想象一下，互联网的安全系统（TLS）就像一座高科技银行金库。几十年来，这些金库的锁一直由“经典”金属制成。但科学家们发现了一种新的“量子”工具，最终可能撬开这些锁。为了保持安全，银行开始安装“混合”锁——将旧金属与一种新的、超强力的量子合金相结合。
问题在于？我们需要知道哪些银行实际上安装了这些新的混合锁。但检查起来很棘手。有些银行只在您走到门前时才展示锁（被动视图），而另一些则将锁藏在单向镜后（加密视图）。有些银行可能安装了新锁，但只为特定客户使用旧锁。
本文提出了一种新的多面检查框架来解决这一问题。作者没有仅仅观察大门，而是构建了一个系统，从四个不同角度检查金库，以获得全景。
检查的四个角度（“表面”）
想象一下试图弄清楚一家银行是否已为未来做好准备。您不能只站在人行道上；您需要从不同的地方观察：
- 人行道视角（被动会话）： 您站在街上，看着顾客走进门。您看到他们做了什么，但看不到里面的所有情况。在数字世界中，这是“被动”监控。对于旧系统（TLS 1.2），大门是敞开的，这种方法效果很好；但对于更新的加密系统（TLS 1.3），大门是关闭的，您无法看到锁的机制。
- 侦探的探测（主动探测）： 侦探不再只是观察，而是敲门并问道：“嘿，你们有混合锁吗？”银行可能会回答：“是的，我们有”，即使刚刚走进来的顾客并没有要求使用它。这揭示了银行能够做什么，而不仅仅是它实际做了什么。
- 蓝图检查（证书链）： 侦探去银行的办公室查看蓝图和警卫的身份证。这确认了银行是谁，以及其当前安全计划的有效期。
- 规则手册（注册表）： 侦探携带一本庞大且最新的百科全书，其中包含所有已知锁的类型，包括新的实验性锁，以确保命名正确。
“测量对象”：一份完整的成绩单
本文认为，旧工具仅基于他们在人行道上看到的内容给出“是/否”答案。如果他们没有看到新锁，他们就说“否”。
新框架创建了一个结构化成绩单（“测量对象”），将不同的事实分开：
- 这次特定交易中发生了什么？（客户使用了旧锁。）
- 银行具备什么能力？（银行拥有混合锁，如果被要求可以使用它。）
- 银行是谁？（通过蓝图验证。）
- 置信度如何？（我们是看到了，还是在猜测？）
至关重要的是，这份成绩单承认它不知道的情况。如果大门关闭且侦探无法敲门，报告会显示“未知”，而不是猜测“否”。它还会标记矛盾之处，例如如果蓝图显示“混合锁”，但大门只展示“旧锁”。
实验：他们的发现
作者通过两种方式测试了他们的系统：
实验室测试（受控场景）： 他们在实验室中建立了 29 个具有已知设置的假银行金库（有些装有混合锁，有些没有，有些门坏了，有些锁被隐藏）。
- 旧工具： 标准安全扫描仪（“基线”）仅在 29 个案例中发现了 2 个新锁。它几乎错过了所有现代化的加密金库。
- 新系统： 通过结合所有四个角度，他们的系统几乎确定了每个场景的正确状态，即使数据杂乱无章或不完整。
现实世界测试（公开活动）： 他们扫描了互联网上的 1,000 个真实网站。
- 令人惊讶的是： 标准扫描仪表示这些网站中 0 个拥有混合锁。
- 新系统： 通过使用“侦探的探测”（专门询问混合锁），他们发现了310 个网站能够使用混合锁，尽管它们通常使用旧锁。
- “更广泛能力”的洞察： 对于这 310 个网站，新系统证明这些网站具备使用新锁的能力，即使访问它们的特定客户没有触发该功能。这就像发现一辆车有涡轮增压按钮，即使司机从未按下过它。
结论
本文得出结论，要了解互联网是否已为量子未来做好准备，我们不能仅仅观察表面发生的事情。我们需要一种多层方法：
- 观察流量（被动）。
- 询问服务器它能做什么（主动）。
- 检查证书（链）。
- 严格记录我们知道什么、不知道什么以及信息来源。
这种方法防止我们仅仅因为没看到问题就错误地认为系统是安全的，或者仅仅因为无法看到新功能就错误地认为它不安全。它将“我不知道”视为一个有效且重要的答案，而不是失败。
技术摘要：后量子 TLS 就绪性的可观测性
问题陈述
传输层安全（TLS）向后量子密码学（PQC）的过渡带来了显著的可观测性挑战。随着生态系统从经典算法向 NIST 标准化的 ML-KEM 和 ML-DSA 迁移（通常通过混合密钥建立机制，例如 X25519MLKEM768），运营人员和审计员缺乏可靠的方法来评估端点的就绪状态。现有方法面临若干局限性：
- 协议不透明性：TLS 1.3 加密了握手材料（包括证书），使得被动数据包检查不足以进行身份验证和生命周期分析。
- 证据碎片化：端点能力（服务器支持的内容）通常与会话协商（特定客户端协商的内容）不一致。此外，通过主动探测收集的证书链可能在时间或逻辑上无法与先前捕获的被动会话关联。
- 测量缺口：传统的数据包检查工具往往无法区分经典协商与潜在的混合能力，并且在处理不完整、矛盾或模糊的证据时，难以避免产生误报或漏报。
方法论
作者提出了一种多表面证据框架，将 PQC 就绪性视为一个可观测性问题，该问题要求将不同的证据源映射到特定的测量平面。
四种证据表面：
- ΣP（被动会话）：从数据包捕获中提取（例如 TLS 版本、密码套件、可见组）。由于加密，在 TLS 1.3 中受到限制。
- ΣA（主动探测）：由受控探测生成（例如提供特定组的客户端配置文件）。用于推断端点能力的下限。
- ΣC（证书链）：通过主动检索或被动可见性收集的工件，提供身份验证和生命周期数据。
- ΣR（注册表与规则）：标识符（组、OID）、别名和推理规则的规范映射。
测量平面：
证据被投影到七个平面上：会话、密钥建立、能力、身份验证、生命周期、可观测性和策略。仅当来自适当表面的证据充足时，测量对象在某个平面上才被视为“闭合”。
工件与基准设计：
- PQ-TLS 可观测性基准 v1：一个可复现的工件，包含 29 个场景（14 个规范场景，15 个压力场景）。规范场景测试在干净条件下的提取；压力场景测试对截断、分片、时间漂移、HelloRetryRequest (HRR) 和矛盾证据的处理能力。
- 评估模式：该框架比较了四种模式：
- B0：继承的基线（参考数据包检查器）。
- B1：仅被动。
- B2：被动 + 主动探测。
- B3：完整多表面（被动 + 主动 + 链 + 注册表）。
- 压力契约：与精确匹配的基准真值不同，压力场景使用行为契约来奖励对
unknown（未知）、not_applicable（不适用）、ambiguity（模糊）和 contradiction（矛盾）状态的正确处理。
主要贡献
- 多表面证据模型：正式分离被动会话、主动探测、证书链和注册表证据，并将它们映射到不同的测量平面，以防止将会话行为与端点能力混淆。
- 模式强制的可复现工件：一个公共实现（
pq_tls_observability），具有场景和结果的 JSON 模式、用于演变 PQC 标识符的版本化注册表以及可审计的推理规则。
- 压力契约评估：一种方法论，根据工具保留不确定性和检测矛盾的能力（而非在数据不完整时强制做出二元决策）对其进行评分。
- 实证验证：
- 受控基准：涵盖 TLS 1.2/1.3、混合/经典密钥、mTLS 以及各种网络条件的 29 个场景的评估。
- 公共活动：对 1,000 个公共目标进行分层研究，共进行 2,000 次探测，将该框架与标准扫描器（SSLyze, testssl.sh）及继承基线进行比较。
结果
- 基准性能：
- 继承的基线（B0）仅检测到 29 次运行中的 2 次 和 23 次 TLS 1.3 运行中的 0 次，突显了仅凭数据包检查在加密环境中的失败。
- 多表面模式（B3）在规范场景中实现了所有平面的完全闭合，并正确处理了压力场景中的不确定性。
- 公共活动发现：
- 该框架完成了 1,971 次握手 并收集了 1,368 个 链工件。
- 它确认了 310 个目标的混合能力。关键的是，这 310 个目标被识别为“能力广于会话”的案例：单一的经典会话视图会将它们报告为仅支持经典算法，而双探测测量则揭示了它们的混合支持。
- 标准扫描器（SSLyze, testssl.sh）在 250 个目标的基准动物园切片中报告了 0 个确认混合的目标，而双探测模式确认了 70 个。
- 稳定性：重复轮次（R1）显示出高稳定性（99.42% 的清晰 - 完整稳定性），能力和证书数据的漂移极小。
- 家族异质性：混合确认率因运营家族而异（例如，知识社区为 0.620，而政府和云供应商为 0.110）。
意义与主张
本文主张，可靠的后量子 TLS 就绪性评估需要一种结构化的测量纪律，以分离：
- 会话行为（协商了什么）与 端点能力（支持什么）。
- 证据源（被动 vs. 主动 vs. 链），以维持明确的来源和关联。
- 测量 与 策略判断，使运营人员能够在应用就绪性裁决之前查看原始证据。
作者认为，将 unknown、not_applicable、ambiguity 和 contradiction 作为一等测量输出对于准确审计至关重要。他们得出结论，当前的扫描器基线提供了有用的经典信号，但如果没有经过深思熟虑的配置文件变化（双探测）和多表面证据收集，就无法揭示潜在的混合能力。该框架提供了必要的基础设施，以弥合可见的数据包指标与基于证据的后量子就绪性完整评估之间的差距。
每周获取最佳 computer science 论文。
受到斯坦福、剑桥和法国科学院研究人员的信赖。
请查收邮箱确认订阅。
出了点问题，再试一次？
无垃圾邮件，随时退订。