Migration zu Post-Quantum-Standards planen

Die Migration kryptografischer Infrastruktur ist kein kurzfristiges Projekt. Große Organisationen benötigen 10–15 Jahre, um alle Systeme vollständig zu aktualisieren. NIST schätzt, dass Quantencomputer, die RSA-2048 brechen können, innerhalb der nächsten 10–30 Jahre existieren könnten. Angesichts der Harvest-now-decrypt-later-Bedrohung und der langen Migrationszeiträume müssen Organisationen heute mit der Planung beginnen, selbst wenn die unmittelbare Quantenbedrohung noch weit entfernt scheint.

Kryptoagilität bedeutet, Systeme so zu entwerfen, dass sich kryptografische Algorithmen austauschen lassen, ohne die gesamte Architektur neu zu entwerfen. Ein kryptoagiles System zentralisiert die Auswahl der Algorithmen in der Konfiguration, verwendet abstrakte Schlüsseltypen und entkoppelt die Protokolllogik von bestimmten Chiffrenimplementierungen. Systeme, die RSA oder ECDH fest in ihrer Protokolllogik verdrahten, erfordern wesentlich teurere Migrationen als kryptoagile Systeme.

Der erste Schritt der Migration besteht darin, jedes kryptografische Primitiv in Ihrem System zu erfassen: wo RSA, ECDH, ECDSA und symmetrische Algorithmen verwendet werden, in welchen Kontexten (TLS, Code-Signing, Verschlüsselung gespeicherter Daten, Authentifizierungstoken) und welche Datenlebensdauern relevant sind. NIST IR 8547 und die CISA-Richtlinien empfehlen den Einsatz automatisierter Tools zur Erkennung fest codierter Schlüssel und Algorithmusbezeichner in Codebasen und Konfigurationen.

TLS 1.3 unterstützt einen hybriden Schlüsselaustausch, der X25519 und ML-KEM-768 kombiniert und im IETF-Entwurf draft-ietf-tls-hybrid-design spezifiziert ist. Die hybride NamedGroup X25519MLKEM768 sendet im ClientHello sowohl klassische als auch PQC-Schlüsselanteile. Das gemeinsame Geheimnis ist der Hash beider Ergebnisse. Für Server, die die neue NamedGroup unterstützen, sind dafür keinerlei Änderungen am Protokoll erforderlich; außerdem ist die Lösung rückwärtskompatibel mit Clients, die sie nicht unterstützen.

NIST IR 8413 (2022) enthält einen Migrationsleitfaden für Postquantenkryptografie. Der Leitfaden teilt Systeme in drei Bereiche ein: sofort kritisch (langfristig gültige Geheimnisse mit dem Risiko eines späteren Entschlüsselns bereits heute abgefangener Daten), mittelfristig (Daten mit einer Sensitivitätsdauer von 5 bis 10 Jahren) und niedrige Priorität (flüchtige oder kurzlebige Daten). NIST empfiehlt, PKI und Zertifikatsinfrastruktur zu priorisieren, da Änderungen an Root-Zertifikaten ganze Vertrauensk chains betreffen.

Die Harvest-Now-Decrypt-Later-Bedrohung (HNDL) ist der dringendste Grund, sofort Postquantenverschlüsselung einzusetzen, noch bevor Quantencomputer existieren. Angreifer (Nationalstaaten) zeichnen heute verschlüsselten Datenverkehr auf, in der Erwartung, ihn zu entschlüsseln, sobald ein Quantencomputer verfügbar ist. Daten mit langfristiger Sensitivität (medizinische Unterlagen, Staatsgeheimnisse, Finanzdaten mit jahrzehntelanger Relevanz) sind durch diesen Angriff unmittelbar gefährdet.

Aufgrund der HNDL-Bedrohung hat der Schutz von Daten mit langfristigen Vertraulichkeitsanforderungen bei der Migration zur Postquantenkryptografie höchste Priorität. Der ephemere TLS-Schlüsselaustausch (ECDHE) sollte sofort auf das hybride Verfahren X25519+ML-KEM aktualisiert werden. Langfristig gültige private RSA-Schlüssel (die zum Signieren von Zertifikaten oder zum Speichern verschlüsselter Daten verwendet werden) müssen mit Postquantenschemata erneut verschlüsselt werden. Ephemere Sitzungsschlüssel für Video-Streaming haben eine niedrige Priorität, da sie keinen langfristigen Wert besitzen.

Vor der Einführung von PQC sollten Organisationen die Auswirkungen auf die Leistung anhand ihrer konkreten Workloads messen. ML-KEM ist schnell: Schlüsselerzeugung und Kapselung dauern auf moderner Hardware weniger als 20 Mikrosekunden. Die größeren Schlüssel- und Chiffratgrößen (ML-KEM-768: 1184 + 1088 Bytes gegenüber X25519: 32 + 32 Bytes) vergrößern jedoch die TLS-Handshake-Größe. Bei TLS-Servern mit hohem Datenaufkommen, die Millionen von Verbindungen pro Sekunde verarbeiten, muss dieser zusätzliche Bandbreitenbedarf gemessen werden.

Das Open Quantum Safe (OQS)-Projekt stellt liboqs bereit, eine Open-Source-Bibliothek, die PQC-Algorithmen einschließlich aller NIST-Standards implementiert. OQS stellt außerdem Forks von OpenSSL und BoringSSL bereit, die PQC-Unterstützung hinzufügen, sowie einen Testserver unter test.openquantumsafe.org. Organisationen können liboqs verwenden, um die Integration von PQC vor der Bereitstellung in der Produktion zu prototypisieren und zu testen, ohne auf die Unterstützung durch die Hauptentwicklungsversion der Bibliotheken warten zu müssen.

US-Bundesbehörden und regulierte Branchen müssen kryptografische Module verwenden, die nach FIPS validiert sind. NIST FIPS 203, 204 und 205 wurden inzwischen veröffentlicht, doch es dauert zusätzliche Zeit, bis validierte Implementierungen mit CMVP-Zertifikaten verfügbar sind. NIST führt ein beschleunigtes Validierungsprogramm für PQC durch. Organisationen in regulierten Umgebungen sollten den Validierungsstatus des CMVP verfolgen und eine Übergangsphase einplanen, in der hybride Bereitstellungen klassische, nach FIPS validierte Algorithmen neben validierten PQC-Implementierungen verwenden.

Die Migration einer PKI ist besonders komplex. Root-Zertifikate und Zwischenzertifizierungsstellen müssen mit ML-DSA oder hybriden Schlüsseln neu ausgestellt werden. Zertifikatsketten werden größer (ML-DSA-65-Zertifikate sind ungefähr 4 KB groß, gegenüber 1 KB bei RSA-2048). Vertrauensspeicher von Browsern, mobilen Betriebssystemen und eingebetteten Geräten müssen alle aktualisiert werden. Einige Organisationen prüfen Zertifikate mit zwei Algorithmen (hybride PKI), um während des Übergangs die Rückwärtskompatibilität zu erhalten.

Die PQC-Migration erfordert Kryptoagilität, ein vollständiges kryptografisches Inventar und eine Priorisierung anhand der Datenlebensdauer. Die Harvest-Now-Decrypt-Later-Bedrohung macht die sofortige Einführung von hybridem TLS (X25519+ML-KEM-768) für langfristig gültige Geheimnisse dringend erforderlich. Der zusätzliche Leistungsaufwand ist für die meisten Workloads beherrschbar. liboqs ermöglicht Tests, bevor die Unterstützung in den Hauptversionen der Bibliotheken verfügbar ist. Für die FIPS-Konformität muss der CMVP-Validierungsstatus von PQC-Implementierungen verfolgt werden.