Migrujesz do kryptografii postkwantowej? Nadal potrzebujesz prawdziwej losowości.

1. Co komputery kwantowe faktycznie łamią, a czego nie

Algorytm Shora łamie matematykę, na której opiera się RSA i kryptografia krzywych eliptycznych: faktoryzację dużych liczb i logarytm dyskretny. To cały powód istnienia migracji postkwantowej: te problemy przestają być trudne, gdy wystarczająco duży komputer kwantowy uruchomi przeciw nim algorytm Shora. Algorytm Grovera wpływa na kryptografię symetryczną i haszowanie, mniej więcej o połowę zmniejszając ich efektywne bezpieczeństwo, dlatego wytyczne postkwantowe zalecają większe klucze (AES-256 zamiast AES-128, SHA-384/512 zamiast SHA-256).

Żaden z tych algorytmów nie ma nic wspólnego z tym, jak generator liczb losowych w ogóle produkuje nieprzewidywalność. Słaby RNG jest słabym RNG niezależnie od tego, czy atakujący ma komputer kwantowy, czy nie. Silne fizyczne źródło entropii pozostaje silne bez względu na to, jaki komputer w końcu spróbuje złamać zbudowaną na nim kryptografię.

2. Algorytmy postkwantowe potrzebują więcej losowości, nie mniej

Schematy oparte na kratach, ML-KEM (Kyber) do wymiany kluczy i ML-DSA (Dilithium) do podpisów, próbkują z rozkładów prawdopodobieństwa nad dużymi pierścieniami wielomianowymi metodą rejection sampling i dyskretnego próbkowania Gaussa, zużywając znacznie więcej losowych bajtów na klucz czy podpis, niż kiedykolwiek potrzebowały RSA czy ECDSA. Podpisy oparte na funkcjach skrótu jak SLH-DSA (SPHINCS+) generują ogromne liczby jednorazowych par kluczy, całkowicie uzależnione od naprawdę świeżego, nieprzewidywalnego strumienia bajtów. Obciążony albo przewidywalny RNG pod tymi schematami to nie teoretyczna obawa: to ta sama klasa błędu, która sprawiła, że ponowne użycie nonce w ECDSA było katastrofalne, teraz przeciwko algorytmom, które mają więcej losowości do zepsucia.

3. Chwila, czy szum radiowy i kosmiczny też nie jest kwantowy?

Na najgłębszym poziomie, tak. Fale radiowe to fotony, a szum termiczny (Johnsona-Nyquista) w ostateczności bierze się z kwantowo-mechanicznego ruchu elektronów. Niemal wszystko fizyczne jest „kwantowe”, jeśli zejść wystarczająco głęboko. To jednak nie jest rozróżnienie, które tu naprawdę ma znaczenie.

Dedykowany sprzęt kwantowego RNG izoluje pojedynczy pomiar kwantowy: foton trafiający w jedną albo drugą stronę rozdzielacza wiązki, albo odczyt fluktuacji próżni, którego wynik jest losowy z mocy samej reguły Borna, formalna gwarancja z mechaniki kwantowej, niezależna od złożoności otaczającego układu. Galactropy zamiast tego czerpie nieprzewidywalność z makroskopowego, wielowymiarowego środowiska termicznego i radiowego: połączonego, chaotycznego ruchu miliardów elektronów oraz otoczenia widma radiowego, próbkowanego zwykłym sprzętem SDR. Oba zjawiska są fizycznie realne i oba są w praktyce nieprzewidywalne; tylko to pierwsze niesie ze sobą konkretną, certyfikowaną gwarancję losowości kwantowej. To jest realne rozróżnienie warte poznania w kontekście źródła entropii, a nie to, czy gdzieś w fizyce „jest zaangażowana” mechanika kwantowa, bo jest zawsze.

4. Weryfikowalne dziś, weryfikowalne też po dniu Q

Dziennik audytowy Galactropy jest obecnie podpisywany Ed25519, który sam w sobie nie jest bezpieczny postkwantowo, podobnie jak większość podpisów zabezpieczających dzisiejszy internet. Gdy migracja podpisów postkwantowych dotrze do infrastruktury takiej jak ta, łańcuch audytowy przejdzie razem z nią. Co się nie zmienia, to źródło: fizyczny szum radiowy pozostaje nieprzewidywalny niezależnie od tego, jak daleko zajdzie rozwój komputerów kwantowych. To inna właściwość niż „podpis pod tym konkretnym rekordem akurat dziś jest klasyczny”, i to ta, która faktycznie ma znaczenie dla samej entropii.

5. Gdzie to realnie pomaga

Kilka konkretnych sytuacji, w których domieszkowanie niezależnego, weryfikowalnego źródła entropii ma sens podczas przejścia na postkwantowość:

Minimalny przykład: pobierz entropię i domieszkuj ją do puli przed wygenerowaniem kluczy:

curl -s "https://galactropy.com/raw?bytes=4096" >> /dev/urandom

Potem uruchom swoje generowanie kluczy postkwantowych normalnie. liboqs, oqs-provider dla OpenSSL czy jakakolwiek inna biblioteka automatycznie skorzysta z już wzbogaconej puli.