Cloudflare-Forscher skizzieren Post-Quanten-Datenschutz-Token fürs Web: PoMFRIT-Blindsignaturen mit 4,3 KB und 46,6-KB-Schlüsseln, MOLE-Kandidaten mit 6,5 bis 12,0 KB, aber nur Schätzungen unfertiger Verfahren, Sicherheitsbeweise fehlen und der zitierte IETF-Entwurf ist abgelaufen

Am 6. November 2026 haben die Cloudflare-Forscher Christopher Patton, Tianyu Zhang und Bas Westerbaan einen Forschungsbeitrag darüber veröffentlicht, wie Datenschutz-Token im Web Quantencomputer überstehen könnten. Er knüpft an das Positionspapier vom 5. November zu Agenten und Websites an, über das wir am 6. November berichtet haben und das MOLE nannte, einen Entwurf für die nächste Generation von Token im Stil von Privacy Pass. Jenes Papier beschrieb den Plan; dieser Beitrag liefert die Kryptografie dahinter mit ersten Größenschätzungen. Nichts davon ist ausgeliefert. Die Zahlen sind Schätzungen von Cloudflare für Verfahren, die noch in Entwicklung sind.

Der Beitrag trennt zwei Risiken. Privacy Pass nutzt heute klassische Kryptografie, RSA und elliptische Kurven, sodass ein Quantenangreifer Token nach Belieben fälschen und Ratenbegrenzungen umgehen könnte. Aber Privacy Pass ist bedingungslos privat: Kein Angreifer, ob mit oder ohne Quantencomputer, kann die Einlösung eines Tokens mit seiner Ausgabe verknüpfen. Cloudflare sagt, die neuen Fähigkeiten, die es entwirft, könnten diese Garantie halten. Beim heutigen Privacy Pass betrifft der unmittelbare Quantendruck die Fälschungssicherheit; experimentelle Commitments neuer Verfahren erfordern eine gesonderte Datenschutzprüfung. Das Hindernis ist die Größe: Eine ML-DSA-44-Signatur hat 2.420 Byte, eine ECDSA-P256-Signatur nur 64 Byte.

MOLE steht für Moderation Of unLinkable Endorsements. Eine Bestätigung (Endorsement) wird von einem Anker (anchor) ausgestellt und bei einem Moderator eingelöst. Beide Seiten einigen sich auf eine Ankermenge, die öffentlichen Schlüssel der Anker, denen der Moderator vertraut, und der Client beweist, dass ein Anker der Menge seine Bestätigung ausgestellt hat, ohne zu sagen, welcher. Der Moderator stellt dann ein Credential aus, das die spätere Interaktion des Clients steuert. Das Verbergen des Ausstellers ist der Zweck: Eine Website kann Token nicht danach unterscheiden, wer sie ausgestellt hat, sodass mehr Arten von Clients teilnehmen können. Credentials können blinde Signaturen, anonyme Guthaben-Token oder anonyme ratenbegrenzte Credentials sein.

Der vorgeschlagene Baustein verbindet zwei Ideen. Die eine ist VOLE-in-the-Head, ein Zero-Knowledge-Beweissystem, das für Aussagen über kleine Binärkörper konkret effizient ist. Die andere sind multivariate Signaturen, insbesondere Unbalanced Oil and Vinegar (UOV), das Signaturen von 135 Byte, aber öffentliche Schlüssel von 46,6 KB hat. Eine neuere blinde Signatur namens PoMFRIT, veröffentlicht auf der USENIX Security 2026, erreichte 6,7 KB für die Signatur bei nur wenigen hundert Byte bei der Ausstellung. Die Cloudflare-Autoren sagen, der Austausch von MAYO gegen UOV bringe die Signatur auf 4,3 KB, mit NIST-Runde-3-Parametern für UOV und FAEST-EM-128s, und das sei konkurrenzfähig mit gitterbasierten Entwürfen.

Der Beitrag gibt dann Schätzungen für die Verfahren, die er baut. Mit UOV ist jeder öffentliche Schlüssel 46,6 KB groß. PoMFRIT mit UOV kostet unter 1 KB bei der Ausstellung und 4,3 KB bei der Einlösung. VOLE-IHAT, ein Kandidat für MOLE-Bestätigungen, kostet 5,6 KB bei der Ausstellung und 6,5 KB bei der Einlösung. VOLE-ACT, ein Kandidat für MOLE-Credentials, kostet 5,4 KB bei der Ausstellung und 12,0 KB pro Verbrauch (spend). Jede Operation dauert in der Implementierung der Autoren wenige Millisekunden. Das ist deutlich mehr als bei klassischen Entsprechungen, und die Autoren sagen, der Ersatz von RSA-Blindsignaturen durch PoMFRIT habe einen Mehraufwand, der dem Ersatz von ECDSA durch ML-DSA vergleichbar sei. Sie merken an, ein klassisches Token sei vielleicht billig genug, um bei jeder Anfrage eingelöst zu werden, eine Post-Quanten-Einlösung müsse aber wohl auf mehrere Anfragen verteilt werden.

Die Vorbehalte sind der Kern des Beitrags. Die Kryptanalyse multivariater Verfahren ist noch jung. UOV und MAYO haben standgehalten, aber Parameter können sich ändern und Kosten erhöhen. Die kleinsten Größen nutzen eine Optimierung, die auf einer stärkeren Annahme beruht, genannt one-more-UOV, und der Beitrag erwähnt, dass Forscher der UC San Diego und von INRIA kürzlich eine 1024-Bit-RSA-Signatur gefälscht haben, indem sie einen Privacy-Pass-Aussteller als Signaturorakel nutzten, während Privacy Pass selbst 2048-Bit-RSA verwendet. Die auf Fälschung beschränkte Aussage gilt für die genannte one-more-UOV-Optimierung. Sicherheitsbeweise, dass die neuen Verfahren so stark sind wie UOV, stehen noch aus. Ideen wie multivariate Commitments und niedriggradige Pseudozufallsgeneratoren könnten Beweise weiter verkleinern, doch ihre Sicherheit ist noch nicht bekannt. Bei den getrennt untersuchten multivariaten Commitments ist die Parametersicherheit offen; laut Autoren könnte dadurch auch die Privatsphäre der Clients gefährdet sein.

Eine Prüfung auf der Normenseite fügt eine Grenze hinzu. Der Beitrag zitiert den IETF-Entwurf zu Anonymous Rate-Limited Credentials. Die Datatracker-Seite zu diesem Entwurf, draft-ietf-privacypass-arc-crypto-01, führt ihn als abgelaufenen Internet-Draft, zuletzt am 2. März 2026 überarbeitet, als Dokument einer Arbeitsgruppe mit dem Vermerk „Dead“. Das ist nur der Status der zitierten Fassung. Nachfolgedokumente und andere einschlägige Normen wurden nicht vollständig geprüft; daraus folgt keine Aussage über alle aktiven Normen des Bereichs.

Unsere Einschätzung: Das ist Forschung. Die Schätzungen von etwa 4 bis 12 KB betreffen Präsentationsvorgänge wie Einlösung oder Verbrauch; die PoMFRIT-Ausstellung liegt unter 1 KB, bei einem öffentlichen Schlüssel von 46,6 KB. Wenn diese Zahlen Bestand haben, könnte der Übergang vom kryptografischen Entwurf zum Protokoll-Engineering beginnen; Sicherheitsbeweise und weitere Kryptanalyse stehen noch aus. Es gibt weder Produkt noch RFC oder Einführungsdatum. Betreiber sollten Tokengröße, verteilte Einlösung und Parameteränderungen beobachten.