Post-Quantum-Kryptografie

Post-Quantum-Kryptografie bezeichnet kryptografische Verfahren für klassische Computing-Architekturen, die auch gegen Angriffe mit Quantencomputern schützen sollen. Im Gegensatz zu konventionellen Verfahren basieren diese auf mathematischen Problemen, die selbst für Quantencomputer schwer zu lösen sind. Die Europäische Kommission hat bereits im April 2024 eine Empfehlung zur Post-Quantum-Kryptografie veröffentlicht, um einen harmonisierten Ansatz für den Übergang zu fördern und die Interoperabilität zwischen den Mitgliedstaaten sicherzustellen.

Postquantenkryptografische Verfahren genießen bisher noch nicht das gleiche Vertrauen wie etablierte Kryptosysteme. Dies hängt unter anderem damit zusammen, dass sie beispielsweise hinsichtlich ihrer Widerstandsfähigkeit gegen Seitenkanalangriffe und im Hinblick auf ihre Im­plementierungssicherheit noch nicht im selben Maß untersucht wurden. Gleichzeitig ist ein Übergang zu quantensicheren Verfahren kurzfristig „unabdingbar“, so das BSI.

Aus diesen Gründen hat sich allgemein die Auffassung durchgesetzt, Post-Quantum-Kryptografie nicht in Isolation, sondern nur in Kombination mit bewährten Algorithmen einzusetzen.

Ein europäischer Strategievorschlag empfiehlt einen zweistufigen Ansatz zur Quantensicherheit:

• Post-Quantum-Kryptografie (PQC): Implementierung von PQC-Algorithmen als primäre Maßnahme, einschließlich obligatorischer Risikobewertungen zur Identifizierung von Schwachstellen

• Quantum Key Distribution (QKD): Ergänzende Entwicklung und Implementierung von QKD-Netzwerken für hochsichere Anwendungen

Das BSI hat inzwischen bereits die erste quantensichere Smartcard zertifiziert. Die Smartcard nutzt den TEGRION-Sicherheitscontroller von Infineon mit einer 32 Bit starken Arm v8-M CPU, hergestellt im 28-nm-Prozess. Diese Architektur ist speziell für eingebettete Systeme mit hohen Sicherheitsanforderungen konzipiert. Die Smartcard implementiert die PQC-Methode FIPS203, also den Kyber-Standard, der in FIPS 203 den Namen ML-KEM trägt (Module-Lattice-Based Key Encapsulation Mechanism).

ML-KEM basiert auf Gitterproblemen und gilt als eine robuste Grundlage für die Schlüssel­ver­ein­barung in einer post-quanten-kryptografischen Sicherheitsumgebung. Die Smartcard wur­de bei der TÜV Informationstechnik GmbH einer umfassenden und strengen Sicherheits­be­wertung unterzogen und gemäß den Common Criteria (ISO/IEC 15408) auf der hohen Eva­lua­tions­stufe EAL6+ zertifiziert. Die Zertifizierung belegt sowohl die korrekte Implementierung des ML-KEM-Algorithmus als auch die tatsächliche Widerstandsfähigkeit der Smartcard gegenüber verschiedenen Angriffsszenarien im praktischen Einsatz.

Kryptografische Agilität

Eine zentrale Empfehlung des BSI konzentriert sich auf die Sicherstellung kryptografischer Agilität. Gemeint ist die Fähigkeit, kryptografische Algorithmen und Protokolle auszutauschen oder zu aktualisieren, ohne die gesamte Infrastruktur von Grund auf neu aufsetzen zu müssen.

Konkret empfiehlt das BSI:

• Modulare Architekturen für Hard-/Software, um Komponenten einfach austauschen zu können

• Abstrakte Schnittstellen in Software, die den Algorithmenwechsel ermöglichen

• Krypto-Kataster zur Dokumentation eingesetzter Verfahren und Migrationspfade

• Empfehlung der NIST-Standards ML-KEM, ML-DSA, SLH-DSA als Teil eines erweiterbaren Verfahrensportfolios

Kryptoagilität als zentraler Bestandteil zukunftssicherer IT-Systeme soll Organisationen er­lauben, schnell auf aufkommende Bedrohungen zu reagieren und verbesserte Algorithmen reibungslos zu übernehmen.

Im Einklang mit diesen Empfehlungen hat die OpenSSH‑Community in Version 9.9 die interne Struktur für Key-Exchange-Methoden überarbeitet. Die OpenSSH-Architektur wurde im Hin­blick auf ML-KEM so erweitert, dass sich künftige PQC-Verfahren leichter integrieren lassen. ML-KEM fungiert als eigenständige Komponente, was sowohl die Integration neuer Algo­rith­men als auch die Erprobung von Kandidaten vor ihrer möglichen Standardisierung erleichtert. Neue PQ-Algorithmen – beispielsweise andere LWE-Varianten oder RLWE-basierte Schemata – können künftig an dasselbe „Gerüst“ andocken, ohne große Eingriffe in die übrigen Teile von OpenSSH vornehmen zu müssen.

Anstatt die KEX-Implementierung ausschließlich auf klassische Methoden, beispielsweise ECDH, zu beschränken, wurden interne Schnittstellen geschaffen, die speziell für KEM-basierte Verfahren (Encapsulation/Decapsulation) ausgelegt sind. Dadurch ist es leichter möglich, das Encapsulate/Decapsulate-Verfahren eines neuen PQC-Schemas einzubinden, ohne an anderen Stellen Code-Änderungen vornehmen zu müssen.

In den relevanten Code-Dateien, wie kex.c, sshkey.c, sshkey.h und in Teilen auch den Hybrid-KEX-spezifischen Dateien, hat man zusätzliche Funktionszeiger bzw. Struktur-Definitionen vorgesehen, die PQC-spezifische Parameter (Public Key, Ciphertext, Secret) aufnehmen können. Dies reduziert redundante Strukturen und vermeidet, dass jeder neue PQ-Algorithmus komp­lett „hart verdrahtet“ werden muss. Stattdessen reicht es, an den entsprechenden Abstrak­tions­punkten das neue Verfahren zu registrieren.

Dank der modularen Anbindung und reduziertem Integrationsaufwand lassen sich Anpas­sun­gen, darunter (zukünftige) NIST-Standards oder Empfehlungen anderer Stan­dar­disier­ungs­organisationen, einfacher aufnehmen. OpenSSH stellt hierbei die nötige Infrastruktur bereit, um unterschiedliche Parameter wie Sicherheitsniveau und Fehlerkorrektur-Mechanismen flexibel zu nutzen.

Sicherheit durch Hybridisierung

Mit Blick auf die zunehmende Bedrohung durch Quantencomputer empfiehlt das BSI, PQC nicht isoliert, sondern in Kombination mit bewährten klassischen Verfahren einzusetzen. Dieser so­ge­nann­te hybride Ansatz soll auch dann noch eine angemessene Sicherheitsstufe bieten, wenn eines der eingesetzten Verfahren – klassisch oder postquantensicher – künftig gebrochen werden sollte.

Besonders relevant ist diese Empfehlung bei Schlüsselaustauschprotokollen, die die Grundlage sicherer Verbindungen bilden. Hier bietet sich die Kombination eines klassischen Algorithmus (etwa ECDH) mit einem PQC-Verfahren (wie ML-KEM/Kyber) an. Die gemeinsam genutzten Geheimnisse werden typischerweise per Hash-Funktion, zum Beispiel mittels HKDF, zu einem gemeinsamen Schlüssel kombiniert. Solange mindestens einer der beiden Algorithmen nicht gebrochen ist, gilt die Konstruktion als sicher.

Ein praktisches Beispiel für die Umsetzung dieser BSI-Empfehlung liefert OpenSSH mit der Unterstützung hybrider KEX-Algorithmen. Diese hybriden Verfahren sind besonders für In­sti­tutionen mit hohen Sicherheitsanforderungen interessant, etwa im öffentlichen Sektor, in der Forschung oder für Betreiber kritischer Infrastrukturen. Die Forschung untersucht auch Stra­te­gien, die mehrere PQC-Algorithmen kombinieren, zum Beispiel gitter- und codebasierte Ver­fah­ren, etwa um verschiedene Angriffsmodelle gleichzeitig abzusichern.

Fazit

Low-Tech-Gefahren der besonderen Art: Bösartige Cyber-Akteure können verschlüsselte Daten, die sie noch nicht lesen können, einfach drauf los sammeln und horten. Unternehmen stehen vor der Herausforderung, nicht nur die regulatorischen Vorgaben zu erfüllen, sondern auch lang­fristig mit der gehörigen Weitsichtigkeit ihre Systeme gegen Quantencomputer-Angriffe zu schützen. PQC ist in den regulatorischen Vorgaben nicht formal kodifiziert, wird jedoch im Rah­men der NIS2-Vorgaben als Teil des „Standes der Technik“ empfohlen – vor allem für KRITIS-Betreiber.

Über die Autoren: Das Autorenduo Anna Kobylinska und Filipe Pereira Martins arbeitet für McKinley Denali, Inc., USA.

Dieser Beitrag ist ursprünglich auf unserem Schwesterportal Security-Insider erschienen.

FIT-Kongress 2025

Fit für den digitalen Wandel

(ID:50661925)