Postkvantkryptografi: CRYSTALS-Kyber och Dilithium

Dagens kryptografi med publika nycklar – RSA, ECC och Diffie-Hellman – bygger på matematiska problem som är beräkningsmässigt ogenomförbara för klassiska datorer. RSA:s säkerhet bygger på svårigheten att faktorisera stora heltal, medan ECC:s säkerhet bygger på problemet med den diskreta logaritmen på elliptiska kurvor. En tillräckligt kraftfull kvantdator som kör Shors algoritm kan lösa båda problemen på polynomisk tid och därmed i praktiken knäcka all vanlig kryptografi med publika nycklar. Även om det inte finns någon sådan kvantdator i dag tas hotet på tillräckligt stort allvar för att NIST började standardisera kvantresistenta alternativ 2016.

Angripare på nationstatsnivå kan samla in krypterad internettrafik redan i dag med avsikten att dekryptera den när kvantdatorer blir tillgängliga – en strategi som kallas ”harvest now, decrypt later” eller SNDL (Store Now, Decrypt Later). Data som behöver skyddas långsiktigt (klassificerade statshemligheter, ekonomiska register och medicinska uppgifter) löper särskilt stor risk, eftersom den fortfarande kan vara känslig när kvantdatorer blir tillgängliga. Därför uppmanas organisationer att migrera till postkvantkryptografi (PQC) innan kvantdatorer finns, inte efteråt, eftersom övergången är komplex och tidskrävande.

Det är viktigt att skilja mellan kvanttheten mot olika typer av algoritmer. Shors algoritm knäcker asymmetrisk kryptografi som RSA och ECC. Grovers algoritm ger en kvadratisk hastighetsökning vid sökning, vilket halverar den effektiva nyckellängden hos symmetriska chiffer och hashfunktioner. Det innebär att AES-128 endast ger 64 bitars säkerhet mot en kvantangripare – vilket är otillräckligt – medan AES-256 fortfarande ger 128 bitars postkvantsäkerhet, vilket är godtagbart. SHA-256 får på motsvarande sätt sin säkerhet halverad, men SHA-256 är fortfarande tillräckligt säkert; SHA-384 och SHA-512 rekommenderas för längre tids säkerhet.

År 2016 startade NIST en tävling för att välja ut postkvantkryptografiska algoritmer och tog emot 82 bidrag. Efter flera utvärderingsomgångar färdigställde NIST sitt första set med PQC-standarder 2024: FIPS 203 (ML-KEM, från CRYSTALS-Kyber) för nyckelinkapsling, FIPS 204 (ML-DSA, från CRYSTALS-Dilithium) för digitala signaturer och FIPS 205 (SLH-DSA, från SPHINCS+) som ett hashbaserat signaturalternativ. Dessa algoritmer står emot attacker från både klassiska datorer och kvantdatorer och är avsedda att ersätta RSA och ECDSA i PKI-system.

Både CRYSTALS-Kyber och CRYSTALS-Dilithium är gitterbaserade kryptografiska system. Ett gitter är ett regelbundet nät av punkter i ett högdimensionellt rum. Det svåra problem som ligger till grund för båda algoritmerna är problemet Learning With Errors (LWE): givet en uppsättning linjära ekvationer där små slumpmässiga fel har lagts till ska den underliggande hemligheten hittas. Ingen känd kvantalgoritm löser LWE effektivt. Varianten Module-LWE (MLWE) som används i CRYSTALS ger en bra avvägning mellan säkerhetsnivå och storleken på nycklar och chiffertexter.

CRYSTALS-Kyber (nu ML-KEM) är en Key Encapsulation Mechanism (KEM) – den gör det möjligt för två parter att upprätta en gemensam hemlighet över en osäker kanal och ersätter Diffie-Hellman och RSA vid nyckelutbyte. Kyber genererar ett nyckelpar med en publik och en privat nyckel. Avsändaren kapslar in en slumpmässig sessionsnyckel med mottagarens publika nyckel, och mottagaren kapslar upp den med sin privata nyckel. Kyber-768 (NIST:s säkerhetsnivå 3, ungefär motsvarande AES-192) har en publik nyckel på cirka 1 184 byte och en chiffertext på cirka 1 088 byte – betydligt större än en 256-byte RSA-2048-nyckel.

CRYSTALS-Dilithium (nu ML-DSA) är en algoritm för digitala signaturer som ersätter ECDSA- och RSA-signaturer. Den skapar signaturer med hjälp av gittermatematik och verifieringen är effektiv. Dilithium3 (säkerhetsnivå 3) skapar signaturer på cirka 3 293 byte – betydligt större än en 64-byte ECDSA-signatur. Denna storleksökning är den främsta migrationsutmaningen för PKI-system med många certifikat. Trots storleken signerar och verifierar Dilithium snabbt på standardhårdvara och står emot alla kända kvantattacker.

SPHINCS+ (nu SLH-DSA) är ett tillståndslöst hashbaserat signatursystem som NIST har valt som ett alternativ till Dilithium. Säkerheten bygger enbart på säkerheten hos den underliggande hashfunktionen (SHA-256 eller SHAKE), vilket gör systemet mycket konservativt – om gittermatematiken på något sätt skulle knäckas förblir SPHINCS+ säkert. Nackdelen är signaturstorleken: SPHINCS+-signaturer är mellan 8 KB och 50 KB stora beroende på parameteruppsättning, vilket gör dem olämpliga för TLS-certifikat men utmärkta för kodsignering där signaturstorleken är mindre kritisk.

Den rekommenderade migrationsstrategin är hybridkryptografi: kombinera en klassisk algoritm med en postkvantalgoritm, så att anslutningen är säker så länge ingen av algoritmerna har knäckts. Exempelvis innebär X25519 + Kyber-768 för nyckelutbyte att en angripare måste knäcka både ECDH och Kyber för att dekryptera trafiken. Detta införs redan: Googles webbläsare Chrome lade till stöd för X25519Kyber768 som ett hybridnyckelutbyte för TLS 1.3 år 2023, och Apple lade till det i iMessage. Hybridmetoden möjliggör en smidig övergång utan ett plötsligt byte vid ett fastställt datum.

Att migrera PKI till postkvantalgoritmer innebär en enorm komplexitet: certifikatens storlek ökar betydligt, vilket påverkar storleken på och prestandan hos TLS-handskakningar; hårdvarusäkerhetsmoduler (HSM:er) måste uppdateras eller bytas ut för att stödja de nya algoritmerna; infrastrukturen för kodsignering och certifikatutfärdare behöver uppdateras; och IoT-enheter med begränsat minne kanske inte stöder större postkvantnycklar. Organisationer bör börja med en kryptografisk inventering – att katalogisera alla platser där RSA och ECC används – som första steg i sin PQC-migrationsplan.

Kryptoagilitet innebär att utforma system så att kryptografiska algoritmer kan bytas ut utan att hela systemet behöver göras om. System med kryptoagilitet lagrar algoritmidentifierare tillsammans med nycklar och chiffertexter, vilket möjliggör framtida uppgraderingar genom att en konfigurationsparameter ändras. TLS, SSH och moderna certifikatstandarder visar redan exempel på kryptoagilitet. Organisationer bör granska sina egenutvecklade protokoll och applikationer med avseende på hårdkodade algoritmval – det är dessa system som blir dyrast att migrera. Om ni inför ett abstraktionslager för kryptografiska bibliotek redan nu blir PQC-migreringen mycket enklare.

I den här lektionen har ni lärt er att Shors algoritm utgör ett hot mot RSA och ECC, medan Grovers algoritm endast halverar säkerheten hos symmetriska nycklar, vilket innebär att AES-256 och SHA-384 fortfarande är användbara efter kvantövergången, att CRYSTALS-Kyber (ML-KEM) ersätter nyckelutbyte och att CRYSTALS-Dilithium (ML-DSA) ersätter digitala signaturer som NIST:s utvalda postkvantstandarder, samt att hybridkryptografi som kombinerar klassiska algoritmer och PQC-algoritmer är den rekommenderade migrationsstrategin medan övergången pågår. Härnäst utforskar vi containersäkerhet för molnbaserade miljöer.