Die rasanten Fortschritte im Quantencomputing führen zu einem der grundlegendsten technologischen Veränderungen in der Kryptografie und Datensicherheit.
As the era of PQC, or post-quantum cryptography, draws nearer, the need for quantum-resistant cryptography across enterprises will skyrocket. These changes are already influencing roadmaps and compliance timelines. This is not surprising, as the complexity of implementing quantum-resistant cryptography demands a phased, risk-aligned approach. And it’s one that you need to begin today.
Zwei Säulen eines solchen Ansatzes sind die Anpassung der bestehenden Infrastruktur für die Krypto-Agilität und die Einführung hybrider Zertifikate, die nach der Kritikalität der Daten geordnet sind. Die Vorbereitung auf die bevorstehenden Veränderungen wird dazu beitragen, einen reibungslosen Übergang von alten kryptografischen Algorithmen zur Post-Quantum-Kryptografie der Zukunft zu gewährleisten.
Durchführen einer risikobasierten Bestandsaufnahme
Der erste Schritt bei der Implementierung einer quantenresistenten Kryptografie ist die Durchführung einer vollständigen Bestandsaufnahme der PKI des Unternehmens. Dazu gehören digitale Zertifikate, Sicherheitsschlüssel, Protokolle, Datenbibliotheken und alle in die PKI-Vertrauenskette eingebundenen Geräte. Nach der Katalogisierung sollte jeder Vermögenswert anhand von drei Schlüsselfaktoren klassifiziert werden:
Sensibilität der zu schützenden Daten
Voraussichtliche Lebensdauer der Daten oder wie lange sie vertraulich bleiben müssen
Risiko und Auswirkung einer möglichen Datenexposition
Zu den wichtigsten Prioritäten für den Schutz vor Quanteneffekten gehören in der Regel:
Schlüssel der Stammzertifizierungsstelle (Root) und der ausstellenden Zertifizierungsstelle (CA)
Client-Authentifizierungssysteme
Plattformen zum Signieren von IoT
Systeme zur langfristigen Unterzeichnung von Dokumenten
Diese Anlagen sind für das PKI-Ökosystem von entscheidender Bedeutung und bergen im Falle einer Beeinträchtigung erhebliche Betriebsrisiken.
Beginnen Sie mit der Identifizierung der verwendeten kryptografischen Algorithmen und setzen Sie Prioritäten bei den risikoreichen Anlagen. Achten Sie genau auf die Ablauffristen von Zertifikaten (einige können 5 bis 10 Jahre dauern, was möglicherweise über den Zeitrahmen der PQC-Einführung des NIST hinausgeht). Die Überwachung sich entwickelnder Standards und die Anpassung der Lebenszyklen von Zertifikaten an diese ist von entscheidender Bedeutung.
Systeme, die mit externen Partnern zusammenarbeiten, erfordern besondere Aufmerksamkeit. Diese Edge-Systeme müssen koordiniert aktualisiert werden, um die Kompatibilität mit hybrider Kryptografie zu gewährleisten, und sie müssen laufend getestet werden, um die weitere Funktionalität während des Übergangs sicherzustellen.
Schutz an Risikostufe anpassen
Die Anzahl der von einem Unternehmen verwalteten Güter ist enorm, so dass eine Triage der Implementierung und ein abgestufter Ansatz für den Schutz erforderlich sind. Die in der Inventarisierungsphase vorgenommenen Klassifizierungen dienen als Richtschnur für die Anwendung kryptografischer Schutzmaßnahmen, die sich nach der Sensibilität und dem Risiko der Gefährdung jedes einzelnen Objekts richten.
Die folgenden drei Kategorien geben eine grobe Vorstellung davon, welche Schutzmaßnahmen für Ihre Daten Priorität haben sollten, wobei zu berücksichtigen ist, dass die Daten jeder Organisation einzigartig sind und die Anforderungen unterschiedlich sein können:
- Protection required now: Systems with long-term confidentiality requirements (such as legal, financial, healthcare, and strategic IP), since these are at the greatest risk of Harvest Now Decrypt Later attacks.
- Transition via hybrid or PQC certificates: Medium-risk systems that still require classical certificate-only validation for compatibility.
- Agile classical cryptography that can switch algorithms quickly: low-risk data and short-lived transactions.
Dokumentieren Sie in jeder Implementierungsphase für jede Risikostufe weiterhin Ihre Sicherheitslage, um die gesetzlichen Anforderungen zu erfüllen.
Ein hybrider Ansatz für quantenresistente Kryptographie
Ein hybrider Ansatz, der hybride Zertifikate umfasst, die sowohl Legacy- als auch PQC-Algorithmen unterstützen, ist ein praktisches und pragmatisches Sprungbrett zur Post-Quantum-Kryptografie. Unternehmen sollten sich jedoch nicht vollständig auf diese Strategie verlassen, da die Abwertung bald veralteter Algorithmen die Abschaffung anfälliger PKI erforderlich machen wird.
A hybrid certificate is a certificate that contains two algorithm signatures: one classical and one post-quantum, ensuring backwards compatibility with existing clients while providing quantum-resistant encryption where it is already supported. This dual-stack structure allows for a gradual transition that can be implemented in phases. You can start issuing hybrid certificates in internal systems where you control both the client and the server, such as the mutual TLS (mTLS) within your network. Before updating certificates and replacing them with hybrid ones in other systems, make sure to know what specific types of hybrid certifications these systems support.
Another important thing to note is that hybrid certificates tend to increase in size compared to legacy certificates due to the post-quantum algorithm byte count, which can be significant in some post-quantum signatures such as ML-DSA. These can potentially break in legacy systems, so a phased approach is one of the safest ways to proceed.
Die meisten gut ausgebauten PKIs können schrittweise aktualisiert werden, ohne dass alles auf einmal ersetzt werden muss. Um den Prozess zu vereinfachen, sollten Sie CAs in Betracht ziehen, die kryptografische Profile unterstützen, die Hybrid- und PQC-Algorithmen umfassen, und Richtlinien-Engines integrieren, die Algorithmen - ob klassisch, hybrid oder PQC - je nach Anwendungsfall, Umgebung oder Systemebene zuweisen können.
At this stage, certificate automation is not just a nice-to-have for an enterprise but a necessary reality that ensures the correct renewal, rotation, and revocation of certificates at scale. It becomes even more vital given the significant increase in complexity that hybrid deployments introduce. Automation will also help you adapt to ongoing changes and respond to unknowns. For this reason, avoid using hard-coded cryptographic tokens or keys, which will make downstream changes challenging and significantly more costly.
Vorrang für Interoperabilität und Konformität
Interoperability is one of the top ongoing challenges of PKI. Here are tips to help ensure that interoperability is woven into the fabric of your PQC-ready PKI system:
- Vermeiden Sie die Verwendung von proprietären Algorithmen und Protokollen, es sei denn, es gibt keine Alternativen.
- Verfolgen Sie den PQC-Standardisierungsprozess des NIST genau, da Formate und APIs noch in der Entwicklung sind und noch nicht bekannt ist, was am Ende der Industriestandard 2030-2035 sein wird.
- Track IETF efforts on X.509 hybrid certificate extensions and TLS 1.3 integration for PQC key exchange
- Erstellen Sie eine interne Kompatibilitätsmatrix und führen Sie plattformübergreifende Tests durch, insbesondere wenn Sie mehrere geografische oder gesetzliche Bereiche bedienen.
- Beobachten Sie Ihre zuständigen Aufsichtsbehörden, um den Vorschriften immer einen Schritt voraus zu sein; viele veröffentlichen PQC-Bereitschaftsrahmen und sektorspezifische Leitlinien, um Unternehmen bei der Vorbereitung zu helfen.
Führen mit Governance, Schulung und klarer Kommunikation
Die Einführung von PQC und die Krypto-Agilität erfordern einen unternehmensweiten Wandel in den Richtlinien, Protokollen und Denkweisen. Übertragen Sie die Verantwortung für die Planung des PQC-Übergangs an eine funktionsübergreifende Gruppe, an der Interessenvertreter aus den Bereichen Sicherheitsarchitektur, PKI-Betrieb, Compliance und Beschaffung beteiligt sind, die dann in der Lage sein werden, den Fahrplan für eine quantenresistente Kryptografie in allen geschäftlichen und technischen Bereichen klar zu kommunizieren. Die PQC-Vorbereitung ist eine Anstrengung zur Aufrechterhaltung des Vertrauens, und wenn man sie als solche betrachtet, kann man sich die Finanzierung und die Zustimmung der Führungsebene sichern.
Unterstützen Sie die Mitarbeiter auch bei dieser Umstellung. Schulen Sie Entwickler und Sicherheitsingenieure in Bezug auf hybride Formate, Kompromisse bei der Algorithmenleistung und häufige Kompatibilitätsfallen. Aktualisieren Sie im Zuge der PQC-Einführung Ihre Verschlüsselungsrichtlinien, um die neuen Regeln für die Ausgabe von Hybridformaten, die Zeitpläne für die Abschaffung von Algorithmen und die Prozesse für die Behandlung von Ausnahmen zu berücksichtigen.
Schlussfolgerung
Der Weg zur Implementierung einer quantenresistenten Kryptografie mag lang und komplex sein, aber Vorbereitung, die richtige Einstellung und die Wahl der richtigen Partner werden einen reibungslosen Übergang zu PQC gewährleisten.
Keyfactor is a trusted partner ready to lead your organization through the PQC transition. Together, we can protect your infrastructure from the adversaries of tomorrow while maintaining continuity, compliance, and trust today. Begin your crypto-agility journey today – our team is here to help you.
Die Quelle abonnieren
Stay secure with Keyfactor's monthly newsletter, packed with expert insights and practical steps for quantum-readiness.
