Harvest Now, Forge Later: amenințarea cuantică pentru SSO-ul tău

TL;DR

• „Harvest now, decrypt later” este un risc de confidențialitate: adversarii înregistrează astăzi trafic criptat și îl decriptează odată ce apare un computer cuantic relevant criptografic (CRQC).
• Pentru single sign-on (SSO), riscul mai acut este forge later: semnăturile nu pot fi „recoltate”, însă o cheie de semnare falsificată cuantic permite unui atacator să emită tokenuri de încredere pentru fiecare relying party din aval.
• O rădăcină de încredere IdP falsificată este mai gravă decât o sesiune decriptată, fiindcă reprezintă o compromitere la nivel de federație, nu o scurgere a unei singure sesiuni.
• Poți acționa chiar de astăzi cu semnături hibride (compozite) — teorema lui Mosca spune să începi acum, pentru că timpul de migrare plus durata de viață utilă a datelor pot depăși deja timpul până la un CRQC.

Ce înseamnă „harvest now, decrypt later” — și de ce subestimează riscul pentru SSO?

Harvest now, decrypt later (numit și store now, decrypt later) este o strategie de atac prin care un adversar captează astăzi date criptate și le stochează până când un viitor computer cuantic poate sparge schimbul de chei care le-a protejat. Ținta este confidențialitatea. Pentru SSO, riscul cuantic dominant este altul: nu decriptarea traficului stocat, ci falsificarea semnăturilor care țin laolaltă întreaga federație de identitate.

Această distincție contează pentru că furnizorii de identitate (IdP) sunt construiți pe semnături, nu doar pe criptare. Fiecare ID token, fiecare access token și fiecare intrare JSON Web Key Set (JWKS) există pentru ca un relying party (RP) să poată verifica faptul că o credențială provine cu adevărat de la IdP. Spargi matematica verificării și nu mai ai nevoie să recoltezi nimic — pur și simplu falsifici tokenuri noi, perfect valide. Aceasta este amenințarea „forge later” și este partea din discuția despre cuantic pe care echipele de autentificare o omit cel mai des.

CAI Technology nu este o autoritate guvernamentală. Construim infrastructură de identitate, iar modelul de amenințare de mai jos este cel împotriva căruia proiectăm.

Cum se schimbă amenințarea cuantică atunci când activul este o semnătură, nu un secret?

Cadrul „harvest now, decrypt later” vine din lumea criptării, unde pierderea este limitată: un atacator care decriptează o sesiune din 2026 află conținutul acelei sesiuni. Daunele sunt reale, dar locale în timp.

Semnăturile inversează calculul. O cheie de semnare este o rădăcină de încredere: nu protejează un singur mesaj, ci girează un număr nelimitat de mesaje viitoare și trecute. Dacă un adversar recuperează cheia privată de semnare a unui IdP — folosind algoritmul lui Shor împotriva cheilor RSA sau cu curbe eliptice, odată ce există un CRQC — poate falsifica:

• ID/access tokenuri noi pe care fiecare RP federat le va accepta ca autentice;
• aserțiuni pentru utilizatori și scope-uri care nu au existat niciodată;
• artefacte antedatate, fiindcă nimic dintr-o semnătură nu dezvăluie când a calculat-o atacatorul.

Nu este nimic de „recoltat” în prealabil. Cheia publică este deja publică (este publicată în JWKS). Atacatorul așteaptă capacitatea cuantică, derivă cheia privată din cheia publică și începe să falsifice. Atacurile asupra confidențialității se degradează treptat; falsificarea unei rădăcini de încredere, nu.

Cum se citește diagrama: Calea de sus este atacul clasic harvest-now-decrypt-later — atacatorul înregistrează trafic, așteaptă un computer cuantic și recuperează conținutul unei singure sesiuni. Calea de jos este atacul forge-later asupra unui IdP. Nu există un pas de recoltare, fiindcă jumătatea publică a cheii de semnare este deja publicată în JWKS; atacatorul are nevoie doar de viitoarea capacitate cuantică pentru a recupera jumătatea privată, după care fiecare relying party acceptă tokenurile falsificate ca fiind autentice. Contrastul arată de ce dauna asupra confidențialității este limitată la o singură sesiune, în timp ce o rădăcină de încredere falsificată se propagă în întreaga federație. Pentru un IdP, apărarea cheii de semnare este, prin urmare, sarcina cuantică cu prioritate mai mare. Vezi ghidul nostru de autentificare post-cuantică pentru imaginea de ansamblu a categoriei.

Ce falsifică un atacator mai întâi?

Un adversar rațional atacă cheia cu cea mai mare rază de impact și cea mai lungă durată de viață. Într-o implementare SSO, această ordine este destul de previzibilă:

1. Cheia de semnare a tokenurilor IdP. O singură cheie falsificată produce tokenuri valide nelimitate pentru fiecare aplicație conectată. Este bijuteria coroanei.
2. Cheile de federație / trust-anchor. Cheile de semnare a metadatelor de federație SAML sau OIDC permit unui atacator să se dea drept o întreagă parte de încredere, nu doar un utilizator.
3. Cheile de semnare a codului și a actualizărilor. Falsifică-le și livrezi software malițios pe care clienții îl instalează ca „de încredere” — o compromitere a lanțului de aprovizionare.
4. Cheile CA și intermediare cu durată lungă de viață. Orice la care alte sisteme se ancorează (pin) sau din care își derivă lanțul.

Numitorul comun este durata de viață. O cheie de sesiune trăiește minute; o cheie de semnare IdP sau o cheie de semnare a codului trăiește ani și este de încredere pentru mii de verificatori din aval. Cheile de semnare cu durată lungă de viață și încredere largă sunt exact activele pe care „forge later” le pune în pericol.

Cum se citește diagrama: Această diagramă urmărește raza de impact odată ce o singură cheie de semnare a federației este falsificată. Pentru că IdP este rădăcina de încredere, o cheie compromisă permite atacatorului să emită tokenuri acceptate de fiecare relying party — HR, finanțe, console cloud și control de versiuni deopotrivă. Ramurile din dreapta arată cum se ramifică totul în escaladare de privilegii, fraudă financiară și chiar manipulare CI/CD, totul fără a face phishing pentru vreo parolă de utilizator. Nodul de jos transmite ideea centrală: nu este vorba despre „un cont a fost spart”, ci despre faptul că rădăcina de încredere a federației a fost spartă, ceea ce este categoric mai greu de detectat și de contracarat. Tocmai de aceea protecția post-cuantică ar trebui să înceapă la cheia de semnare, folosind abordări precum semnături compozite ML-DSA + Ed25519 și verificate pe dispozitive atestate hardware.

Când este „later”? Citirea onestă a calendarelor

Nimeni nu poate numi anul exact în care apare un CRQC, dar întrebarea de planificare nu este „când apare” — ci „când trebuie să fiu pregătit.” Aceasta este valoarea teoremei lui Michele Mosca, scrisă adesea ca inegalitatea X + Y > Z:

• X = cât timp trebuie să rămână securizate datele (sau încrederea) tale;
• Y = cât durează migrarea ta la criptografie post-cuantică;
• Z = cât mai durează până când există un CRQC.

Dacă X + Y > Z, ești deja prea târziu dacă începi atunci când apare computerul cuantic. Pentru o cheie de semnare IdP, X este practic întreaga durată de viață a serviciului, iar Y — migrarea cheilor de semnare, a JWKS, a bibliotecilor RP și a SDK-urilor — se măsoară în ani. Analiza lui Mosca este rezumată în lucrarea sa „A cybersecurity threat for the quantum world” și în lucrările IACR conexe.

Calendarele autoritative întăresc urgența, în loc să o relaxeze. Suita CNSA 2.0 a NSA din SUA direcționează semnarea de software și firmware să treacă prima la algoritmi post-cuantici — tocmai pentru că semnarea este activul cu durată lungă de viață și cel mai greu de rotit — cu o adopție largă vizată cu mult înainte de 2035. NIST a finalizat în 2024 primele sale standarde post-cuantice (inclusiv FIPS 204 / ML-DSA) prin proiectul Post-Quantum Cryptography, eliminând scuza „încă nu există un standard”. Iar implementarea la nivel de transport este deja o realitate: activitatea post-cuantică a Cloudflare raportează că o pondere mare și în creștere a traficului TLS folosește deja schimb hibrid de chei post-cuantice. Criptarea migrează; semnăturile, partea de care depinde SSO, sunt frontul următor.

Ce poți face astăzi?

Răspunsul practic îl reprezintă semnăturile hibride (compozite): împerechezi o semnătură clasică (precum Ed25519) cu una post-cuantică (precum ML-DSA-87), astfel încât un token să fie valid doar dacă ambele părți se verifică. Rămâi securizat atât timp cât oricare dintre primitive rezistă pe parcursul tranziției — matematica clasică te protejează împotriva slăbiciunilor din ipotezele tinere pe rețele (lattice), iar jumătatea post-cuantică te protejează împotriva unui viitor CRQC. CAI-AUTH emite tokenuri OIDC semnate cu o semnătură compozită ML-DSA-87 + Ed25519 (id de algoritm CAI-PQ-HYBRID-87-Ed25519, conform draft-ietf-lamps-pq-composite-sigs).

Concret, începe de aici:

• Inventariază-ți cheile de semnare — IdP, federație, semnare de cod — și clasifică-le după durata de viață și raza de impact.
• Prioritizează rădăcina de încredere. Cheia de semnare a tokenurilor IdP este cheia cu cel mai mare efect de pârghie de făcut post-cuantică prima.
• Alege Categoria 5 pentru cheile rădăcină. ML-DSA-87 este cel mai puternic set de parametri ML-DSA; detalii în referința noastră pentru ingineri despre NIST FIPS 204 / ML-DSA.
• Leagă verificarea de endpoint-uri de încredere. Împerechează semnarea post-cuantică cu atestarea hardware, astfel încât aprobările să provină de la elemente securizate autentice, nu de la dispozitive rootate sau emulate.
• Planifică migrarea ca un program, nu ca un petic. Pentru că Y este mare, calendarul începe acum.

Nu ai nevoie de un computer cuantic în cameră ca să justifici asta. Ai nevoie să accepți că o rădăcină de încredere falsificată este o zi mai rea decât o sesiune decriptată — și că ceasul migrării deja merge.

FAQ

Ce înseamnă „harvest now, decrypt later”?

Harvest now, decrypt later este un atac în care un adversar înregistrează astăzi date criptate și le stochează până când un viitor computer cuantic poate sparge schimbul de chei și le poate decripta. Vizează confidențialitatea secretelor cu durată lungă de viață, motiv pentru care schimbul de chei post-cuantic este implementat chiar înainte ca computerele cuantice să existe.

Amenințarea cuantică afectează semnăturile digitale, nu doar criptarea?

Da, iar pentru SSO este preocuparea mai serioasă. Un computer cuantic care rulează algoritmul lui Shor ar putea recupera cheia privată de semnare a unui IdP din cheia sa publică, permițând unui atacator să falsifice tokenuri în care are încredere fiecare relying party. Spre deosebire de decriptare, aceasta este o compromitere a rădăcinii de încredere la nivel de federație — numită adesea riscul „forge later”.

Cât de curând este amenințarea cuantică pentru autentificare?

Tratează-o ca pe un program care începe acum. Teorema lui Mosca (X + Y > Z) arată că, dacă durata de viață utilă a datelor plus timpul de migrare depășesc timpul până la cuantic, ești deja în întârziere. CNSA 2.0 a NSA prioritizează semnarea post-cuantică cu mult înainte de 2035, iar NIST a standardizat ML-DSA (FIPS 204) în 2024 — deci uneltele există deja astăzi.

Ce pot face astăzi pentru a-mi proteja cheile de semnare SSO?

Adoptă semnături hibride (compozite) care combină un algoritm clasic precum Ed25519 cu unul post-cuantic precum ML-DSA-87, astfel încât tokenurile să se verifice doar dacă ambele părți rezistă. Începe cu cheile cu cea mai mare rază de impact — cheia de semnare a tokenurilor IdP și trust-anchor-ele de federație — și împerechează semnarea cu verificarea atestată hardware.

Vezi în acțiune: inspectează un document de discovery OIDC post-cuantic funcțional și JWKS la auth.caitech.ro și citește despre designul nostru patent-pending la auth.caitech.ro/patents.