28. Januar 2026·4 Min. Lesezeit

Einführung von pqprobe: Die Quantenschwachstellen finden, die alle übersehen haben

EN | DE

Wir haben pqprobe gebaut, um eine einfache Frage zu beantworten: Ist Ihre Kryptographie bereit für Quantencomputer?

Heute starten wir mit einer Fallstudie darüber, was das Tool findet, wenn Sicherheitsmarketing nicht mit der Implementierung übereinstimmt.

TL;DR

Behauptung Befund
„Post-quantum cryptography by default“ FALSCH für die Anwendungsschicht
„X25519MLKEM768“ in der Codebasis NICHT VORHANDEN (nur TLS, extern)
„Two layers, independent protection“ Layer 2 hat NULL PQC
„Full Matrix E2EE stack“ 100% klassisch, quantenverwundbar

Die korrekte Aussage: „Matrix auf Cloudflare Workers, mit PQC-TLS für Transportsicherheit. Matrix E2EE bleibt klassisch.“

Das Ziel

Am 27. Januar veröffentlichte Cloudflare einen Blogbeitrag, in dem sie einen „Post-Quanten-Matrix-Homeserver“ auf Workers ankündigten. Bis zum nächsten Tag hatte die Matrix-Community Probleme identifiziert: KI-generierter Code mit Authentifizierungslücken, falsch ausgerichtete ASCII-Diagramme, Behauptungen über die Portierung von Software aus Datenbanken, die nie verwendet wurden.

Die Matrix Foundation adressierte die Implementierungslücken. Was sie nicht untersuchten, war die Post-Quanten-Behauptung selbst—und genau dort wird pqprobe gebraucht.

Cloudflares Blog-Behauptungen

„Every connection is protected by post-quantum cryptography by default.“

„X25519MLKEM768 — a hybrid combining classical X25519 with ML-KEM, the post-quantum algorithm standardized by NIST.“

„Two layers, independent protection.“

Cloudflares TLS ist post-quantum. Das ist echt. Sie haben dort gute Arbeit geleistet. Aber Matrix E2EE ist nicht Cloudflares TLS.

Was pqprobe gefunden hat

Wir haben 64 TypeScript-Dateien in 52 ms gescannt:

$ pqprobe-static scan ./matrix-workers

QUANTUM-VULNERABLE CRYPTOGRAPHIC PRIMITIVES DETECTED

Severity    Count   Category
────────────────────────────────────────────────────────────
CRITICAL    14      Placeholder crypto implementations
                    (seed-as-keypair, hash-as-signature)
HIGH        17      Shor-vulnerable asymmetric crypto
                    (Ed25519, Curve25519, ECDSA, RSA)
MEDIUM      101     Classical signing operations (6)
                    Crypto key storage access points (94)
                    Documentation claims vs reality (1)
LOW         2       Grover-reduced symmetric (AES-GCM)
INFO        4       Grover-reduced hashing
                    (SHA-256, HMAC, PBKDF2)
────────────────────────────────────────────────────────────
Total       138
PQC Found   0       NONE DETECTED

Vollständige Scan-Ergebnisse vorübergehend offline bis zu einem erneuten Scan mit pqprobe-static 2.0.0.

Null Post-Quanten-Kryptographie in der Anwendungsschicht. Siebzehn Instanzen von Shor-verwundbarer asymmetrischer Kryptographie im Code—mit exakten Algorithmus-Identifikatoren wie 'ECDSA', 'P-256' und ed25519. Vierzehn kritische Befunde, bei denen die Kryptographie nicht nur quantenverwundbar ist—sie ist Platzhalter-Code. Kommentare wie // Placeholder signature - in production use Ed25519 neben Code wie const signature = hash;.

Die zwei Schichten

Der Blog beschreibt „zwei unabhängige Schutzschichten.“ Hier ist, was jede Schicht tut:

Schicht 1: Transport (TLS)

Schicht 2: Anwendung (Matrix E2EE)

PQC-TLS schützt gegen einen Angreifer, der TLS-Sitzungen passiv auf der Leitung mitschneidet und auf Quantencomputer wartet, um sie zu entschlüsseln. Das ist eine reale Bedrohung, und Cloudflares TLS adressiert sie.

Es schützt nicht gespeichertes kryptographisches Material.

Harvest Now, Decrypt Later

Das Bedrohungsmodell, das die PQC-Einführung antreibt, ist Harvest-now-decrypt-later. Nationalstaaten erfassen heute verschlüsselte Daten, speichern sie und entschlüsseln sie, wenn kryptographisch relevante Quantencomputer verfügbar sind—geschätzt 2030–2040.

Folgendes ist von diesem Matrix-Server abgreifbar:

Aus der D1-Datenbank:

Aus dem Föderationsverkehr:

Shor’s Algorithmus löst das Problem des diskreten Logarithmus effizient. Gegeben einen Curve25519- oder Ed25519-Public-Key, den Private Key ableiten. Die One-Time-Keys im KV-Speicher ermöglichen die Rekonstruktion jeder Olm-Sitzung, jedes Megolm-Sitzungsschlüssels, jeder Nachricht. Die Device-Signing-Keys ermöglichen das Fälschen jedes Geräts, das Nachahmen jedes Benutzers. Die Federation-Server-Keys ermöglichen das Fälschen historischer Events.

PQC-TLS schützt nichts davon. Die Schlüssel sind nicht in der Übertragung. Sie sind gespeichert.

Wen das betrifft

Cloudflare beschrieb ihre Zielgruppe so:

„government messaging systems, open-source communities, and privacy-focused organizations“

Das sind genau die Ziele von Harvest-now-decrypt-later. Der Zeitrahmen für politische Verfolgung übersteigt oft den Zeitrahmen für Quantencomputing. Organisationen, deren Bedrohungsmodelle nationalstaatliche Angreifer mit langem Zeithorizont einschließen, brauchen genaue Informationen darüber, was geschützt ist und was nicht.

Was echtes PQC-Matrix erfordern würde

Damit eine Behauptung „Post-Quanten-Matrix-Homeserver“ zutreffend wäre:

Die Matrix-Spezifikation unterstützt das noch nicht. Kein Homeserver implementiert es.

Eine klassische Matrix-Implementierung „post-quantum“ zu nennen, weil sie hinter PQC-TLS läuft, ist wie den Aktenschrank in Ihrem Haus als sicher vor Angriffen zu bezeichnen, weil Sie mit einem gepanzerten Fahrzeug zur Arbeit fahren.

Weitere Befunde

pqprobes tieferer Scan fand Probleme jenseits der Post-Quanten-Behauptung:

Warum wir pqprobe gebaut haben

Sicherheitsbehauptungen sind leicht zu generieren. Verifizierung erfordert Werkzeuge.

pqprobe scannt Ihre Codebasis und meldet, was quantenverwundbar, was quantenresistent und was fehlend ist.

Probieren Sie es mit Ihrem eigenen Code: pqprobe.com

pqprobe fand 138 Probleme in 52 ms. Diesen Beitrag zu schreiben dauerte länger als das Marketing zu widerlegen.

← Alle [PQ]files