Anmerkung der Redaktion: Wir haben den Abschnitt „Wie begegnet ST den PQC-Herausforderungen?“ aktualisiert, um die Ankündigung unserer NesLib-PQML-Bibliotheken und die Markteinführung des ST54M zu berücksichtigen.
PQC, also Post-Quanten-Kryptographie, ist inzwischen fester Bestandteil der öffentlichen Diskussion bei zahlreichen Technologieunternehmen. Dennoch fällt es vielen in unserer Branche weiterhin schwer, die Feinheiten des Themas zu erfassen, und zu wenige verstehen, warum der Umstieg auf PQC bereits jetzt notwendig ist. Schauen wir uns daher an, wie man das Thema einordnen sollte, und was es heute für Entscheidungsträger bedeutet. Um fundiert über Post-Quanten-Kryptographie sprechen zu können, müssen wir einige Grundprinzipien des Quantencomputings darlegen, was bedeutet, zumindest oberflächlich einen Blick in die Quantenmechanik zu werfen. Das Thema selbst ist hochkomplex und weitläufig, sodass ein Blogbeitrag nicht einmal ansatzweise an der Oberfläche kratzen kann. Wir möchten daher lediglich einige der grundlegendsten Prinzipien verständlich machen, in der Hoffnung, die Post-Quanten-Kryptographie zu entmystifizieren.
Die Grundprinzipien
Was ist Quantencomputing?
Klassische Computer speichern und verarbeiten Informationen mithilfe elektrischer Signale, die nur zwei Grundzustände annehmen können: hohe oder niedrige Spannung. Folglich stellen wir diese Zustände in einer binären Sprache aus Nullen und Einsen dar. Alles, was ein klassischer Computer tut, vom ausgeführten Programm bis zu den angezeigten Bildern und Videos, ist letztlich eine lange Kette dieser Nullen und Einsen. Ein Quantencomputer ist insofern ähnlich, als auch er ein physikalisches System als Grundlage aller Berechnungen nutzt, doch statt klassischer elektrischer Signale verwendet er Quantenteilchen wie Elektronen oder Photonen. Und diese Elemente verhalten sich nach den Gesetzen der Quantenmechanik.
Ein berühmtes Beispiel dafür ist das Doppelspaltexperiment, das Thomas Young Anfang des 19. Jahrhunderts durchführte. Wenn Licht durch zwei Spalte fällt, entsteht ein Interferenzmuster, als wäre es eine Welle, die beide Spalte gleichzeitig durchquert. Setzt man jedoch ein Messgerät ein, um festzustellen, durch welchen Spalt das Licht geht, verschwindet das Interferenzmuster. In diesem Fall verhält sich das Licht, als bestünde es aus Teilchen. Das nennt die Quantenmechanik den Welle-Teilchen-Dualismus. Dieses Verhalten wurde über die Jahre unzählige Male mit verschiedensten Photonen oder Materieteilchen reproduziert und ist eine der Kernideen hinter dem Quantencomputing.
Was ist ein Qubit?
Was hat das Doppelspaltexperiment mit Quantencomputern zu tun? Vereinfacht gesagt nutzen Quantencomputer den Quantenzustand von Quantenteilchen als Darstellung der fundamentalen Information, die im Zentrum des Quantencomputings steht. Verwenden klassische Computer Bits, so verwenden Quantencomputer Quantenbits, also Qubits. So wie ein Bit einen Spannungsbereich repräsentiert, kann ein Qubit die Polarisation eines Photons oder den Spin eines Elektrons symbolisieren. Sowohl beim klassischen als auch beim Quantencomputing muss das System eine Messung durchführen, um den Wert eines Bits oder Qubits zu bestimmen. Anders als in der klassischen Mechanik zeigt das Doppelspaltexperiment jedoch, dass sich Quantenteilchen vor und nach der Messung sehr unterschiedlich verhalten.
Ähnlich wie beim klassischen Computing, wo Bits einen binären Zustand von entweder 0 oder 1 haben, beschreibt das Quantencomputing Qubits über zwei Zustände, etwa zwei Energieniveaus oder zwei Drehimpulse, um nur einige Beispiele zu nennen. Doch anders als bei klassischen Bits, deren Zustände sich gegenseitig ausschließen, es ist also entweder eine 1 oder eine 0, befinden sich Qubits in einer Überlagerung (Superposition) zweier Zustände. Sie verhalten sich, als wären sie eine Kombination aus dem Zustand 0 und dem Zustand 1, wie die Welle, die beide Spalte gleichzeitig durchquert. Infolgedessen existieren die Zustände 0 und 1 in einem Qubit als Wahrscheinlichkeitsamplitude, die bestimmt, mit welcher Wahrscheinlichkeit bei einer Messung tatsächlich eine 0 oder eine 1 gemessen wird.
Sobald das System eine Messung durchführt, kollabiert die Überlagerung des Qubits zu 0 oder 1, womit die Quantenberechnung endet. Es ist genau wie bei der Messung, durch welchen Spalt das Licht im oben erwähnten Doppelspaltexperiment fällt. Quantenalgorithmen nutzen daher sorgfältig konstruierte Operationen, um die Wahrscheinlichkeitsamplituden der Qubits zu verändern. Vereinfacht gesagt manipuliert ein Quantenalgorithmus die Wahrscheinlichkeitsamplituden so, dass korrekte Ergebnisse verstärkt und falsche unterdrückt werden, damit eine Messung ein korrektes Resultat liefert. Dahinter stehen komplexe mathematische Konzepte, denen wir in einem Blogbeitrag wie diesem unmöglich gerecht werden können. Dieser Überblick hilft jedoch zu verstehen, warum Quantencomputing ein so schwieriges Problem ist.
Der wesentliche potenzielle Vorteil des Quantencomputings gegenüber dem klassischen Computing liegt in der Fähigkeit, die Überlagerung zu nutzen, um viele Möglichkeiten parallel zu erkunden. Während ein klassischer Computer Möglichkeiten Schritt für Schritt auswerten muss, kann ein Quantencomputer bei bestimmten Problemen sein Quantenverhalten nutzen, um die Zahl der benötigten Operationen zu reduzieren und erhebliche Geschwindigkeitsvorteile zu erzielen. Dieser Leistungsgewinn gilt jedoch nicht für alle Aufgaben. Traditionell übertreffen Quantencomputer klassische Maschinen vor allem bei bestimmten Problemklassen, etwa bei der Optimierung, der Simulation von Quantensystemen sowie einigen kryptographischen und suchbezogenen Anwendungen.
Die Quantenbedrohung
Was ist ein kryptographisch relevanter Quantencomputer (CRQC)?
Zwar gibt es bereits Quantencomputer in verschiedenen Laboren weltweit, doch keiner davon stellt tatsächlich eine Bedrohung für klassische kryptographische Algorithmen dar. Wie es die Branche formuliert hat, sind sie nicht „kryptographisch relevant“. Wir bewegen uns jedoch eindeutig auf einen CRQC zu, einen kryptographisch relevanten Quantencomputer, also einen künftigen Quantencomputer, der Public-Key-Kryptographie brechen kann, indem er fehlertolerante Quantenalgorithmen mit einer hohen Zahl von Qubits ausführt. Manche schätzen, dass ein CRQC noch 10 bis 15 Jahre entfernt ist, doch verlässliche Vorhersagen sind kaum möglich. Der Grund: Um kryptographisch relevant zu sein, muss ein Quantencomputer nicht nur eine erhebliche Zahl von Qubits verarbeiten können, sondern auch weitere Anforderungen erfüllen.
Quantencomputer tun sich schwer damit, Fehler oder Verfälschungen zu erkennen und zu korrigieren. Ein CRQC wird Fehler in Echtzeit erkennen und korrigieren müssen. Heutige Quantencomputer neigen zudem dazu, fehleranfällige logische Qubits zu erzeugen. Um kryptographische Relevanz zu erreichen, muss ein Quantencomputer Hunderte logischer Qubits unterstützen. Ein logisches Qubit ist ein Qubit, das mithilfe zahlreicher physikalischer Qubits kodiert wird, um es vor Fehlern zu schützen. Die Idee ähnelt den Fehlerkorrekturcodes in ECC-Speichern. Im Jahr 2024 hat Google ein logisches Qubit erzeugt, das aus 105 Qubits besteht. Schließlich muss ein CRQC Berechnungen über Millionen von Quantengatter-Operationen hinweg ausführen und mindestens mehrere Stunden stabil bleiben. Solange ein Quantencomputer nicht alle diese Kriterien erfüllt, ist er nicht kryptographisch relevant.
Was sind die Quantenbedrohungen?
Klassische Algorithmen
Wie würde ein Quantencomputer klassische kryptographische Algorithmen brechen? Eine der am häufigsten genannten Methoden ist der Shor-Algorithmus, benannt nach dem Mathematiker Peter Shor. Um zu verstehen, was er leistet, muss man wissen, dass viele moderne kryptographische Algorithmen darauf beruhen, dass die Faktorisierung großer ganzer Zahlen auf klassischen Computern extrem schwierig und zeitaufwendig ist. Während die Multiplikation zweier Zahlen schnell und einfach ist, dauert es so lange herauszufinden, welche Primzahlen man multiplizieren muss, um eine große Zahl zu erhalten, dass die Berechnung praktisch unmöglich wird.
Das ist im Kern das Herzstück von Verschlüsselungsalgorithmen wie RSA. Die große Zahl sind die verschlüsselten Daten. Die beiden Primzahlen sind der öffentliche und der private Schlüssel. Wer beide besitzt, kann die Daten sehr schnell und einfach entschlüsseln. Wer nur den öffentlichen Schlüssel hat, für den gilt das Brute-Forcen des privaten Schlüssels als unmöglich. So würde das Brechen einer RSA-Verschlüsselung mit 2048-Bit-Zahlen etwa 300 Billionen Jahre dauern. Im Vergleich dazu würde dieselbe Operation laut einer vielzitierten, 2021 veröffentlichten Studie acht Stunden und „20 Millionen verrauschte Qubits“ auf einem Quantencomputer benötigen.
Die Algorithmen von Shor und Grover
Hinter den Kulissen erklären zahlreiche komplexe mathematische Prinzipien, wie ein kryptographisch relevanter Quantencomputer eine RSA-Verschlüsselung sehr schnell knacken kann. Und auch wenn wir in diesem Beitrag nicht in Zahlentheorie und modulare Arithmetik eintauchen werden, können wir zwei populäre Algorithmen erwähnen, die so viel Aufmerksamkeit erregt haben, dass sie sogar in Mainstream-Publikationen zitiert werden: die Algorithmen von Shor und Grover. Im Kern sind beide Quantenalgorithmen, die es Quantencomputern ermöglichen, bestimmte Berechnungen mit Geschwindigkeiten durchzuführen, die klassische Computer bei weitem übertreffen. Wenn die Industrie also davon spricht, dass Quantencomputer die heutigen kryptographischen Standards bedrohen, dann zum Teil deshalb, weil diese Algorithmen mathematisch gezeigt haben, wie das geschehen könnte.
Vereinfacht ausgedrückt zeigte der Shor-Algorithmus, den Peter Shor1 1994 entwickelte, wie ein Quantencomputer Ordnungsbestimmung und andere komplexe Routinen mit unglaublicher Geschwindigkeit durchführen kann. Möglich ist das, weil Quantencomputer mehrere Qubits manipulieren können, um modulare Arithmetik und andere Operationen mit Geschwindigkeiten auszuführen, die klassische Computer weit übertreffen. Dadurch kann der Shor-Algorithmus das Knacken einer RSA-Verschlüsselung exponentiell beschleunigen, indem er große Zahlen mit deutlich weniger Rechenschritten faktorisiert, und untergräbt damit deren kryptographische Relevanz massiv.
In ähnlicher Weise stellte Lov Grover 1996 einen Quantensuchalgorithmus vor2, der sich zum Brute-Forcen eines symmetrischen Schlüssels einsetzen lässt. Das gilt für Verschlüsselungsverfahren wie AES und für schlüsselbasierte Konstruktionen wie HMAC-SHA-256. Klassisches Brute-Forcing würde erfordern, nahezu alle möglichen Schlüssel zu testen. Bei einer typischen Schlüssellänge von 128 Bit wären zum Testen aller möglichen Schlüssel 2128 Ausführungen des zugrundeliegenden kryptographischen Algorithmus nötig. Vereinfacht gesagt müssen wir theoretisch alle möglichen Schlüsselwerte durchprobieren. Der Grover-Algorithmus hingegen nutzt das Quantencomputing so, dass jede Berechnung die Wahrscheinlichkeitsamplitude des korrekten Schlüssels erhöht, sodass nach nur etwa 264 Berechnungen der korrekte Schlüssel mit sehr hoher Wahrscheinlichkeit gemessen werden kann.
AES-192 und AES-256
Zwar können Quantencomputer eine für klassische Computer schlicht unvorstellbare Menge an Informationen gleichzeitig verarbeiten, was einige Verschlüsselungsalgorithmen verwundbar macht, doch hat das National Institute of Standards and Technology des US-Handelsministeriums öffentlich klargestellt, dass nicht alle aktuellen Verschlüsselungsalgorithmen verloren sind. So erklärte die Behörde, dass „AES 192 und AES 256 noch sehr lange sicher bleiben werden“. Der Grund: Der Grover-Algorithmus unterliegt Implementierungsgrenzen, die seine Fähigkeit einschränken, diese Art von Verschlüsselung per Brute Force zu brechen. Abgesehen davon, dass der Algorithmus erhebliche Quantenrechenleistung erfordert, wird sein praktischer Vorteil auch dadurch geschmälert, dass er sich nur schwer effizient parallelisieren lässt.
Vorbereitung auf morgen
So wichtig es ist, das Risiko, das ein CRQC heute darstellt, nicht zu übertreiben, so entscheidend ist es auch, es nicht zu unterschätzen. Je besser Quantencomputer werden, desto klarer gilt: Was heute noch ausreicht, wird morgen schlicht chancenlos sein. Das ist ein Problem für bestimmte Technologien für digitale Signaturen und Zertifikate, die Jahrzehnte oder länger Bestand haben müssen. Ebenso gilt: Selbst wenn eine Blockchain (die auf klassischer Public-Key-Kryptographie basiert) heute alle Sicherheitsanforderungen erfüllt, wird ihre Unfähigkeit, den Angriffen eines Quantencomputers in 20 Jahren standzuhalten, sie faktisch nutzlos machen. Angreifer verfolgen zudem eine „Harvest now, decrypt later“-Strategie: Sie horten massenhaft sensible Daten in dem Wissen, dass sie deren Verschlüsselung irgendwann knacken werden, sobald Quantencomputer leistungsfähig genug sind.
Es überrascht daher nicht, dass, auch wenn ein CRQC noch in einiger Ferne liegt und manche aktuellen Algorithmen noch ein langes Leben vor sich haben, viele bereits auf Post-Quanten-Kryptographie umsteigen, also auf ein kryptographisches Verfahren, das Quantencomputern trotz ihrer Fähigkeiten standhalten wird. Das sehr populäre CDN [Cloudflare hat im vergangenen Jahr eine PQC-Initiative angekündigt] und Google hat gerade ein Update für seinen Chrome-Browser und seine Cloud-Dienste angekündigt, um quantensichere Verschlüsselungswerkzeuge zu nutzen. Ebenso erklärte Apple, PQC-Algorithmen in seiner iMessage-App implementiert zu haben, um sich „gegen künftige Bedrohungen durch Quantencomputer zu schützen“.
Wann könnte ein CRQC Realität werden?
Staatliche Regulierungsbehörden versuchen, mit gutem Beispiel voranzugehen, und haben Fahrpläne für ihre PQC-Einführung vorgelegt. Wie die National Security Agency (NSA) der Vereinigten Staaten räumen viele ein, dass sie nicht „wissen, wann es einen CRQC geben wird“. Viele haben jedoch bereits mit der Planung begonnen, denn solche Übergänge brauchen Zeit, mitunter 10 Jahre oder mehr von der endgültigen Standardisierung bis zur vollständigen Systemintegration. Kurz gesagt: Migrationen zu quantenresistenten Algorithmen sind bereits im Gange, die Märkte bewegen sich in Richtung PQC, und Regierungsbehörden haben empfohlene Zeitpläne für die PQC-Migration veröffentlicht, um dem „Q-Day“ zuvorzukommen, dem Tag, an dem ein CRQC Realität wird.
Europäische Kommission
Im Juni 2024 forderte die Europäische Kommission die Mitgliedstaaten auf, „nach Ablauf von zwei Jahren nach Veröffentlichung dieser Empfehlung“ über einen Fahrplan für die PQC-Einführung zu verfügen, was die Frist auf Ende 2026 festlegt. In ihrem offiziellen Fahrplan legte die Kommission fest, dass „Anwendungsfälle mit hohem Risiko so schnell wie möglich, spätestens jedoch bis Ende 2030, auf PQC umgestellt werden sollten“ und dass „bis 2035 der Übergang für so viele Systeme wie praktisch machbar abgeschlossen sein sollte“. Die Agentur der Europäischen Union für Cybersicherheit (auch ENISA genannt, da sie ursprünglich European Network and Information Security Agency hieß) hat ein Migrationspapier und eine Integrationsstudie veröffentlicht, um beim Erreichen dieser Ziele zu helfen.
NIST
Auch das NIST will, wie in einer Präsentation aus dem Jahr 2025 dargelegt, dass quantenanfällige Algorithmen bis 2030 als veraltet eingestuft (deprecated) und bis 2035 nicht mehr zugelassen werden. Das US-Handelsministerium erkennt an, dass „vom NIST zugelassene symmetrische Primitive mit mindestens 128 Bit klassischer Sicherheit“ weiterhin eine praktikable Option sind und dass „Organisationen während ihrer Migration zur Post-Quanten-Kryptographie weiterhin Public-Key-Algorithmen mit einem Sicherheitsniveau von 112 Bit verwenden dürfen“. Das NIST weiß aber auch, dass der Umstieg auf quantenresistente Algorithmen ein gewaltiges Unterfangen ist, das die Modernisierung der Infrastruktur, neue Hardware und Software, die Implementierung von Bibliotheken und mehr erfordert. Deshalb hat die Behörde ihre Standardisierungsarbeit schon vor Jahren begonnen und arbeitet daran, die Industrie so schnell wie möglich in Richtung PQC zu bewegen.
NSA
Ähnlich äußerte sich die NSA: Sie hofft, dass „alle NSS (Anmerkung der Redaktion: National Security Systems) bis 2035 quantenresistent sein werden“. Um dieses Ziel zu erreichen, hat die Behörde Version 2.0 ihrer Commercial National Security Algorithm Suite (CNSA) erarbeitet, die die für den NSS-Einsatz zugelassenen quantenresistenten Algorithmen auflistet. Wie die NSA erklärt, „werden CNSA-2.0-Algorithmen für alle Produkte verpflichtend sein, die in NSS öffentlich standardisierte Algorithmen einsetzen“. Ab dem 1. Januar 2027 „müssen alle Neuanschaffungen für NSS CNSA-2.0-konform sein“, und „bis zum 31. Dezember 2030 müssen alle Geräte und Dienste, die CNSA 2.0 nicht unterstützen können, ausgemustert werden, sofern nicht anders vermerkt, während ab dem 31. Dezember 2031 die Verwendung von CNSA-2.0-Algorithmen vorgeschrieben ist“.
Der Aufstieg der PQC
Wo wird PQC benötigt?
Nicht jede Infrastruktur ist von Quantencomputern gleichermaßen betroffen. Nicht jedes Computersystem muss im gleichen Tempo auf PQC migrieren. Es wäre jedoch falsch anzunehmen, dass nur Supercomputer mit nationalen Sicherheitsgeheimnissen Priorität haben. Tatsächlich ist in vielen Fällen der entscheidende Faktor dafür, wie schnell ein Gerät auf PQC umgestellt werden muss, nicht unbedingt seine Funktion, sondern seine Lebensdauer im Feld. Selbst etwas so Unscheinbares wie eine Industrieanwendung wird zu einem sensiblen Gerät, weil sie darauf ausgelegt ist, Jahrzehnte im Einsatz zu bleiben. Denn wenn ihr Secure-Boot- oder Over-the-Air-Update-Mechanismus nicht quantenresistent ist, kann dieses System zu einer Schwachstelle für das gesamte Unternehmen werden.
Deshalb hat die GSMA, der Verband für das Global System for Mobile Communications, 2024 Leitlinien veröffentlicht, die beschreiben, wie Telekommunikationsbetreiber auf PQC umsteigen sollten. Die US-amerikanische Cybersecurity and Infrastructure Security Agency hat etwas Ähnliches veröffentlicht, gerichtet an alle „Eigentümer und Betreiber von Operational Technology (OT)“, mit der Botschaft, dass sie „nicht bis zum Erscheinen eines CRQC warten können, um einen Plan zu entwickeln und umzusetzen“. Die Behörde erklärt sogar, es sei ein Trugschluss zu glauben, dass nur die Informationstechnologie (IT) durch Quantencomputer gefährdet sei. Wie das Dokument darlegt, ermöglicht ein CRQC es „dem Angreifer, sich als vertrauenswürdige Quelle auszugeben, Informationen unbemerkt nach Belieben zu manipulieren oder Informationen zu entschlüsseln, die dem Schutz von Kommunikationskanälen dienen“, und zwar in allen OT-Systemen.
Folglich sind einige der kleinsten und unscheinbarsten Komponenten der Welt am stärksten gefährdet, etwa Trusted Platform Modules, kurz TPMs. Diese kleinen Secure Elements bilden die Grundlage des Hardware-Vertrauensankers (Root of Trust), der für das Signieren von Firmware, das Erzeugen und Verwalten von Schlüsseln und die Absicherung des Bootvorgangs einer Maschine verantwortlich ist. Alle quantenresistenten TLS-Zertifikate der Welt, die das Web schützen, sind bedeutungslos, wenn der Vertrauensanker einer Maschine kompromittiert ist. Ebenso setzen Regierungen, Unternehmen und Institutionen auf sichere Ausweise und andere Komponenten, um die Daten einer Person zu speichern. Diese Ausweise sind sehr lange gültig und werden oft verwendet, um Dokumente zu signieren oder die Identität einer Person zu verifizieren. Ein verwundbarer Ausweis kann daher katastrophale Folgen haben.
Was sind die neuen Post-Quanten-Kryptographiestandards, und wie unterscheiden sie sich von klassischen Algorithmen?
Schwierigere mathematische Probleme
Bei der Vorbereitung auf die PQC-Migration fragen sich viele, was einen Algorithmus quantenresistent macht. Die zugrundeliegende Mathematik ist zwar recht komplex, doch die Grundidee besteht darin, rechenintensivere Verfahren als die Faktorisierung einzusetzen, etwa gitterbasierte Kryptographie. Ganz vereinfacht nutzt gitterbasierte Kryptographie eine Menge von Koordinaten, die man sich grob als Punkte auf einer 2D-Ebene vorstellen kann, um mathematische Probleme zu lösen, etwa hochdimensionale strukturierte algebraische Probleme, die diese Gitterdarstellung verwenden. Die Algorithmen setzen dann komplexe mathematische Werkzeuge ein, etwa zahlentheoretische Transformationen in der gitterbasierten Kryptographie, um die Rechenintensität weiter zu erhöhen und so ihre Quantenresistenz zu stärken.
Ressourcenintensiver
PQC nutzt auch einige naheliegende, aber sehr wirksame Methoden zur Härtung der Sicherheit, etwa größere Schlüssellängen. Wie wir bei AES gesehen haben, kann ein ausreichend großer Schlüssel selbst dann, wenn die zugrundeliegende Kryptographie konzeptionell für einen Quantencomputer angreifbar ist, dafür sorgen, dass ein Angriff zu viel Zeit oder Ressourcen erfordern würde, um praktikabel zu sein. Ebenso nutzen einige quantenresistente Algorithmen Zustandsbehaftung (Statefulness), vergleichbar mit einem Zufallswert wie einem Zähler, der bei jeder Signaturerzeugung neu erstellt und anschließend geprüft wird, um die Herkunft einer Nachricht festzustellen oder zu erkennen, ob sie abgefangen wurde. Klassische Algorithmen wie RSA und ECDSA sind zustandslos. Einige PQC-Mechanismen sind zustandsbehaftet, was eine zusätzliche Sicherheitsebene schafft, die verhindert, dass eine Signatur wiederverwendet wird.
Eine Liste von PQC-Algorithmen
2024 veröffentlichte das NIST drei finalisierte PQC-Standards: ML-KEM (FIPS 203), ML-DSA (FIPS 204) und SLH-DSA (FIPS 205). ML steht für Module-Lattice. KEM steht für Key Encapsulation Mechanism und bezieht sich darauf, wie ein Schlüssel in einem unsicheren Kanal verwendet wird. Die beiden anderen Standards dienen einem digitalen Signaturalgorithmus (DSA), der Authentizität verifizieren kann. SLH steht für Stateless Hash-Based und verwendet Hash-Berechnungen statt eines Gitters. Diese Standards bieten bereits eine solide Grundlage für Quantenresistenz. So nutzt Apple bereits ML-KEM, und Google entschied sich für ML-DSA und SLH-DSA, wobei sein Cloud-Schlüsselverwaltungssystem alle drei unterstützt.
Die Bemühungen zur Standardisierung neuer Algorithmen für Sonderfälle gehen weiter. So hat das NIST zwei weitere zustandsbehaftete hashbasierte Algorithmen zugelassen (LMS, Leighton-Micali Signature, und XMSS, eXtended Merkle Signature Scheme) und arbeitet an der Standardisierung einer weiteren Gittersignatur, dem FN-DSA (FIPS 206), der ein Gitter mit einer schnellen Fourier-Transformation kombiniert, um die Schlüssel klein zu halten und dennoch Quantenresistenz zu gewährleisten. Letzterer ist allerdings wegen seiner Abhängigkeit von Gleitkommaberechnungen schwieriger zu implementieren und eignet sich möglicherweise nicht für Produkte, die Resistenz gegen Seitenkanalangriffe anstreben.
Was sind die Herausforderungen der PQC-Migration?
Bestandsaufnahme
Zu oft konzentrieren sich Teams auf den quantenresistenten Algorithmus, den sie einsetzen wollen, und übersehen, dass die Herausforderungen der Migration woanders liegen. Als die CISA ihren Leitfaden zur Quantum-Readiness veröffentlichte, nannte sie tatsächlich keinen einzigen Algorithmus beim Namen. Stattdessen skizzierte sie eine lange Liste zur „Erstellung eines kryptographischen Inventars“, die Organisationen dabei hilft, Risiken zu bewerten, gefährdete Protokolle zu identifizieren, Zertifizierungsanforderungen festzulegen und alle Abhängigkeiten zu ermitteln, die von einer Migration zu quantenresistenten Algorithmen betroffen wären. So kann ein Unternehmen sich leicht auf die Aktualisierung seiner Cloud-Infrastruktur konzentrieren und dabei die Smartcards, Hardware-Sicherheitsmodule oder VPNs völlig vergessen, mit denen seine Mitarbeitenden auf diese Dienste zugreifen.
Krypto-Agilität
Deshalb hat die Branche den Begriff der kryptographischen Agilität (Krypto-Agilität) geprägt, den das NIST als die „Fähigkeiten, die erforderlich sind, um kryptographische Algorithmen in Protokollen, Anwendungen, Software, Hardware, Firmware und Infrastrukturen zu ersetzen und anzupassen, während Sicherheit und laufender Betrieb erhalten bleiben“ definiert. Vereinfacht gesagt ist es die Fähigkeit, mit möglichst geringer Störung des Normalbetriebs auf PQC umzusteigen. Konkret bedeutet das, ein solides Inventar der Produkte zu führen, die Kryptographie einsetzen, eine Infrastruktur zu entwickeln, die Algorithmen über APIs abstrahiert, oder sicherzustellen, dass sämtliche Software einfach und sicher aktualisierbar ist. Krypto-Agilität bedeutet auch, Tests zu implementieren, die die Fähigkeit einer Organisation überprüfen, mehrere Algorithmen zu nutzen und auf einen neuen umzusteigen, wenn die Sicherheits-Community Schwachstellen entdeckt.
Krypto-Agilität ist eine Kernanforderung jeder PQC-Migration. Sie ist nicht nur wichtig, um Ausfallzeiten und Produktivitätsverluste zu begrenzen, sondern gewährleistet auch eine sichere Migration. Wenn eine Migration beispielsweise die Prinzipien der Krypto-Agilität missachtet und Zertifikatsschemata, Protokolle, Schlüsselcontainer und mehr fest einprogrammiert, ist ein Unternehmen nicht nur einem größeren Risiko durch eine fehlerhafte Implementierung ausgesetzt, sondern jede spätere Aktualisierung der Sicherheitsimplementierung wird extrem schwierig, was weitere Ausfallzeiten und Produktivitätsverluste verursacht. Wenn die Migration zu quantenresistenten Technologien eines lehrt, dann dies: Sicherheit entwickelt sich ständig weiter, und eine krypto-agile Organisation ist der beste Weg, um auf diese Entwicklungen zu reagieren.
Interoperabilität und hybride Bereitstellung
Ein weiterer Grundpfeiler der Krypto-Agilität ist die Interoperabilität, also die Garantie, dass Systeme unabhängig vom Stand ihrer Migration weiterhin miteinander kommunizieren können. Denn wenn die Umstellung eines Systems auf einen quantenresistenten Algorithmus dazu führt, dass es nicht mehr mit dem Rest der Infrastruktur kommunizieren kann, kann das ernsthafte Probleme verursachen. Deshalb setzen viele auf hybride Bereitstellungen, die klassische und Post-Quanten-Algorithmen in einem System kombinieren, das im laufenden Betrieb zwischen ihnen wechseln kann und so die Interoperabilität bewahrt. Eine hybride Bereitstellung kann die Komplexität erhöhen und zusätzliche Rechenkosten verursachen. In einer großen Organisation ist sie dennoch oft der beste Weg, um eine reibungslose PQC-Migration sicherzustellen.
Ressourcenbeschränkte Systeme
Ingenieure wissen, dass die PQC-Migration auf manchen ressourcenbeschränkten Systemen ebenfalls eine Herausforderung sein kann. Diese haben oft knappere RAM-Budgets und geringere Bandbreiten. Ihre Mikrocontroller verfügen möglicherweise auch über begrenzte Rechenkapazitäten, und selbst jenen mit kryptographischen Fähigkeiten fehlen unter Umständen die Treiber, die Middleware oder die APIs, die für die effiziente Ausführung eines quantenresistenten Algorithmus nötig sind. Deshalb müssen Entwickler eingebetteter Systeme schon jetzt für PQC planen. Während sich manche Produkte im Feld auf die Unterstützung von PQC-Algorithmen aufrüsten lassen, kann das bei anderen schwierig oder sogar unmöglich sein, es sei denn, die Entwickler haben PQC von Anfang an eingeplant.
Wie wirkt sich PQC auf Computersysteme aus?
Die Migration zur Post-Quanten-Kryptographie (PQC) wird tiefgreifende Auswirkungen darauf haben, wie Teams Computersysteme entwerfen, implementieren und warten. Um die mit der PQC-Migration verbundenen Herausforderungen zu bewältigen, müssen Ingenieure an mehreren Fronten gleichzeitig arbeiten, sowohl auf Hardware- als auch auf Softwareebene. Auf der Hardwareseite erfordern einige Post-Quanten-Verfahren größere Schlüssel, Signaturen und Chiffretexte sowie rechenintensivere Operationen. Systeme werden daher mehr Arbeits- und Massenspeicher benötigen, um größere Schlüssel, Zertifikate und Zwischendaten zu verarbeiten. Sie brauchen außerdem höhere Rechenleistung oder dedizierte Beschleuniger, um Latenz und Stromverbrauch in akzeptablen Grenzen zu halten. Schließlich benötigen manche Plattformen unter Umständen neue Systemarchitekturen und Sicherheitsmodule, um neue kryptographische Arbeitsabläufe zu unterstützen.
Die PQC-Migration ist weit mehr als nur der Einsatz neuer Algorithmen. Sie erfordert einen verstärkten Schutz gegen physische Angriffe und Angriffe auf Implementierungsebene. Der stärkste quantenresistente Algorithmus versagt, wenn ein Angreifer seine Implementierung ausnutzen kann. Ohne geeignete Schutzmaßnahmen könnte ein Hacker beispielsweise geheime Schlüssel oder sensible Daten wiederherstellen, indem er den Stromverbrauch, elektromagnetische Abstrahlungen, Zeitunterschiede oder in das System eingebrachte Fehler beobachtet. Um solchen Seitenkanalangriffen zu begegnen, müssen Systeme Schutzmechanismen und Gegenmaßnahmen auf Hardwareebene integrieren, damit quantenresistente Algorithmen nicht durch nicht-quantenbezogene Schwachstellen kompromittiert werden. Mit anderen Worten: Ein hochsicherer PQC-Algorithmus bietet nur trügerischen Schutz, wenn seine Implementierung für Angriffe mit erschwinglicher Ausrüstung anfällig ist.
Wie begegnet ST den PQC-Herausforderungen?
ST stellt sich der PQC-Herausforderung und unterstützt Migrationsinitiativen mit umfassenden Softwarebibliotheken und Hardwarelösungen sowohl für Standard- als auch für sichere Mikrocontroller. So bieten wir beispielsweise kryptographische Softwarepakete wie X-CUBE-PQC auf STM32 oder die zertifizierten NesLib-PQML-Bibliotheken auf dem Secure Element ST33K1M5, die Trusted Platform Modules (TPMs) auf Basis des ST33KTPM sowie die NFC/eSE/eSIM-Kombilösung ST54M für Mobilgeräte, die Schlüsselelemente der wichtigsten PQC-Algorithmen abdeckt.
Der ST33KTPM ist das erste quantenresistente TPM mit FIPS 140-3-Zertifizierung und beweist damit, dass es strengste Sicherheitsanforderungen erfüllt und für das Post-Quanten-Zeitalter bereit ist. Als TPM dient der ST33KTPM als Hardware-Vertrauensanker (Root of Trust) für Server, PCs, IoT-Geräte und andere eingebettete Systeme. Indem ST PQC-Mechanismen direkt in diesen kritischen Sicherheitsanker integriert, trägt ST dazu bei, dass die Integritäts-, Authentifizierungs- und Schlüsselverwaltungsfunktionen im Herzen dieser Systeme auch künftigen quantenfähigen Angreifern standhalten. So unterstützt der ST33KTPM beispielsweise sichere Updates mit LMS (Leighton-Micali Signature) als zustandsbehaftetem hashbasiertem Signaturverfahren zum Schutz der Firmware-Authentizität.
Außerdem kündigen wir den ST54M an, die neueste Generation der ST54-Familie. Es handelt sich um eine fortschrittliche Single-Die-Lösung, die für die Unterstützung vernetzter Dienste der nächsten Generation entwickelt wurde. Sie kombiniert einen Hardwarebeschleuniger für Post-Quanten-Kryptographie (PQC) mit NFC-, Secure-Element- und eSIM-Funktionen und liefert damit eine zukunftssichere Lösung für sichere mobile Konnektivität und Dienste.
Krypto-Agilität und PQC-Bereitschaft ermöglichen
Über neue Hardware hinaus investiert ST auch in Softwarebibliotheken und Werkzeuge, die bestehende und künftige Produkte PQC-fähig machen. Ein zentrales Ziel ist die Krypto-Agilität, also die Fähigkeit, kryptographische Algorithmen im Laufe der Zeit einzuführen, zu kombinieren oder zu ersetzen, ohne das gesamte System neu entwerfen zu müssen. Dank dieser Bibliotheken können Entwickler damit beginnen, PQC-Algorithmen parallel zu klassischen zu integrieren (hybride Verfahren), was einen sanfteren und sichereren Übergang ermöglicht. Teams können zudem über Systemupdates Algorithmen austauschen oder Schlüssellängen ändern, wenn sich Standards weiterentwickeln und neue Bedrohungen auftauchen. Das gehört zu den effizientesten Wegen, bestehende Plattformen auf kryptographisch relevante Quantencomputer vorzubereiten, noch bevor solche Maschinen überhaupt breit verfügbar sind.
P. W. Shor, “Algorithms for quantum computation: discrete logarithms and factoring,” Proceedings 35th Annual Symposium on Foundations of Computer Science, Santa Fe, NM, USA, 1994, pp. 124–134, doi: 10.1109/SFCS.1994.365700. ↩︎
Grover, Lov K. (1996–07–01). “A fast quantum mechanical algorithm for database search”. Proceedings of the twenty-eighth annual ACM symposium on Theory of Computing – STOC ’96. Philadelphia, Pennsylvania, USA: Association for Computing Machinery. pp. 212–219. arXiv:quant-ph/9605043 ↩︎