💻 computer science

On the Practical Feasibility of Harvest-Now, Decrypt-Later Attacks

Deze paper presenteert een economisch model voor 'harvest-now, decrypt-later'-aanvallen dat aantoont dat het opslaan van verkeer goedkoop is, waardoor verdediging zich moet richten op het maximaliseren van de quantum-rekenkosten via strategieën zoals agressieve herkeying en grotere sleutelparameters.

Oorspronkelijke auteurs: Javier Blanco-Romero, Florina Almenares Mendoza, Carlos García Rubio, Celeste Campo, Daniel Díaz Sánchez

Gepubliceerd 2026-03-03

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Javier Blanco-Romero, Florina Almenares Mendoza, Carlos García Rubio, Celeste Campo, Daniel Díaz Sánchez

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

De "Nu Oogsten, Later Kraken" Aanval: Een Economisch Raadsel

Stel je voor dat een dief (de hacker of een spion) vandaag langs je huis loopt en al je postkistjes leeghaalt. Maar de brieven zijn in een onleesbaar codeertaal geschreven. De dief kan ze nu niet lezen, dus hij stopt ze in een enorme berg dozen in zijn kelder.

Zijn plan? Wachten tot hij in de toekomst een magische sleutel (een superkrachtige kwantumcomputer) heeft gevonden die elke code kan kraken. Zodra hij die sleutel heeft, haalt hij zijn berg dozen weer op en leest hij al je oude brieven.

Dit heet een "Harvest-Now, Decrypt-Later" (HN-DL) aanval. Het artikel van Blanco-Romero en zijn team onderzoekt of dit plan wel echt haalbaar is.

1. Het Grote Misverstand: Opslag is goedkoop, kraken is duur

Veel mensen denken: "Oh, een spion kan niet al die data opslaan, dat kost te veel geld!"

Het artikel zegt: Nee, dat is fout.
Het opslaan van data is tegenwoordig zo goedkoop als het opslaan van zand in een emmer. De prijs van opslag is de afgelopen jaren met 95% gedaald. Voor een rijke staat (zoals een groot land) is het opslaan van de gehele internetgeschiedenis van de wereld financieel geen probleem. Het is net als het kopen van een paar extra dozen voor in de kelder; dat kost niets.

De echte vraag is dus niet: "Kan hij het opslaan?"
Maar: "Kan hij het later kraken?"

2. De Twee Strijdpunten: De Berg Dozen vs. De Magische Sleutel

De auteurs kijken naar twee dingen die de verdediger (jij en je software) kan doen om de dief tegen te houden:

A. De Berg Dozen groter maken (Opslag)

Je kunt proberen de brieven zo groot te maken dat de kelder vol raakt.

De analogie: Je plakt gigantische, lege stukken karton op elke brief. De dief moet nu 10 keer meer dozen kopen.
Het probleem: Dit werkt slecht. Jij (de eigenaar) moet betalen voor het versturen van die lege kartonnen stukken via het postkantoor (internet). De dief betaalt alleen voor de dozen in zijn kelder. Jij bent dus veel duurder uit dan hij. Het is een "zelfverwonding" voor de verdediger.

B. De Magische Sleutel moeilijker maken (Rekenkracht)

Dit is de echte winnende strategie. Je maakt het voor de dief zo lastig dat hij duizenden keren moet proberen om de sleutel te vinden.

De analogie: In plaats van één grote deur, bouw je duizenden kleine deurtjes in je huis. Om je huis binnen te komen, moet de dief niet één keer een sleutel proberen, maar duizenden keren.
Hoe werkt dit?
- SSH (Veilig): SSH gebruikt een systeem waarbij elke "sessie" (bijvoorbeeld een login) een nieuwe, unieke sleutel heeft. Als de dief de eerste sleutel krakt, kan hij alleen die ene sessie lezen. Voor de volgende sessie moet hij weer opnieuw beginnen met kraken. Dit kost de dief enorm veel tijd en energie (kwantumrekenkracht).
- TLS 1.3 (Minder veilig): Hierbij wordt vaak één sleutel gebruikt voor een hele reeks sessies. Als de dief die ene sleutel krakt, kan hij alles lezen wat daarna is gebeurd. Hij hoeft maar één keer te kraken.

3. De Drie Gewapende Verdedigers

Het artikel stelt drie concrete dingen voor om de dief tegen te houden:

Verberg de bestemming (ECH):
Stel je voor dat je een brief verstuurt, maar de envelop is zo groot en grijs dat de postbode niet ziet naar welk huis hij moet. De dief ziet alleen een "algemene" envelop. Hij kan niet meer kiezen welke dozen hij wil stelen; hij moet alle dozen van het hele dorp verzamelen. Dat maakt het selecteren van je waardevolle brieven onmogelijk.
(Dit heet: Encrypted Client Hello).
Stop met oude sleutels:
Gebruik geen oude methoden (zoals TLS 1.2 met RSA) waarbij één sleutel alles opent. Zet deze uit. Gebruik alleen methoden waarbij elke sessie een nieuwe sleutel heeft (Forward Secrecy).
Verander de sleutel vaak (Rekeying):
Dit is de krachtigste methode. Stel je voor dat je tijdens een gesprek met iemand elke 10 seconden van taal verandert.
- Als je elke 10 seconden van taal verandert, moet de dief elke 10 seconden een nieuwe "magische vertaler" (kwantumcomputer) bouwen.
- Voor een SSH-verbinding kun je dit heel makkelijk doen: je blijft verbonden, maar verandert de sleutel.
- Voor TLS 1.3 (wat we op websites gebruiken) is dit lastig. Je moet vaak de hele verbinding opnieuw opbouwen, wat traag is. Het artikel zegt: we moeten dit beter maken, zodat we vaker van sleutel kunnen wisselen zonder dat het internet traag wordt.

4. Conclusie: Wat moeten we doen?

De boodschap is helder:

Opslaan is goedkoop: Sta er niet van te dat spionnen onze data opslaan. Ze kunnen het betalen.
Kraken is duur: We moeten zorgen dat het kraken voor hen zo duur en tijdrovend wordt dat het niet meer loont.
De oplossing: We moeten niet proberen de data "dikker" te maken (dat kost ons geld), maar we moeten zorgen dat er veel meer sleutels zijn die gekraakt moeten worden.

Kort samengevat:
Stel je voor dat je een schat in een kistje verbergt.

De oude manier was: "Ik stop de kist in een grote doos." (De dief koopt gewoon een grotere doos).
De nieuwe manier is: "Ik verdeel de schat over 10.000 kistjes, en elk kistje heeft een eigen slot." (De dief moet 10.000 keer zijn magische sleutel gebruiken. Dat kost te veel tijd en energie, dus hij geeft op).

Het artikel waarschuwt dat we nu al moeten beginnen met het "verminderen van de kistjes" (meer sleutels, vaker wisselen) voordat de kwantumcomputers van de toekomst klaar zijn. Anders is al onze oude data, van medische dossiers tot staatsgeheimen, veilig voor de dief.

Titel: Over de Praktische Haalbaarheid van "Harvest-Now, Decrypt-Later" Aangrijpen

Auteurs: Javier Blanco-Romero et al. (Universidad Carlos III de Madrid)
Datum: 3 maart 2026

1. Het Probleem: Harvest-Now, Decrypt-Later (HN-DL)

Het artikel adresseert de dreiging van Harvest-Now, Decrypt-Later (HN-DL) aanvallen. Hierbij registreert een adversary (meestal een staatsactor) vandaag versleutelde communicatie en slaat deze op totdat een cryptografisch relevante quantumcomputer (CRQC) beschikbaar is om de onderliggende sleuteluitwisseling te breken.

De dreiging: Hoewel symmetrische encryptie (zoals AES) bestand blijft tegen quantumcomputers (mits de sleutelgrootte wordt verdubbeld), zijn asymmetrische sleuteluitwisselingen (RSA, ECC, DH) kwetsbaar voor Shor's algoritme.
Het economische vraagstuk: De kernvraag is niet of een adversary kan opslaan, maar of het economisch haalbaar is om de enorme hoeveelheden data decennia lang te bewaren. Veel bestaande modellen behandelen HN-DL als een binair risico (kwetsbaar of niet), maar negeren de operationele kosten van opslag en de economische afwegingen van de aanvaller.
Forward Secrecy (FS): Protocollen met forward secrecy (waarbij sessiesleutels niet uit een lange-termijnsleutel afgeleid kunnen worden) verhogen de kosten voor de aanvaller, omdat ze per sessie een nieuwe quantumberekening vereisen in plaats van één keer de server-sleutel te breken. Echter, dit elimineert de dreiging niet volledig.

2. Methodologie

De auteurs reframen HN-DL als een economisch probleem en gebruiken een geautomatiseerde, open-source testomgeving om de volledige aanvalsketen te simuleren.

Testbed: Een Python-gebaseerde orchestrator gebruikt aangepaste versies van OpenSSL 3.6.0 en OpenSSH 9.9p2 om verkeer te genereren. Dit verkeer wordt opgevangen via tshark en geanalyseerd.
Simulatie van Quantum: De simulatie "lekt" de ephemere private sleutels (die een quantumcomputer zou vinden door het Discrete Logaritme Probleem op te lossen). De auteurs gebruiken deze sleutels om alle sessiegeheimen te reconstrueren en de applicatiedata te ontsleutelen.
Protocollen: De studie bestrijkt TLS 1.2, TLS 1.3, QUIC en SSH.
Kostemodel: Er wordt een byte-per-byte opslagmodel ontwikkeld dat de overhead van protocollen (handshakes, framing, headers) kwantificeert. Dit wordt gekoppeld aan realistische opslageconomieën (cloud vs. tape) en Monte Carlo-simulaties om onzekerheid in datavolume en prijs te modelleren.

3. Belangrijkste Bijdragen

Het artikel biedt drie hoofdbijdragen:

Open-source simulatiepijplijn: Een reproduceerbare tool die de HN-DL-aanval op de vier genoemde protocollen simuleert en de volledige ontsleuteling bewijst.
Economische kwantificering: Een model dat de opslagkosten voor massale surveillance schat, gebaseerd op een overhead-ratio ( $\alpha$ ) per protocol.
Verdedigingsstrategieën: Een analyse van configuratie-opties die de kosten voor de adversary verhogen, specifiek gericht op het "Quantum Workload"-aspect in plaats van alleen opslag.

4. Resultaten en Analyse

A. Economische Haalbaarheid van Opslag

De studie concludeert dat het bewaren van versleuteld verkeer economisch triviaal is voor een staatsactor.

Opslagkosten: Zelfs bij een conservatieve schatting van volledige wereldwijde opname (of zelfs 1% selectieve harvest), liggen de jaarlijkse kosten binnen de begrotingen van top-staatsverdediging (orde van $10^9$ tot $10^{11}$ USD over 10-15 jaar).
Media: De prijs van opslagmedia (zoals LTO-tape) is gedaald en biedt een levensduur van >50 jaar met minimale energiekosten. De kosten voor het intercepteren van het verkeer zijn significant, maar de retentie is niet de beperkende factor.
Conclusie: De verdediging moet zich niet richten op het verhogen van de opslagkosten (want dat kost ook de verdediger geld), maar op het verhogen van de rekenkrachtkosten voor de adversary.

B. Protocol Kwetsbaarheden

TLS 1.2 (RSA): Volledig kwetsbaar. Eén compromis van de server-sleutel ontsleutelt alle historische sessies.
TLS 1.3 & QUIC: Bieden forward secrecy, maar hebben een "deterministische keten". Als de initiële ECDHE-sleutel wordt gebroken, kunnen alle daaropvolgende sessies (via KeyUpdate of PSK-resumption) worden ontsleuteld zonder extra quantumwerk.
- 0-RTT: Volledig kwetsbaar omdat er geen nieuwe willekeurigheid wordt gegenereerd.
SSH: Biedt echte forward secrecy en ondersteunt in-band rekeying. Elke rekeying start een nieuwe Diffie-Hellman-uitwisseling, wat een nieuwe, onafhankelijke quantumberekening vereist.

C. Verdedigingsstrategieën (De "Twee Assen")

De auteurs identificeren twee assen waarop de verdediging kan opereren:

Opslag-assen (Inflatie van $\alpha$ ): Het verhogen van de data-grootte (bijv. via record padding).
- Nadeel: Dit straalt terug op de verdediger (bandbreedte-kosten) en de adversary betaalt slechts marginaal meer. Dit is een inefficiënte verdediging.
Quantum-assen (Inflatie van $E \times T_q$ ): Het verhogen van het aantal benodigde quantumberekeningen ( $E$ $E$ ) of de complexiteit per berekening ( $T_q$ $T_{q}$ ).
- Voordeel: Dit straalt alleen terug op de adversary. De verdediger heeft hierbij verwaarloosbare bandbreedte-impact.

Aanbevolen maatregelen:

Aggressieve Rekeying: Vooral in SSH is dit effectief. Door elke $R$ $R$ bytes een nieuwe sleuteluitwisseling te forceren, moet de adversary $E = \lceil P/R \rceil$ $E = ⌈ P / R ⌉$ keer Shor's algoritme draaien.
- Beperking: TLS 1.3 en QUIC hebben momenteel geen mechanisme voor mid-stream rekeying met nieuwe willekeurigheid (KeyUpdate is deterministisch). Dit is een kritiek protocolgat.
Grotere Sleutelparameters: Het gebruik van grotere elliptische curves (bijv. P-384 in plaats van P-256) verhoogt de rekenkracht $T_q$ zonder merkbare bandbreedte-impact.
Encrypted Client Hello (ECH): Verbergt de SNI (Server Name Indication), waardoor de adversary niet kan triageren op basis van metadata en gedwongen wordt tot duurdere bulk-opslag in plaats van goedkope selectieve harvest.
Uitschakelen van verouderde functies: TLS 1.2 RSA key transport en TLS 1.3 0-RTT moeten worden uitgeschakeld.

5. Betekenis en Conclusie

Het artikel verschuift het discours van HN-DL van een puur cryptografisch probleem naar een economisch en operationeel vraagstuk.

Dringende migratie: Omdat opslag goedkoop is, is de enige effectieve verdediging het verhogen van de quantum-rekenkosten. De migratie naar Post-Quantum Cryptography (PQC) is essentieel, maar structurele verdediging (zoals rekeying) biedt "defense in depth" voor het geval PQC-algoritmen later kwetsbaar blijken.
Protocoltekortkomingen: Er is een kritieke kloof in TLS 1.3 en QUIC: het ontbreken van een mechanisme voor frequent, niet-deterministisch rekeying binnen een bestaande verbinding. Dit maakt deze protocollen kwetsbaarder voor HN-DL dan SSH, waar rekeying standaard is.
Conclusie: Zolang een adversary toegang heeft tot het verkeer, is het opslaan ervan een verwaarloosbare kostenpost. Verdedigers moeten daarom strategieën omarmen die de quantum-rekenlast maximaliseren (rekeying, grotere parameters) en verouderde, niet-forward-secrecy modi volledig verwijderen. De "Harvest-Now" fase is al gaande; de verdediging moet de "Decrypt-Later" fase onbetaalbaar maken.