On the Practical Feasibility of Harvest-Now, Decrypt-Later Attacks

Resumen Técnico: Viabilidad Económica y Defensiva de los Ataques HN-DL

1. El Problema: Amenaza HN-DL y la Brecha Económica

El ataque Harvest-Now, Decrypt-Later (HN-DL) (Cosechar Ahora, Descifrar Después) representa una amenaza crítica para las comunicaciones cifradas actuales. En este escenario, un adversario (generalmente un actor estatal) archiva tráfico cifrado masivo hoy, esperando descifrarlo en el futuro cuando la computación cuántica (CRQC) sea capaz de romper los mecanismos de intercambio de claves actuales (como RSA o ECC mediante el algoritmo de Shor).

El artículo identifica una brecha en la literatura existente: mientras que la criptografía post-cuántica (PQC) se centra en la migración futura, pocos estudios cuantifican la viabilidad económica de retener estos archivos hoy. La pregunta clave no es si un adversario puede archivar, sino cuánto le costará hacerlo y descifrarlo, y qué estrategias defensivas pueden inflar esos costos.

2. Metodología y Marco de Trabajo

Los autores abordan el problema desde una perspectiva económica y técnica, utilizando un enfoque experimental y de modelado:

• Replanteamiento Económico: El HN-DL se modela como un problema de costos en dos ejes:
  1. Costo de Almacenamiento ($S$): El costo de retener el tráfico interceptado hasta el "Día Q" (cuando llegue la computación cuántica).
  2. Costo Computacional Cuántico ($E \times T_q$): El esfuerzo necesario para descifrar cada sesión una vez disponible la tecnología cuántica.
• Entorno de Pruebas (Testbed): Se desarrolló una tubería de simulación de código abierto que reproduce el ataque completo contra TLS 1.2, TLS 1.3, QUIC y SSH.
  • Se utilizan versiones parcheadas de OpenSSL y OpenSSH para generar tráfico.
  • Se simula la recuperación de claves privadas cuánticas (solucionando el problema del logaritmo discreto) para derivar las claves de sesión y descifrar el tráfico.
  • Se valida la reconstrucción comparando los resultados con claves reales (ground truth).
• Modelo de Costos: Se utiliza una simulación de Monte Carlo para proyectar costos de almacenamiento a escala global (considerando el tráfico de internet de ~8.8 ZB/año), variando parámetros como el tamaño de la carga útil, el precio del almacenamiento en la nube y el crecimiento del tráfico.

3. Contribuciones Principales

El artículo ofrece tres avances significativos:

1. Validación Experimental: Demuestra end-to-end que la recuperación de claves en TLS 1.2 (RSA), TLS 1.3, QUIC y SSH es determinista una vez que se resuelve el intercambio de claves efímero.
2. Modelo de Costos de Almacenamiento: Cuantifica que el almacenamiento de tráfico interceptado es económicamente trivial para actores estatales, incluso con grandes volúmenes de datos.
3. Estrategias de Defensa en Profundidad: Evalúa configuraciones de protocolos existentes que no requieren migración a PQC inmediata pero que inflan los costos del adversario, actuando como una segunda línea de defensa.

4. Resultados Clave

A. Viabilidad Económica del Almacenamiento

• Costo Irrelevante: El estudio concluye que, una vez que un adversario tiene capacidad de interceptación, el costo de almacenar el tráfico es insignificante.
  • Una cosecha selectiva del 1% del tráfico global costaría aproximadamente $1.1 mil millones de dólares anuales (usando precios de almacenamiento en la nube como límite superior conservador).
  • Para actores estatales que utilizan cintas magnéticas (LTO) con costos de capital (CapEx) de ~$5.25/TB y bajo consumo energético, el costo real es aún menor.
• Conclusión: La barrera económica para el almacenamiento no es un obstáculo viable para la defensa; el "problema de retención" está resuelto para el adversario.

B. Análisis de Protocolos y Vulnerabilidades

• TLS 1.2 (RSA): Vulnerable total. La clave privada a largo plazo desbloquea todas las sesiones pasadas.
• TLS 1.3, QUIC y SSH: Ofrecen secrecia hacia adelante (Forward Secrecy) clásica, lo que significa que un solo compromiso de clave no desbloquea todo el tráfico. Sin embargo, son vulnerables a HN-DL porque un ordenador cuántico debe resolver el logaritmo discreto por sesión.
• Cascadas de Vulnerabilidad:
  • En TLS 1.3, la recuperación de la clave efímera inicial ($Z$) expone no solo esa sesión, sino también todas las sesiones posteriores derivadas de 0-RTT y resumenes PSK (Pure PSK), ya que dependen de la misma cadena de claves.
  • SSH es superior en este aspecto: soporta rekeying (renegociación de claves) en el flujo de datos, creando límites de secreto independientes.

C. Efectividad de las Estrategias Defensivas
El papel evalúa cómo inflar los costos del adversario:

1. Inflación de Almacenamiento (Eje $\alpha$):
   • Técnicas como Encrypted Client Hello (ECH) ocultan el SNI, forzando al adversario a archivar todo el tráfico de un CDN en lugar de seleccionar objetivos específicos, aumentando el volumen a archivar.
   • El relleno de registros (padding) infla el volumen de datos, pero es ineficiente porque penaliza al defensor (ancho de banda) tanto como al atacante.
2. Inflación del Costo Cuántico (Eje $E \times T_q$):
   • Esta es la defensa más efectiva. Cada intercambio de claves independiente obliga al adversario a ejecutar el algoritmo de Shor nuevamente.
   • SSH: Su mecanismo de RekeyLimit permite rekeying frecuente (cada 64 KB, por ejemplo), multiplicando el trabajo cuántico necesario ($E$) con un sobrecoste de ancho de banda mínimo (~2-3 KB).
   • TLS 1.3/QUIC: Carecen de un mecanismo de rekeying en el flujo de datos (el KeyUpdate es determinista y no introduce nueva aleatoriedad). Por lo tanto, romper la clave inicial rompe toda la sesión ($E=1$). La única opción actual es forzar nuevos handshakes (nuevas conexiones), lo cual tiene un alto costo de latencia.

5. Significado y Conclusiones

• La Migración a PQC es Urgente pero Insuficiente por Sí Sola: Aunque la migración a criptografía post-cuántica es necesaria, el archivo de tráfico cifrado actual (pre-PQC) seguirá siendo vulnerable durante décadas.
• Defensa en Profundidad: Mientras se completa la migración, los administradores deben adoptar estrategias que aumenten el costo computacional del adversario:
  • Deshabilitar modos sin secreto hacia adelante (TLS 1.2 RSA, 0-RTT en TLS 1.3).
  • Implementar rekeying agresivo donde sea posible (especialmente en SSH).
  • Utilizar ECH para degradar la capacidad de selección de objetivos del adversario.
• Brecha de Protocolos: Existe una asimetría crítica: SSH ya ofrece rekeying en el flujo de datos, mientras que TLS 1.3 y QUIC (que dominan el tráfico de internet) no lo tienen implementado. Los borradores de "Extended Key Update" son necesarios para cerrar esta brecha.
• Veredicto Final: El ataque HN-DL es económicamente factible para actores estatales. La defensa no puede depender solo de que el almacenamiento sea demasiado caro; debe centrarse en hacer que el descifrado cuántico sea computacionalmente prohibitivo mediante la multiplicación de instancias de claves independientes (rekeying) y la selección de parámetros de claves más grandes.

En resumen, el artículo demuestra que el almacenamiento de datos es un problema resuelto para el atacante, y la única defensa viable a corto plazo es aumentar la complejidad computacional del descifrado mediante configuraciones de protocolo inteligentes y una migración acelerada a PQC.