防范针对IPsec的量子降级攻击
内容提要
Cloudflare与IETF合作，为IPsec协议开发了防量子降级攻击的扩展。攻击者可在握手期间利用量子计算实时破解经典密钥交换并伪造身份，从而解密流量。新扩展要求双方签署完整握手记录，并通过无条件通知机制防止降级。该功能已在Cloudflare WAN和Magic Transit中开放测试，需联系客户经理启用。
延伸解读
量子降级攻击的独特威胁
与“先收集、后解密”的离线量子攻击不同，IPsec降级攻击要求攻击者在握手期间实时完成量子计算，以破解经典密钥交换并伪造身份。这种在线计算难度更高，但一旦成功，攻击者可解密所有流量。文章指出，尽管此类攻击可能不是量子计算机的首个目标，但考虑到IPsec生态升级周期长，提前防范是明智之举。
IPsec协议的设计缺陷
IKEv2协议中，每个端点仅签名自己发出的消息，而不签名完整的握手记录。这导致攻击者可以制造“分裂视图”：让发起方和响应方看到不同的消息序列，从而实施降级攻击。文章提到，这一缺陷已存在至少十年，但在量子时代获得了新的严重性。现代协议如TLS 1.3通过签名完整握手记录来防止此类攻击。
无条件通知机制如何防止降级
新扩展IKE_SA_INIT_FULL_TRANSCRIPT_AUTH要求双方在初始交换中无条件发送支持通知，即使对方未先发送。如果攻击者丢弃任一方的通知，双方认证逻辑将不匹配，导致认证失败。若攻击者丢弃双方通知，则需同时伪造发起方和响应方的签名，难度极大。这种设计巧妙地使扩展自身免受降级攻击。
部署现状与用户行动建议
Cloudflare已在Cloudflare WAN和Magic Transit中推出该扩展的测试版，客户可通过客户经理启用ipsec_downgrade_protection标志。文章建议客户联系账户团队进行测试，并鼓励IPsec生态其他厂商跟进实现。该扩展即将成为RFC标准，但全面部署仍需时间，用户应关注升级进度并评估自身风险。
Q&A
什么是针对IPsec的量子降级攻击？
量子降级攻击是指攻击者通过操纵IPsec握手消息，使通信双方误以为对方不支持后量子加密，从而将连接降级到经典加密。这样，攻击者可以利用量子计算机实时破解经典密钥交换，进而解密所有流量。
IPsec协议为什么容易受到降级攻击？
IPsec的IKEv2协议在初始交换中协商参数，且每个端点只签名自己发出的消息，不签名整个握手记录。这导致攻击者可以制造“分裂视图”，使双方看到不同的消息序列，从而在不被察觉的情况下降级加密强度。
Cloudflare如何帮助防御IPsec量子降级攻击？
Cloudflare与IETF合作开发了IKEv2扩展IKE_SA_INIT_FULL_TRANSCRIPT_AUTH，要求双方签署完整的握手记录，并通过无条件通知机制防止降级。该扩展已在Cloudflare WAN和Magic Transit中开放测试，客户可联系客户经理启用。
IKE_SA_INIT_FULL_TRANSCRIPT_AUTH扩展是如何防止降级的？
该扩展要求双方在认证时签署整个握手记录，而非仅自己的消息。同时，支持该扩展的通知是无条件发送的：即使对方未通知，本方也会发送。如果攻击者丢弃任一方的通知，会导致认证失败；如果丢弃双方的通知，则攻击者需要伪造双方的签名，这在实际中不可行。
量子降级攻击与“先存储后解密”攻击有何不同？
量子降级攻击需要量子计算机在握手期间实时进行破解，属于在线攻击；而“先存储后解密”攻击是攻击者先截获加密数据，等量子计算机成熟后再离线解密。前者实施难度更高，但一旦成功可实时解密流量。
如何启用Cloudflare的IPsec降级保护功能？
客户需要联系其客户经理，请求为账户启用ipsec_downgrade_protection标志。启用后，IKE_SA_INIT_FULL_TRANSCRIPT_AUTH通知将在IKE_SA_INIT响应中发送。该功能目前处于测试阶段，待充分测试后Cloudflare将为所有客户账户启用。
