Kryptografia postkwantowa: CRYSTALS-Kyber i Dilithium

Obecnie stosowana kryptografia klucza publicznego — RSA, ECC i Diffie-Hellman — opiera się na problemach matematycznych, których rozwiązanie za pomocą komputerów klasycznych jest obliczeniowo niewykonalne. Bezpieczeństwo RSA wynika z trudności rozkładu dużych liczb całkowitych na czynniki; bezpieczeństwo ECC opiera się na problemie logarytmu dyskretnego na krzywej eliptycznej. Odpowiednio wydajny komputer kwantowy uruchamiający algorytm Shora może rozwiązać oba te problemy w czasie wielomianowym, skutecznie łamiąc całą powszechnie stosowaną kryptografię klucza publicznego. Chociaż taki komputer kwantowy jeszcze nie istnieje, zagrożenie traktuje się na tyle poważnie, że w 2016 roku NIST rozpoczął standaryzację odpornych na komputery kwantowe alternatyw.

Adwersarze państwowi mogą już dziś gromadzić zaszyfrowany ruch internetowy z zamiarem odszyfrowania go, gdy pojawią się komputery kwantowe — strategia ta nosi nazwę „harvest now, decrypt later” lub SNDL (Store Now, Decrypt Later). Szczególnie zagrożone są dane wymagające długotrwałej ochrony (niejawne informacje rządowe, dokumentacja finansowa i medyczna), ponieważ w chwili pojawienia się komputerów kwantowych mogą nadal mieć charakter wrażliwy. Dlatego organizacje są zachęcane do przejścia na kryptografię postkwantową (PQC) jeszcze przed pojawieniem się komputerów kwantowych, a nie dopiero po nim, ponieważ transformacja jest złożona i czasochłonna.

Ważne jest rozróżnienie zagrożeń kwantowych dotyczących różnych klas algorytmów. Algorytm Shora łamie asymetryczną kryptografię RSA i ECC. Algorytm Grovera zapewnia kwadratowe przyspieszenie wyszukiwania, co zmniejsza o połowę efektywną długość klucza szyfrów symetrycznych i funkcji skrótu. Oznacza to, że AES-128 zapewnia atakującemu korzystającemu z komputera kwantowego zaledwie 64-bitowy poziom bezpieczeństwa — niewystarczający — podczas gdy AES-256 zachowuje 128-bitowy poziom bezpieczeństwa postkwantowego, który jest akceptowalny. Bezpieczeństwo SHA-256 również zmniejsza się o połowę, ale SHA-256 nadal zapewnia wystarczającą ochronę; w przypadku długoterminowego bezpieczeństwa zaleca się SHA-384 i SHA-512.

W 2016 roku NIST uruchomił konkurs mający wyłonić postkwantowe algorytmy kryptograficzne, otrzymując 82 zgłoszenia. Po kilku rundach oceny NIST sfinalizował w 2024 roku pierwszy zestaw standardów PQC: FIPS 203 (ML-KEM, wywodzący się z CRYSTALS-Kyber) do enkapsulacji klucza, FIPS 204 (ML-DSA, wywodzący się z CRYSTALS-Dilithium) do podpisów cyfrowych oraz FIPS 205 (SLH-DSA, wywodzący się z SPHINCS+) jako alternatywę w postaci podpisu opartego na funkcji skrótu. Algorytmy te są odporne na ataki zarówno komputerów klasycznych, jak i kwantowych, i mają zastąpić RSA oraz ECDSA w systemach PKI.

Zarówno CRYSTALS-Kyber, jak i CRYSTALS-Dilithium to schematy kryptograficzne oparte na kratach. Krata to regularna siatka punktów w przestrzeni wielowymiarowej. Trudnym problemem leżącym u podstaw obu algorytmów jest problem Learning With Errors (LWE): mając zbiór równań liniowych, do których dodano niewielkie losowe błędy, należy znaleźć pierwotny sekret. Nie istnieje znany algorytm kwantowy, który efektywnie rozwiązywałby problem LWE. Wariant Module-LWE (MLWE) używany w CRYSTALS zapewnia dobry kompromis między poziomem bezpieczeństwa a rozmiarem klucza i szyfrogramu.

CRYSTALS-Kyber (obecnie ML-KEM) to mechanizm enkapsulacji klucza (KEM) — umożliwia dwóm stronom ustanowienie wspólnego sekretu za pośrednictwem niezabezpieczonego kanału, zastępując wymianę kluczy Diffie-Hellman i RSA. Kyber generuje parę kluczy publiczny/prywatny; nadawca enkapsuluje losowy klucz sesyjny za pomocą klucza publicznego odbiorcy, a odbiorca dokonuje jego dekapsulacji przy użyciu klucza prywatnego. Kyber-768 (3. poziom bezpieczeństwa NIST, w przybliżeniu odpowiadający AES-192) ma klucz publiczny o rozmiarze około 1184 bajtów i szyfrogram o rozmiarze około 1088 bajtów — znacznie większym niż 256-bajtowy klucz RSA-2048.

CRYSTALS-Dilithium (obecnie ML-DSA) to algorytm podpisu cyfrowego, który zastępuje podpisy ECDSA i RSA. Generuje podpisy za pomocą matematyki krat, a ich weryfikacja jest wydajna. Dilithium3 (3. poziom bezpieczeństwa) generuje podpisy o rozmiarze około 3293 bajtów — znacznie większym niż 64-bajtowy podpis ECDSA. Zwiększenie rozmiaru jest głównym wyzwaniem migracyjnym dla systemów PKI intensywnie korzystających z certyfikatów. Mimo większego rozmiaru Dilithium szybko podpisuje i weryfikuje dane na standardowym sprzęcie oraz jest odporny na wszystkie znane ataki kwantowe.

SPHINCS+ (obecnie SLH-DSA) to bezstanowy schemat podpisu oparty na funkcji skrótu, wybrany przez NIST jako alternatywa dla Dilithium. Jego bezpieczeństwo opiera się wyłącznie na bezpieczeństwie bazowej funkcji skrótu (SHA-256 lub SHAKE), dzięki czemu jest wyjątkowo zachowawczy — jeśli matematyka krat zostanie w jakiś sposób złamana, SPHINCS+ nadal pozostanie bezpieczny. Kompromisem jest rozmiar podpisu: podpisy SPHINCS+ mają od 8 KB do 50 KB, zależnie od zestawu parametrów, przez co nie nadają się do certyfikatów TLS, ale doskonale sprawdzają się przy podpisywaniu kodu, gdzie rozmiar podpisu ma mniejsze znaczenie.

Zalecaną strategią migracji jest kryptografia hybrydowa: połączenie algorytmu klasycznego z algorytmem postkwantowym, dzięki czemu połączenie pozostaje bezpieczne, dopóki co najmniej jeden z tych algorytmów nie zostanie złamany. Na przykład X25519 + Kyber-768 do wymiany kluczy oznacza, że osoba atakująca musiałaby złamać zarówno ECDH, jak i Kyber, aby odszyfrować ruch. Takie rozwiązanie jest już wdrażane: przeglądarka Chrome firmy Google dodała w 2023 roku obsługę X25519Kyber768 do hybrydowej wymiany kluczy dla TLS 1.3, a firma Apple dodała ją do iMessage. Podejście hybrydowe umożliwia płynne przejście bez nagłego przełączania wszystkich systemów w jednym momencie.

Migracja PKI do algorytmów postkwantowych wiąże się z ogromną złożonością: rozmiary certyfikatów znacznie się zwiększają, wpływając na rozmiar i wydajność uzgadniania TLS; moduły bezpieczeństwa sprzętowego (HSM) trzeba zaktualizować lub wymienić, aby obsługiwały nowe algorytmy; infrastruktura podpisywania kodu i urzędy certyfikacji wymagają aktualizacji; a urządzenia IoT z ograniczoną pamięcią mogą nie obsługiwać większych kluczy postkwantowych. Organizacje powinny rozpocząć inwentaryzację kryptograficzną — skatalogować wszystkie miejsca, w których używane są RSA i ECC — jako pierwszy etap planu migracji do PQC.

Crypto agility oznacza projektowanie systemów w taki sposób, aby można było wymieniać algorytmy kryptograficzne bez konieczności całkowitego przeprojektowania systemu. Systemy zapewniające crypto agility przechowują identyfikatory algorytmów wraz z kluczami i szyfrogramami, umożliwiając przyszłe aktualizacje przez zmianę parametru konfiguracji. TLS, SSH i nowoczesne standardy certyfikatów już demonstrują crypto agility. Organizacje powinny przeprowadzić audyt własnych protokołów i aplikacji pod kątem zakodowanych na stałe wyborów algorytmów — to właśnie te systemy będą najdroższe w migracji. Wdrożenie już teraz warstwy abstrakcji biblioteki kryptograficznej znacznie ułatwia późniejszą migrację do PQC.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji dowiedziałeś się, że: algorytm Shora zagraża RSA i ECC, podczas gdy algorytm Grovera jedynie zmniejsza o połowę bezpieczeństwo kluczy symetrycznych, dzięki czemu AES-256 i SHA-384 nadal są odpowiednie w świecie postkwantowym; CRYSTALS-Kyber (ML-KEM) zastępuje wymianę kluczy, a CRYSTALS-Dilithium (ML-DSA) zastępuje podpisy cyfrowe jako wybrane przez NIST standardy postkwantowe; oraz że kryptografia hybrydowa łącząca algorytmy klasyczne i PQC jest zalecaną strategią migracji na czas trwania transformacji. W następnej części omówimy bezpieczeństwo kontenerów w środowiskach cloud-native.