Planowanie migracji do standardów postkwantowych

Migracja infrastruktury kryptograficznej nie jest projektem krótkoterminowym. Duże organizacje potrzebują 10–15 lat, aby w pełni zaktualizować wszystkie systemy. NIST szacuje, że komputery kwantowe zdolne do złamania RSA-2048 mogą pojawić się w ciągu 10–30 lat. W obliczu zagrożenia polegającego na przechwytywaniu danych dziś i odszyfrowywaniu ich w przyszłości oraz długiego czasu potrzebnego na migrację organizacje muszą rozpocząć planowanie już dziś, nawet jeśli bezpośrednie zagrożenie kwantowe wydaje się odległe.

Crypto-agility oznacza projektowanie systemów tak, aby można było wymieniać algorytmy kryptograficzne bez przeprojektowywania całej architektury. System zapewniający crypto-agility centralizuje wybór algorytmu w konfiguracji, wykorzystuje abstrakcyjne typy kluczy i oddziela logikę protokołu od konkretnych implementacji szyfrów. Systemy, które na stałe umieszczają RSA lub ECDH w logice protokołu, będą wymagały znacznie bardziej kosztownych migracji niż systemy zapewniające crypto-agility.

Pierwszym krokiem migracji jest zinwentaryzowanie każdego prymitywu kryptograficznego w systemie: miejsc użycia RSA, ECDH, ECDSA i algorytmów symetrycznych, kontekstów (TLS, podpisywanie kodu, szyfrowanie danych w spoczynku, tokeny uwierzytelniające) oraz czasu życia danych. NIST IR 8547 i wytyczne CISA zalecają używanie zautomatyzowanych narzędzi do wykrywania, aby znaleźć klucze zakodowane na stałe i identyfikatory algorytmów w bazach kodu i konfiguracjach.

TLS 1.3 obsługuje hybrydową wymianę kluczy łączącą X25519 i ML-KEM-768, opisaną w dokumencie roboczym IETF draft-ietf-tls-hybrid-design. Hybrydowa grupa NamedGroup X25519MLKEM768 wysyła zarówno klasyczne, jak i postkwantowe udziały klucza w komunikacie ClientHello. Wspólny sekret stanowi skrót obu wyników. Nie wymaga to żadnych zmian w protokole po stronie serwerów obsługujących nową grupę NamedGroup i zachowuje wsteczną zgodność z klientami, które jej nie obsługują.

NIST IR 8413 (2022) zawiera wytyczne dotyczące migracji do kryptografii postkwantowej. Dzieli systemy na trzy strefy: krytyczne natychmiast (długoterminowe sekrety narażone na zagrożenie typu harvest-now-decrypt-later), średnioterminowe (dane wrażliwe przez 5–10 lat) oraz o niskim priorytecie (dane efemeryczne lub krótkotrwałe). NIST zaleca nadanie priorytetu infrastrukturze PKI i certyfikatów, ponieważ zmiana certyfikatów głównych wpływa na całe łańcuchy zaufania.

Zagrożenie harvest-now-decrypt-later (HNDL) jest najpilniejszym powodem, aby natychmiast wdrożyć szyfrowanie postkwantowe, nawet zanim powstaną komputery kwantowe. Przeciwnicy (państwa narodowe) rejestrują dziś zaszyfrowany ruch z myślą o odszyfrowaniu go, gdy dostępny będzie komputer kwantowy. Dane o długoterminowej wrażliwości (dokumentacja medyczna, tajemnice państwowe, dane finansowe istotne przez wiele dekad) są bezpośrednio zagrożone tym atakiem.

Na podstawie zagrożenia HNDL najwyższym priorytetem migracji postkwantowej jest ochrona danych, które muszą pozostać poufne przez długi czas. Efemeryczna wymiana kluczy TLS (ECDHE) powinna zostać natychmiast zmodernizowana do hybrydowej wymiany X25519+ML-KEM. Długoterminowe klucze prywatne RSA (używane do podpisywania certyfikatów lub przechowywania zaszyfrowanych danych) wymagają ponownego zaszyfrowania z użyciem schematów postkwantowych. Efemeryczne klucze sesji używane do strumieniowego przesyłania wideo mają niski priorytet, ponieważ nie przedstawiają długoterminowej wartości.

Przed wdrożeniem PQC organizacje powinny przeprowadzić testy porównawcze wpływu na wydajność dla konkretnych obciążeń. ML-KEM jest szybki: generowanie kluczy i enkapsulacja zajmują na nowoczesnym sprzęcie mniej niż 20 mikrosekund. Jednak zwiększone rozmiary kluczy i szyfrogramów (ML-KEM-768: 1184 + 1088 bajtów w porównaniu z X25519: 32 + 32 bajty) zwiększają rozmiar uzgadniania TLS. W przypadku serwerów TLS o dużej przepustowości, obsługujących miliony połączeń na sekundę, należy zmierzyć ten narzut przepustowości.

Projekt Open Quantum Safe (OQS) udostępnia liboqs, bibliotekę o otwartym kodzie źródłowym implementującą algorytmy PQC, w tym wszystkie standardy NIST. OQS udostępnia również forki OpenSSL i BoringSSL dodające obsługę PQC oraz serwer testowy pod adresem test.openquantumsafe.org. Organizacje mogą używać liboqs do tworzenia prototypów i testowania integracji PQC przed wdrożeniem produkcyjnym, bez czekania na wsparcie w głównej wersji biblioteki.

Amerykańskie agencje federalne i branże regulowane muszą używać modułów kryptograficznych zwalidowanych w ramach FIPS. NIST FIPS 203, 204 i 205 są już opublikowane, ale pojawienie się zwalidowanych implementacji (z certyfikatami CMVP) zajmuje dodatkowy czas. NIST prowadzi przyspieszony program walidacji PQC. Organizacje działające w środowiskach regulowanych powinny śledzić status walidacji CMVP i zaplanować okres, w którym hybrydowe wdrożenia klasyczne+PQC będą łączyć zwalidowane zgodnie z FIPS algorytmy klasyczne ze zwalidowanymi implementacjami PQC.

Migracja PKI jest szczególnie złożona. Certyfikaty główne i certyfikaty pośrednich urzędów certyfikacji (CA) trzeba wydać ponownie z użyciem ML-DSA lub kluczy hybrydowych. Łańcuchy certyfikatów stają się większe (certyfikaty ML-DSA-65 mają około 4 KB w porównaniu z 1 KB dla RSA-2048). Magazyny zaufania przeglądarek, mobilnych systemów operacyjnych i urządzeń wbudowanych wymagają aktualizacji. Niektóre organizacje badają certyfikaty z dwoma algorytmami (hybrydowa PKI), aby zachować wsteczną zgodność podczas transformacji.

Który rodzaj danych ma NAJWYŻSZY priorytet migracji do szyfrowania postkwantowego ze względu na zagrożenie harvest-now-decrypt-later?

Migracja PQC wymaga elastyczności kryptograficznej (crypto-agility), pełnej inwentaryzacji kryptograficznej oraz ustalania priorytetów na podstawie czasu życia danych. Zagrożenie harvest-now-decrypt-later sprawia, że natychmiastowe wdrożenie hybrydowego TLS (X25519+ML-KEM-768) jest pilne w przypadku długoterminowych sekretów. Narzut wydajnościowy jest możliwy do zaakceptowania w większości obciążeń. liboqs umożliwia testowanie przed uzyskaniem wsparcia w głównej wersji biblioteki. Zgodność z FIPS wymaga śledzenia statusu walidacji CMVP implementacji PQC.