„Harvest now, decrypt later“: warum Post-Quanten-Schlüssel heute zählen
Noch gibt es keinen Quantencomputer, der heutige Verschlüsselung bricht. Trotzdem sammeln Angreifer womöglich schon jetzt verschlüsselte Daten, um sie später zu entschlüsseln. Diese Seite erklärt die Idee dahinter und was Friendstime für den Text privater Chats tut, ohne mehr zu versprechen, als belegt ist.
Die Idee: heute mitschneiden, morgen lesen
Wer verschlüsselte Nachrichten heute abfängt, kann sie speichern, auch wenn er sie noch nicht lesen kann. Gelingt es eines Tages mit einem leistungsfähigen Quantencomputer, das Verfahren für den Schlüsselaustausch zu brechen, ließen sich solche Mitschnitte nachträglich entschlüsseln. Fachleute nennen das „Harvest now, decrypt later“. Es betrifft vor allem Inhalte, die auch in vielen Jahren noch vertraulich sein sollen.
Was angreifbar wäre und was weniger
Klassische Verfahren für den Schlüsselaustausch wie RSA beruhen auf mathematischen Aufgaben, die ein ausreichend großer Quantencomputer nach heutigem Wissen lösen könnte. Symmetrische Verschlüsselung wie AES-256 gilt nach heutigem Wissen als deutlich weniger gefährdet. Deshalb setzt die Fachwelt beim Schlüsselaustausch an: Das US-Standardinstitut NIST hat dafür ML-KEM standardisiert, ein Verfahren, das auch Quantencomputern standhalten soll.
Was Friendstime beim Chat-Text macht
Bei Friendstime wird der Schlüssel für den Text privater Chats mit ML-KEM-768 ausgetauscht, der mittleren der drei ML-KEM-Stufen; den Inhalt verschlüsselt dann AES-256-GCM. Der Server speichert nur den verschlüsselten Text. Hat ein Konto noch keinen ML-KEM-Schlüssel, wird RSA-OAEP verwendet, ein klassisches Verfahren ohne Post-Quanten-Schutz. Eine Kombination beider Verfahren gibt es derzeit nicht.
Gruppen, Anhänge und Metadaten
Auch in Chat-Gruppen bekommt jedes Mitglied den Schlüssel für den Text über ML-KEM-768, sobald alle Mitglieder eine aktuelle App oder den Web-Messenger nutzen. Sprachnachrichten, Bilder, Videos und Dateien in Einzelchats werden mit ML-KEM-768 und AES-256-GCM geschützt, wenn beide Konten einen Schlüssel haben; für Gruppenchats sagen wir das nicht zu. Anrufe sind derzeit nur transportverschlüsselt (Ende-zu-Ende für Bild und Ton ist in der Testphase). Und wer wann mit wem schreibt, muss der Server wissen, um Nachrichten zuzustellen.
Ehrlich eingeordnet
Post-Quanten-Verfahren sind jung, und auch ML-KEM wird weiter untersucht. Eine unabhängige Prüfung der Verschlüsselung von Friendstime gibt es bisher nicht, und Friendstime verspricht keine absolute Sicherheit. Was du selbst tun kannst: ein starkes, nur hier genutztes Passwort wählen, die Zwei-Faktor-Anmeldung einschalten und wirklich Vertrauliches nicht als Anhang schicken.
Selbst ausprobieren
Die Anmeldung dauert eine Minute und ist kostenlos.
Häufige Fragen
Was bedeutet „Harvest now, decrypt later“?
Angreifer speichern verschlüsselte Daten heute, um sie später zu entschlüsseln, falls ein Quantencomputer den Schlüsselaustausch brechen kann.
Welche Chats schützt Friendstime mit ML-KEM-768?
Den Text privater Chats, wenn beide Konten einen ML-KEM-Schlüssel haben, und den Text von Chat-Gruppen, sobald alle Mitglieder aktuell sind. Ohne solchen Schlüssel wird RSA-OAEP verwendet.
Sind meine Fotos auch post-quanten-geschützt?
In Einzelchats ja, wenn beide Konten einen Schlüssel haben: Der Schlüssel wird mit ML-KEM-768 ausgetauscht, der Inhalt mit AES-256-GCM verschlüsselt. Für Gruppenchats sagen wir das nicht zu; Anrufe sind derzeit nur transportverschlüsselt (Ende-zu-Ende für Bild und Ton ist in der Testphase).
Kombiniert Friendstime ML-KEM mit einem klassischen Verfahren?
Nein. Für den Schlüsselaustausch gibt es derzeit ML-KEM-768 oder RSA-OAEP, keine Kombination aus beiden.