Wir nennen das sicher, was wir noch nicht zu brechen wissen.
Es gibt eine Frage, die die Kryptographie nicht gut beantwortet: Wann können wir sagen, dass etwas sicher ist? Ich meine nicht die praktische Sicherheit — Schlüssel ausreichender Länge, Parameter, die einen Angriff teurer machen als jede verfügbare Ressource — sondern die grundlegende Sicherheit, die verspricht, nicht nur den Angriffen von heute, sondern auch denen von morgen zu widerstehen.
Kyber, der Post-Quanten-Standard, den das NIST 2024 ausgewählt hat, ist nach allen bekannten Analysen sicher. Aber diese Sicherheit beruht auf einer Vermutung: dass das Learning With Errors (LWE)-Problem über Polynommoduln keine effiziente Lösung hat, weder klassisch noch quantenbasiert.
Es gibt keinen Beweis. Es gibt keinen Nachweis. Es gibt einen Vertrag.
Die Struktur des Sprungs
Die moderne asymmetrische Kryptographie stützt sich auf Härtevermutungen. RSA beruht auf der Schwierigkeit, große ganze Zahlen zu faktorisieren. ECDH beruht auf dem diskreten Logarithmus auf elliptischen Kurven. Kyber beruht auf LWE.
Der Unterschied ist, dass RSA und ECC vor einem ausreichend großen Quantencomputer fallen — Shors Algorithmus löst sie in Polynomialzeit — während LWE keinen bekannten Shor hat. Aber "keinen bekannten Shor haben" ist nicht dasselbe wie "unbrechbar sein".
Wissensstand (Juli 2026):
RSA-2048: Shor bricht sie mit ~4099 logischen Qubits
ECC P-256: Shor bricht sie mit ~2330 logischen Qubits
Kyber-768: Kein subexponentieller Quantenangriff bekannt
Offene Frage: Gibt es einen Quantenalgorithmus für LWE?
Antwort: Man weiß es nicht. Es ist eine Vermutung.
Die Vermutung ist plausibel: Dreißig Jahre Analyse haben keinen effizienten Algorithmus gegen LWE gefunden, nicht einmal mit Quantenunterstützung. Aber die Geschichte der Kryptographie ist voll von Vermutungen, die plausibel waren — bis sie es nicht mehr waren.
Der Gesellschaftsvertrag der Sicherheit
Rousseau schrieb, dass die Gesellschaft auf einem Vertrag gründet: Die Individuen geben einen Teil ihrer Freiheit auf, um kollektive Sicherheit zu erhalten. Die Kryptographie funktioniert genauso. Jedes Mal, wenn wir Kyber — oder RSA, oder ECC — verwenden, unterschreiben wir einen stillschweigenden Vertrag:
Wir akzeptieren, dass die Sicherheit dieses Schemas ausreichend für die absehbare Gegenwart ist, und vertrauen darauf, dass die Kryptographie-Community uns warnt, wenn die Vermutung nicht mehr haltbar ist.
Es ist kein Versprechen ewiger Sicherheit. Es ist ein Pakt der Transparenz: Solange das Schema der öffentlichen Prüfung standhält, betrachten wir es als sicher. Wenn jemand einen Angriff findet, migrieren wir.
# Der kryptographische Vertrag, informell ausgedrückt
def ist_sicher(schema, zeit):
bekannte_angriffe = kryptoanalyse(schema)
if not bekannte_angriffe:
return True # vorerst
else:
return all(a.kosten > VERFUEGBARE_RESSOURCEN for a in bekannte_angriffe)
Die Variable VERFUEGBARE_RESSOURCEN ändert sich mit der Zeit. Nicht nur durch technologischen Fortschritt, sondern durch das Aufkommen neuer Rechenparadigmen.
Das Induktionsproblem
Hume wies darauf hin, dass wir die Induktion logisch nicht rechtfertigen können: Die Annahme, dass die Sonne morgen aufgehen wird, weil sie an allen vorherigen Tagen aufgegangen ist, ist ein Glaube, keine beweisbare Wahrheit. Die Kryptographie leidet unter demselben Problem.
Dass LWE dreißig Jahre Analyse standgehalten hat, garantiert nicht, dass es weitere dreißig Jahre standhalten wird. Dass kein bekannter Quantenalgorithmus LWE löst, garantiert nicht, dass keiner existiert. Post-Quanten-Kryptographie ist in diesem Sinne eine Übung in angewandter Induktion: Wir nehmen an, dass die Zukunft der Vergangenheit ähneln wird.
Es ist keine rigorose Formel — sie kann es nicht sein — aber sie beschreibt das implizite Kriterium, das wir verwenden, um einem Schema zu vertrauen. Classic McEliece mit ~40 Jahren Analyse und einer konservativeren Struktur (Goppa-Codes) hätte einen höheren Wert als Kyber mit ~20 Jahren und einer neueren Struktur. Aber Classic McEliece hat Schlüssel von ~1 MB, und das macht es für fast alles unpraktikabel.
Sicherheit ist nicht nur Mathematik. Sie ist auch Logistik.
Was bedeutet dann "sicher"?
Im Bereich von Kyber bedeutet "sicher":
- Widerstand gegen bekannte Angriffe: Kein veröffentlichter praktischer Angriff bricht die empfohlenen Parameter.
- Sicherheitsmargen: Die Parameter sind mit einem Sicherheitsfaktor gewählt, der das Notwendige gegen die besten bekannten Angriffe deutlich übersteigt.
- Kontinuierliche Analyse: Die Kryptographie-Community untersucht das Schema seit 2017 und hat keine grundlegenden Schwächen gefunden.
- Mehrere Implementierungen: Es existieren unabhängige Implementierungen (C, Go, Rust, Python), die sich gegenseitig verifizieren.
- Frühe Adoption: Die Prüfung, die mit der massiven Bereitstellung einhergeht (Chrome, Cloudflare, Signal), ist die anspruchsvollste Form der Auditing.
Keines dieser Kriterien ist ein Beweis. Sie sind Indikatoren. Das Vertrauen in Kyber ist vernünftig — vernünftiger als das Vertrauen in RSA/ECC auf lange Sicht — aber es bleibt Vertrauen, keine Gewissheit.
In II: Die Schicht, die versagt werden wir den Abgrund zwischen dem Algorithmus und seiner Implementierung erkunden: wie ein mathematisch solides Schema durch einen Fehler in Dart-Code, eine nicht konstante Zeitvariable oder einen Compiler, der optimiert, wo er nicht sollte, zusammenbrechen kann.
Querverweise zur Forschung:
- Grundlagen von LWE — Die Härtevermutung von LWE im technischen Detail
- Bekannte Angriffe — Stand der Kunst der Kryptoanalyse gegen Kyber
- Standardisierung — Der NIST-Prozess und die Kontroversen um das Vertrauen in Gitter
- Schlussfolgerungen — Integrierte Analyse über die vorläufige Natur der Sicherheit