך.

הערך של Wikipedia על הפצת מפתחות קוונטית מתאר את האבטחה של QKD כנשענת על פיזיקה ולא על הקושי המשוער של בעיות מתמטיות. הוא גם מתאר את QKD כבעלת אבטחה ניתנת להוכחה המבוססת על תורת האינפורמציה, וככזו שמספקת סודיות קדימה.

עם זאת, QKD מגינה על חלק צר יותר של הבעיה מכפי שרבים מניחים:

• היא מגינה על תהליך הפצת המפתח.
• היא לא משדרת ישירות את נתוני ההודעה.
• עדיין צריך להשתמש במפתח המתקבל עם שיטת הצפנה כגון פנקס חד-פעמי או אלגוריתם סימטרי כמו AES.

לכן, אם השאלה היא "על מה QKD מגינה?", התשובה היא: היא מגינה על הסודיות של החלפת המפתחות עצמה, תחת ההנחות של הפרוטוקול והמימוש, באמצעות כך שהיא הופכת ציתות לערוץ הקוונטי לניתן לזיהוי.

כיצד QKD פועלת ברמה גבוהה

הערך של Wikipedia על הפצת מפתחות קוונטית מתאר שתי משפחות רחבות של פרוטוקולי QKD.

הכנה ומדידה

במודל הזה, צד אחד מכין מצבים קוונטיים ושולח אותם דרך ערוץ קוונטי לא מאובטח. המקבל מודד אותם. לאחר מכן, דרך ערוץ קלאסי מאומת, שני הצדדים משווים מידע מוגבל כדי לבדוק אם המדידות עקביות עם שידור שלא הופרע.

אם לא, הם מסיקים שייתכן שהיה ציתות או רעש מוגזם, ועשויים לבטל את התהליך.

הדוגמה המוכרת ביותר היא BB84, שהוצגה על ידי Charles H. Bennett ו-Gilles Brassard בשנת 1984. ב-BB84, השולח מקודד סיביות אקראיות באחד משני בסיסים אפשריים, והמקבל מודד כל מצב קוונטי נכנס באמצעות בסיס שנבחר באקראי. לאחר מכן הם משווים בפומבי את בחירות הבסיסים, ומסלקים את המיקומים שבהם השתמשו בבסיסים שונים. לאחר מכן הם בודקים תת-קבוצה של הסיביות הנותרות לאיתור שגיאות; יותר מדי שגיאות פירושו שלא ניתן להבטיח אבטחה.

מבוסס שזירה

פרוטוקולים אלה משתמשים במצבים שזורים המשותפים לשני הצדדים. Wikipedia מסבירה שמדידה של חצי אחד מצמד שזור משפיעה על המערכת הכוללת, ויירוט משנה את המתאמים בדרכים שניתנות לזיהוי. אחת הדוגמאות המוזכרות היא E91, שהוצעה על ידי Artur Ekert בשנת 1991.

עבור מי שאינו מומחה, הנקודה החשובה היא ששתי המשפחות מנסות להשיג את אותה מטרה: לייצר מפתח סודי משותף תוך הפיכת היירוט לגלוי.

התלות הסמויה של QKD: אימות

התכונה הבולטת של QKD יכולה להסתיר דרישה קריטית. הערך של Wikipedia על הפצת מפתחות קוונטית מציין ש-QKD נשענת בדרך כלל על ערוץ קלאסי מאומת. כך שני הצדדים יודעים שהם אכן מדברים זה עם זה בשלב הדיון הפומבי, ולא עם מתחזה.

הדבר יוצר מגבלה מעשית חשובה:

• כדי לאמת את הערוץ הקלאסי הזה, הצדדים כבר צריכים בסיס קריפטוגרפי מהימן כלשהו, כגון מפתח סימטרי שהוחלף מראש או מפתחות ציבוריים מאובטחים דיים.

כלומר, QKD אינה מבטלת את בעיית האימות. היא פותרת את הפצת המפתחות תחת ההנחה שאימות כבר זמין.

הערך של Wikipedia חריג במידת הישירות שלו לגבי התוצאה: אם כבר יש לכם מה שנדרש כדי לאמת באופן מאובטח, אז בפועל ייתכן שתוכלו להשיג תקשורת מאובטחת גם בלי QKD, באמצעות קריפטוגרפיה סימטרית קונבנציונלית. הוא אף מתאר את QKD כמבצעת את העבודה של צופן זרם בעלות גבוהה בהרבה.

זוהי אחת הפשרות המרכזיות בוויכוח סביב QKD. מודל האבטחה שלה מושך, אבל נטל הפריסה ברמת המערכת משמעותי.

מפני מה PQC מגינה

PQC מטפלת במשטח איום שונה. זהו תחום הפיתוח של אלגוריתמים קריפטוגרפיים, בדרך כלל אלגוריתמים של מפתח ציבורי, שכיום מקובל לחשוב שיישארו מאובטחים מול התקפות של מחשבים קוונטיים.

היעד המרכזי שלה הוא הכשל העתידי של מערכות המפתח הציבורי של היום. הסיכום של Wikipedia על קריפטוגרפיה פוסט-קוונטית מדגיש גם שתי סיבות לכך שהמעבר דחוף עוד לפני שקיימים מחשבים קוונטיים גדולים:

1. המעבר לוקח זמן.
2. לקצור עכשיו, לפענח אחר כך הוא חשש ממשי: נתונים שנאספים היום עשויים להישאר רגישים גם בעוד שנים.

לפיכך, PQC מגינה מפני שני סיכונים קשורים:

• פענוח עתידי של נתונים המוגנים היום בשיטות מפתח ציבורי שפגיעות לקוונטים.
• זיוף עתידי או כשל של מנגנוני אותנטיות הנשענים על אותן שיטות פגיעות.

בניגוד ל-QKD, ‏PQC אינה מבוססת על חומרת תקשורת קוונטית. זהו מעבר קריפטוגרפי קלאסי: החלפת אלגוריתמים בתוך תוכנה, חומרה, פרוטוקולים ותקנים.

PQC רחבה יותר ממשפחת אלגוריתמים אחת

הסיכום של Wikipedia על קריפטוגרפיה פוסט-קוונטית מונה כמה כיווני מחקר ב-PQC, ובהם קריפטוגרפיה מבוססת סריגים, רב-משתנית, מבוססת גיבוב, מבוססת קודים ומבוססת איזוגניות, לצד גישות של מפתח סימטרי המשתמשות במפתחות גדולים דיים.

ניואנס מרכזי הוא ש-PQC אינה מוכחת כמאובטחת באופן גורף. Wikipedia מתארת שוב ושוב את המערכות האלה ככאלה שכיום מקובל לחשוב שהן מאובטחות, והיא מציינת שכמה מועמדים נכשלו. דוגמה בולטת היא SIDH/SIKE, שנפרצה בשנת 2022.

הדבר אינו מערער את PQC כולה, אבל הוא כן מראה ש"עמיד לקוונטים" אינו תווית קבועה. זהו תהליך של מחקר ותקינה, הבנוי על קריפטואנליזה מתמשכת.

לחלק מהמשפחות יש רדוקציות פורמליות חזקות יותר מאחרות, ולחלקן יש פשרות מעשיות כגון מפתחות, חתימות או טקסטים מוצפנים גדולים יותר. Wikipedia מציינת שרבים מאלגוריתמי PQC דורשים גדלי מפתח גדולים יותר ממערכות מפתח ציבורי שלפני העידן הקוונטי, ושזה יכול ליצור פשרות בגודל התעבורה וביעילות החישובית.

מציאות התקינה והפריסה

האות הברור ביותר למעמד המעשי של PQC מגיע מ-NIST.

NIST אומרת כי פרסמה את תקני ה-PQC העיקריים שלה בשנת 2024, וכי ארגונים צריכים להתחיל במעבר כבר עכשיו. התקנים המפורטים הם:

• FIPS 203: ML-KEM
• FIPS 204: ML-DSA
• FIPS 205: SLH-DSA

NIST גם אומרת שתקנים אלה צריכים לשמש בסיס לרוב הפריסות, ושיש תקנים נוספים בתהליך, בהם Falcon ו-HQC. עוד היא מציינת שלפי לוח הזמנים למעבר שב-NIST IR 8547, אלגוריתמים שפגיעים לקוונטים יוצאו משימוש ובהמשך יוסרו כליל מתקני NIST עד 2035, כאשר מערכות בסיכון גבוה יותר יוקדמו.

זהו ניגוד חשוב ל-QKD. לא משנה מה חושבים על היתרונות ארוכי הטווח של כל אחת מהגישות, PQC כבר נמצאת על מסלול מעבר מבוסס תקינה, שמכוון לפריסה רחבה על פני תשתית דיגיטלית רגילה.

זו לצד זו: מפני מה כל אחת מגינה

היבט	הפצת מפתחות קוונטית	קריפטוגרפיה פוסט-קוונטית
מטרה עיקרית	יצירת מפתח סודי משותף	החלפת אלגוריתמים פגיעים של מפתח ציבורי
בסיס האבטחה	מכניקת הקוונטים והפרעה ניתנת לזיהוי	אלגוריתמים קלאסיים שמקובל להעריך כי הם עמידים להתקפות קוונטיות
על מה היא מגינה ישירות	הסודיות של הפצת המפתח	יצירת מפתחות, חתימות ופונקציות אחרות של מפתח ציבורי במערכות דיגיטליות
זיהוי ציתות	כן, כתכונה מובנית של הפרוטוקול	אין תכונת זיהוי פיזיקלית מקבילה
דרישת חומרה	דורשת ערוץ קוונטי לצד ערוץ קלאסי	פועלת על תשתית דיגיטלית קלאסית
צורך באימות	דורשת ערוץ קלאסי מאומת	מספקת בעצמה מנגנוני אימות דרך תקני חתימה/KEM
מודל פריסה	קישורים ייעודיים והגדרת פרוטוקול	מעבר בתוכנה, חומרה ופרוטוקולים על פני מערכות קיימות
הפשרה העיקרית המגובה בראיות	עלות גבוהה ותלות באימות מוקדם	מפתחות/חתימות גדולים יותר וסיכון מתמשך בהערכת האלגוריתמים

אז מי מגינה על "יותר"?

אף אחת מהן אינה מגינה באופן אוניברסלי על יותר; הן מגינות בדרכים שונות.

QKD מציעה טענת אבטחה ייחודית עבור הפצת מפתחות: ניסיון ליירט את הערוץ הקוונטי ניתן, עקרונית, לזיהוי. עבור יישומים שבהם התכונה הזאת מכריעה, QKD יכולה להיות אטרקטיבית. אבל היא באה עם הנחות תובעניות, במיוחד הצורך בערוץ קלאסי מאומת ובתשתית תקשורת ייעודית.

PQC מטפלת בבעיה המערכתית הרחבה והמיידית יותר: החלפת קריפטוגרפיית מפתח ציבורי שמחשב קוונטי עתידי יוכל לשבור. היא אינה מציעה את זיהוי הציתות המבוסס-פיזיקה של QKD, אבל היא נועדה לאבטח את הפונקציות הקריפטוגרפיות שעליהן רשתות מודרניות באמת נשענות בקנה מידה גדול.

דרך נוספת לנסח זאת:

• אם הדאגה שלכם היא כיצד שתי נקודות קצה יוצרות מפתחות דרך ערוץ שניתן לצפייה קוונטית, QKD היא הכלי הרלוונטי.
• אם הדאגה שלכם היא כיצד האינטרנט, שרשראות אספקת תוכנה, מערכות זהות ונתונים מוצפנים ארוכי-חיים ישרדו את הגעתן של התקפות קוונטיות, PQC היא התשובה המרכזית.

השאלות הפתוחות והפשרות

מבט מאוזן צריך לשמור לנגד העיניים כמה אי-ודאויות.

לגבי QKD:

• סיפור האבטחה שלה חזק בתיאוריה, אבל תלוי במימוש נכון.
• היא אינה מבטלת את הצורך באימות.
• Wikipedia מעלה במפורש את השאלה המעשית אם העלות הנוספת מוצדקת כאשר הצפנה קלאסית מאומתת עשויה כבר לענות על הצורך.

לגבי PQC:

• מקובל לחשוב שהאלגוריתמים האלה מאובטחים מול התקפות קוונטיות, אך הדבר אינו מוכח.
• כמה משפחות או סכמות מועמדות נכשלו תחת קריפטואנליזה.
• פריסה מעשית עשויה לכלול מפתחות גדולים יותר ופשרות ביצועים נוספות.

ובכל זאת, NIST מצביעה על קונצנזוס תפעולי עכשווי: לעבור עכשיו ל-PQC מתוקננת, משום שהמתנה למחשבים קוונטיים בשלים לגמרי עלולה להשאיר מעט מדי זמן כדי להגן על סודיות ואותנטיות ארוכות-טווח.

נקודות מפתח

• QKD ו-PQC אינן תחליפים במובן פשוט. QKD מפיצה מפתחות סודיים; PQC מחליפה קריפטוגרפיית מפתח ציבורי פגיעה.
• התכונה הבולטת של QKD היא זיהוי ציתות בערוץ הקוונטי, המעוגן בהפרעה שנגרמת ממדידה קוונטית.
• QKD אינה מצפינה הודעות בעצמה ובדרך כלל דורשת ערוץ קלאסי מאומת, כלומר בסיס אמון כלשהו כבר חייב להתקיים.
• PQC מיועדת לבעיית המעבר הרחבה יותר שנוצרת מהאיום הקוונטי על מערכות המפתח הציבורי הנוכחיות.
• קריפטוגרפיה סימטרית נוכחית מופרעת פחות ממחשוב קוונטי מאשר קריפטוגרפיית המפתח הציבורי הנוכחית, אם כי ייתכן שגדלי מפתח גדולים יותר הם צעד נבון.
• PQC כבר נכנסת לתקינה המרכזית. NIST פרסמה את FIPS 203, 204 ו-205 בשנת 2024, ואומרת שארגונים צריכים להתחיל במעבר כבר עכשיו.
• לאף אחת מהדרכים אין עלות אפס. QKD מביאה עמה נטל תשתית ואימות; PQC מביאה אי-ודאות אלגוריתמית ופשרות ביצועים כגון מפתחות גדולים יותר.
• עבור רוב הארגונים, PQC היא המענה העיקרי בטווח הקרוב לסיכון הקוונטי, בעוד ש-QKD מטפלת ביעד אבטחה צר ומיוחד יותר.