Quipu, klasik ve post-quantum kriptografiyi pure-Rust bir kütüphane ve Python wheel ile bir araya getiriyor

Quipu nedir

Kütüphanenin geliştiricisinin dev.to'daki yazısı, depolanan veriler (data at rest) için tasarlanmış açık kaynaklı bir hibrit post-quantum şifreleme kütüphanesi olan Quipu'yu tanıtıyor. Motivasyonu, harvest-now-decrypt-later (şimdi topla, sonra şifre çöz) problemi: bir saldırgan bugün şifrelenmiş veriyi kaydedip, bugünün açık anahtarlı kriptografisini kırabilecek kapasitede kuantum bilgisayarlar ortaya çıktığında daha sonra şifreli veriyi çözebilir. Quipu'nun cevabı hibrit şifreleme — kanıtlanmış klasik algoritmaları yeni post-quantum olanlarla birleştirmek — böylece gizlilik yalnızca her iki kriptografi sınıfı aynı anda çökerse tehlikeye girer.

Dört binding'den pure Rust'a

Projenin başlangıçta daha geniş hedefleri vardı: C ABI üzerinden sunulan bir Rust çekirdeği ve Python, Node ile Go için binding'ler. dev.to yazısına göre bu tasarım işe yaramıştı; ancak kararlı bir C arayüzünü ve her biri kendi paketleme ve birlikte çalışabilirlik testlerine sahip dört binding paketini sürdürmek, asıl hedef olan depolanmış veriyi koruma amacının önüne geçen bir karmaşıklık yaratıyor, ayrıca geliştiricinin istemediği unsafe kod ile saldırı yüzeyini genişletiyordu.

Kütüphane artık pure Rust: bellek güvenli, garbage collector içermeyen ve birinci taraf unsafe kodu olmayan bir yapıda. Rust kullanmayan geliştiriciler, PyO3 ile derlenen ve pip install quipu-crypto ile kurulabilen yerel bir Python wheel üzerinden hizmet alıyor; Rust geliştiricileri ise cargo add quipu komutunu kullanıyor. Geliştirici bunu, tek bir kod tabanı ve denetlenmesi gereken tek bir şey olarak tanımlıyor; bu yaklaşım, iyi mevcut kriptografiyi yeniden kullanma ve basitliği bir kolaylıktan çok bir güvenlik kararı olarak görme felsefesinin parçası.

Altyapıda neler var

Quipu, kendi kriptografisini icat etmek yerine standart, doğrulanmış bileşenleri bir araya getiriyor:

• Şifreleme: XChaCha20-Poly1305 authenticated AEAD.
• Anahtar türetme: Argon2id ve HKDF.
• Anahtar değişimi: X25519 ile ML-KEM-1024 birleşimi.
• İmzalar: Ed25519 ile ML-DSA-87 birleşimi.

Yazıya göre bu, kütüphaneyi NIST güvenlik kategori 5 seviyesine yerleştiriyor, CNSA 2.0 ile uyumlu sağlıyor ve ML-KEM-1024 ile ML-DSA-87 uygulamaları NIST'in resmi ACFP vektörlerine karşı known-answer testlerinden geçiyor.

Yazıda gösterilen Python API'si iki modu kapsıyor. Simetrik şifreleme, encrypt_stream ve decrypt_stream üzerinden bir parola kullanıyor. Alıcı tabanlı şifreleme, X25519 artı ML-KEM-1024 anahtar çifti üretmek için generate_keypair çağırıyor, ardından veriyi alıcının açık anahtarına encode_to_recipient ile mühürlüyor ve decode_as_recipient ile geri getiriyor.

Açık kaynak, açık bir uyarıyla

Quipu, AGPL-3.0 lisansıyla yayınlandı ve crates.io ile PyPI'da yer alıyor. Dosya biçimi bayt bayt tanımlanmış; geliştiriciye göre bu, biçimin uygulamadan bağımsız olarak denetlenebilir olmasını sağlıyor. Kod, GitHub'da geliştiricinin hesabı altında barındırılıyor.

Yazı, projenin durumu konusunda alışılmadık derecede dürüst: bu bileşim henüz bağımsız bir kriptografik denetimden geçmedi. Bu harici inceleme yapılana kadar geliştirici, Quipu'yu gerçekten yüksek değerli sırları korumak için değil, inceleme ve deneme amaçlı bir yazılım olarak görmeyi öneriyor.

Neden önemli

Harvest-now-decrypt-later, kuantum riskini yıllarca gizli kalması gereken veriler için güncel bir probleme dönüştürüyor: yalnızca klasik algoritmalarla korunmuş arşivler, anahtar materyalleri ve yedekler, şu anda gelecekteki şifre çözme riskine maruz kalıyor. Klasik ve post-quantum bileşenleri eşleştiren hibrit şemalar pratik bir önlemdir ve Quipu, bu yaklaşımı geliştiricilerin gerçekten kullanabileceği bir biçimde sunuyor — iki çağrılık bir API, bellek güvenli pure-Rust bir çekirdek ve diğer herkes için bir Python wheel. En az bunun kadar dikkat çekici olan, denetimin eksikliğine dair açıklık: bu, benimseyenler için dürüst beklentiler oluşturuyor ve projeyi post-quantum göçü hızlandıkça izlenmesi gereken bir proje olarak işaretliyor.