Signal contrabandeou chaves pós-quânticas de 2.272 bytes por meio de chat usando blocos com codificação de apagamento

Segundo a Ars Technica, o Signal Messenger publicou em outubro de 2025 um relatório sobre mais uma atualização de resistência quântica ao Protocolo Signal, após a mudança de handshake PQXDH de 2023. O handshake era seguro contra ataques quânticos, mas as chaves efêmeras no ratchet de Diffie-Hellman de ping-pong não eram. O Signal optou por manter esse ratchet já testado em batalha e adicionar um terceiro ratchet construído sobre ML-KEM-768, em vez de removê-lo.

O obstáculo era o tamanho: uma chave X25519 tem cerca de 32 bytes, mas a chave ML-KEM mais o texto cifrado somam 2.272 bytes, um aumento de 71 vezes, em um protocolo que precisa funcionar de forma assíncrona em redes não confiáveis ou hostis. Enviar uma chave apenas a cada 50ª mensagem ou semanalmente falha se mensagens forem perdidas, ou se um atacante descartar as mensagens maiores. Enviar 71 blocos falha se um adversário continuar descartando um bloco.

A resposta do Signal foram os códigos de apagamento: a chave é dividida em pedaços de modo que apenas um subconjunto suficiente de pedaços seja necessário para reconstruí-la, tolerando perda de pacotes. O cálculo do KEM também foi dividido em etapas menores para que partes da chave pública e do texto cifrado possam ser enviadas em paralelo.

Dividir a chave grande em blocos com codificação de apagamento enviados entre mensagens comuns, de modo que qualquer subconjunto suficientemente grande a reconstrua mesmo se alguns forem descartados.

Manter os ratchets existentes preserva código já testado em batalha e a proteção contra os atacantes clássicos de hoje.

A codificação de apagamento significa que qualquer quantidade suficiente de blocos reconstrói a chave, então mensagens descartadas não travam a troca.

Um atacante não consegue bloquear a renovação da chave descartando um pacote específico, porque nenhum bloco individual é obrigatório.

Dividir os cálculos do KEM permite que o trabalho seja executado em paralelo, limitando o custo de desempenho.

Quando um novo requisito for grande demais para um único pacote, divida-o de modo que a tolerância a perdas seja incorporada à codificação, em vez de esperar que o fluxo permaneça intacto.

Um ex-líder de pós-quântica da Microsoft chamou o design de uma melhoria sólida e criteriosa e observou otimizações que minimizam o impacto no desempenho da rede. A matéria da Ars enquadra o Signal como uma exceção: na época, apenas 18 por cento das redes Fortune 500 e menos da metade das conexões TLS dentro da Cloudflare suportavam TLS resistente a quântica. O trecho não fornece números medidos de desempenho.