Die NIST-Normen sind offiziell abgeschlossen - was nun?

Sie sind endlich da. Erst vor wenigen Wochen hat das National Institute of Standards and Technology (NIST) drei der vier Post-Quantum-Krypto-Algorithmen (PQC) fertiggestellt und ist damit der Fertigstellung der Standards einen Schritt näher gekommen. 

For background, NIST began this initiative back in 2016, when they called on the industry’s leading cryptographers to design and vet encryption options safe from breaking in a post-quantum (PQ) world. Then, in 2022, NIST selected the four winning algorithms that would be considered for the new PQC standards set to be finalized in the years ahead: CRYSTALS-KYBER (ML-KEM), which was designed for encryption, as well as CRYSTALS-Dilithium (ML-DSA), Falcon, and SPHINCS+ (SHL-DSA), which were intended to verify digital signatures. 

Flash forward to today: now, three of four algorithms are officially finalized as part of NIST’s PQC standards. This might leave security leaders asking, “What does this mean; What can we do?” 

KeyfactorChris Hickman, CSO, erläutert die Auswirkungen der neuen Algorithmen auf die Sicherheitsteams in Unternehmen.

Die von Chris Hickman empfohlenen Schritte zur PQC-Bereitschaft

With the finalization of the NIST cryptographic algorithms, organizations now have the tools needed to safeguard against the quantum threat. Below are the steps security teams need to take to ensure they are marching swiftly to PQC-readiness.

Schritt 1: Verstehen Sie, dass der Übergang zu PQC ein Marathon ist, kein Sprint.

The first step business leaders need to take is to fully grasp that the PQC transition will take time. Keyfactor’s 2024 PKI & Digital Trust Report found that most organizations believe the transition to PQC will take about four years. But in reality, experts believe it will take 8-10 years to do it correctly. 

Schritt 2: Erstellen Sie ein Inventar ALLER kryptographischen Werte.

Without visibility into all the cryptographic assets across your organization, it is impossible to start the actual transition of those assets. Creating that inventory can take a lot of manpower. We strongly recommend investing in tools, such as Keyfactor’s EJBCA Enterprise Platform, to gather all of your cryptographic assets into one place. Leveraging automation ensures that no asset is left behind, while allowing IT and security teams to focus on other high priorities simultaneously.

Schritt 3: Definieren Sie eine klare Umsetzungsstrategie.

Once all cryptographic assets are accounted for, businesses should create a clear implementation strategy. Some key steps that should be included in the strategic planning process:

• Bestimmen Sie ein realistisches Budget, das für Ihre Organisation geeignet ist.
• Identifizieren Sie die Tools, die Ihre Teams für eine erfolgreiche Umstellung auf PQC benötigen und welche Teile der Umstellung automatisiert werden sollten.
• Legen Sie den genauen Zeitplan und die zu unternehmenden Schritte fest
• Darstellung der Zuständigkeiten der einzelnen Mitglieder des IT- und Sicherheitsteams
• Setzen Sie realistische Fristen für jede Phase

Wenn Ihr Team diese strategischen Elemente berücksichtigt, kann es einen möglichst nahtlosen Übergang gewährleisten. 

Schritt 4: Testen Sie die endgültigen PQC-Algorithmen des NIST in einer sicheren Umgebung und messen Sie die Krypto-Agilität des Unternehmens.

Nach der Erstellung eines Plans und der unternehmensweiten Sichtbarkeit aller kryptografischen Ressourcen sollten die Sicherheitsteams dann damit beginnen, die erste PQC-Suite der endgültigen Algorithmen des NIST in Sandbox-Umgebungen zu testen. 

Teams can leverage Keyfactor’s PQC Lab – a free SaaS-based version of Keyfactor’s PKI platform, EJBCA Enterprise, that’s pre-configured to issue quantum-resilient certificates. The PQC Lab provides a quick and easy way for users to test and better understand the impacts of these changes on their infrastructure without impacting production environments.

Businesses should also test their crypto-agility to understand how quickly they can manage, update, and secure machine identities within their PKI infrastructure. This is a critical step in the PQC journey.

For more resources on the migration to PQC, check out Keyfactor’s PQC Lab page, which features helpful videos directly from the experts on our team. 

Und denken Sie daran, dass der Weg zur PQC-Fähigkeit ein Weg der Zusammenarbeit ist. Wie bei den meisten komplexen Sicherheitsszenarien gibt es keine Einzellösung.

If you’re interested in learning more about how Keyactor can be a dependable resource for you in the post-quantum world, let’s connect.