💻 computer science

Onion-Routed Multi-Circuit Key Establishment for Quantum-Resilient Sessions

Dit artikel stelt een kwantumresilient sessiesleutelvestigingsschema voor en implementeert dit dat versleutelde sleutelfragmenten over meerdere onafhankelijke Tor-circuits verdeelt om harvest-now-decrypt-later-bedreigingen te mitigeren, waarbij een gemiddelde latentie van 13–20 seconden wordt bereikt ten koste van responsiviteit voor verhoogde privacy.

Oorspronkelijke auteurs: Tushin Mallick, Ashish Kundu, Ramana Kompella

Gepubliceerd 2026-05-21

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Tushin Mallick, Ashish Kundu, Ramana Kompella

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Het Grote Probleem: De Valstrik "Nu Oogsten, Later Decoderen"

Stel je voor dat je vandaag een geheime brief verstuurt met een slot dat op dit moment onbreekbaar is. Wetenschappers voorspellen echter dat over 10 of 20 jaar een superkrachtige "Quantumcomputer" wordt uitgevonden die dat slot in een handomdraai open kan breken.

Het gevaar zit niet alleen in het feit dat het slot in de toekomst misschien breekt; het gevaar is dat een spion je vandaag de vergrendelde brief kan stelen, in een kluis bewaart en wacht tot die supercomputer beschikbaar is om hem te openen. Dit heet "Harvest Now, Decrypt Later" (Nu Oogsten, Later Decoderen). Zelfs als je geheim slechts een paar jaar veilig moet blijven, is de dreiging nu reëel, omdat de spion het slot vandaag niet hoeft te breken; ze hoeven de brief alleen maar te bewaren.

De Oplossing: Het "Uien-gerouteerde Raadsel"

De auteurs stellen een nieuwe manier voor om een geheime sleutel (de combinatie van je slot) te delen, waardoor het voor een spion extreem moeilijk wordt om te weten welke stukjes bij welk gesprek horen, zelfs als ze alle stukjes stelen.

Stel je het als volgt voor:

De Geheime Sleutel: Stel je voor dat je een gouden sleutel hebt die je naar een vriend moet sturen.
De Raadselstukjes: In plaats van de hele sleutel in één envelop te sturen, hak je deze in 10 kleine, nutteloze raadselstukjes. Je doet elk stukje in een eigen, aparte envelop.
Het Uien-netwerk (Tor): Je stuurt deze enveloppen niet door de gewone post (het normale internet), waar een spion de afzender en ontvanger gemakkelijk kan traceren. In plaats daarvan stuur je ze door een "Spookpost"-systeem (Tor).
- In dit systeem gaat de post door een reeks willekeurige postkantoren (relays). Elk postkantoor verwijdert één laag van het adres, maar geen enkel postkantoor weet zowel wie het heeft gestuurd als voor wie het bestemd is.
De Magische Truc (Nieuwe Circuits): Dit is het belangrijkste deel. Voor elk afzonderlijk raadselstukje creëer je een gloednieuwe, unieke "Spookpost"-route. Je gebruikt niet hetzelfde pad opnieuw.
- Stukje 1 gaat over Route A.
- Stukje 2 gaat over Route B.
- Stukje 3 gaat over Route C.
- ...enzovoort.

Waarom Dit de Spion Stopt

De spion houdt het "Spookpost"-netwerk in de gaten. Ze kunnen zien dat er poststukken binnenkomen en weer uitkomen.

Als je alle 10 stukjes over dezelfde route had gestuurd, zou de spion de 10 stukjes makkelijk kunnen koppelen en zeggen: "Aha! Deze 10 stukjes horen bij Alice en Bob!"
Maar omdat je ze over 10 volledig verschillende, willekeurige routes hebt gestuurd, moet de spion elk van die 10 routes op exact hetzelfde moment onderscheppen om te weten dat ze bij elkaar horen.

Het artikel berekent dat als de spion 5% van het postnetwerk controleert, de kans dat ze per ongeluk alle 10 routes onderscheppen zo klein is dat het praktisch nul is (zoals 20 keer op rij de loterij winnen). Zelfs als ze de stukjes stelen en wachten tot de Quantumcomputer de enveloppen opent, weten ze niet welke 10 stukjes ze bij elkaar moeten leggen om de sleutel te maken.

De Afweging: Snelheid versus Privacy

De onderzoekers hebben een werkend prototype van dit systeem gebouwd. Hier is wat ze hebben gevonden:

Het werkt: Het systeem splitst de sleutel succesvol, stuurt deze door het Spookpost-netwerk en de vriend kan de stukjes weer aan elkaar zetten.
Het is traag: Het duurt ongeveer 13 tot 20 seconden om dit te doen.
Waarom is het traag? Ongeveer 88% van die tijd is gewoon wachten tot het "Spookpost"-netwerk die 10 aparte, willekeurige routes heeft opgebouwd. Het is alsof je moet wachten tot 10 verschillende bussen op verschillende haltes arriveren voordat je je reis kunt beginnen.

De Conclusie

Dit artikel bedenkt geen nieuw type slot (de versleuteling zelf is nog steeds standaard). In plaats daarvan bedenkt het een nieuwe manier om de sleutel te leveren.

Het Goede: Het biedt bescherming tegen spionnen die vandaag data stelen en wachten op toekomstige supercomputers om het te ontsluiten, omdat de spion niet kan uitzoeken welke data bij welk gesprek hoort.
Het Slechte: Het is traag. Het is niet geschikt voor dingen die direct moeten gebeuren (zoals een videogesprek), maar het is misschien perfect voor het verzenden van zeer gevoelige documenten die decennialang geheim moeten blijven.

De auteurs concluderen dat, hoewel het systeem wat traag is, de privacy die het biedt de wachttijd waard is voor geheimen met hoge inzet.

Technische Samenvatting: Uien-gerouteerde Multi-Circuit Sleutelvestiging voor Quantum-resiliente Sessies

Probleemstelling
Huidige beveiligde communicatie vertrouwt op publieke-sleutel primitieven (RSA, Diffie–Hellman, ECC) die kwetsbaar zijn voor Shor's algoritme op een voldoende capabele quantumcomputer. Dit creëert een "harvest-now, decrypt-later" (HNDL) bedreigingsmodel waarbij tegenstanders ciphertext vandaag archiveren om het retroactief te ontsleutelen zodra een cryptografisch relevante quantumcomputer (CRQC) beschikbaar wordt. Hoewel Post-Quantum Cryptografie (PQC) standaarden (bijv. NIST's FIPS 203/204/205) opkomen, wordt migratie gehinderd door beperkte eindpunten en het feit dat metadata (het weten wie met wie en wanneer communiceerde) gevoelig blijft. Zelfs als de payload met PQC is versleuteld, kan een tegenstander die de metadata van een sessie kan koppelen aan specifieke eindpunten, toekomstige ontsleutelingen aan die eindpunten correleren. Bestaande verdedigingen beschermen vaak de payload, maar laten de metadata-koppeling intact.

Methodologie
De auteurs stellen een sessiesleutel-vestigingsschema voor dat een vers gegenereerde symmetrische sleutel distribueert als meerdere, onafhankelijk versleutelde fragmenten over verschillende, ephemerale Tor-circuits. De systeemarchitectuur bestaat uit drie componenten:

Quantum Key Management Server (QKMS): Genereert een symmetrische sessiesleutel, verdeelt deze in $n$ fragmenten, versleutelt elk onder de publieke sleutel van de client (momenteel klassiek RSA in het prototype), en stuurt ze uit.
Onion-Service Proxy: Treedt op als tussenpersoon. Het ontvangt het verzoek van de client, doorstuurt dit naar de QKMS, ontvangt de versleutelde fragmenten, en stuurt elk fragmentenbundel door naar de client over een verse, onafhankelijke Tor-circuit.
Client: Een Tor onion-service die de sleutel aanvraagt, de fragmenten ontvangt, deze ontsleutelt en de sessiesleutel reconstrueert.

Belangrijkste Mechanismen:

Multi-Circuit Distributie: De sleutel wordt opgesplitst in $n$ fragmenten. Elk fragment wordt verzonden over een apart Tor-circuit.
Ephemerale Circuits: De proxy gebruikt het NEWNYM-signaal van de Tor-controller om een nieuw circuit af te dwingen voor elke fragmentenbundel, zodat ervoor wordt gezorgd dat geen twee fragmenten hetzelfde pad volgen.
Onion Services: Zowel de client als de proxy opereren als Tor onion-services, waardoor bidirectionele anonimiteit wordt gewaarborgd (geen van beide partijen onthult hun IP-adres).
$(n, n)$ Geheime Deling: Het ontwerp maakt gebruik van een alles-of-niets splitsing; alle $n$ fragmenten zijn vereist voor reconstructie. Dit vermijdt de bandbreedte- overhead van drempelschema's terwijl het het veiligheidsargument behoudt dat een tegenstander elk circuit moet compromitteren om de fragmenten te koppelen.

Belangrijkste Bijdragen

Instantiëring over Publieke Tor: De auteurs implementeren de variant met uitgestelde anonieme paden over het publieke Tor-netwerk, waarbij NEWNYM-signalen worden gebruikt om verse paden te verkrijgen voor elke fragmentenbundel.
Multi-Circuit Koppelbaarheidsgrens: Het artikel bewijst dat een tegenstander die een fractie $f$ van Tor-relays observeert, alle $n$ ephemerale circuits die tot één sessie behoren, kan correleren met een waarschijnlijkheid die begrensd is door ongeveer $f^{2n}$ . Dit gaat ervan uit dat de circuits ongeveer onafhankelijke trekkingen zijn uit de relay-populatie.
Formalisatie van Anonimiteitsbehoudende Reconstructie: De auteurs definiëren de beveiligingseigenschap waarbij een tegenstander de $n$ ciphertext-fragmenten niet kan koppelen aan een gemeenschappelijk paar eindpunten met een waarschijnlijkheid die significant groter is dan uniform gissen, zelfs als ze individuele fragmenten later kunnen ontsleutelen.
Prototype Implementatie: Een op Flask gebaseerd prototype is ingezet op AWS EC2, waarbij zowel proxy als client draaien als Tor onion-services, om de end-to-end latentie te meten.

Resultaten

Latentie: Het prototype voltooit een sleutelvestiging gemiddeld in 13–20 seconden, met een volledig waargenomen bereik van 7–50 seconden.
Latentie Decompositie: Ongeveer 88% van de latentie is toe te schrijven aan Tor-gerelateerde vertragingen (specifiek de tijd die nodig is om verse circuits te bouwen via NEWNYM en het zes-hop onion-service rendezvous-protocol). De resterende ~12% is te wijten aan cryptografische bewerkingen (versleuteling/ontsleuteling) en applicatielogica, wat verwaarloosbaar is.
Schaling: De latentie schaalt ongeveer lineair met het aantal fragmenten ( $n$ ), omdat elk fragment zijn eigen vertraging bij het bouwen van een circuit ondervindt.

Betekenis en Beweringen
Het artikel positioneert dit werk als een "gezel" bij het Aquaman-protocol, met een specifieke focus op het aspect van koppelbaarheid van quantum-resilience in plaats van de vertrouwelijkheid van de payload zelf.

Verdediging in Diepte: De auteurs stellen expliciet dat het schema geen post-quantum vertrouwelijkheid biedt voor de fragment-payload (die momenteel is versleuteld met klassiek RSA). In plaats daarvan verhoogt het de kosten van het koppelen van ontsleutelde fragmenten aan een specifieke sessie en eindpunten. Als een tegenstander één fragment vangt en later ontsleutelt, leert hij de plaintext van dat fragment, maar zonder succesvol alle $n$ circuits te correleren, kan hij de gereconstrueerde sleutel niet toewijzen aan een specifiek paar communicanten.
Afweging: Het ontwerp accepteert een aanzienlijke latentie-boete (13–20s) als de prijs voor het bereiken van een geometrische afname in koppelbaarheidskans ( $f^{2n}$ ). De auteurs betogen dat dit acceptabel is voor data die vertrouwelijkheid over meerdere jaren vereist waar HNDL een primaire zorg is, maar merken op dat het mogelijk ongeschikt is voor latentie-gevoelige toepassingen.
Beperkingen: De auteurs erkennen dat de beveiligingsgrens berust op de aanname van onafhankelijke circuits, wat in Tor imperfect is door guard node pinning en padselectie op basis van bandbreedte. Zij merken ook op dat het prototype nog geen hybride PQC KEM's implementeert voor de wireline tunnels, wat noodzakelijk zou zijn voor een productieklaar, volledig quantum-resistent oplossing.

Kortom, het artikel toont aan dat het distribueren van sleutelfragmenten over meerdere, ephemerale Tor-circuits de koppelbaarheid tussen de metadata van een sessie en zijn eindpunten effectief kan verbreken, en zo een praktische, zij het latentie-zware, mitigatie biedt tegen HNDL-bedreigingen in de overgangsperiode voordat universele PQC-aanvaarding plaatsvindt.