Planlægning af migrering til postkvantestandarder

Migrering af kryptografisk infrastruktur er ikke et kortsigtet projekt. Store organisationer bruger 10-15 år på at opdatere alle systemer fuldstændigt. NIST vurderer, at kvantecomputere, der kan bryde RSA-2048, kan eksistere inden for 10-30 år. På grund af truslen ved at indsamle data nu og dekryptere dem senere samt de lange migreringstider skal organisationer begynde planlægningen i dag, selv om den umiddelbare kvantetrussel virker fjern.

Kryptografisk agilitet betyder, at systemer udformes, så kryptografiske algoritmer kan udskiftes uden at hele arkitekturen skal redesignes. Et agilt system samler algoritmevalget i konfigurationen, bruger abstrakte nøgletyper og afkobler protokollogikken fra specifikke krypteringsimplementeringer. Systemer, der indlejrer RSA eller ECDH direkte i protokollogikken, kræver langt dyrere migreringer end agile systemer.

Det første trin i migreringen er at katalogisere alle kryptografiske primitiver i dit system: hvor RSA, ECDH, ECDSA og symmetriske algoritmer bruges, i hvilke sammenhænge (TLS, kodesignering, kryptering af data i hvile, godkendelsestokens), og hvilke datas levetider der er tale om. NIST IR 8547 og CISA's vejledning anbefaler at bruge automatiserede værktøjer til at finde hårdkodede nøgler og algoritmeidentifikatorer i kodebaser og konfigurationer.

TLS 1.3 understøtter hybridnøgleudveksling, der kombinerer X25519 og ML-KEM-768 som specificeret i IETF-udkastet draft-ietf-tls-hybrid-design. Den hybride NamedGroup X25519MLKEM768 sender både klassiske og PQC-nøgleandele i ClientHello. Den fælles hemmelighed er hashværdien af begge resultater. Det kræver ingen ændringer af protokollen på servere, der understøtter den nye NamedGroup, og er bagudkompatibelt med klienter, der ikke gør.

NIST IR 8413 (2022) indeholder migreringsvejledning for postkvantekryptografi. Den kategoriserer systemer i tre zoner: akut kritiske (hemmeligheder med lang levetid, der er udsat for risikoen for at blive indsamlet nu og dekrypteret senere), mellemlang sigt (data med en følsomhed på 5-10 år) og lav prioritet (flygtige eller kortvarige data). NIST anbefaler at prioritere PKI samt certifikat-infrastrukturen, fordi ændringer af rodcertifikater påvirker hele tillidskæder.

Truslen med at høste data nu og dekryptere dem senere (HNDL) er den mest presserende grund til at indføre postkvantekryptering med det samme, selv før der findes kvantecomputere. Modstandere (nationalstater) optager krypteret trafik i dag i forventning om at kunne dekryptere den, når en kvantecomputer bliver tilgængelig. Data med langvarige fortrolighedskrav (patientjournaler, statshemmeligheder og økonomiske data med relevans over flere årtier) er allerede udsat for denne angrebstrussel.

På grund af HNDL-truslen er den højeste prioritet ved migrering til postkvantekryptografi at beskytte data med langvarige fortrolighedskrav. TLS-nøgleudveksling med midlertidige nøgler (ECDHE) bør straks opgraderes til hybrid X25519+ML-KEM. Langtidslevende private RSA-nøgler (brugt til certifikatsignering eller til lagring af krypterede data) skal genkrypteres med postkvanteskemaer. Midlertidige sessionsnøgler til videostreaming har lav prioritet, fordi de ikke har nogen langsigtet værdi.

Før PQC tages i brug, bør organisationer måle ydeevnepåvirkningen på deres specifikke arbejdsbelastninger. ML-KEM er hurtigt: nøgleoprettelse og indkapsling tager under 20 mikrosekunder på moderne hardware. De større nøgle- og chiffertekststørrelser (ML-KEM-768: 1184 + 1088 byte mod X25519: 32 + 32 byte) øger dog størrelsen på TLS-håndtryk. For TLS-servere med stor trafikmængde, der håndterer millioner af forbindelser i sekundet, skal dette ekstra båndbreddeforbrug måles.

Projektet Open Quantum Safe leverer liboqs, et bibliotek med åben kildekode, der implementerer PQC-algoritmer, herunder alle NIST-standarder. OQS leverer også forgreninger af OpenSSL og BoringSSL, som tilføjer PQC-understøttelse, samt en testserver på test.openquantumsafe.org. Organisationer kan bruge liboqs til at lave prototyper og teste PQC-integration før udrulning i produktion uden at vente på understøttelse i de officielle hovedgrene af bibliotekerne.

Amerikanske føderale myndigheder og regulerede brancher skal bruge FIPS-validerede kryptografiske moduler. NIST FIPS 203, 204 og 205 er nu offentliggjort, men det tager yderligere tid, før validerede implementeringer med CMVP-certifikater bliver tilgængelige. NIST gennemfører et fremskyndet valideringsprogram for PQC. Organisationer i regulerede miljøer bør følge status for CMVP-valideringen og planlægge en periode, hvor hybride udrulninger med klassisk kryptografi+PQC bruger FIPS-validerede klassiske algoritmer sammen med validerede PQC-implementeringer.

Migrering af PKI er særligt kompleks. Rodcertifikater og mellemliggende CA'er skal genudstedes med ML-DSA eller hybride nøgler. Certifikatkæder bliver større (ML-DSA-65-certifikater er cirka 4 KB mod 1 KB for RSA-2048). Browsernes tillidslagre, tillidslagrene i mobile styresystemer og tillidslagrene i indlejrede enheder skal alle opdateres. Nogle organisationer undersøger certifikater med to algoritmer (hybrid-PKI) for at bevare bagudkompatibiliteten under overgangen.

PQC-migrering kræver kryptoagilitet, en fuldstændig kryptografisk fortegnelse og prioritering baseret på datas levetid. Truslen med at høste data nu og dekryptere dem senere gør øjeblikkelig udrulning af hybrid TLS (X25519+ML-KEM-768) presserende for hemmeligheder med lang levetid. Ydeevnepåvirkningen er håndterbar for de fleste arbejdsbelastninger. liboqs gør det muligt at teste før understøttelse i de officielle hovedgrene af bibliotekerne. FIPS-overholdelse kræver, at status for CMVP-valideringen af PQC-implementeringer følges.