Postkvanttistandardeihin siirtymisen suunnittelu

Kryptografisen infrastruktuurin migraatio ei ole lyhyen aikavälin hanke. Suurilta organisaatioilta kuluu 10–15 vuotta kaikkien järjestelmien päivittämiseen. NIST arvioi, että RSA-2048:n murtamiseen kykeneviä kvanttitietokoneita voi olla olemassa 10–30 vuoden kuluessa. Koska harvest-now-decrypt-later-uhka ja pitkät migraatioajat on otettava huomioon, organisaatioiden on aloitettava suunnittelu jo tänään, vaikka välitön kvanttiuhka vaikuttaisi kaukaiselta.

Kryptografinen ketteryys tarkoittaa järjestelmien suunnittelua niin, että kryptografiset algoritmit voidaan vaihtaa ilman koko arkkitehtuurin uudelleensuunnittelua. Ketteryys perustuu siihen, että algoritmin valinta keskitetään asetuksiin, käytetään abstrakteja avaintyyppejä ja irrotetaan protokollalogiikka tiettyjen salausalgoritmien toteutuksista. Järjestelmät, joiden protokollalogiikkaan RSA tai ECDH on kovakoodattu, vaativat huomattavasti kalliimman migraation kuin ketterät järjestelmät.

Siirtymän ensimmäinen vaihe on luetteloida järjestelmän jokainen kryptografinen primitiivi: missä RSA:ta, ECDH:ta, ECDSA:ta ja symmetrisiä algoritmeja käytetään, missä yhteyksissä (TLS, koodin allekirjoittaminen, levossa olevan datan salaus, todennustunnisteet) ja kuinka pitkiä datan elinkaaret ovat. NIST IR 8547 ja CISA:n ohjeistus suosittelevat automaattisten etsintätyökalujen käyttöä kovakoodattujen avainten ja algoritmitunnisteiden löytämiseen koodikannoista ja määrityksistä.

TLS 1.3 tukee hybridistä avaintenvaihtoa, jossa yhdistetään X25519 ja ML-KEM-768 IETF:n luonnoksessa draft-ietf-tls-hybrid-design määritetyllä tavalla. Hybridi NamedGroup X25519MLKEM768 lähettää sekä klassiset että PQC:n avainosuudet ClientHello-viestissä. Jaettu salaisuus on molempien tulosten hajautusarvo. Palvelimilta, jotka tukevat uutta NamedGroupia, tämä ei edellytä lainkaan protokollamuutoksia, ja se on taaksepäin yhteensopiva sellaisten asiakkaiden kanssa, jotka eivät tue sitä.

NIST IR 8413 (2022) tarjoaa ohjeistusta siirtymiseen post-kvanttikryptografiaan. Se jakaa järjestelmät kolmeen luokkaan: välittömästi kriittiset (pitkäikäiset salaisuudet, joita uhkaa kerää nyt, pura myöhemmin -riski), keskipitkän aikavälin kohteet (data, jonka arkaluonteisuus kestää 5–10 vuotta) ja matalan prioriteetin kohteet (hetkellinen tai lyhytikäinen data). NIST suosittelee PKI- ja varmenneinfrastruktuurin asettamista etusijalle, koska juurivarmenteiden muuttaminen vaikuttaa kokonaisiin luottamusketjuihin.

Kerää nyt, pura myöhemmin (HNDL) -uhka on kiireellisin syy ottaa post-kvanttisalaus käyttöön heti, vaikka kvanttitietokoneita ei vielä olisi olemassa. Hyökkääjät (valtiolliset toimijat) tallentavat salattua liikennettä jo nyt odottaen, että he voivat purkaa sen, kun kvanttitietokone on käytettävissä. Data, jolla on pitkäaikainen arkaluonteisuus (potilastiedot, valtionsalaisuudet ja taloustiedot, joilla on merkitystä vuosikymmenten ajan), on välittömässä vaarassa tämän hyökkäyksen vuoksi.

HNDL-uhan perusteella post-kvanttisiirtymän tärkein prioriteetti on suojata dataa, jonka luottamuksellisuuden on säilyttävä pitkään. TLS:n ephemeraaliavaintenvaihto (ECDHE) tulisi päivittää hybridimuotoon X25519+ML-KEM välittömästi. Pitkäikäiset RSA-yksityisavaimet, joita käytetään varmenteiden allekirjoittamiseen tai salatun datan tallentamiseen, on salattava uudelleen post-kvanttimenetelmillä. Videon suoratoiston ephemeraali-istuntoavaimet ovat matalan prioriteetin kohde, koska niillä ei ole pitkäaikaista arvoa.

Ennen PQC:n käyttöönottoa organisaatioiden tulisi mitata sen suorituskykyvaikutukset omissa työkuormissaan. ML-KEM on nopea: avainten luonti ja kapselointi kestävät nykyaikaisella laitteistolla alle 20 mikrosekuntia. Avainten ja salatekstien suurempi koko (ML-KEM-768: 1184 + 1088 tavua, kun taas X25519: 32 + 32 tavua) kuitenkin kasvattaa TLS-kättelyjen kokoa. Suurta liikennemäärää käsittelevillä TLS-palvelimilla, jotka palvelevat miljoonia yhteyksiä sekunnissa, tämä kaistanleveyslisä on mitattava.

Open Quantum Safe (OQS) -projekti tarjoaa liboqs:n, avoimen lähdekoodin kirjaston, joka toteuttaa PQC-algoritmeja, mukaan lukien kaikki NIST-standardit. OQS tarjoaa myös OpenSSL:n ja BoringSSL:n haarat, jotka lisäävät PQC-tuen, sekä testipalvelimen osoitteessa test.openquantumsafe.org. Organisaatiot voivat käyttää liboqs:ää PQC-integraation prototyyppien ja testien tekemiseen ennen tuotantokäyttöönottoa tarvitsematta odottaa päähaaran kirjastojen tukea.

Yhdysvaltain liittovaltion virastojen ja säänneltyjen toimialojen on käytettävä FIPS-validoituja kryptografisia moduuleja. NIST FIPS 203, 204 ja 205 on nyt julkaistu, mutta validoitujen toteutusten, joilla on CMVP-sertifikaatti, saataville tuleminen vie vielä aikaa. NIST toteuttaa PQC:tä koskevaa nopeutettua validointiohjelmaa. Säännellyissä ympäristöissä toimivien organisaatioiden tulisi seurata CMVP-validointien tilannetta ja varautua ajanjaksoon, jolloin hybridikäyttöönotot yhdistävät FIPS-validoidut klassiset algoritmit validoituihin PQC-toteutuksiin.

PKI:n siirtäminen on erityisen monimutkaista. Juurivarmenteet ja väli-CA:t on myönnettävä uudelleen ML-DSA:ta tai hybridiavaimia käyttäen. Varmenneketjut kasvavat suuremmiksi (ML-DSA-65-varmenteet ovat kooltaan noin 4 kilotavua, kun RSA-2048-varmenteet ovat 1 kilotavun kokoisia). Selainten, mobiilikäyttöjärjestelmien ja sulautettujen laitteiden luottamusvarastot on kaikki päivitettävä. Jotkin organisaatiot tutkivat kaksialgoritmisia varmenteita eli hybridi-PKI:tä taaksepäin yhteensopivuuden säilyttämiseksi siirtymän aikana.

PQC-migraatio edellyttää kryptoagilityä, täydellistä kryptografista inventaariota ja datan elinkaareen perustuvaa priorisointia. Kerää nyt, pura myöhemmin -uhka tekee hybridisen TLS:n (X25519+ML-KEM-768) välittömästä käyttöönotosta kiireellisen pitkäikäisten salaisuuksien suojaamiseksi. Suorituskykykustannukset ovat hallittavissa useimmissa työkuormissa. liboqs mahdollistaa testauksen ennen päähaaran kirjastojen tukea. FIPS-vaatimustenmukaisuus edellyttää PQC-toteutusten CMVP-validointien tilanteen seurantaa.