Laut Ars Technica veröffentlichte Signal Messenger im Oktober 2025 einen Bericht über eine weitere Quantenresistenz-Aktualisierung des Signal-Protokolls, nach der PQXDH-Handshake-Änderung von 2023. Der Handshake war sicher gegen Quantenangriffe, aber die ephemeren Schlüssel im Ping-Pong-Diffie-Hellman-Ratchet waren es nicht. Signal entschied sich, diesen bewährten Ratchet beizubehalten und einen dritten Ratchet auf Basis von ML-KEM-768 hinzuzufügen, anstatt ihn zu entfernen.
Das Hindernis war die Größe: Ein X25519-Schlüssel ist etwa 32 Byte groß, aber der ML-KEM-Schlüssel plus Ciphertext umfasst insgesamt 2.272 Byte, eine 71-fache Steigerung, in einem Protokoll, das asynchron über unzuverlässige oder feindliche Netzwerke funktionieren muss. Einen Schlüssel nur bei jeder 50. Nachricht oder wöchentlich zu senden, scheitert, wenn Nachrichten verloren gehen oder wenn ein Angreifer die größeren Nachrichten verwirft. Das Senden von 71 Chunks scheitert, wenn ein Angreifer immer wieder einen Chunk verwirft.
Signals Antwort waren Erasure-Codes: Der Schlüssel wird in Teile zerlegt, sodass nur eine ausreichende Teilmenge der Teile benötigt wird, um ihn wiederherzustellen, wodurch Paketverlust toleriert wird. Die KEM-Berechnung wurde außerdem in kleinere Schritte aufgeteilt, sodass Teile des öffentlichen Schlüssels und des Ciphertexts parallel gesendet werden können.
Der große Schlüssel wird in erasure-kodierte Chunks aufgeteilt, die über gewöhnliche Nachrichten versendet werden, sodass jede ausreichend große Teilmenge ihn wiederherstellt, selbst wenn einige verworfen werden.
Die Beibehaltung der bestehenden Ratchets bewahrt bewährten Code und den Schutz gegen heutige klassische Angreifer.
Erasure-Coding bedeutet, dass jede ausreichende Anzahl von Chunks den Schlüssel wiederherstellt, sodass verworfene Nachrichten den Austausch nicht blockieren.
Ein Angreifer kann die Schlüsselerneuerung nicht blockieren, indem er ein bestimmtes Paket verwirft, da kein einzelner Chunk erforderlich ist.
Die Aufteilung der KEM-Berechnungen ermöglicht paralleles Arbeiten und begrenzt die Leistungskosten.
Wenn eine neue Anforderung zu groß für ein einzelnes Paket ist, sollte man sie aufteilen, sodass Verlusttoleranz in die Kodierung eingebaut wird, anstatt zu hoffen, dass der Datenstrom intakt bleibt.
Ein ehemaliger Post-Quanten-Leiter bei Microsoft nannte das Design eine solide, durchdachte Verbesserung und wies auf Optimierungen hin, die die Auswirkungen auf die Netzwerkleistung minimieren. Der Ars-Artikel stellt Signal als Ausnahme dar: Nur 18 Prozent der Fortune-500-Netzwerke und weniger als die Hälfte der TLS-Verbindungen innerhalb von Cloudflare unterstützten damals quantenresistentes TLS. Der Auszug enthält keine gemessenen Leistungszahlen.
DEN BELEGEN FOLGEN
Die Quellen
- Why Signal's post-quantum makeover is an amazing engineering achievement Ars Technica · arstechnica.com ·