Názory k článku
NIST dokončil trojici standardů postkvantového šifrování

Je vlastně šifra AES kvantově bezpečná?

Před dvěma lety proběhla velká analýza kvantové bezpečnosti pro AES a bylo konstatováno, že AES-256 je kvantově bezpečná. Varianty s kratšími klíči bezpečné nejsou.

AES128-GCM prolomené ještě dlouho nebude 2.61×10^12, AES256-GCM 2.29×10^32, odhad NIST Grovera, pokud budou hradla pracovat na frekvenci min. 5 MHz, RSA2048 by vydrželo maximálně pár desítek hodin. Metoda „Square“ mi přijde zajímavější, už jen proto, že struktury nejsou skryté. Biclique MITM.

https://media.defense.gov/2021/Aug/04/2002821837/-1/-1/1/Quantum_FAQs_20210804.PDF
https://www.technologyreview.com/2020/08/03/1005891/search-for-quantum-proof-encryption-computing-nist/
https://eprint.iacr.org/2015/144.pdf
https://www.whitehouse.gov/briefing-room/statements-releases/2022/05/04/national-security-memorandum-on-promoting-united-states-leadership-in-quantum-computing-while-mitigating-risks-to-vulnerable-cryptographic-systems/

Mělo by to platit obecně pro symetrické substitučně-permutační šifry. Pro zachování "stejné kryptografické odolnosti" se doporučuje obecně u tohoto typu šifer zdvojnásobit délku klíče.

Ale není třeba se bát ani AES-128 - jako standard to bylo navrženo "s rezervou" - náročnost brute-force útoku klesne ani ne úroveň DES.

Podle mě pořád celkem slušné, ale to záleží na úhlu pohledu.

Přiznám se, že jsem nikdy kryptografii nestudoval ani z rychlíku. Ale to umělé omezení délky klíče mi vždy přišlo vysoce podezřelé: tajná služba si určí, jak moc (málo) zabezpečení může veřejnost používat a tečka.

Já chápu, že ty algoritmy musejí vnitřně počítat s nějakým rozumným nastavení parametrů funkcí, aby například někde nepřetekla paměť, nebo aby se číslo vždy vešlo do integeru. Nebo aby výpočet netrval 5 hodin. Nebo aby šlo rozumně udělat hardwarová optimalizace rovnou na procesoru.

Ale i nyní z rychlíku je vidět, že stávající algoritmus je navržen tak, aby šla délka klíče "měnit" téměř na počkání:
128 bitů, 192 bitů, 256 bitů.

Proč to omezení? Proč rovnou nenavrhli verze od 128 bitů po co já vím... 128 kilo bitů? A pak prostě a jednoduše by jednou za čas zvedly minimální počet bitů klíče, který se ještě považuje za "bezpečný"? A všechny moderní aplikace by prostě dostali update a v případech, že uživatel používá offline zařízení bez podpory by software použil "již nebezpečnou slabou verzi" podobně jako nyní HTTP(s) protokol, kde server a klient se snaží najít nejmodernější verzi protokolu, které obě stravy umí.

Protoze ono se od sifrovani kupodivu chce, aby se taky dalo pouzivat.

A kdyz neco sifrujes, logicky za to platis, a platis za to vykonem. Zkus si neco sifrovat klidne pomoci 3des na i386 ... chmm? Mno a na soucasnym HW mas proste nejaky vykon, nejake velikosti registru ...a do toho se musis vejit.

Neni problem navrhnout sifru s GB klicem, ale pak budes mail sifrovat mesic.

Pokud hodlas argumentovat "do budoucna", tak se opet podivej do minulosti. Algoritmus jako takovy bude prolomeny mnohem driv, nez se klic stane prilis slabym.

Ano, souflasím, je to zvláštní. Třeba AES je implementačně v HW celkem malý, tranzistory jsou levné....
Např. v AES pokud vím složitost s délkou klíče roste logaritnicky, za mě není moc důcod používat menší, než třeba 1024...
AES-128 se standardizoval ještě s tím, aby to mohli počítat levné 8-bit procesory...

> Přiznám se, že jsem nikdy kryptografii nestudoval ani z rychlíku.

Pak nechápu Vaši potřebu se ke kryptografii vyjadřovat místo toho, abyste se dovzdělal sám, a chcete po ostatních, aby Vám to vysvětlili.

Kromě toho, co řekl jiný kolega o použitelnosti, tak u každé délky klíče je nutné také provést analýzu toho, jestli má algoritmus stále požadované vlastnosti (bezpečnosti). U některých algoritmů je možné klíč dál “nafukovat”, u některých to není tak jednoduché.