Planlegg overgangen til postkvantestandarder

Migrering av kryptografisk infrastruktur er ikke et kortsiktig prosjekt. Store organisasjoner bruker 10–15 år på å oppdatere alle systemene sine fullstendig. NIST anslår at kvantedatamaskiner som kan bryte RSA-2048, kan være tilgjengelige innen 10–30 år. Med tanke på trusselen om å samle inn data nå og dekryptere dem senere, samt de lange migreringstidene, må organisasjoner begynne planleggingen i dag, selv om den umiddelbare kvantetrusselen virker fjern.

Kryptoagilitet betyr å utforme systemer slik at kryptografiske algoritmer kan byttes ut uten at hele arkitekturen må bygges om. Et kryptoagilt system sentraliserer algoritmevalget i konfigurasjonen, bruker abstrakte nøkkeltyper og kobler protokollogikken fra bestemte chifferimplementasjoner. Systemer som hardkoder RSA eller ECDH i protokollogikken, vil kreve langt dyrere migreringer enn kryptoagile systemer.

Det første steget i migreringen er å kartlegge alle kryptografiske primitiver i systemet: hvor RSA, ECDH, ECDSA og symmetriske algoritmer brukes, i hvilke sammenhenger (TLS, kodesignering, kryptering av data i hvile, autentiseringstokener), og hvilken levetid dataene har. NIST IR 8547 og veiledning fra CISA anbefaler bruk av verktøy for automatisert kartlegging for å finne hardkodede nøkler og algoritmeidentifikatorer i kodebaser og konfigurasjoner.

TLS 1.3 støtter hybrid nøkkelutveksling som kombinerer X25519 og ML-KEM-768, spesifisert i IETF-draften draft-ietf-tls-hybrid-design. Den hybride NamedGroup-en X25519MLKEM768 sender både klassiske nøkkelandeler og PQC-nøkkelandeler i ClientHello. Den delte hemmeligheten er hashen av begge resultatene. Dette krever ingen protokollendringer på servere som støtter den nye NamedGroup-en, og er bakoverkompatibelt med klienter som ikke gjør det.

NIST IR 8413 (2022) gir veiledning for migrering til postkvantekryptografi. Den kategoriserer systemer i tre soner: umiddelbart kritiske (hemmeligheter med lang levetid som er utsatt for trusselen «samle inn nå, dekryptere senere»), mellomlangsiktige (data som må beskyttes i 5–10 år) og lavprioriterte (flyktige eller kortvarige data). NIST anbefaler å prioritere PKI- og sertifikatinfrastruktur, ettersom endring av rotsertifikater påvirker hele tillitskjeder.

Trusselen harvest-now-decrypt-later (HNDL), altså «samle inn nå, dekryptere senere», er den viktigste grunnen til å ta i bruk postkvantekryptering umiddelbart, selv før kvantedatamaskiner finnes. Motstandere (nasjonalstater) lagrer kryptert trafikk i dag i håp om å dekryptere den når en kvantedatamaskin blir tilgjengelig. Data som må holdes konfidensielle over lang tid (pasientjournaler, statshemmeligheter og økonomiske data med relevans i flere tiår) er allerede utsatt for denne typen angrep.

På grunn av HNDL-trusselen er høyeste prioritet ved migrering til postkvantekryptografi å beskytte data som må holdes konfidensielle over lang tid. TLS-nøkkelutveksling med flyktige nøkler (ECDHE) bør oppgraderes til hybrid X25519+ML-KEM umiddelbart. Langlivede private RSA-nøkler (brukt til sertifikatsignering eller lagrede, krypterte data) må krypteres på nytt med postkvantebaserte ordninger. Flyktige sesjonsnøkler for strømming av video har lav prioritet, ettersom de ikke har noen verdi på lang sikt.

Før PQC tas i bruk, bør organisasjoner måle ytelsespåvirkningen på sine spesifikke arbeidsbelastninger. ML-KEM er raskt: nøkkelgenerering og innkapsling tar under 20 mikrosekunder på moderne maskinvare. Økte nøkkel- og chiffertekststørrelser (ML-KEM-768: 1184 + 1088 byte mot X25519: 32 + 32 byte) gjør imidlertid TLS-håndtrykk større. For TLS-servere med høy belastning, som håndterer millioner av tilkoblinger per sekund, må denne båndbreddeoverheaden måles.

Prosjektet Open Quantum Safe (OQS) tilbyr liboqs, et åpen kildekode-bibliotek som implementerer PQC-algoritmer, inkludert alle NIST-standardene. OQS tilbyr også forgreninger av OpenSSL og BoringSSL med PQC-støtte, samt en testserver på test.openquantumsafe.org. Organisasjoner kan bruke liboqs til å lage prototyper og teste PQC-integrasjon før utrulling i produksjon, uten å måtte vente på støtte i hovedgrenene til bibliotekene.

Amerikanske føderale etater og regulerte bransjer må bruke FIPS-validerte kryptografiske moduler. NIST FIPS 203, 204 og 205 er nå publisert, men det tar ytterligere tid før validerte implementasjoner (med CMVP-sertifikater) blir tilgjengelige. NIST kjører et akselerert valideringsprogram for PQC. Organisasjoner i regulerte miljøer bør følge statusen for CMVP-validering og planlegge for en periode der hybride distribusjoner med klassiske algoritmer og PQC bruker FIPS-validerte klassiske algoritmer sammen med validerte PQC-implementasjoner.

Migrering av PKI er spesielt kompleks. Rotsertifikater og mellomliggende CA-er må utstedes på nytt med ML-DSA eller hybride nøkler. Sertifikatkjeder blir større (ML-DSA-65-sertifikater er omtrent 4 KB mot 1 KB for RSA-2048). Tillitslagre i nettlesere, mobile operativsystemer og innebygde enheter må alle oppdateres. Noen organisasjoner undersøker sertifikater med to algoritmer (hybrid PKI) for å opprettholde bakoverkompatibilitet under overgangen.

PQC-migrering krever kryptografisk smidighet, en fullstendig kryptografisk oversikt og prioritering basert på dataenes levetid. Trusselen «samle inn nå, dekryptere senere» gjør umiddelbar utrulling av hybrid TLS (X25519+ML-KEM-768) nødvendig for hemmeligheter med lang levetid. Ytelsesoverheaden er håndterbar for de fleste arbeidsbelastninger. liboqs gjør det mulig å teste før støtte blir tilgjengelig i hovedgrenene til bibliotekene. FIPS-samsvar krever at statusen for CMVP-validering av PQC-implementasjoner følges opp.