Wann erreichen wir Quantensicherheit? Vorbereitung auf den Tag Q

Anbieter zum Thema

DigiCert

Rittal GmbH & Co. KG

Kentix GmbH

Data Center Group – Büro Köln

Die Auswirkungen von Quantenbedrohungen sind klar: Mit „Shor“ steht ein Algorithmus zur Verfügung, mit dem Quantencomputer den Großteil der aktuellen Kryprografieverfahren knacken können. Das heißt: Alle privaten Schlüssel, Algorithmen und Zertifikate, die unsere Daten und Vermögenswerte schützen sowie Vertraulichkeit von Gesprächen und digitalen Identitäten garantieren, werden in wenigen Jahren offengelegt.

Benötigten klassische Rechner bisher Milliarden Jahre, um eingesetzte RSA- und ECC-Standardschlüssel entziffern zu können, werden Quantencomputer mit entsprechender Rechenleistung nur noch wenige Monate benötigen. NIST-Prognosen zufolge sind die bisher verlässlichen Algorithmen bereits 2030 unsicher.

Eine grundlegende Verschiebung steht also bevor, was den kryptografischen Schutz im Quantenzeitalter betrifft, und der Druck zur Vorbereitung auf den Tag X (oder besser Tag Q) nimmt stark zu. Vor einigen Jahren richtete das US-amerikanische National Institute of Standards and Technologies (NIST) einen offenen Aufruf an Kryptographen und den Sicherheitssektor insgesamt zur Einreichung potenzieller Post-Quanten-Kryptographie-Algorithmen (PQC). Mittlerweile hat NIST die ersten PQC-Algorithmen veröffentlicht und geht davon aus, dass in den nächsten Jahren weitere Veröffentlichungen folgen.

Vorbereitung auf das Quantencomputing

NIST veröffentlicht Post-Quantum-Kryptographie-Standards

Die Arbeiten an diesen Standards werden allerdings noch einige Zeit andauern, denn es handelt sich um den Beginn einer längeren Reise. Einige Algorithmen werden branchenspezifisch in kontrollierten Umgebungen getestet.

Der Weg zur Quantensicherheit erfordert indes viel Zeit und Aufwand, um die PQC-Algorithmen für verschiedene Anwendungsfälle und Branchen anzupassen. Zwar werden PQC-Algorithmen in der Folge standardisiert, aber noch ist es nicht so weit. Es gibt viele Details und Fragen, die sowohl in einzelnen Sektoren als auch auf Unternehmensseite zu klären sind.

Bei einer weltweiten Studie des Ponemon Institute gaben 61 Prozent der Befragten an, dass ihre Organisationen sich nicht mit den Auswirkungen von „Post Quantum Cryptography“ (PQC) auf die Sicherheit beschäftigt haben. Allein bei der Kartierung, Bewertung und Aktualisierung unzähliger Komponenten, IT-Assets und Anwendungsfälle, die Quantenschutz benötigen, handelt es sich um eine Herkulesaufgabe. Unternehmen müssen jetzt mit den Vorbereitungen beginnen.

Ein Ende und Beginn zugleich

Mit der NIST-Genehmigung können Zertifizierungsstellen, Entwickler und IT-Sicherheitsverantwortliche großer Unternehmen neue Algorithmen in der Praxis einsetzen und ausprobieren. Organisationen wie DigiCert haben diese PQC-Algorithmen implementiert und stellen sie in kontrollierten Umgebungen zur Verfügung. So lässt sich demonstrieren und testen, wie sich die Algorithmen unter realen Bedingungen bewähren.

Ein PQC-Rollout erfolgt notwendigerweise langsam, damit Organisationen wichtige Faktoren wie einfache Handhabung oder Sicherheitsrisiken bewältigen können. Code Signing zum Beispiel wird vermutlich ganz zu Anfang eingeführt, da die Lebensdauer von Code-Signaturen diejenige von Zertifikaten deutlich übersteigt. Auf Websites werden PQC-Algorithmen dagegen wahrscheinlich langsamer zum Einsatz kommen, da die Lebensdauer von Zertifikaten kurz ist und die Algorithmen auch von anderen Standardisierungsgremien wie dem CA/Browser Forum genehmigt werden müssen.

Bei stark regulierten Anwendungsfällen, die eine lange Abfolge bürokratischer Prozesse durchlaufen, sieht das ähnlich aus. Es gibt ein Netz aus Gremien und Normungsorganisationen, die sich der neuen PQC-Realität stellen und ihre eigenen Prüf-, Aktualisierungs- und Genehmigungsprozesse anpassen müssen.

In der Pflicht

Dazu gehören Branchenverbände wie das CA/B Forum, die Internet Engineering Task Force (IETF) und die International Organisation for Standardisation (ISO). Auch Regierungsstellen, die PQC-Algorithmen in ihre umfangreichen Infrastrukturen integrieren müssen, arbeiten an einer sicheren Umstellung auf die neue Situation und erstellen eigene Leitfäden, Best Practices und Vorschriften.

Die neuen Algorithmen wirken sich auch auf die Performance aus. So verwenden einige PQC-Algorithmen, die vom NIST genehmigt wurden, längere Schlüssel als ihre Vorgänger. Erste Untersuchungen zeigen, dass die Leistungsunterschiede im Regelfall nicht riesig sind, aber dennoch technische Änderungen erfordern. An dieser Stelle wird es wohl umfangreiche Hardware- und Software-Aktualisierungen geben.

Die Beispiele zeigen, dass die Einführung von PQC-Algorithmen als Schutz gegen eine veränderte Bedrohungslage eine Herkulesaufgabe ist. Anbieter und Benutzer kryptographischer Hardware und Software müssen gleichermaßen ihre Produkte auf den neuesten Stand bringen, um die neuen PQC-Algorithmen einsetzen zu können. Bei der Überprüfung kryptographischer Infrastruktur im Unternehmen geht dabei Gründlichkeit vor Schnelligkeit — der Migrationsprozess auf PQC-fähige Systeme kann Jahre dauern.

Der Gute Rat: Nicht auf die Standardisierung warten!

Zur notwendigen Vorbereitung auf die kommenden Veränderungen können Organisationen nicht länger warten. Dafür ist der Veränderungsbedarf auf Unternehmensseite viel zu hoch. Zukunftsorientierte Unternehmen investieren in Krypto-Agilität und verbessern ihre Ausgangsposition beim Übergang zu quantensicheren Algorithmen, wenn die endgültigen Standards veröffentlicht werden.

Es gibt viel zu tun, um bestehende Kryptographielücken zu schließen. Der „Digicert Post Quantum Cryptography Report“ offenbarte, dass die meisten Unternehmen keinen vollständigen Überblick über ihre kryptografischen Assets haben. Lediglich 39 Prozent der Befragten geben an, dass sie kryptographische Ressourcen priorisieren, und nur 36 Prozent der Befragten wissen, ob diese Daten lokal oder in der Cloud gespeichert sind.

Auf einem Auge blind?

Laut 36 Prozent der Befragten verfügten ihre Unternehmen nur über eine Krypto-Management-Strategie, die auf bestimmte Anwendungen oder Anwendungsfälle begrenzt sei. Bei 25 Prozent der untersuchten Organisationen fehle sie ganz.

Die Aufarbeitung bisheriger Versäumnisse kann nur der erste Schritt sein. Nach der Erfassung, Inventarisierung und zentralen Sicht auf kryptographische Assets startet der Krypto-Agilitätsprozess durch Einsatz skalierbarer und automatisierter Verwaltungs-Tools für den Lebenszyklus von Zertifikaten.

Das schafft eine solide Grundlage für Krypto-Agilität und Akzeptanz von PQC-Algorithmen, um auf breiter Basis den Schutz vor aktuellen und zukünftigen Quantenbedrohungen durchsetzen zu können.

Bis zum Quantenhorizont und darüber hinaus

Täuschen Sie sich nicht: Der Weg zur Quantensicherheit ist ein langer Prozess, der Jahre dauern und zahlreiche Organisationen im Umfeld eines Unternehmens einbeziehen muss. Angesichts einer tiefen Verflechtung moderner Informationssysteme und vielfältiger Interessen der beteiligten Organisationen, lässt sich der erforderliche Umsetzungsprozess nur schwer beschleunigen. Vorausschauende Organisationen beginnen jetzt mit den Vorbereitungen.

(ID:50251558)