Các tuyên bố về VPN hậu lượng tử: hoạt động nào thực sự đã thay đổi?

VPN hậu lượng tử là một cụm từ chưa trọn vẹn cho đến khi ai đó nói hoạt động nào đã thay đổi. Khóa phiên đến từ một hoạt động, xác thực đối tác từ một hoạt động khác, và việc bảo vệ lưu lượng từ hoạt động thứ ba. Một sản phẩm có thể thay đổi một trong ba thứ đó trong khi tiếp thị của nó ngụ ý rằng cả ba đã thay đổi. Vì vậy, tách ba thứ này ra là việc đầu tiên khi có một tuyên bố xuất hiện, và cũng là việc cuối cùng mà người ta làm.

Khóa phiên, danh tính đối tác, bảo vệ lưu lượng: chọn một

Cụm từ này gọi tên một thuộc tính mà không thành phần đơn lẻ nào tự có. Khóa phiên sinh ra từ một bước thiết lập khóa, danh tính đối tác từ một chữ ký hoặc chuỗi chứng chỉ, và việc bảo vệ lưu lượng từ các mật mã đối xứng mà hai đầu đều dẫn xuất khi bước đầu tiên kết thúc. Nhà cung cấp có thể nâng cấp một trong số đó và mô tả kết quả là VPN hậu lượng tử mà không nói điều gì sai. Người đọc phải tự tìm ra tuyên bố nào đã được đưa ra.

Việc thiết lập khóa tạo ra vật liệu bí mật chia sẻ cho một phiên, và đây chính là thứ mà một máy tính lượng tử trong tương lai tấn công trực tiếp nhất, nên nó nhận được sự chú ý. Xác thực là công việc khác, và dù trao đổi khóa hậu lượng tử nhiều đến đâu cũng không làm một chữ ký trở thành hậu lượng tử. Hai việc được nâng cấp độc lập, và hầu hết các triển khai sẽ làm đúng như vậy, từng cái một.

Hai tiêu chuẩn quy định điều gì và không quy định điều gì

Các tiêu chuẩn ấn định thuật ngữ, và cũng ấn định một cái tên chứng minh được ít đến mức nào. ML-KEM, được tiêu chuẩn hóa là FIPS 203, là một cơ chế đóng gói khóa: hai bên dẫn xuất một bí mật chung qua kênh công khai khi họ chưa có. ML-DSA, được tiêu chuẩn hóa là FIPS 204, là một lược đồ chữ ký, trả lời câu hỏi về danh tính chứ không trả lời câu hỏi về thiết lập khóa.

Không tài liệu nào nêu tên một giao thức VPN, một bản triển khai hay một vị trí trong bắt tay, nên một tuyên bố về thiết lập khóa hậu lượng tử không tự động là tuyên bố về chữ ký hậu lượng tử. Vị trí của một nguyên thủy trong bắt tay thuộc về người viết giao thức, và chi tiết hữu ích nằm ở đó. Hãy hỏi thuật toán, bộ tham số, điểm trong bắt tay nơi nó tham gia, và các phiên bản máy khách và máy chủ hỗ trợ cách bố trí đó. Bốn câu trả lời đủ để thử một tuyên bố, và phần lớn tuyên bố không vượt qua câu thứ hai.

Lai là một thiết kế, nên hãy hỏi thiết kế

Lai kết hợp một trao đổi cổ điển với một trao đổi hậu lượng tử để phiên tồn tại nếu một trong hai tỏ ra yếu. Đó là một lựa chọn kỹ thuật vững chắc và một thiết kế cụ thể, không phải một phạm trù. Hai thiết kế lai có thể kết hợp các nguyên thủy khác nhau, các bộ tham số khác nhau và các thứ tự dẫn xuất khóa khác nhau, và chỉ riêng nhãn không phân biệt được cái nào.

Yêu cầu đặc tả hoặc ít nhất là tổ hợp được nêu tên, rồi xác nhận rằng cả hai đối tác đàm phán về nó, vì một máy khách lặng lẽ quay về nửa cổ điển sẽ kết thúc với thuộc tính yếu hơn tài liệu của nó gợi ý. Đường quay lui thường là phần thú vị của một thiết kế, và hiếm khi là phần được mô tả đầu tiên.

Bằng chứng mà một triển khai thực sự có thể đưa ra

Một giải thích hữu ích nêu tên ba thứ cụ thể: bản triển khai, quy trình cập nhật phía sau nó, và bằng chứng rằng chế độ dự định đang hoạt động trong triển khai của bạn. Người đánh giá có thể kiểm tra ba thứ đó, và chính điều đó tách chúng khỏi phần còn lại của cuộc trò chuyện. Chỉ bắt gói tin là không đủ, vì nó có thể cho thấy nhóm nào đã được đàm phán trong khi bản triển khai vẫn chưa được chứng minh và tính toàn vẹn của mỗi đầu chưa được xem xét. Hãy đọc ghi chú hiện hành của tiêu chuẩn và thông báo của bản triển khai, vì các trang công bố có đính chính và việc nêu tên một thuật toán được tiêu chuẩn hóa không giống với việc duy trì mã phía sau nó.

Hãy quyết định dựa trên dữ liệu bạn bảo vệ và thời gian nó cần được bảo vệ. Khuôn khổ đó vượt qua cả việc bác bỏ hàng loạt mọi thứ mới và việc tin tưởng hàng loạt mọi thứ có nhãn. Nó cũng tạo ra câu mà phần lớn các câu hỏi mua sắm thực sự yêu cầu, câu nêu tên hoạt động đã thay đổi và bằng chứng cho điều đó.

Những phần mà một tuyên bố về bắt tay không bao giờ bao phủ

Không điều nào ở trên đề cập đến danh tính đối tác, vì một cuộc bắt tay hậu lượng tử với một chứng chỉ được xác minh kém vẫn là cuộc bắt tay với một đối tác chưa được xác minh. Toán học của trao đổi không sửa chữa chính sách xung quanh nó, và không bộ tham số nào bù đắp cho một kiểm tra đã bị tắt. An ninh tài khoản, định tuyến, xâm phạm điểm cuối và thực tiễn dữ liệu của nhà vận hành cũng nằm ngoài tuyên bố. Một đường hầm chống lại máy tính tương lai vẫn có thể do người ghi lại mọi kết nối vận hành, và với hầu hết người dùng khoảng trống đó quan trọng hơn thuật toán.

Giữ tuyên bố hẹp khi bạn nhắc lại nó. Phiên bản trung thực nêu tên hoạt động, trích dẫn tiêu chuẩn, mô tả bằng chứng và dừng ở đó. Bất cứ điều gì vượt quá điểm đó là một lời hứa khác, và nó cần bằng chứng của chính nó.