(Newton sagt, dass man später schmerzfrei auf post-quanten-sichere Verschlüsselung upgraden kann. Aber ich möchte eigentlich wissen: Kann man die jetzt gestohlenen Daten wieder rückgängig machen?)
Im letzten Abschnitt des Whitepapers wird ein Design angesprochen, das ich zuvor komplett übersehen hatte: Ob N ewtons Verschlüsselungskonzept überhaupt mit den zukünftigen Quantencomputern zurechtkommt. Das klingt wie ein ferner Science-Fiction-Fall. Aber als ich dann recherchiert habe, habe ich festgestellt: Das passiert eigentlich schon – es ist kein „erst später“-Thema.
Zuerst mal: Was wird in diesem Abschnitt des Whitepapers ganz konkret erklärt? Die Privacy-Layer von Newton nutzt HPKE, einen hybriden Public-Key-Verschlüsselungsstandard. Darin gibt es ein Modul, das ausgetauscht werden kann – aktuell wird ein Verschlüsselungsalgorithmus wie X25519 verwendet. Wenn später Algorithmen, die besser gegen Quantenangriffe schützen (zum Beispiel der von den USA im Jahr 2024 offiziell festgelegte ML-KEM-Standard), ausgereift sind, müsste theoretisch nur dieses eine Modul ersetzt werden. Das bedeutet: kein komplettes Neudesign des gesamten Protokolls, keine Änderungen an der Client- und der von den Strategieverfassern geschriebenen Software. Denn der HPKE-Standard ist so konzipiert, dass die „Bauteile im Inneren“ austauschbar sind. Diese Designidee finde ich gut: Wenn Protokolle ernsthaft die Frage nach Post-Quanten-Sicherheit berücksichtigen wollen, geraten sie oft in die Situation, dass sie alles von Grund auf neu entwerfen müssen. Newtons Ansatz mit einer „modularen, vorausgedachten Schnittstelle“ ist zumindest aus Engineering-Sicht klug.
Aber ich finde, hier steckt eine noch viel wichtigere Frage — das Whitepaper erwähnt sie überhaupt nicht: Daten, die heute mit alten Algorithmen verschlüsselt wurden, sind bis zu dem Tag, an dem neue Algorithmen wirklich umgesetzt sind, längst nicht mehr sicher.
Dahinter steckt eine Logik, die in der Kryptographie-Community schon seit Jahren diskutiert wird, nämlich „erst stehlen, dann entschlüsseln“: Der Angreifer muss deine Verschlüsselung nicht sofort knacken können. Es reicht, die verschlüsselten Daten heute zu stehlen und sie aufzubewahren, bis irgendwann in der Zukunft — wenn Quantencomputer wirklich soweit sind — diese Algorithmen geknackt werden können, und dann die Daten zurückzuentschlüsseln. Bei einer einmaligen Transaktion ist dieses Risiko vielleicht gering — schließlich haben die Daten nach Ablauf der Gültigkeit keinen Wert mehr. Aber Newton verschlüsselt nicht nur etwas Einmaliges. In dem Whitepaper steht das ganz klar: KYC-Aufzeichnungen, Finanzbelege, Identitätsinformationen — diese Daten sollen langfristig on-chain verschlüsselt gespeichert werden. Im Kern handelt es sich um einen Datentyp, der für genau diese Art von Asset steht: „Heute stehlen, auch in zehn Jahren entschlüsseln können“.
Mit anderen Worten: Ob man N ewtons aktuelle Algorithmen austauschen kann und wann, ist nicht die entscheidende Frage. Entscheidend ist vielmehr, wie viele verschlüsselte Daten in der Zeitspanne vom heutigen Tag bis zur „echten“ Bereitstellung der nächsten postquantensicheren Algorithmen bereits von jemandem heimlich gespeichert wurden — in Erwartung, dass man später die Rechnung präsentiert. Das modulare Design löst „können wir später upgraden?“; es löst nicht „können wir das beheben, was vor dem Upgrade bereits geleakt und als alte Chiffren abgelegt wurde?“. Wenn die Schlüssel gewechselt werden, bedeutet das nicht, dass die bereits gestohlenen Chiffren automatisch wieder sicher werden — diese Chiffren liegen längst still und heimlich auf einer Festplatte eines Angreifers. Die neuen Algorithmen schützen die zukünftigen Verschlüsselungsdaten, aber sie schützen nicht die Vergangenheit, die schon geleakt wurde.
Das ist ein bisschen so, als hätte jemand heimlich einen Schlüssel zu eurer Haustür nachmachen lassen. Du setzt später ein stabileres neues Schloss ein — das schützt dich zwar künftig davor, dass man die Tür noch einmal aufhebeln will, aber die Person, die den Schlüssel nachgemacht hat, war bereits im Haus und hat Fotos gemacht. Diese Fotos werden nicht automatisch zerstört, nur weil du das Schloss gewechselt hast. Selbst wenn das Schloss noch so gut ist: Es löst das Problem von morgen, nicht das, was heute schon passiert ist — das heimliche Fotografieren.
Ich weiß nicht, ob Newton das Risiko dieser Zeitspanne bereits bewertet hat — vom Mainnet Beta, das jetzt mit X25519 verschlüsselt, bis zur tatsächlichen Umstellung auf postquantensichere Algorithmen. Wie viele Transaktionen, die Identitäts- und Finanzinformationen betreffen, werden in dieser Zeitspanne aufgezeichnet, verschlüsselt und möglicherweise von einigen Angreifern, die vorausgeplant haben, heimlich archiviert? Theoretisch lässt sich diese Zahl abschätzen (indem man das Transaktionsvolumen seit Beta mit dem Anteil multipliziert, der sensible Daten betrifft), aber ich habe in keinerlei öffentlichen Unterlagen Hinweise auf eine solche Offenlegung von Risiken gefunden.
Meine Einschätzung ist: „Modular aufrüstbar“ zu gestalten ist an sich richtig und anerkennenswert, aber es löst ein eher zweitrangiges Problem — nämlich die zukünftige Flexibilität des Protokolls. Was die Qualität von N ewtons Privacy-Versprechen wirklich bestimmt, ist, ob es die Größenordnung seiner Exposure in den letzten Jahren ernsthaft bewertet hat, nachdem der Branche das Risiko von „erst stehlen, dann entschlüsseln“ bereits öffentlich bekannt war — statt diese Aufgabe komplett dem eigenen Ich in zehn Jahren zu überlassen. Der Konsens in der Kryptographie-Community lautet: Je sensibler die Daten sind, die man langfristig aufbewahren will, desto eher sollte man heute schon mit postquantensicheren Algorithmen verschlüsseln und nicht warten, bis die Algorithmen in der Zukunft reif sind — denn in dem Moment des Wechsels kann nur das neu entstehende Datenmaterial geschützt werden. Der Switch schützt also nicht, was danach bereits ab jetzt geschützt werden könnte, sondern nur Daten, die erst danach produziert werden.