Post-Quanten-Tauglichkeit für IT & Software

Übersicht

Jedes Framework in diesem Leitfaden weist in dieselbe Richtung: Man muss wissen, welche Kryptografie man einsetzt, nachweisen, dass man die Kontrolle darüber hat, und bereit sein, sie anzupassen. Bei der postquanten Kryptografie wird dieser Richtung eine Frist gesetzt, und für die IT- und software -Branche rückt diese Frist gleich aus zwei Richtungen gleichzeitig näher.

Das NIST hat im August 2024 die Standards FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA) endgültig verabschiedet. NIST IR 8547 baut auf dieser Fertigstellung auf, um den Zeitplan für den zivilen Bereich festzulegen: RSA, ECDSA, ECDH und DSA werden ab 2030 für neue Anwendungen als veraltet eingestuft und ab 2035 nicht mehr zugelassen. Parallel dazu legt die CNSA 2.0 der NSA (Version 2.1, Dezember 2024) legt einen strengeren, kategoriespezifischen Zeitplan für nationale Sicherheitssysteme (National Security Systems, NSS) fest: Es wird erwartet, dass die Signierung von „ software “ und Firmware bereits jetzt CNSA 2.0-Algorithmen unterstützt und bevorzugt, wobei die ausschließliche Nutzung bis 2030 angestrebt wird; ab dem 1. Januar 2027 sollen neue NSS-Anschaffungen standardmäßig CNSA 2.0-konform sein.

Für Anbieter von „ software “-Lösungen stellt die Signaturanforderung die konkreteste kurzfristige Verpflichtung dar: CNSA 2.0 schreibt die in NIST SP 800-208 standardisierten, zustandsbehafteten, hashbasierten Verfahren LMS oder XMSS für die Signatur von „ software “ und Firmware vor – eine andere Algorithmusfamilie als der universell einsetzbare ML-DSA, der an anderer Stelle in der Suite verwendet wird. Das bedeutet, dass eine Code-Signatur-Pipeline, die ausschließlich für die heutigen RSA- oder ECDSA-Signaturschlüssel ausgelegt ist, nicht nur neue Schlüsselgrößen, sondern auch Unterstützung für neue Algorithmen benötigt.

Warum das wichtig ist

CNSA 2.0 und NIST IR 8547 kommen zu einer ohnehin schon überfüllten CMVP-Validierungswarteschlange hinzu. FIPS 203, 204 und 205 wurden im August 2024 endgültig festgelegt, und der typische Zeitrahmen von der Standardisierung des Algorithmus bis hin zu CMVP-validierten Modulen beträgt 18 bis 24 Monate, was bedeutet, dass die frühesten validierten Post-Quantum-Module erst Anfang bis Mitte 2026 für Anbieter verfügbar wurden, die sofort mit der Entwicklung begonnen hatten. Unternehmen, die ein nach FIPS 140-3 validiertes Modul benötigen, das ML-KEM und ML-DSA unterstützt, reihen sich in eine Validierungswarteschlange ein, die gleichzeitig den regulären FIPS-140-3-Übergangsverkehr aufnimmt, der durch das in diesem Leitfaden bereits erwähnte Auslaufen von FIPS 140-2 am 21. September 2026 entsteht.

In der Praxis bedeutet dies, dass ein einzelner Validierungsantrag zunehmend beide Hürden – die Konformität mit dem Standard FIPS 140-3 und die Unterstützung von Post-Quantum-Algorithmen – gleichzeitig nehmen muss, und Anbieter, die diese als separate Projekte behandeln, stoßen zweimal auf die gleichen begrenzten Laborkapazitäten. Große Anbieter von Betriebssystemen, Browsern und Cloud-Diensten integrieren bereits FIPS 203/204/205 in ihre kryptografischen Bibliotheken, was die Erwartungen von Kunden und Beschaffungsstellen an jeden Anbieter weiter unten in der Lieferkette noch weiter steigern wird.

„Erst erfassen, später entschlüsseln“ ist der zugrunde liegende wirtschaftliche Antrieb: Daten, die heute mit den aktuellen Algorithmen verschlüsselt werden, können jetzt erfasst und erst dann entschlüsselt werden, wenn Quantencomputer einsatzbereit sind. Daher unterliegt jede „ software “, die Daten mit einer Vertraulichkeitsanforderung von mehr als 10 bis 15 Jahren schützt, bereits einer Frist, die sich nach der Sensibilität der Daten richtet – und nicht nach dem Zeitpunkt, zu dem ein Quantencomputer verfügbar sein wird.

Wie sich dies auf die Kryptografie auswirkt 

Die „Post-Quantum Readiness“ befasst sich mit Kryptografie anhand mehrerer miteinander verflochtener Kontrollbereiche. Die wichtigsten Bereiche mit direkten kryptografischen Auswirkungen sind:

Fragen zur Einsatzbereitschaft

Bei PQC-Migrationsprüfungen – unabhängig davon, ob sie von einem Bundeskunden, einer Zertifizierungsstelle oder einer internen Risikostelle initiiert werden – steht im Mittelpunkt, ob die Organisation ihre Risiken kennt und über einen geregelten Plan verfügt. Die Prüfer werden insbesondere folgende Schlüsselbereiche untersuchen:

• Vollständigkeit des kryptografischen Bestands: Kann das Unternehmen jedes Zertifikat, jeden Schlüssel, jeden Algorithmus und jede kryptografische Bibliothek auflisten, die in seinen Produkten, Build-Systemen und seiner Cloud-Infrastruktur verwendet werden, einschließlich geerbter open-source -Abhängigkeiten?
• Klassifizierung quantenanfälliger Ressourcen: Wurde der Bestand anhand des NIST IR 8547-Auslaufplans bewertet, wobei quantenanfällige Ressourcen identifiziert und nach Datensensibilität und Nutzungsdauer eingestuft wurden?
• Bereitstellung von Signaturalgorithmen: Unterstützt die Signaturpipeline für die „ software “ oder die Firmware die in CNSA 2.0 spezifizierten zustandsbehafteten, hashbasierten Verfahren (LMS, XMSS), die sich von den universellen PQC-Signaturalgorithmen unterscheiden?
• Migrationsplan und Verantwortlichkeit: Gibt es einen namentlich benannten Verantwortlichen, einen dokumentierten Migrationsplan und einen Zeitplan, der auf die Fristen der Kategorien von CNSA 2.0 sowie die Termine 2030/2035 gemäß NIST IR 8547 abgestimmt ist?
• Status der CMVP-Validierungspipeline: Befindet sich das Unternehmen bei allen Produkten, für die ein nach FIPS 140-3 validiertes Modul mit Unterstützung für Post-Quanten-Algorithmen erforderlich ist, bereits in der CMVP-Warteschlange, wenn man von Validierungsfristen von 18 bis 24 Monaten ausgeht?
• PQC-Situation bei Lieferanten und Abhängigkeiten: Werden vorgelagerte Anbieter von Bibliotheken, Cloud-Diensten und Komponenten hinsichtlich ihrer eigenen PQC-Migrationspläne bewertet, da veraltete Kryptografie zu einem Risiko für den Anbieter wird?

LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER

Der Übergang zur Post-Quanten-Kryptografie ist nun aus zwei Richtungen gleichzeitig terminiert. NIST IR 8547 erklärt die heutigen Kernalgorithmen bis 2030 für veraltet, und die CNSA 2.0 der NSA verlangt, dass neue Anschaffungen für nationale Sicherheitssysteme bis zum 1. Januar 2027 konform sein müssen, wobei erwartet wird, dass „ software “ und die Firmware-Signierung die erforderlichen Algorithmen bereits jetzt unterstützen. Unsere Produkte und die Systeme, die diese signieren und als vertrauenswürdig einstufen, werden noch weit über diese Termine hinaus auf die heutige Kryptografie angewiesen sein, sofern wir nicht nach unserem eigenen Zeitplan handeln.

Der praktische erste Schritt ist derselbe, den jedes Framework in diesem Leitfaden verlangt: eine vollständige kryptografische Bestandsaufnahme, einschließlich der genauen Angabe, welchen Signaturalgorithmus unsere Build-Pipeline verwendet. Die CMVP-Validierungswarteschlange für postquanten-sichere Module ist bereits durch den Auslauf von FIPS 140-2 ausgelastet. Sich frühzeitig in die Warteschlange einzureihen, ist daher nicht nur ratsam, sondern möglicherweise der einzige Weg, um eine mehrjährige Wartezeit zu vermeiden, wenn unsere Kunden aus dem Bundesbereich und aus der Privatwirtschaft nach Nachweisen fragen.