Risiko für heutige Verschlüsselung NIS-2-konform zu Quantenresistenz

Sicherheitsforscher warnen nicht erst seit gestern: Quantencomputer werden herkömmliche asymmetrische Verschlüsselungsverfahren zur Sicherung sensibler Daten bald unwiderruflich aushebeln.

Die möglicherweise bald akute Bedrohung, dass Qunatencomputer herkömmliche asym­me­tri­sche Verschlüsselungsverfahren durchbrechen, ergibt sich aus der Fähigkeit der Super­com­pu­ter, bestimmte mathematische Probleme – wie jene, die etwa RSA oder ECC zu Grunde liegen – quantenmechanisch effizienter zu lösen, als es für klassische Chips möglich ist. Dies betrifft insbesondere die Faktorisierung großer Zahlen und das diskrete Logarithmusproblem. Shors Algorithmus hat dies bereits vor Jahrzehnten theoretisch demonstriert. Sobald ausreichend leistungsfähige Quantencomputer verfügbar sind, wird dieser Angriff auch praktisch möglich. Doch so lange muss man erst gar nicht warten. Viele der digitalen Schätze sind bereits heute ein lohnendes Ziel für bösartige Akteure — mit Auswirkungen, die sich erst in der nahen Zukunft in ihrem vollen Umfang entfalten dürften.

Security-Insider Podcast – Folge 99

Steht uns der Q-Day bevor?

Aufgeschoben ist nicht aufgehoben

Aufgeschoben ist nicht aufgehoben, ganz im Gegenteil. Es gibt nämlich einen relevanten Knack­punkt: Wer verschlüsselte Daten heute abfängt und speichert, kann sie später mit Quanten­com­pu­tern entschlüsseln und missbrauchen, Stichwort „Harvest Now, Decrypt Later“. Wirtschafts­spio­na­ge, Chaos-Aktivisten, Saboteure: für bösartige Akteure sind sensible Daten der digi­ta­li­sierten Wirtschaft und Gesellschaft ein gefundenes Fressen.

Regulierungsbehörden schlagen zurecht Alarm. Quantenresistenz ist das Gebot der Stunde. Eine explizite Pflicht zum Einsatz von Postquantenkryptografie (PQC) ergibt sich aus der jüngst beschlossenen NIS-2-Richtlinie nicht. Die Richtlinie verlangt vielmehr ein angemessenes Kryp­to­grafiekonzept. Was das jetzt genau bedeutet, muss man im Einzelfall abwägen. Das Auf­kom­men von leistungsstarken Quantencomputern verleiht der Problematik gerade vor dem Hinter­grund drohender Cyberkonflikte eine gewisse Dringlichkeit. Das BSI und 17 europäische Partner fordern einen „aktiven Wechsel zu quantenresistenten Methoden bis spätestens 2030“.

Update: NIS 2 tritt morgen in Kraft

Bundestag verabschiedet NIS 2

Jagdzeit auf Daten: Wer rastet, der rostet

Digital transformierte Unternehmen und Behörden müssen dem digitalen Unglück von morgen unbedingt aktiv vorbeugen. Aber wie? Die NIS-2-Richtlinie enthält mehrere zentrale Anhalts­punkte, die Unternehmen auf eine neue Sicherheitsrealität vorbereiten sollen. Angesichts ihres breiten Anwendungsbereichs verspricht sie, umfassende Maßnahmen zur Vorbeugung von Sicherheitsvorfällen in Gang zu setzen.

NIS 2 verlangt von betroffenen Organisationen ein deutlich höheres Maß an präventiven Sicher­heitsmaßnahmen. Ein zentraler Aspekt ist dabei der Umgang mit kryptografischen Verfahren. NIS 2 verpflichtet Unternehmen, ein fundiertes „Konzept und Verfahren in Bezug auf Krypto­grafie“ zu definieren, umzusetzen und regelmäßig anzuwenden. Diese Vorgabe gewinnt durch den technologischen Fortschritt im Bereich der Quanteninformatik nochmals an Relevanz. Denn das Aufkommen leistungsfähiger Quantencomputer – und die damit einhergehende Gefahr, klassische Verschlüsselungsmechanismen wie RSA oder ECC zu brechen – ist längst keine bloße Zukunftsvision mehr. In Kombination mit globalen Spannungen und drohenden Cyberkonflikten ergibt sich daraus eine neue Bedrohungslage. Post-Quantum-Kryptografie markiert einen Paradigmenwechsel in der Kryptografie klassischer Systeme – bis auf Weiteres ist sie der praktikabelste Weg zur Quantenresistenz.

Umfrage von ISACA

IT-Fachleute haben Bedenken gegenüber Quantencomputing

Post-Quantum-Kryptografie

Post-Quantum-Kryptografie bezeichnet kryptografische Verfahren für klassische Computing-Architekturen, die auch gegen Angriffe mit Quantencomputern schützen sollen. Im Gegensatz zu konventionellen Verfahren basieren diese auf mathematischen Problemen, die selbst für Quantencomputer schwer zu lösen sind. Die Europäische Kommission hat bereits im April 2024 eine Empfehlung zur Post-Quantum-Kryptografie veröffentlicht, um einen harmonisierten Ansatz für den Übergang zu fördern und die Interoperabilität zwischen den Mitgliedstaaten sicherzustellen.

Postquantenkryptografische Verfahren genießen bisher noch nicht das gleiche Vertrauen wie etablierte Kryptosysteme. Dies hängt unter anderem damit zusammen, dass sie beispielsweise hinsichtlich ihrer Widerstandsfähigkeit gegen Seitenkanalangriffe und im Hinblick auf ihre Im­plementierungssicherheit noch nicht im selben Maß untersucht wurden. Gleichzeitig ist ein Übergang zu quantensicheren Verfahren kurzfristig „unabdingbar“, so das BSI.

Aus diesen Gründen hat sich allgemein die Auffassung durchgesetzt, Post-Quantum-Kryptografie nicht in Isolation, sondern nur in Kombination mit bewährten Algorithmen einzusetzen.

„Pssst…vertraulich!“

Cloud Computing mit Laufzeit-Verschlüsselung

Ein europäischer Strategievorschlag empfiehlt einen zweistufigen Ansatz zur Quantensicherheit:

• Post-Quantum-Kryptografie (PQC): Implementierung von PQC-Algorithmen als primäre Maßnahme, einschließlich obligatorischer Risikobewertungen zur Identifizierung von Schwachstellen

• Quantum Key Distribution (QKD): Ergänzende Entwicklung und Implementierung von QKD-Netzwerken für hochsichere Anwendungen

Das BSI hat inzwischen bereits die erste quantensichere Smartcard zertifiziert. Die Smartcard nutzt den TEGRION-Sicherheitscontroller von Infineon mit einer 32 Bit starken Arm v8-M CPU, hergestellt im 28-nm-Prozess. Diese Architektur ist speziell für eingebettete Systeme mit hohen Sicherheitsanforderungen konzipiert. Die Smartcard implementiert die PQC-Methode FIPS203, also den Kyber-Standard, der in FIPS 203 den Namen ML-KEM trägt (Module-Lattice-Based Key Encapsulation Mechanism).

ML-KEM basiert auf Gitterproblemen und gilt als eine robuste Grundlage für die Schlüssel­ver­ein­barung in einer post-quanten-kryptografischen Sicherheitsumgebung. Die Smartcard wur­de bei der TÜV Informationstechnik GmbH einer umfassenden und strengen Sicherheits­be­wertung unterzogen und gemäß den Common Criteria (ISO/IEC 15408) auf der hohen Eva­lua­tions­stufe EAL6+ zertifiziert. Die Zertifizierung belegt sowohl die korrekte Implementierung des ML-KEM-Algorithmus als auch die tatsächliche Widerstandsfähigkeit der Smartcard gegenüber verschiedenen Angriffsszenarien im praktischen Einsatz.

Vorbereitung auf das Quantencomputing

NIST veröffentlicht Post-Quantum-Kryptographie-Standards

Kryptografische Agilität

Eine zentrale Empfehlung des BSI konzentriert sich auf die Sicherstellung kryptografischer Agilität. Gemeint ist die Fähigkeit, kryptografische Algorithmen und Protokolle auszutauschen oder zu aktualisieren, ohne die gesamte Infrastruktur von Grund auf neu aufsetzen zu müssen.

Konkret empfiehlt das BSI:

• Modulare Architekturen für Hard-/Software, um Komponenten einfach austauschen zu können

• Abstrakte Schnittstellen in Software, die den Algorithmenwechsel ermöglichen

• Krypto-Kataster zur Dokumentation eingesetzter Verfahren und Migrationspfade

• Empfehlung der NIST-Standards ML-KEM, ML-DSA, SLH-DSA als Teil eines erweiterbaren Verfahrensportfolios

Kryptoagilität als zentraler Bestandteil zukunftssicherer IT-Systeme soll Organisationen er­lauben, schnell auf aufkommende Bedrohungen zu reagieren und verbesserte Algorithmen reibungslos zu übernehmen.

Im Einklang mit diesen Empfehlungen hat die OpenSSH‑Community in Version 9.9 die interne Struktur für Key-Exchange-Methoden überarbeitet. Die OpenSSH-Architektur wurde im Hin­blick auf ML-KEM so erweitert, dass sich künftige PQC-Verfahren leichter integrieren lassen. ML-KEM fungiert als eigenständige Komponente, was sowohl die Integration neuer Algo­rith­men als auch die Erprobung von Kandidaten vor ihrer möglichen Standardisierung erleichtert. Neue PQ-Algorithmen – beispielsweise andere LWE-Varianten oder RLWE-basierte Schemata – können künftig an dasselbe „Gerüst“ andocken, ohne große Eingriffe in die übrigen Teile von OpenSSH vornehmen zu müssen.

Anstatt die KEX-Implementierung ausschließlich auf klassische Methoden, beispielsweise ECDH, zu beschränken, wurden interne Schnittstellen geschaffen, die speziell für KEM-basierte Verfahren (Encapsulation/Decapsulation) ausgelegt sind. Dadurch ist es leichter möglich, das Encapsulate/Decapsulate-Verfahren eines neuen PQC-Schemas einzubinden, ohne an anderen Stellen Code-Änderungen vornehmen zu müssen.

In den relevanten Code-Dateien, wie kex.c, sshkey.c, sshkey.h und in Teilen auch den Hybrid-KEX-spezifischen Dateien, hat man zusätzliche Funktionszeiger bzw. Struktur-Definitionen vorgesehen, die PQC-spezifische Parameter (Public Key, Ciphertext, Secret) aufnehmen können. Dies reduziert redundante Strukturen und vermeidet, dass jeder neue PQ-Algorithmus komp­lett „hart verdrahtet“ werden muss. Stattdessen reicht es, an den entsprechenden Abstrak­tions­punkten das neue Verfahren zu registrieren.

Dank der modularen Anbindung und reduziertem Integrationsaufwand lassen sich Anpas­sun­gen, darunter (zukünftige) NIST-Standards oder Empfehlungen anderer Stan­dar­disier­ungs­organisationen, einfacher aufnehmen. OpenSSH stellt hierbei die nötige Infrastruktur bereit, um unterschiedliche Parameter wie Sicherheitsniveau und Fehlerkorrektur-Mechanismen flexibel zu nutzen.

Post-Quanten-Kryptografie gegen Q-Day-Gefahr

Droht die Kryptokalypse durch Quantencomputer?

Sicherheit durch Hybridisierung

Mit Blick auf die zunehmende Bedrohung durch Quantencomputer empfiehlt das BSI, PQC nicht isoliert, sondern in Kombination mit bewährten klassischen Verfahren einzusetzen. Dieser so­ge­nann­te hybride Ansatz soll auch dann noch eine angemessene Sicherheitsstufe bieten, wenn eines der eingesetzten Verfahren – klassisch oder postquantensicher – künftig gebrochen werden sollte.

Besonders relevant ist diese Empfehlung bei Schlüsselaustauschprotokollen, die die Grundlage sicherer Verbindungen bilden. Hier bietet sich die Kombination eines klassischen Algorithmus (etwa ECDH) mit einem PQC-Verfahren (wie ML-KEM/Kyber) an. Die gemeinsam genutzten Geheimnisse werden typischerweise per Hash-Funktion, zum Beispiel mittels HKDF, zu einem gemeinsamen Schlüssel kombiniert. Solange mindestens einer der beiden Algorithmen nicht gebrochen ist, gilt die Konstruktion als sicher.

Ein praktisches Beispiel für die Umsetzung dieser BSI-Empfehlung liefert OpenSSH mit der Unterstützung hybrider KEX-Algorithmen. Diese hybriden Verfahren sind besonders für In­sti­tutionen mit hohen Sicherheitsanforderungen interessant, etwa im öffentlichen Sektor, in der Forschung oder für Betreiber kritischer Infrastrukturen. Die Forschung untersucht auch Stra­te­gien, die mehrere PQC-Algorithmen kombinieren, zum Beispiel gitter- und codebasierte Ver­fah­ren, etwa um verschiedene Angriffsmodelle gleichzeitig abzusichern.

Wann erreichen wir Quantensicherheit?

Vorbereitung auf den Tag Q

Fazit

Low-Tech-Gefahren der besonderen Art: Bösartige Cyber-Akteure können verschlüsselte Daten, die sie noch nicht lesen können, einfach drauf los sammeln und horten. Unternehmen stehen vor der Herausforderung, nicht nur die regulatorischen Vorgaben zu erfüllen, sondern auch lang­fristig mit der gehörigen Weitsichtigkeit ihre Systeme gegen Quantencomputer-Angriffe zu schützen. PQC ist in den regulatorischen Vorgaben nicht formal kodifiziert, wird jedoch im Rah­men der NIS2-Vorgaben als Teil des „Standes der Technik“ empfohlen – vor allem für KRITIS-Betreiber.

Über die Autoren: Das Autorenduo Anna Kobylinska und Filipe Pereira Martins arbeitet für McKinley Denali, Inc., USA.

Studie: „Preparing for a Safe Post Quantum Computing Future“

Bedrohungen und Auswirkungen der Post-Quanten-Kryptographie

(ID:50654060)