Bereiten Sie sich auf das Jahr der Quantum-Ready PKI-Lösungen vor

Die Ära des praktischen Quantencomputers ist möglicherweise noch Jahre entfernt, aber für Organisationen, die sensible Daten schützen müssen, gibt es endlich einige Standards, die auf das Problem der Bedrohung angewandt werden können, die praktische Quantencomputer für unsere derzeitigen Algorithmen für die Kryptographie öffentlicher Schlüssel darstellen.  

The National Institute of Standards and Technology (NIST) has officially finalized the first three post-quantum cryptographic algorithms coming from NIST’s Post-Quantum Cryptography (PQC) project. This includes the ML-KEM algorithm which provides a Key Encapsulation Mechanism (KEM) for sharing symmetric keys for general encryption, as well as the ML-DSA and SLH-DSA algorithms, both for use with digital signatures. A further signature algorithm FN-DSA is proposed to be issued as a draft standard at the end of the year. Previously ML-KEM, ML-DSA, SLH-DSA, FN-DSA were known as CRYSTALS-Kyber, CRYSTALS-Dilithium, SPHINCS+, and Falcon.

Die Fertigstellung dieser Algorithmen bedeutet, dass Organisationen nun damit beginnen können, PQC-sichere Algorithmen in ihre Public-Key-Infrastruktur (PKI) zu implementieren, um sicherzustellen, dass Systeme, die auf sichere digitale Identitäten und den Austausch verschlüsselter Daten angewiesen sind, nicht durch Verschlüsselung gebrochen werden, wenn der "Q-Day" schließlich eintritt.

Die Veröffentlichung stellt einen Wendepunkt für die Online-Cybersicherheit dar, da sie für die Unternehmen den Startschuss für die Vorbereitung auf das PQC gibt. Die Wahrheit ist jedoch, dass Organisationen, die gerade erst anfangen, über die Migration zu den neuen Standards nachzudenken, einen späten Start in das Rennen um die Sicherung der Infrastruktur, die ihren kryptografischen Werten zugrunde liegt, haben.  

Most companies, as evidenced by our latest research on the state of PKI and digital trust, expect the PQC transition to take four years to complete. Those with more certificates believe that it will take an average of 6 years to transition. Underestimating the time and effort required for PQC readiness will likely lead to delays, and setbacks, something which we can all ill afford as some Government agencies have already set target dates of 2030 for the transition to PQC algorithms to be complete and it is likely now that other industry sectors will follow suit.

Die Komplexität ergibt sich daraus, dass ein erheblicher Planungs- und Testaufwand erforderlich ist, um die neuen Algorithmen nahtlos zu übernehmen. Der Ressourcenbedarf für die Unterstützung dieser Algorithmen, sowohl in Bezug auf den Speicherplatz als auch auf die CPU, unterscheidet sich von dem, was wir bisher gesehen haben, und der KEM-Algorithmus bietet einen Mechanismus, der sich von dem unterscheidet, was wir derzeit für die Koordinierung der Verwendung von geheimen Schlüsseln gewohnt sind. Hinzu kommt, dass viele Organisationen Bibliotheken und Anwendungen von Drittanbietern nutzen. Bei der PQC-Migration geht es also nicht nur darum, was lokal in einer Organisation getan wird, sondern es muss auch die gesamte Lieferkette für ein bestimmtes Produkt berücksichtigt werden. Ab sofort ist es unerlässlich, dass alle Sicherheitsbewertungen und Lieferantenaudits PQC berücksichtigen.  

Finally, it is worth considering the security aspects. While Quantum computing does not pose a direct immediate threat, highly sensitive data now may well be at risk. As top White House Cybersecurity Advisor Anne Neuberger pointed out during a recent address in London, highly sensitive data stolen today could still be a risk if it’s decrypted eight or ten years from now. With quantum computing on the horizon, Harvest Now, Decrypt Later (HNDL) is an emerging type of attack that organizations should be prepared for.  

Was Organisationen tun sollten, um sich vorzubereiten

Einige Schritte, die Unternehmen jetzt unternehmen können, um sich auf die PQC-Umstellung vorzubereiten, sind: 

• Bestandsaufnahme der Systeme und Ermittlung der sensibelsten und am stärksten gefährdeten Systeme 
• Prüfung ihrer Anwendungsökosysteme als Teil der Planung einer eventuellen Migration 

• Einrichtung von Laborumgebungen zum Testen der PQC-Public-Key-Infrastruktur (PKI) und zur Vorbereitung der Signaturvalidierung software für neue Algorithmen
• Sicherstellen, dass bei allen laufenden oder neuen Projekten die PQC-Migration berücksichtigt wird

Die Umstellung wird eine beträchtliche Lernkurve mit sich bringen, so dass Unternehmen, die sich vor der Veröffentlichung der neuen NIST-Algorithmen vorbereitet haben, an der Startlinie stehen und bereit sein werden, sie zu übernehmen, wenn die Zeit gekommen ist. Es ist wichtig, dass Unternehmen jetzt in Tools, Schulungen und das Sammeln von Erfahrungen investieren, falls sie dies noch nicht getan haben.

On the tools front, at least help is here now, the marketplace has already seen many new quantum-ready PKI and signing solutions go into production this year. For example, the new capabilities in Keyfactor EJBCA Enterprise and Keyfactor SignServer Enterprise can allow organizations to issue both quantum-ready PKI certificates and existing PKI certificates in the same environment. This allows users to test how well systems work with the new standards and assess what may need to change going forward. When ready, organizations could use EJBCA to set up an ML-DSA root certificate authority (CA) and a CA to issue the first quantum-ready code, then sign it with ML-DSA in SignServer. As organizations prepare for migration to the new algorithms, these hybrid certificates are a great way to enable PQC because they offer both quantum-ready capabilities and backward compatibility with current setups. 

Keyfactordie den Genehmigungsprozess des NIST verfolgt hat, verfügt über PKI- und Signaturlösungen, die die neuen Standards unterstützen und bereitstehen, sobald sie offiziell freigegeben sind. Bei FIPS PUUB 204 ML-DSA, einem digitalen Signaturverfahren auf der Grundlage von CRYSTALS-Dilithium, hat Keyfactor sowohl an dem Element software als auch mit den Anbietern von Hardware Sicherheitsmodulen (HSM) zusammengearbeitet, um sicherzustellen, dass quantenfähige Produkte bereitstehen. 

Unabhängig von der Plattform und den Tools, für die sich Unternehmen entscheiden, ist eines ganz klar: Die Zeit, sich auf eine Post-Quantum-Welt vorzubereiten, ist gekommen.