Apple stellt PQ3 vor – Apple introduces PQ3

In der Vergangenheit haben Messaging-Plattformen klassische Public-Key-Kryptografie wie RSA, Elliptic Curve Signatures und Diffie-Hellman-Schlüsselaustausch verwendet, um sichere, verschlüsselte Ende-zu-Ende-Verbindungen zwischen Geräten herzustellen. All diesen Algorithmen liegen schwierige mathematische Probleme zugrunde, die lange Zeit als zu rechenintensiv galten, um von Computern gelöst werden zu können, selbst unter Berücksichtigung des Mooreschen Gesetzes. Mit dem Aufkommen der Quantencomputer droht sich dies zu ändern. Ein hinreichend leistungsfähiger Quantencomputer könnte diese klassischen mathematischen Probleme auf grundlegend andere Weise lösen und damit theoretisch schnell genug sein, um die Sicherheit verschlüsselter Ende-zu-Ende-Kommunikation zu gefährden.

Quantencomputer mit dieser Fähigkeit existieren zwar noch nicht, aber extrem gut ausgerüstete Angreifer können sich auf ihr mögliches Erscheinen vorbereiten, indem sie die stark gesunkenen Kosten moderner Datenspeicherung ausnutzen. Die Prämisse ist einfach: Solche Angreifer können große Mengen verschlüsselter Daten sammeln und für spätere Zwecke speichern. Selbst wenn sie diese Daten heute nicht entschlüsseln können, können sie sie speichern, bis sie einen Quantencomputer erwerben, der sie in der Zukunft entschlüsseln kann – ein Angriffsszenario, das als „Ernte jetzt, Entschlüsselung später“ bekannt ist.

Um die von zukünftigen Quantencomputern ausgehenden Risiken zu mindern, hat die Kryptographiegemeinschaft an der Post-Quantum-Kryptographie (PQC) gearbeitet: neuen Public-Key-Algorithmen, die die Bausteine für quantensichere Protokolle liefern, zu deren Ausführung aber kein Quantencomputer benötigt wird – d.h. Protokolle, die auf den klassischen Nicht-Quantencomputern, die wir heute alle benutzen, ausgeführt werden können, aber gegen die bekannten Bedrohungen durch zukünftige Quantencomputer sicher sind.

Um Ende-zu-Ende verschlüsselte Nachrichten bestmöglich zu schützen, müssen sich Post-Quantum-Schlüssel kontinuierlich ändern, um eine Obergrenze dafür festzulegen, wie viel von einer Konversation durch eine einzelne, punktuelle Schlüsselkompromittierung preisgegeben werden kann – sowohl jetzt als auch mit zukünftigen Quantencomputern. Messaging-Protokolle sollten sogar noch weiter gehen und die Sicherheitsstufe 3 erreichen, bei der Post-Quantum-Kryptografie sowohl für die anfängliche Schlüsselvergabe als auch für den laufenden Nachrichtenaustausch verwendet wird, mit der Fähigkeit, die kryptografische Sicherheit einer Konversation schnell und automatisch wiederherzustellen, selbst wenn ein bestimmter Schlüssel kompromittiert wurde.

iMessage erreicht dieses Ziel nun mit einem neuen kryptografischen Protokoll namens PQ3, das den stärksten Schutz gegen Quantenangriffe bietet und iMessage zum einzigen weit verbreiteten Messaging-Dienst macht, der die Sicherheitsstufe 3 erreicht. Die Unterstützung für PQ3 beginnt mit den öffentlichen Versionen von iOS 17.4, iPadOS 17.4, macOS 14.4 und watchOS 10.4 und ist bereits in der Developer Preview und im Beta-Stadium verfügbar. iMessage-Unterhaltungen zwischen Geräten, die PQ3 unterstützen, werden automatisch auf das Post-Quantum-Verschlüsselungsprotokoll umgestellt. PQ3 wird im Laufe des Jahres das bestehende Protokoll in allen unterstützten Unterhaltungen vollständig ersetzen.

Historically, messaging platforms have used classical public key cryptography such as RSA, Elliptic Curve Signatures, and Diffie-Hellman key exchange to establish secure end-to-end encrypted connections between devices. All of these algorithms are based on difficult mathematical problems that have long been considered too computationally intensive for computers to solve, even taking into account Moore’s Law. But the advent of quantum computing threatens to change the equation. A sufficiently powerful quantum computer could solve these classical mathematical problems in a fundamentally different way, and therefore theoretically fast enough to threaten the security of end-to-end encrypted communications.

Although quantum computers with this capability don’t yet exist, extremely well-resourced attackers can prepare for their eventual arrival by taking advantage of the steep decline in modern data storage costs. The premise is simple: such attackers can collect large amounts of today’s encrypted data and store it all for future reference. Even if they can’t decrypt any of that data today, they can store it until they acquire a quantum computer that can decrypt it in the future, an attack scenario known as harvest now, decrypt later.

To mitigate the risks posed by future quantum computers, the cryptography community has been working on post-quantum cryptography (PQC): new public-key algorithms that provide the building blocks for quantum-secure protocols but don’t require a quantum computer to run them – that is, protocols that can run on the classical, non-quantum computers we all use today, but will remain secure against known threats posed by future quantum computers.

To best protect end-to-end encrypted messaging, post-quantum keys need to change continuously to put an upper bound on how much of a conversation can be exposed by a single, point-in-time key compromise – both now and with future quantum computers. Messaging protocols should go even further and achieve Level 3 security, where post-quantum cryptography is used to secure both the initial key establishment and the ongoing message exchange, with the ability to quickly and automatically restore the cryptographic security of a conversation even if a particular key is compromised.

iMessage now achieves this goal with a new cryptographic protocol called PQ3, which provides the strongest protection against quantum attacks and makes it the only widely available messaging service to achieve Level 3 security. Support for PQ3 will begin with the public releases of iOS 17.4, iPadOS 17.4, macOS 14.4, and watchOS 10.4, and is already available in developer preview and beta. iMessage conversations between devices that support PQ3 will automatically be upgraded to the post-quantum encryption protocol. PQ3 will fully replace the existing protocol in all supported conversations later this year.