Besser jetzt auf Post Quantum Cryptography wechseln Die PQC-Dringlichkeit lässt keinen Raum für Zweifel, die Fahr­lässig­keit auch nicht

Es besteht dringender Bedarf, Cryptography- und Detection-Praktiken auf das vorzubereiten, was bald passieren wird. Quantum Computing rückt immer näher an den Einsatz in Unternehmen – und bei potenziellen Angreifern. Manch einer geht davon aus, dass die Quantencomputer schon im kommenden Jahr marktreif sein könnten.

Eine aktuelle Omdia-Studie unter 28 Quantecomputer-Anbieter in Nord-Amerika, Europa, Asien und Ozeanien, Lateinamerika sowie dem Nahen Osten und Afrika zeigt, dass fast 40 Prozent erwarten, dass ihre Kunden Quantentechnik ab 2026 für operative Zwecke einsetzen werden. - in diesem Jahr sind es rund 14 Prozent und 2024 sind es nur 4 Prozent gewesen; denn fehlertolerante Quantencomputer werden dann wohl in der Lage sein, reale Geschäftsprobleme zu lösen.

Wie schnell die tatsächliche Einführung erfolgen wird, ist umstritten, aber die Fortschritte im Quantum Computing und der Geschwindigkeit dieser Rechner sind ein unglaublicher 'Force Multiplier' für komplexe Supercomputing-Anwendungen und Prozesse. Was einst ausschließlich dem militärisch-industriellen Komplex und der Wissenschaft vorbehalten war, wird bald auch im kommerziellen Bereich Einzug halten, in Unternehmen und in kritischer Infrastruktur. Wir sprechen hier von Verarbeitungsgeschwindigkeiten, die 100 Millionen Mal schneller oder noch mehr sein können.

Es gibt Qubits, die sich in Superposition befinden und gleichzeitig 0 und 1 sein können. Zusammen mit Entanglement und Quantum Tunneling ermöglichen Quantenrechner die Verarbeitung komplexer Berechnungen mit einer Geschwindigkeit, die klassische Computer nicht erreichen können. Schon klar: Quantum ist eine fantastische Nachricht für Geschäftsanwendungen. Man denke nur an den Einsatz und die Einführung von AI.

Die Dringlichkeit

Aber die wachsenden Möglichkeiten Quantencomputer einzusetzen habe auch ernste Auswirkungen auf die Sicherheit von Unternehmen. Quantum Computing wird die Brute-Force Decryption heutiger kryptografischer Modelle ermöglichen, vor allem von Public-Key-Infrastruktur (PKI) , das heute bei 99 Prozent aller Kommunikation verwendet wird.

Das aber heißt auch, dass sie bisher als sicher geltende Verschlüsselungsverfahren knacken können, wie das obige Bild zeigt, gelingt das für RSA bereits innerhalb von vier Stunden. Somit besteht tatsächlich ein dringender Bedarf, Cryptography- und Detection-Praktiken auf das vorzubereiten, was bald passieren wird.

Das Knacken gehashter Passwörter ist bereits jetzt ein Cybersecurity-Problem, da neuere Chips die heutigen Verarbeitungsgeschwindigkeiten bei weitem übertreffen. Laut Hive Systems könnte man mit einem großen Budget für die modernsten Nvidia-Chips ein komplexes 8-stelliges Passwort – bestehend aus Zahlen, Groß-/Kleinbuchstaben und Symbolen – in nur drei Monaten knacken. Ein Passwort, das nur aus Zahlen besteht, könnte mit der richtigen Rechenleistung sofort geknackt werden. Und das ist ohne heutige Quantum-Geschwindigkeiten.

Selbst wenn sensible Daten derzeit noch sicher sind, könnten sie in Zukunft gefährdet sein, wenn sie langfristig von Wert bleiben – ein Konzept, das als 'Long-term Confidentiality' bekannt ist. Das ist zum Beispiel in diplomatischer Kommunikation, bei militärischen Geheimdiensten und proprietärer Unternehmensinformationen der Fall. Das alles könnte gefährdet sein.

Ein Blick in die Geschichte

Verschlüsselung wird schon sehr lange verwendet und sie war immer ein effektiver Verteidigungsmechanismus. Sie entstand aus dem Bedarf von Geheimdiensten, geheime Nachrichten zu versenden. Im Wesentlichen verpackt oder wandelt sie Informationen in einen geheimen Code um, der die wahre Bedeutung der Informationen verbirgt. Die Wissenschaft des Encrypting und Decrypting dieser Daten ist die Cryptography.

In den frühen 1970er-Jahren wurde mit Unterstützung von Ingenieuren aus der Wissenschaft das Internet vom US-Verteidigungsministerium und dem US-Militär getestet und übernommen. Das war lange bevor es zur treibenden Kraft der Wirtschaft wurde, wie wir sie heute kennen.

Encryption-Systeme aus dem privaten Sektor, wie RSA, wurden Ende der 1970er-Jahre entwickelt. Allerdings wurden die Verschlüsselungstechniken in der IT-Praxis weiter vorangetrieben, insbesondere mit der breiten Einführung von TLS 1.0, das RSA und ECC nutzte, im Jahr 1999 – parallel zur massiven Verbreitung des Internets im Verbraucher- und Unternehmensbereich.

Was wird aus PKI?

Heute vermittelt PKI ein implizites Sicherheitsgefühl. Denn der Verifizierungsprozess gilt nach heutigen Maßstäben als sicher, weil es früher Tausende von Jahren dauerte, bis ein herkömmlicher Computer eine so große Zahl faktorisieren konnte.

Somit wird wohl der heutige Verschlüsselungsstandard PKI weiterhin relevant sein und auch bleiben, aber das Vertrauen darin wird abnehmen. Certificates, Certificate Authorities und TLS werden weiterhin auf PKI basieren, aber andere Technologien wie SKA oder Post-Quantum Key Exchange-Plattformen werden voraussichtlich zum Trend. Dazu ein paar Fakten:

• Drei Viertel aller OpenSSH-Versionen im Internet stammen noch aus der Zeit zwischen 2015 und 2022 und unterstützen somit keine Quantum-Safe Encryption.

• Weniger als 20 Prozent aller TLS-Server verwenden TLSv1.3, die einzige Version mit PQC-Unterstützung.

• Early Adopters aktualisieren möglichst schnell, aber die Anzahl an Organisationen, die ihre Server oder Geräte problemlos aktualisieren können, nimmt ab – ein häufiges Legacy Device-Problem in IT und OT.

PKI-Updates für den Key Exchange und die Signature Algorithms werden nötig sein, um sicherzustellen, dass sie Quantum safe sind. Die Herausforderung kann bei bei über 10 Milliarden verbundenen Geräten weltweit gar nicht unterschätzt werden.

Basierend auf dem, was wir seit vielen Jahren beobachten, ist diese Security Challenge problematisch. Daten und sichere Kommunikation, wie wir sie kennen, sind definitiv gefährdet, wegen der Kriminellen-Maxime „Harvest Now, Decrypt Later“.

Die gute Nachricht? Jeder kann sich vorbereiten, um den Schaden zu minimieren. Und das Wichtigste: Es gibt heute bereits Innovationen, die dabei helfen können (siehe Kasten: „Forescout Quantum Safe Security Assurance“). Die jüngsten Erkenntnisse aus der Forschung von Forescout Vedere Labszeigen: Viele Early Adopters migrieren bereits zu Quantum-Safe-Technologien, aber das Tempo nimmt eher ab.

Nicht bloß ein Update

Tatsächlich ist der Übergang von klassischer zu quantenresistenter Kryptografie ist kein einfaches technisches Upgrade, sondern eine grundlegende Erneuerung unserer Sicherheitsinfrastruktur. Zeit und Ressourcen, um neue kryptografische Standards weltweit umzusetzen, sind erheblich und das Zeitfenster, bevor Quantum Computers zur praktischen Bedrohung werden, schließt sich schnell.

Für Privatpersonen und Unternehmen erstreckt sich die Bedrohung auf Privacy Violations, Intellectual Property Theft und Financial Fraud. Persönliche Daten, Geschäftsgeheimnisse und Finanztransaktionen könnten offengelegt werden. Das zieht Vertrauensverlust in digitale Systeme und schwerwiegenden wirtschaftlichen Folgen nach sich. Hier eine kurze Liste alltäglicher Assets und typischer Risikoszenarien:

• Geräte mit älteren Betriebssystemen

• Nicht patch-bare IoT Devices

• Maßgeschneiderte (Custom-built) Anwendungen

• Die meisten OT Systeme - Viele basieren auf 20-jährigen Upgrade-Zyklen und haben in den meiste Fällen langsame Patch-Zyklen von sechs bis zwölf Monate.

• Kommunikation über öffentliche Netzwerke, einschließlich ISPs

• SASE-Anwendungen oder öffentlich geteilte Netzwerke, bei denen man einen privaten Encryption Key bereitstellen muss

• Ein Angreifer befindet sich bereits im vertrauenswürdigen Netzwerk

• Aktuell verwenden etwa 6 Prozent der weltweiten Geräte PQC, und weniger als 20 Prozent der globalen Kommunikation nutzen TLS 1.3, laut Forescout-Forschung die sicherste Version für Handshake Communication. Der Hauptvorteil von TLS 1.3 ist, dass es keine älteren, verwundbaren Cryptographic Versions mehr zulässt.

• Aber da über 80 Prozent der Organisationen noch keine PQC nutzen, gibt es noch eine ganze Menge an Migrationen, die erledigt werden müssen. Die Verwendung eines PQC-safe Cipher ist auf jeden Fall der richtige Schritt.

Was ist heute zu tun?

Unternehmen sollten PQC für Geräte einsetzen, die über Infrastrukturen Dritter kommunizieren müssen.

Sie sollten sicherstellen, dass ihre vertrauenswürdige Network Infrastructure vor Angreifern geschützt ist oder verwenden Network Tools, die Zugriff auf SPAN Ports haben.

Unternehmen sollten schließlich den Einsatz von ISPs und SASE Tools für kritische Anwendungen und hochsichere Systeme vermeisten.

(ID:50490561)