Planera er migrering till postkvantstandarder

Migrering av kryptografisk infrastruktur är inget kortsiktigt projekt. Det tar stora organisationer 10–15 år att uppdatera alla system fullständigt. NIST uppskattar att kvantdatorer som kan knäcka RSA-2048 kan finnas inom 10–30 år. Med tanke på hotet harvest-now-decrypt-later och de långa migreringstiderna måste organisationer börja planera i dag, även om det omedelbara kvantumhotet verkar avlägset.

Kryptoagilitet innebär att utforma system så att kryptografiska algoritmer kan bytas ut utan att hela arkitekturen behöver göras om. I ett kryptoagilt system centraliseras valet av algoritm i konfigurationen, abstrakta nyckeltyper används och protokollogiken frikopplas från specifika chifferimplementationer. System som hårdkodar RSA eller ECDH i sin protokollogik kräver betydligt dyrare migreringar än kryptoagila system.

Det första steget i en migrering är att katalogisera varje kryptografisk primitiv i systemet: var RSA, ECDH, ECDSA och symmetriska algoritmer används, i vilka sammanhang (TLS, kodsignering, kryptering av data i vila och autentiseringstoken) samt hur länge data behöver förbli skyddade. NIST IR 8547 och CISA:s vägledning rekommenderar att automatiserade verktyg för identifiering används för att hitta hårdkodade nycklar och algoritmidentifierare i kodbaser och konfigurationer.

TLS 1.3 stöder hybridbaserat nyckelutbyte som kombinerar X25519 och ML-KEM-768, vilket specificeras i IETF-dokumentet draft-ietf-tls-hybrid-design. Den hybrida NamedGroup X25519MLKEM768 skickar både klassiska och PQC-nyckeldelningar i ClientHello. Den delade hemligheten är hashen av båda utdata. Detta kräver inga protokolländringar för servrar som stöder den nya NamedGroup och är bakåtkompatibelt med klienter som inte gör det.

NIST IR 8413 (2022) ger vägledning för migrering till postkvantumkryptografi. Dokumentet delar in systemen i tre zoner: omedelbart kritiska (långlivade hemligheter som löper risk att utsättas för harvest-now-decrypt-later), medellångsiktiga (data som behöver skyddas i 5–10 år) och lågprioriterade (efemära eller kortlivade data). NIST rekommenderar att PKI- och certifikatinfrastrukturen prioriteras, eftersom byte av rotcertifikat påverkar hela förtroendekedjor.

Hotet harvest-now-decrypt-later (HNDL) är den mest brådskande anledningen att omedelbart införa postkvantumkryptering, även innan kvantdatorer finns. Angripare (nationalstater) spelar in krypterad trafik i dag i förhoppningen att kunna dekryptera den när en kvantdator blir tillgänglig. Data som behöver skyddas långsiktigt (medicinska journaler, statshemligheter och ekonomiska uppgifter med relevans under flera årtionden) löper omedelbar risk från denna attack.

Med utgångspunkt i HNDL-hotet är den högsta prioriteten vid migrering till postkvantumkryptografi att skydda data som kräver långvarig konfidentialitet. TLS:s efemära nyckelutbyte (ECDHE) bör omedelbart uppgraderas till hybridbaserade X25519+ML-KEM. Långlivade privata RSA-nycklar (som används för certifikatsignering eller för lagrade krypterade data) behöver krypteras om med postkvantumkryptografiska scheman. Efemära sessionsnycklar för strömmande video har låg prioritet eftersom de saknar långsiktigt värde.

Innan PQC distribueras bör organisationer mäta prestandapåverkan för sina specifika arbetsbelastningar. ML-KEM är snabbt: nyckelgenerering och inkapsling tar mindre än 20 mikrosekunder på modern maskinvara. De större nyckel- och chiffertextstorlekarna (ML-KEM-768: 1184 + 1088 byte jämfört med X25519: 32 + 32 byte) ökar dock storleken på TLS-handskakningar. För TLS-servrar med hög trafikvolym som hanterar miljontals anslutningar per sekund måste denna bandbreddskostnad mätas.

Projektet Open Quantum Safe (OQS) tillhandahåller liboqs, ett bibliotek med öppen källkod som implementerar PQC-algoritmer, inklusive alla NIST-standarder. OQS tillhandahåller även forkade versioner av OpenSSL och BoringSSL med stöd för PQC samt en testserver på test.openquantumsafe.org. Organisationer kan använda liboqs för att prototypa och testa PQC-integration före driftsättning i produktion, utan att behöva vänta på stöd i huvudversionerna av biblioteken.

Amerikanska federala myndigheter och reglerade branscher måste använda FIPS-validerade kryptografiska moduler. NIST FIPS 203, 204 och 205 har nu publicerats, men det tar ytterligare tid innan validerade implementationer (med CMVP-certifikat) blir tillgängliga. NIST driver ett påskyndat valideringsprogram för PQC. Organisationer i reglerade miljöer bör följa statusen för CMVP-valideringen och planera för en period då hybridbaserade installationer med klassisk kryptografi och PQC använder FIPS-validerade klassiska algoritmer parallellt med validerade PQC-implementationer.

Migrating PKI is particularly complex. Root certificates and intermediate CAs need to be re-issued with ML-DSA or hybrid keys. Certificate chains grow larger (ML-DSA-65 certificates are approximately 4 KB vs 1 KB for RSA-2048). Browser trust stores, mobile OS trust stores, and embedded device trust stores all need updating. Some organizations are exploring dual-algorithm certificates (hybrid PKI) to maintain backward compatibility during the transition.

PQC-migrering kräver kryptoagilitet, en fullständig kryptografisk inventering och prioritering utifrån datas livslängd. Hotet att samla in nu och dekryptera senare gör omedelbar driftsättning av hybrid-TLS (X25519+ML-KEM-768) brådskande för långlivade hemligheter. Prestandaöverhead är hanterbar för de flesta arbetsbelastningar. liboqs möjliggör testning innan stöd införs i huvudbiblioteken. FIPS-efterlevnad kräver att valideringsstatusen i CMVP för PQC-implementationer följs upp.