💻 computer science

Onion-Routed Multi-Circuit Key Establishment for Quantum-Resilient Sessions

Questo documento propone e implementa uno schema di stabilizzazione di chiavi di sessione resiliente ai computer quantistici che distribuisce frammenti di chiave crittografati su più circuiti Tor indipendenti per mitigare le minacce di raccolta immediata e decrittazione futura, raggiungendo una latenza media di 13–20 secondi, accettando un compromesso tra reattività e maggiore privacy.

Autori originali: Tushin Mallick, Ashish Kundu, Ramana Kompella

Pubblicato 2026-05-21

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Tushin Mallick, Ashish Kundu, Ramana Kompella

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Il Grande Problema: La Trappola "Raccogli Ora, Decifra Dopo"

Immagina di inviare una lettera segreta oggi utilizzando un lucchetto che attualmente è infrangibile. Tuttavia, gli scienziati prevedono che tra 10 o 20 anni verrà inventato un "Computer Quantistico" super-potente in grado di scardinare quel lucchetto istantaneamente.

Il pericolo non è solo che il lucchetto potrebbe rompersi in futuro; è che una spia potrebbe rubare la tua lettera chiusa oggi, conservarla in una cassaforte e attendere che quel super-computer arrivi per aprirla. Questo è chiamato "Raccogli Ora, Decifra Dopo". Anche se il tuo segreto deve rimanere al sicuro solo per pochi anni, la minaccia è reale proprio ora perché la spia non ha bisogno di rompere il lucchetto oggi; le basta conservare la lettera.

La Soluzione: L'"Enigma a Strati"

Gli autori propongono un nuovo modo per condividere una chiave segreta (la combinazione del tuo lucchetto) che rende incredibilmente difficile per una spia sapere quali pezzi appartengono a quale conversazione, anche se ruba tutti i pezzi.

Pensala così:

La Chiave Segreta: Immagina di avere una chiave d'oro che devi inviare a un amico.
I Pezzi dell'Enigma: Invece di inviare l'intera chiave in una sola busta, la tagli in 10 minuscoli pezzi di puzzle inutili. Metti ogni pezzo nella sua busta separata.
La Rete a Strati (Tor): Non invii queste buste attraverso la posta ordinaria (internet normale), dove una spia potrebbe facilmente tracciare il mittente e il destinatario. Invece, le invii attraverso un sistema "Posta Fantasma" (Tor).
- In questo sistema, la posta passa attraverso una serie di uffici postali casuali (nodi di relay). Ogni ufficio postale rimuove uno strato dell'indirizzo, ma nessun singolo ufficio postale conosce sia chi l'ha inviata sia a chi è destinata.
Il Trucco Magico (Nuovi Circuiti): Questa è la parte più importante. Per ogni singolo pezzo dell'enigma, crei un nuovo percorso "Posta Fantasma" unico e specifico. Non riutilizzi lo stesso percorso.
- Il Pezzo 1 va sul Percorso A.
- Il Pezzo 2 va sul Percorso B.
- Il Pezzo 3 va sul Percorso C.
- ...e così via.

Perché Questo Ferma la Spia

La spia sta osservando la rete "Posta Fantasma". Può vedere pezzi di posta che entrano ed escono.

Se avessi inviato tutti e 10 i pezzi sullo stesso percorso, la spia potrebbe facilmente abbinare i 10 pezzi e dire: "Aha! Questi 10 pezzi appartengono ad Alice e Bob!"
Ma poiché li hai inviati su 10 percorsi completamente diversi e casuali, la spia deve intercettare ogni singolo uno di quei 10 percorsi esattamente nello stesso momento per sapere che appartengono insieme.

Il documento calcola che se la spia controlla il 5% della rete postale, la probabilità che intercetti per caso tutti e 10 i percorsi è così piccola da essere praticamente zero (come vincere alla lotteria 20 volte di fila). Anche se ruba i pezzi e aspetta che il Computer Quantistico apra le buste, non saprà quali 10 pezzi mettere insieme per ricomporre la chiave.

Il Compromesso: Velocità contro Privacy

I ricercatori hanno costruito un prototipo funzionante di questo sistema. Ecco cosa hanno scoperto:

Funziona: Il sistema divide con successo la chiave, la invia attraverso la rete "Posta Fantasma" e l'amico può ricomporre i pezzi.
È lento: Ci vogliono circa 13-20 secondi per farlo.
Perché è lento? Circa l'88% di quel tempo è semplicemente l'attesa che la rete "Posta Fantasma" costruisca quei 10 percorsi separati e casuali. È come aspettare che arrivino 10 autobus diversi a fermate diverse prima di poter iniziare il viaggio.

La Conclusione

Questo documento non inventa un nuovo tipo di lucchetto (la crittografia stessa rimane standard). Invece, inventa un nuovo modo per consegnare la chiave.

Il Bene: Protegge contro le spie che rubano dati oggi e aspettano che i futuri super-computer li sblocchino, perché la spia non riesce a capire quali dati appartengono a quale conversazione.
Il Male: È lento. Non è adatto per cose che devono accadere istantaneamente (come una videochiamata), ma potrebbe essere perfetto per inviare documenti altamente sensibili che devono rimanere segreti per decenni.

Gli autori concludono che, sebbene il sistema sia un po' lento, la privacy che offre vale l'attesa per segreti ad alto rischio.

Riepilogo Tecnico: Stabilizzazione di Chiavi per Sessioni Resilienti al Quantum tramite Circuiti a Cipolla

Enunciato del Problema
Le comunicazioni sicure attuali si basano su primitive a chiave pubblica (RSA, Diffie–Hellman, ECC) vulnerabili all'algoritmo di Shor su un computer quantistico sufficientemente capace. Ciò crea un modello di minaccia "raccogli-ora, decifra-dopo" (HNDL), in cui gli avversari archiviano il testo cifrato oggi per decifrarlo retroattivamente non appena sarà disponibile un computer quantistico crittograficamente rilevante (CRQC). Sebbene gli standard di Crittografia Post-Quantistica (PQC) (ad esempio, FIPS 203/204/205 del NIST) stiano emergendo, la migrazione è ostacolata da endpoint vincolati e dal fatto che i metadati (sapere chi ha comunicato con chi e quando) rimangono sensibili. Anche se il payload è cifrato con PQC, un avversario in grado di collegare i metadati di una sessione a specifici endpoint può correlare le future decifrazioni a tali endpoint. Le difese esistenti proteggono spesso il payload ma lasciano intatto il collegamento dei metadati.

Metodologia
Gli autori propongono uno schema di stabilizzazione di chiavi di sessione che distribuisce una chiave simmetrica appena generata come frammenti multipli, indipendentemente cifrati, attraverso circuiti Tor distinti ed effimeri. L'architettura di sistema comprende tre componenti:

Server di Gestione Chiavi Quantistiche (QKMS): Genera una chiave di sessione simmetrica, la partiziona in $n$ frammenti, cifra ciascuno sotto la chiave pubblica del client (attualmente RSA classica nel prototipo) e li invia.
Proxy di Servizio Onion: Agisce come intermediario. Riceve la richiesta del client, la inoltra al QKMS, riceve i frammenti cifrati e inoltra ogni pacchetto di frammenti al client su un circuito Tor fresco e indipendente.
Client: Un servizio onion Tor che richiede la chiave, riceve i frammenti, li decifra e ricostruisce la chiave di sessione.

Meccanismi Chiave:

Distribuzione Multi-Circuito: La chiave è suddivisa in $n$ frammenti. Ogni frammento viene inviato su un circuito Tor separato.
Circuiti Effimeri: Il proxy utilizza il segnale NEWNYM del controller Tor per forzare un nuovo circuito per ogni pacchetto di frammenti, garantendo che nessun due frammenti percorrano lo stesso percorso.
Servizi Onion: Sia il client che il proxy operano come servizi onion Tor, garantendo anonimato bidirezionale (nessuna delle due parti rivela il proprio indirizzo IP).
Condivisione del Segreto $(n, n)$ : Il progetto utilizza una divisione "tutto-o-niente"; sono richiesti tutti gli $n$ frammenti per la ricostruzione. Ciò evita l'overhead di banda degli schemi a soglia mantenendo l'argomento di sicurezza secondo cui un avversario deve compromettere ogni circuito per collegare i frammenti.

Contributi Chiave

Istanza su Tor Pubblico: Gli autori implementano la variante dei percorsi anonimi differiti sulla rete Tor pubblica, utilizzando segnali NEWNYM per ottenere percorsi freschi per ogni pacchetto di frammenti.
Limite di Collegabilità Multi-Circuito: Il documento dimostra che un avversario che sorveglia una frazione $f$ dei relay Tor può correlare tutti gli $n$ circuiti effimeri appartenenti a una singola sessione con una probabilità limitata approssimativamente a $f^{2n}$ . Ciò presuppone che i circuiti siano estrazioni approssimativamente indipendenti dalla popolazione dei relay.
Formalizzazione della Ricostruzione che Preserva l'Anonimato: Gli autori definiscono la proprietà di sicurezza per cui un avversario non può collegare gli $n$ frammenti di testo cifrato a una coppia comune di endpoint con una probabilità significativamente superiore a una ipotesi casuale uniforme, anche se può decifrare i singoli frammenti in seguito.
Implementazione del Prototipo: Un prototipo basato su Flask è stato distribuito su AWS EC2, con proxy e client eseguiti come servizi onion Tor, per misurare la latenza end-to-end.

Risultati

Latenza: Il prototipo completa una stabilizzazione di chiavi in 13–20 secondi in media, con un intervallo osservato completo di 7–50 secondi.
Decomposizione della Latenza: Circa l'88% della latenza è attribuibile a ritardi legati a Tor (specificamente il tempo necessario per costruire circuiti freschi tramite NEWNYM e il protocollo di incontro del servizio onion a sei salti). Il restante ~12% è dovuto a operazioni crittografiche (cifratura/decifratura) e logica applicativa, che sono trascurabili.
Scalabilità: La latenza scala approssimativamente in modo lineare con il numero di frammenti ( $n$ ) perché ogni frammento sostiene il proprio ritardo di costruzione del circuito.

Significato e Affermazioni
Il documento posiziona questo lavoro come un "companion" al protocollo Aquaman, concentrandosi specificamente sull'aspetto della collegabilità della resilienza al quantum piuttosto che sulla riservatezza del payload stesso.

Difesa a Strati: Gli autori affermano esplicitamente che lo schema non fornisce riservatezza post-quantistica per il payload del frammento (che è attualmente cifrato con RSA classica). Invece, aumenta il costo del collegamento dei frammenti decifrati a una sessione specifica e agli endpoint. Se un avversario cattura e in seguito decifra un singolo frammento, apprende il testo in chiaro di quel frammento, ma senza correlare con successo tutti gli $n$ circuiti, non può attribuire la chiave ricostruita a una specifica coppia di comunicanti.
Compromesso: Il progetto accetta una significativa penalità di latenza (13–20s) come costo per ottenere un decadimento geometrico nella probabilità di collegabilità ( $f^{2n}$ ). Gli autori sostengono che ciò sia accettabile per dati che richiedono durate di riservatezza pluriennali dove l'HNDL è una preoccupazione primaria, ma notano che potrebbe non essere adatto per applicazioni sensibili alla latenza.
Limitazioni: Gli autori riconoscono che il limite di sicurezza si basa sull'assunzione di circuiti indipendenti, che è imperfetta in Tor a causa del fissaggio dei nodi di guardia e della selezione del percorso ponderata sulla larghezza di banda. Notano inoltre che il prototipo non implementa ancora KEM ibridi PQC per i tunnel cablati, che sarebbero necessari per una soluzione completamente resistente al quantum pronta per la produzione.

In sintesi, il documento dimostra che distribuire frammenti di chiavi su circuiti Tor multipli ed effimeri può efficacemente rompere la collegabilità tra i metadati di una sessione e i suoi endpoint, fornendo una mitigazione pratica, sebbene gravosa in termini di latenza, contro le minacce HNDL nel periodo di transizione prima dell'adozione universale della PQC.