Trusselen
Harvest now, decrypt later: høst nå, dekrypter senere
Den kvantetrusselen som er reell allerede i dag, selv om kvantedatamaskinen ikke finnes ennå.
Hva betyr harvest now, decrypt later?
Uttrykket kommer fra engelsk og brukes også som store now, decrypt later (SNDL) og retroactive decryption. Tanken er at motstanderen ikke trenger å bryte krypteringen i dag. Det holder å samle inn den krypterte trafikken, lagre den billig, og vente.
Det er en ren tidsforskyvning av angrepet. Dagens datamaskiner kan ikke knekke RSA-2048 eller elliptiske kurver, men en feiltolerant kvantedatamaskin som kjører Shors algoritme kan. Når den finnes, kan alt som er lagret og som ble beskyttet av slik kryptografi, leses i klartekst.
Hva som faktisk er i fare
Det er viktig å skille mellom hva som kan bli rammet og hva som ikke kan det. HNDL treffer først og fremst nøkkelutveksling, altså øyeblikket der to parter blir enige om en felles hemmelig nøkkel over et åpent nett.
| Situasjon | Eksponert? | Hvorfor |
|---|---|---|
| TLS-trafikk med ECDHE eller RSA nøkkelutveksling | Ja | Sesjonsnøkkelen kan regnes ut fra den avlyttede håndtrykket når Shors algoritme er tilgjengelig. |
| VPN (IPsec/IKEv2, OpenVPN) med klassisk nøkkelutveksling | Ja | Samme prinsipp som TLS. All tunnelert trafikk kan leses i ettertid. |
| SSH med klassisk nøkkelutveksling | Ja | Det gjelder også innlogginger og filoverføringer som er avlyttet. |
| E-post og meldinger med RSA- eller ECC-baserte nøkler | Ja | Innholdet er kryptert med en nøkkel som er pakket inn med en kvantesårbar offentlig nøkkel. |
| Data i ro, kryptert med AES-256 og en nøkkel som aldri har vært sendt med kvantesårbar kryptografi | Nei | Symmetrisk kryptografi med 256-bits nøkler tåler kvantemaskiner godt. |
| VPN med en hemmelig forhåndsdelt nøkkel (PSK) i tillegg | Delvis beskyttet | Blandes PSK-en inn i nøkkelen, er trafikken trygg så lenge PSK-en er sterk og ikke kompromittert. Se VPN. |
Merk at forward secrecy ikke hjelper her. Forward secrecy gjør at en senere kompromittert langtidsnøkkel ikke avslører gammel trafikk. Men de flyktige nøklene i ECDHE selv er kvantesårbare, så en kvantedatamaskin kan likevel gjenskape hver enkelt sesjonsnøkkel.
Hvem kan gjøre dette?
Angrepet krever tilgang til trafikken, lagringsplass og tålmodighet. Det er realistisk for aktører som kontrollerer eller har tilgang til sentral nettverksinfrastruktur, for eksempel statlige etterretningstjenester, og i mindre skala for operatører og andre med innsyn i et nettverkssegment. Kostnaden for å lagre data har falt kraftig, og den som lagrer trenger ikke å vite på forhånd hva som er verdifullt.
Det finnes ikke offentlig dokumentasjon på enkelttilfeller, og slik dokumentasjon er heller ikke å vente. Sikkerhetsmyndigheter i blant annet USA, Storbritannia, Tyskland og Frankrike behandler likevel HNDL som en reell trussel i sine anbefalinger. Risikovurderingen krever ikke bevis for at noen samler, bare at det er billig og at gevinsten kan være stor.
Hvilke data bør bekymre deg mest?
Det avgjørende er hvor lenge informasjonen må holdes hemmelig, i forhold til når kvantedatamaskinen kommer. Regn gjerne med Moscas ulikhet for egne tall.
| Type informasjon | Typisk behov for fortrolighet |
|---|---|
| Helseopplysninger og genetiske data | Livet ut, ofte 50 år eller mer |
| Gradert og sikkerhetsrelevant informasjon | Tiår |
| Forretningshemmeligheter, patenter under arbeid, forskningsdata | 10–30 år |
| Finansielle avtaler, eiendoms- og skattedata | 10–25 år |
| Personopplysninger generelt | Avhenger av formålet, men ofte mange år |
| Midlertidige sesjoner, som engangskoder og vanlige nettsøk | Minutter til dager |
Slik forsvarer du deg mot HNDL
- Ta i bruk hybrid nøkkelutveksling der data går over nettet. I TLS 1.3 heter det vanligste valget
X25519MLKEM768. Nettlesere og store CDN-er støtter det allerede, så mye av trafikken din kan være beskyttet bare ved å oppdatere servere og biblioteker. Se praktisk guide. - Beskytt tunneler og lenker mellom steder først. Site-til-site-VPN og lenker mellom datasentre bærer mye data samlet og er et naturlig mål for lagring.
- Bruk symmetriske nøkler du allerede deler. Der du har tilgang til en sterk hemmelig forhåndsdelt nøkkel (PSK), kan den blandes inn i nøkkelavtalen som et ekstra lag.
- Krypter data i ro med AES-256, og pass på at nøklene ikke har vært sendt eller pakket inn med RSA eller ECC uten post-kvante-beskyttelse.
- Minimer og slett. Data som ikke finnes, kan ikke bli dekryptert. Kortere lagringstid og mindre innsamling reduserer eksponeringen.
- Prioriter etter levetid. Start med dataene som må være hemmelige lengst, og gå bakover derfra. Se fremgangsmåten.
Hva HNDL ikke løser av seg selv
Hybrid nøkkelutveksling beskytter fremtidige forbindelser. Trafikk som allerede er avlyttet og lagret med klassisk kryptografi, kan ikke beskyttes i ettertid. Det er derfor argumentet for å starte tidlig er så sterkt: hver dag med klassisk nøkkelutveksling legger til data som ikke kan reddes senere.
Datoen kvantedatamaskinen kommer er usikker. Datoen du slutter å sende fortrolige data med kvantesårbar nøkkelutveksling er noe du kan bestemme selv.
Vanlige spørsmål
Hva er forskjellen på harvest now decrypt later og vanlig avlytting?
Ved vanlig avlytting leses dataene med en gang. Ved HNDL lagres de krypterte dataene uten å kunne leses, og dekrypteres først når en kvantedatamaskin gjør det mulig. Trafikken er altså allerede tatt, men sikkerhetsbruddet skjer senere.
Hjelper det å bytte til AES-256?
Bare delvis. AES-256 beskytter selve dataene mot kvantemaskiner, men hvis nøkkelen ble avtalt med RSA eller ECDH og trafikken er lagret, kan nøkkelen regnes ut. Nøkkelutvekslingen må også være post-kvante-sikker.
Er HNDL relevant for signaturer?
Nei, ikke på samme måte. En signatur kan ikke forfalskes i ettertid for noe som allerede er verifisert. Men signaturer med lang levetid, som rotsertifikater og firmware-nøkler, må byttes i tide. Se kryptoagilitet.