حمله «ذخیره کن، بعداً رمزگشایی کن» یعنی مهاجم همین امروز پیام‌های رمزنگاری‌شدهٔ شما را ضبط و بایگانی می‌کند و رمزگشایی را به آیندهٔ رایانه‌های کوانتومی موکول می‌کند. به همین دلیل رمزنگاری پادکوانتومی یک موضوع آینده‌نگرانه نیست؛ پاسخی است به تهدیدی که همین حالا در جریان است. اگر یک گفت‌وگوی خصوصی امروز ثبت شود، محافظت آن باید از همان لحظهٔ ثبت پادکوانتومی باشد، نه از سالی که رایانهٔ کوانتومی برسد.
نکات کلیدی
- حمله «ذخیره کن، بعداً رمزگشایی کن» (HNDL) یک حملهٔ رمزگشایی نیست، یک حملهٔ زمان‌بندی است: داده امروز ضبط می‌شود و شکستن رمز به آینده موکول می‌شود.
- تهدید رایانهٔ کوانتومی برای داده‌هایی جدی است که «عمر محرمانگی» طولانی دارند؛ پیام خصوصی، پرونده، تصویر، صدا و پشتیبان گفت‌وگو در صدر فهرست‌اند.
- رمزنگاری پادکوانتومی با الگوریتم‌هایی مثل ML-KEM-768 (استاندارد NIST FIPS 203) کلیدها را طوری می‌سازد که شکستن آن‌ها با رایانهٔ کوانتومی هم عملی نباشد.
- Livara برای هر پیام مستقیم از پروتکل LVR1 استفاده می‌کند: یک رچت ECDH P-256 و یک رچت دوره‌ای ML-KEM-768 هم‌زمان اجرا می‌شوند و کلید هر پیام از هر دو مشتق می‌شود.
- کانال‌های عمومی در Livara عمداً رمزنگاری سرتاسری ندارند؛ گفت‌وگوهای خصوصی و گروهی کاملاً رمزنگاری‌شده‌اند.
حمله «ذخیره کن، بعداً رمزگشایی کن» دقیقاً چیست؟
این حمله یعنی جمع‌آوری و بایگانی ترافیک رمزنگاری‌شدهٔ امروز، با این فرض که کلید رمزگشایی در آینده به دست می‌آید. تفاوت اصلی آن با حملهٔ معمول این است که مهاجم هیچ رمزی را در لحظه نمی‌شکند؛ او فقط صبر می‌کند.
Palo Alto Networks در توضیح این تهدید آن را یک ریسک امنیتی مرتبط با دوران گذار به رمزنگاری پادکوانتومی معرفی می‌کند، و Akamai هم همین منطق را ساده و بی‌پرده بیان می‌کند: مهاجم دادهٔ رمزنگاری‌شده را امروز می‌دزدد و روی این شرط می‌بندد که وقتی رایانهٔ کوانتومی بالغ شد، بتواند آن را باز کند. پژوهش MDPI این تهدید را «ریسک زمانی» می‌نامد، چون ارزش آن به فاصلهٔ میان لحظهٔ ضبط داده و لحظهٔ رسیدن توان رمزگشایی وابسته است.
زنجیرهٔ حمله در عمل چهار گام دارد:
| گام | چه اتفاقی می‌افتد | چرا کار می‌کند |
|---|---|---|
| ۱. ضبط | ترافیک رمزنگاری‌شده در مسیر عبور کپی می‌شود | داده در حال انتقال قابل مشاهده است، حتی اگر محتوایش خوانا نباشد |
| ۲. بایگانی | نسخهٔ ضبط‌شده برای سال‌ها نگه داشته می‌شود | هزینهٔ ذخیره‌سازی در برابر ارزش داده ناچیز است |
| ۳. انتظار | مهاجم منتظر توان رمزگشایی کوانتومی می‌ماند | هیچ محدودیت زمانی روی حمله وجود ندارد |
| ۴. رمزگشایی | محتوای قدیمی خوانا می‌شود | داده‌ای که دیروز محرمانه بود، فردا افشا می‌شود |
نکتهٔ محدودکننده را همین‌جا بگوییم: هیچ‌کس نمی‌تواند بگوید مهاجم مشخصی امروز ظرفیت بایگانی در این مقیاس را دارد یا ندارد. آنچه قابل دفاع است، این است که هزینهٔ بایگانی پایین و بازده بالقوه بالاست، و دفاع در برابر آن هم امروز ممکن است.
چرا تهدید رایانهٔ کوانتومی امروز مطرح است و نه در دههٔ آینده؟
چون تصمیم حفاظتی را امروز می‌گیرید، در حالی که داده همین امروز در حال ضبط شدن است. هر روز تأخیر یعنی یک روز دادهٔ اضافی که با رمزنگاری ضعیف‌تر بایگانی می‌شود.
مفهوم کلیدی اینجاست: عمر محرمانگی. عمر محرمانگی یعنی مدت زمانی که یک اطلاعات باید محرمانه بماند. یک کد ورود یک‌بارمصرف چند دقیقه عمر دارد و افشای آن فردا بی‌ارزش است؛ اما یک گفت‌وگوی خصوصی، یک سند کاری یا یک عکس شخصی ممکن است سال‌ها یا دهه‌ها ارزش افشا داشته باشد. حملهٔ HNDL فقط روی دستهٔ دوم اثر می‌گذارد.
Palo Alto Networks در همین زمینه توضیح می‌دهد که HNDL مستقیماً به «روز Q» گره خورده است؛ روزی که یک رایانهٔ کوانتومی بتواند رمزنگاری کلید عمومی امروزی را بشکند. هیچ منبع معتبری تاریخ آن روز را نمی‌داند و هر عددی که برای آن گفته شود حدس است. همین عدم‌قطعیت دلیل اصلی شروع زودهنگام است: مهاجرت رمزنگاری در یک سازمان یا یک محصول، فرایندی چندساله است، نه یک به‌روزرسانی یک‌شبه.
چه داده‌هایی در معرض حمله ذخیره کن، بعداً رمزگشایی کن هستند؟
هر داده‌ای که عمر محرمانگی‌اش از افق رسیدن توان رمزگشایی طولانی‌تر باشد، در معرض است. این شامل گفت‌وگوهای خصوصی، فایل‌ها، تصاویر، صداها و پشتیبان‌های گفت‌وگو می‌شود.
جدول زیر یک ارزیابی کیفی است، نه اندازه‌گیری آماری؛ هدفش نشان دادن ترتیب اولویت است:
| سطح ریسک کیفی | نمونهٔ داده | نمایش |
|---|---|---|
| بحرانی | گفت‌وگوی خصوصی با عمر محرمانگی چندساله | ▇▇▇▇▇ |
| بالا | پرونده، تصویر، صدا، پشتیبان گفت‌وگو | ▇▇▇▇ |
| متوسط | فرادادهٔ مسیر: زمان، فرستنده، گیرنده | ▇▇▇ |
| پایین | پیام‌های کوتاه‌عمر مثل کد ورود یک‌بارمصرف | ▇ |
| بی‌ربط | محتوای کانال عمومی که عمداً عمومی است | — |
دو نکته را از هم جدا نگه دارید. اول، رمزنگاری سرتاسری جلوی ضبط ترافیک را نمی‌گیرد؛ آنچه می‌گیرد، خوانا شدن آن ترافیک در آینده است — تفاوت این دو را در توضیح رمزنگاری سرتاسری آورده‌ایم. دوم، حتی وقتی محتوا خوانا نشود، فرادادهٔ مسیر می‌تواند ارزش داشته باشد؛ فراداده در پیام‌رسانی چه چیزی را لو می‌دهد را جداگانه بررسی کرده‌ایم.
رمزنگاری پادکوانتومی چگونه کار می‌کند و ML-KEM-768 چه نقشی دارد؟
رمزنگاری پادکوانتومی شاخه‌ای از رمزنگاری است که الگوریتم‌هایش بر پایهٔ مسائلی ساخته شده‌اند که هم رایانه‌های کلاسیک و هم رایانه‌های کوانتومی در برابرشان ناتوان‌اند. ML-KEM-768 یکی از همین الگوریتم‌هاست: یک سازوکار کپسوله‌سازی کلید (KEM) که برای توافق بر کلید مشترک به کار می‌رود و بر پایهٔ شبکه‌های مشبک ساخته شده است.
ML-KEM در استاندارد NIST FIPS 203 تعریف شده و از خانوادهٔ CRYSTALS-Kyber می‌آید. تفاوت بنیادی‌اش با روش‌های کلاسیک این است که امنیتش به سختی مسائل ریاضی مشبک وابسته است، نه به سختی لگاریتم گسسته یا تجزیهٔ عدد به عوامل اول که الگوریتم شور کوانتومی آن‌ها را هدف می‌گیرد.
چرا رمزنگاری پادکوانتومی باید هیبرید باشد؟
چون در رمزنگاری، «تعویض کامل و یک‌شبه» ریسک خودش را دارد. روش هیبرید یعنی دو لایهٔ مستقل هم‌زمان استفاده شوند: اگر یکی روزی بشکند، دیگری هنوز پابرجاست.
Livara دقیقاً همین کار را می‌کند: برای هر پیام مستقیم، یک رچت ECDH P-256 و یک رچت دوره‌ای ML-KEM-768 هم‌زمان اجرا می‌شوند و کلید نهایی هر پیام از هر دو مشتق می‌شود. ترکیب کلیدها با HKDF-SHA-256 انجام می‌شود و رمزگذاری محتوا با AES-256-GCM است (nonce دوازده‌بایتی و tag شانزده‌بایتی). امضاها با ECDSA P-256 و SHA-256 صادر می‌شوند و ورود به حساب هم با SRP انجام می‌شود؛ یعنی اثبات دانستن گذرواژه بدون آنکه گذرواژه روی شبکه برود.
اگر یکی از دو لایه بشکند چه اتفاقی می‌افتد؟
کلید هر پیام از هر دو لایه مشتق می‌شود، پس شکستن یکی به‌تنهایی برای رمزگشایی کافی نیست. این ساختار علاوه بر مقاومت پادکوانتومی، دو ویژگی دیگر را هم حفظ می‌کند: رازداری رو به جلو و امنیت پس از نفوذ.
محدودیت این ادعا را هم بگوییم: تضمین امنیت یک طرح رمزنگاری به‌شرط درست بودن پیاده‌سازی است، نه صرفاً درست بودن طرح. به همین دلیل Livara بردارهای آزمون قابل ماشین‌بررسی، مشخصات پروتکل و checksum انتشار را کنار هم منتشر می‌کند تا ادعا قابل بازبینی باشد. رمزنگاری پادکوانتومی در پیام‌رسانی این موضوع را با جزئیات بیشتری باز می‌کند.
Livara چگونه پیام‌های امروز را پادکوانتومی محافظت می‌کند؟
Livara Chat یک پیام‌رسان خصوصی برای وب و اندروید است که تمام گفت‌وگوهای خصوصی‌اش را با یک پشتهٔ رمزنگاری سرتاسری هیبرید پادکوانتومی محافظت می‌کند. این محافظت از لحظهٔ ارسال شروع می‌شود، نه از لحظه‌ای که رایانهٔ کوانتومی به واقعیت تبدیل شود.
| لایه | الگوریتم یا پروتکل | چه چیزی را پوشش می‌دهد |
|---|---|---|
| توافق کلید | ECDH P-256 | لایهٔ کلاسیک رچت پیام |
| کپسوله‌سازی پادکوانتومی | ML-KEM-768 (FIPS 203) | لایهٔ پادکوانتومی رچت دوره‌ای |
| استخراج کلید | HKDF-SHA-256 | ترکیب کلید هر دو لایه |
| رمزگذاری محتوا | AES-256-GCM | متن، ویرایش‌ها، فایل‌ها، صدا |
| امضا | ECDSA P-256 با SHA-256 | احراز اصالت کلیدها |
| ورود | SRP | اثبات صفر-دانش گذرواژه |
پیام‌های مستقیم: پروتکل LVR1
LVR1 یک رچت دوگانهٔ هیبرید پادکوانتومی است که دو موتور را کنار هم می‌دواند: رچت ECDH P-256 و رچت دوره‌ای ML-KEM-768. نتیجه، رازداری رو به جلو و امنیت پس از نفوذ است؛ یعنی حتی افشای یک کلید، پیام‌های قبلی و بعدی را بی‌محافظت نمی‌کند.
گروه‌ها، فایل‌ها و تماس‌ها
گروه‌های خصوصی با پروتکل LGS1 کار می‌کنند؛ رمزنگاری سرتاسری مبتنی بر کلید فرستنده که هر کلید فرستنده داخل پاکت‌های دوبه‌دوی LVR1 مهر و موم می‌شود، پس پیام‌های گروهی هم هیبرید پادکوانتومی‌اند. هر پیوست — عکس، ویدیو، فایل، زیرنویس و یادداشت صوتی — یک کلید محتوای تصادفی ۳۲ بایتی تازه می‌گیرد و پیش از بارگذاری رمزگذاری می‌شود؛ خود کلید داخل LVR1 یا LGS1 سفر می‌کند. تماس صوتی و تصویری با WebRTC DTLS-SRTP رمزگذاری می‌شود و علامت‌دهی تماس (LCS1) به‌صورت یک پیام دوبه‌دوی مهر و موم‌شده منتقل می‌شود.
برای اینکه این ادعاها را خودتان بررسی کنید، دو مسیر وجود دارد: آزمایشگاه اثبات برای بازبینی برون‌خطی checksum نسخهٔ اندروید، و مرزهای امنیتی منتشرشده. شماره‌های امنیتی نسخهٔ ۳ هم اجازه می‌دهند دو نفر اثر انگشت کلید را بیرون از برنامه مقایسه کنند و تغییر کلید را بفهمند. اگر این برایتان مهم است، روش تأیید یک گفت‌وگوی رمزنگاری‌شده را ببینید. بازیابی کلید رمزنگاری‌شده (نسخهٔ ۷) هم هویت رمزنگاری شما را زیر یک کلید بازیابی ۲۵۶ بیتی که از عبارت بازیابی مشتق می‌شود مهر می‌کند.
چه چیزی در Livara رمزنگاری سرتاسری نیست؟
کانال‌ها رمزنگاری سرتاسری ندارند، و این یک نقص نیست؛ یک طراحی عامدانه است. کانال یک سطح پخش عمومی است — یک نویسنده که برای مخاطبی بی‌شمار منتشر می‌کند — نه یک گفت‌وگوی خصوصی.
دلیلش هم روشن است: چون کانال عمداً عمومی و رمزگذاری‌نشده است، Livara می‌تواند به گزارش‌ها رسیدگی کند، محتوای متخلف را حذف کند و کانال‌هایی را که برای مواد آزارنده استفاده می‌شوند مسدود کند. هرگز محتوای کانال عمومی را «رمزنگاری سرتاسری» ننامید. گفت‌وگوهای خصوصی — مستقیم و گروهی — کاملاً مهر و موم‌شده‌اند، در حالی که پخش عمومی خوانا است.
دومین موردی که باید صریح گفته شود، فراداده است: فرادادهٔ مسیریابی استاندارد (فرستنده، مقصد، زمان تحویل) برای همگام‌سازی بی‌درنگ میان دستگاه‌ها ذخیره می‌شود. اینکه چه کسی چه چیزی را می‌بیند، در مدل تهدید آمده است. اگر می‌خواهید بدانید Livara کجا ضعیف‌تر عمل می‌کند، مقایسهٔ شفاف هم همین را می‌گوید.
آیندهٔ حریم خصوصی به تصمیم امروز شما بستگی دارد
آیندهٔ حریم خصوصی با الگوریتمی که فردا ساخته می‌شود تعیین نمی‌شود؛ با رمزنگاری‌ای تعیین می‌شود که امروز روی داده‌های شما اعمال می‌شود. مهاجرت پادکوانتومی یک پروژه است، نه یک تصمیم لحظه‌ای، و هر ماه تأخیر یعنی انبوهی از دادهٔ بایگانی‌شده که با رمز ضعیف‌تر محافظت شده است.
برای شروع، این چهار کار عملی است:
- ابزاری انتخاب کنید که رمزنگاری‌اش را می‌توانید بازبینی کنید، نه فقط باور کنید.
- رمزنگاری سرتاسری را شرط پیش‌فرض بدانید، نه یک گزینهٔ پولی.
- بدانید چه چیزی محافظت می‌شود و چه چیزی نه؛ ۱۲ پرسشی که باید از هر پیام‌رسان بپرسید همین را ساده می‌کند.
- فرض کنید امروز ضبط می‌شوید، و بر همان اساس تصمیم بگیرید.
حملهٔ «ذخیره کن، بعداً رمزگشایی کن» با پنهان‌کاری خنثی نمی‌شود؛ با رمزنگاری‌ای خنثی می‌شود که حتی در آیندهٔ کوانتومی هم باز نشود.
منابع
- Palo Alto Networks — Harvest Now, Decrypt Later: Quantum Security Risk
- Akamai — Defend Post-Quantum Cryptography's "Harvest Now, Decrypt Later"
- MDPI — Harvest-Now, Decrypt-Later: A Temporal Cybersecurity Risk
پرسش‌های متداول
حمله «ذخیره کن، بعداً رمزگشایی کن» به زبان ساده چیست؟
مهاجم ترافیک رمزنگاری‌شدهٔ امروز را ضبط و بایگانی می‌کند و منتظر می‌ماند تا توان رمزگشایی در آینده فراهم شود. در این حمله هیچ رمزی در لحظه شکسته نمی‌شود؛ فقط داده ذخیره می‌شود. خطر اصلی برای اطلاعاتی است که سال‌ها محرمانه می‌مانند، مثل گفت‌وگوهای خصوصی و اسناد کاری.
آیا رایانه‌های کوانتومی امروز واقعاً توان شکستن رمزنگاری را دارند؟
رایانه‌های کوانتومی امروزی برای شکستن رمزنگاری کلید عمومی فعلی به‌کار نمی‌آیند. تهدید واقعی، بایگانی داده تا رسیدن آن توان است. هیچ منبع معتبری تاریخ دقیق آن نقطه را نمی‌داند و هر عددی که در این زمینه گفته شود حدس است، نه اندازه‌گیری.
ML-KEM-768 چیست و چرا در رمزنگاری پادکوانتومی مهم است؟
ML-KEM-768 یک سازوکار کپسوله‌سازی کلید است که NIST آن را در استاندارد FIPS 203 تعریف کرده و بر پایهٔ شبکه‌های مشبک ساخته شده است. Livara آن را کنار ECDH P-256 در رچت پیام‌ها به کار می‌برد، بنابراین کلید هر پیام هم از لایهٔ کلاسیک و هم از لایهٔ پادکوانتومی مشتق می‌شود.
رمزنگاری پادکوانتومی چه چیزی را محافظت نمی‌کند؟
محتوا را محافظت می‌کند، اما ضبط ترافیک را متوقف نمی‌کند و فرادادهٔ مسیریابی مثل زمان و فرستنده و گیرنده را پنهان نمی‌کند. در Livara کانال‌های عمومی هم عمداً رمزنگاری سرتاسری ندارند، چون سطح پخش عمومی‌اند و باید قابل بازبینی و حذف باشند.
من به‌عنوان کاربر عادی از کجا شروع کنم؟
از ابزاری شروع کنید که رمزنگاری‌اش قابل بازبینی باشد و برای گفت‌وگوهای خصوصی، رمزنگاری سرتاسری را پیش‌فرض بگیرد. سپس شماره‌های امنیتی طرف مقابل را یک‌بار بیرون از برنامه مقایسه کنید. برای ارزیابی دقیق‌تر، پرسش‌نامهٔ دوازده‌بندی هر پیام‌رسان را مبنا قرار دهید.
فرادادهٔ انتشار
- slug:
harvest-now-decrypt-later-post-quantum-messaging - seo_title: حمله ذخیره کن، بعداً رمزگشایی کن: چرا رمزنگاری پادکوانتومی برای پیام‌های امروز ضروری است؟
- seo_description: حمله ذخیره کن، بعداً رمزگشایی کن پیام‌های امروز شما را هدف می‌گیرد. ببینید رمزنگاری پادکوانتومی با ML-KEM-768 چگونه این تهدید را خنثی می‌کند.
- excerpt: مهاجم پیام‌های رمزنگاری‌شدهٔ امروز را ذخیره می‌کند تا در آیندهٔ رایانه‌های کوانتومی رمزگشایی کند. این مقاله نشان می‌دهد چرا رمزنگاری پادکوانتومی هیبرید مثل ML-KEM-768 همین حالا لازم است، و چه چیزی را محافظت نمی‌کند.
- inline_image.alt: نمودار چهار مرحله‌ای حمله ذخیره کن، بعداً رمزگشایی کن که مسیر ضبط ترافیک رمزنگاری‌شده، بایگانی چندساله، انتظار برای توان کوانتومی و رمزگشایی نهایی محتوا را نشان می‌دهد.
