用于通信的后量子加密
Tosh Defence 的 Sanket (Sanket.Chat) 在每次会话的两个阶段均采用混合后量子密码技术保护消息：建立会话时采用带有后量子 Kyber 预密钥的 PQXDH，持续通信时采用 Signal 的稀疏后量子棘轮机制（SPQR），将 ML-KEM 共享秘密混入持续运行的 Double Ratchet。传输层还采用混合 X25519MLKEM768 密钥交换，并在网络边缘优先提供该机制，以防止录制的流量遭受“现在收集、以后解密”攻击。
攻击者可以现在记录加密流量，待具备相应能力的量子计算机出现后再尝试解密。需要保密多年的信息现在就需要后量子保护，而 SANKET 通过 Signal 经审计的 libsignal 提供这种保护。
从第一条消息开始的后量子防护
Sanket 的每个会话都以 X3DH 的后量子扩展 PQXDH 启动。发起方将 3 或 4 次 X25519 密钥协商与针对接收方设备某个一次性 Kyber 预密钥的 Kyber 密钥封装相结合，并从所有这些结果中派生会话密钥。即使有人现在记录握手过程、日后获得量子计算机，也无法从中恢复会话密钥。
安装环境在存储每个 Kyber 预密钥前，都会使用 libsignal 验证其签名；每个预密钥包都必须包含一个 Kyber 后备预密钥，因此会话绝不会在缺少后量子组件的情况下启动。
覆盖整个会话的后量子防护：SPQR
Sanket 的 libsignal 版本在所有会话中并行运行 Signal 的稀疏后量子棘轮与 Double Ratchet，将从 ML-KEM 派生的秘密值混入消息密钥。Signal 将这种组合称为三重棘轮。要恢复消息密钥，攻击者必须在整个对话生命周期内同时攻破椭圆曲线和后量子组件。
混合式后量子TLS
在 TLS 1.3 中，边缘节点优先提供混合密钥交换组 X25519MLKEM768。其共享密钥结合了 X25519 和 ML-KEM-768，因此，除非两者均被攻破，否则已被录制的会话仍保持机密。任何其 TLS 协议栈支持该组的客户端都会协商使用该组，该部署向外建立的连接也会提供该组。
密码套件仍仅限 AES-256-GCM，对称加密全程使用 256 位密钥；这一密钥长度被认为足以抵御已知的量子攻击。
- 优先提供 X25519MLKEM768
- 仅使用 AES-256-GCM 密码套件
- 无需记录连接者身份即可衡量协商组
- 握手交互记录经过端到端认证
为未来需求做好准备
SANKET 在设计上具备密码算法敏捷性。libsignal 采用版本管理，因此新密码学基础组件可随库升级引入，PQXDH 和 SPQR 就是如此。传输加密套件组通过网络边缘配置管理，通话加密采用由服务器强制执行的编号配置方案，所有应用层 AES-GCM 操作均通过同一个严格的辅助模块。用于软件发布和许可证的 Ed25519 与 ML-DSA 混合签名已完成设计并列入路线图，待经过独立审计的 ML-DSA 实现可用后启用。
技术验证材料
在 SANKET 白皮书中了解详情
本页面的每项陈述均在公开的 Sanket 技术安全与架构白皮书中完整阐述，无需注册即可免费阅读。
SANKET 是否提供抗量子攻击的安全消息通信？
SANKET 的消息通信通过 Signal 官方的 libsignal，在会话建立阶段（采用 PQXDH 与 Kyber-1024）和后续棘轮机制（采用 SPQR）中均使用混合后量子密码学。攻击者必须同时攻破传统密码学组件和后量子密码学组件。
PQXDH 是什么？
PQXDH 是 Signal 的 X3DH 密钥协商后量子扩展。它在 X25519 密钥协商中加入 Kyber 密钥封装，因此已被记录的握手过程无法在日后通过量子计算机解密。该协议已接受形式化分析。
SPQR（即三重棘轮协议）是什么？
SPQR 是 Signal 的稀疏后量子棘轮机制。它与 Double Ratchet 并行运行，将由 ML-KEM 派生的秘密值混入消息密钥，使后量子防护从会话开始延伸至整个对话。
SANKET 是否使用后量子 TLS？
是。边缘节点在 TLS 1.3 中优先提供混合 X25519MLKEM768 密钥交换，安装实例的出站连接也提供该密钥交换。TLS 协议栈支持此方式的客户端会自动协商使用。
什么是“现在收集，日后解密”？
这种做法是现在记录加密流量，待具备相应能力的量子计算机出现后再将其解密。Sanket 采用的混合后量子密钥协商可保护已记录的流量，防止其遭到这种解密。
AES-256 能抵御量子计算攻击吗？
以其 256 位密钥长度，AES-256 被认为足以抵御已知的量子攻击，因此 SANKET 全面使用 256 位对称密钥。