Quantensichere Verschlüsselungsalgorithmen Das Post-Quanten-Zeitalter hat begonnen

Anbieter zum Thema

Atos Information Technology GmbH

SEPPmail - Deutschland GmbH

Die Sicherheit der weltweiten Datennetze könnte zusammenbrechen, wenn es eines Tages leistungsfähige Quantencomputer gibt, die einige gängige Verschlüsselungsmethoden brechen können. In den vergangenen Jahren haben Experten daher zahlreiche Krypto-Verfahren entwickelt, die gegenüber Quantencomputern nicht anfällig sind. Momentan werden die ersten davon standardisiert.

Kennen Sie CRYSTALS-Kyber? Falls nicht, sollten Sie sich diesen Namen merken, denn es handelt sich um ein Verschlüsselungsverfahren, das in den nächsten Jahren erheblich an Bedeutung gewinnen dürfte. Experten gehen davon aus, dass man CRYSTALS-Kyber nicht mit einem Quantencomputer knacken kann – einem Gerät, das nach den Prinzipien der Quantenmechanik funktioniert und dadurch andere Stärken und Schwächen als herkömmliche Rechner hat.

Besonders gut geeignet sind Quantencomputer, wenn es um das Zerlegen von Primzahlprodukten in ihre Faktoren geht. Quantenrechner sind daher prädestiniert, um das auf Primzahlprodukten basierende Krypto-Verfahren RSA zu knacken, das milliardenfach in Web-Browsern, E-Mail-Programmen, VPN-Clients, Geldautomaten und anderen sicherheitskritischen Systemen eingesetzt wird. Auch Diffie-Hellman, eine weitere weit verbreitete Krypto-Methode, ist nicht quantensicher. Bisherige Quantencomputer sind allerdings noch reichlich schwach: Sie können kaum mehr, als die Zahl 21 in die Faktoren 3 und 7 zu zerlegen. Um RSA und Diffie-Hellman gefährlich zu werden, müssten sie Entsprechendes mit etwa fünfhundertstelligen Zahlen bewerkstelligen. Noch ist das unmöglich, doch die Technik entwickelt sich weiter.

Post-Quanten-Verfahren

Damit nicht eines Tages die Sicherheit des gesamten Internets zusammenbricht, entwickeln Kryptologen bereits seit Jahren Krypto-Methoden, die gegenüber Quantencomputern nicht anfällig sind. Weit über 100 dieser „Post-Quanten-Verfahren“ sind inzwischen entstanden. Doch die Sache ist komplex: So manche Post-Quanten-Methode offenbarte erhebliche Sicherheitslücken, während sich andere als unpraktikabel erwiesen.

Um der Lage Herr zu werden, rief die US-Behörde NIST (National Institute of Standards and Technology) im Jahr 2017 einen Post-Quanten-Wettbewerb ins Leben. Kryptologen aus aller Welt konnten für diesen quantensichere Verfahren einreichen, die dann in mehreren Runden von Experten evaluiert wurden. Diese Idee war nicht neu, denn das NIST hat in den letzten Jahrzehnten bereits mehrere Algorithmen-Wettbewerbe veranstaltet, wobei die Sieger stets in den USA standardisiert wurden und sich anschließend weltweit durchsetzten.

69 Verfahren wurden für den Post-Quanten-Wettbewerb zugelassen. Erstaunlich viele davon wurden geknackt oder schieden aus anderen Gründen aus. Nach mehreren Runden verkündete das NIST 2022 schließlich die vier ersten Gewinner. Neben dem eingangs erwähnten CRYSTALS-Kyber, das RSA und Diffie-Hellman für den Schlüsselaustausch ersetzen soll, zählte auch das damit verwandte Signaturverfahren CRYSTALS-Dilithium dazu. Dieser Algorithmus kann als Alternative zu RSA-Signaturen dienen. Mit FALCON und SPHINCS+ kürte das NIST zwei weitere Signaturmethoden, die CRYSTALS-Dilithium in bestimmten Einsatzumgebungen vorzuziehen sind.

Auch das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) war derweil nicht untätig. Mit Classic McEliece und FrodoKEM empfiehlt es zwei Methoden, die es beim NIST-Wettbewerb nicht unter die ersten vier geschafft haben. Beide Verfahren gelten als konservative Wahl: Sie zählen zwar nicht zu den praktikabelsten ihrer Art, haben jedoch bei Sicherheitsbetrachtungen bisher sehr gut abgeschnitten.

Das Internet-Standarisierungsgremium IETF hat ebenfalls zwei Post-Quanten-Spezifikationen veröffentlicht: Das eXtended Merkle Signature Scheme (XMSS) wird in RFC 8391 beschrieben, während Leighton-Micali in RFC 8554 spezifiziert wird. Beide Verfahren dienen der digitalen Signatur. Eine Besonderheit dieser Algorithmen ist, dass für jede Signatur ein anderer Schlüssel zum Einsatz kommen muss – wird einer doppelt genutzt, dann entsteht eine Sicherheitslücke. Eine Implementierung muss daher eine „schwarze Liste“ der bereits verbrauchten Schlüssel führen.

Krypto-Hersteller in den Startlöchern

Für Krypto-Hersteller sind die aktuellen Entwicklungen von großer Bedeutung. Denn jahrelang war völlig unklar, welche der zahlreichen Post-Quanten-Verfahren sich durchsetzen würden. Dadurch lohnte es sich kaum, eine solche Methode zu implementieren. Jetzt, wo die Standardisierung so langsam Gestalt annimmt, ändert sich das. Zwar rät das NIST bisher noch davon ab, die vier Wettbewerbssieger zu implementieren, da es in den Spezifikationen noch kleinere Änderungen geben könnte, doch immerhin weiß die Branche jetzt, was demnächst auf sie zukommt.

Da sich NIST-Wettbewerbssieger bisher immer weltweit durchsetzten, ist momentan vor allem das Interesse am besagten Gewinner-Quartett groß. Insbesondere CRYSTALS-Kyber (Schlüsselaustausch) und CRYSTALS-Dilithium (digitale Signatur), die in ihrem Anwendungsgebiet als Nummer eins unter den Post-Quanten-Verfahren gelten, werden derzeit ausgiebig studiert. Die beiden Methoden gehören zur so genannten gitterbasierten Kryptografie. Diese nutzt aus, dass in hochdimensionalen Gittern bestimmte Operationen äußerst aufwendig sind, sofern man nicht eine bestimmte Zusatzinformation besitzt. Wer sich also bisher mit Primzahlprodukten beschäftigt hat, um RSA zu verstehen, sollte sich jetzt mit mathematischen Gittern vertraut machen.

Das Post-Quanten-Zeitalter hat also nun begonnen. Und schon jetzt ist die nächste Herausforderung absehbar: Es gilt, die neuen Verfahren in die Praxis umzusetzen. Dies ist nicht trivial, wenn man beispielsweise bedenkt, dass die Schlüssel der aktuellen Post-Quanten-Verfahren oft um Größenordnungen länger sind als bei RSA oder Diffie-Hellman. Auch die Tatsache, dass die Krypto-Koprozessoren auf vielen Chipkarten nicht für Gitteroperationen oder sonstige Post-Quanten-Mathematik geschaffen wurden, dürfte die Experten noch beschäftigen. Die schwarzen Listen, die einige Verfahren benötigen, sind in der kryptografischen Praxis ebenfalls Neuland. Immerhin: Die Quantenapokalypse wird sicherlich nicht heute oder morgen eintreten. Es bleibt also noch etwas Zeit.

Über den Autor: Klaus Schmeh ist Krypto-Experte bei Atos Cybersecurity Products. In seinen Veröffentlichungen und Vorträgen erklärt er die Post-Quanten-Kryptografie für Nichtkryptologen, oft mithilfe von Comics.

(ID:48667043)