Post-Quantum-Kryptography 5 Maßnahmen in Vorberei­tung auf Quanten­computing-Bedrohungen

Anbieter zum Thema

DigiCert

Securepoint GmbH

WatchGuard Technologies GmbH

XOPERO SOFTWARE S.A.

Das Zeitalter für Quantencomputing verspricht viele Verbesserungen, aber es bringt auch Risiken mit sich. So können Cyber-Kriminelle sich ebenfalls die massiv gesteigerte Rechenleistung zunutze machen. Auf diese Schattenseite sollten sich Organisationen frühzeitig vorbereiten, damit neue Risiken beherrschbar bleiben.

Dieser Artikel zeigt fünf Schritte auf, mit denen sich IT-Verantwortliche im Unternehmen jetzt schon auf die Veränderungen durch Quantencomputing vorbereiten können.

1. Erkennung von Quantenbedrohungen

Im ersten Schritt geht es darum, sich mit der gesamten Problematik auseinanderzusetzen. Klar ist: Quantencomputing gefährdet die Sicherheit aktueller Verschlüsselungsstärken insgesamt. Asymmetrische Verfahren wie RSA (Rivest–Shamir–Adleman) und Elliptische-Kurven-Kryptografie (ECC), die als Grundlage moderner Public-Key-Verschlüsselung dienen, lassen sich durch die hohe Rechenleistung der Quantencomputer knacken.

Noch verlässt sich die digitale Welt auf den bisherigen Datenschutz bei der Kommunikation und Lagerung von Informationen. Doch NIST-Experten prognostizieren, dass für die Geheimhaltung eingesetzte RSA-Algorithmen bis 2030 unsicher sein werden.

Diese Problematik bedroht gängige Kryptografieprotokolle als Grundlage der modernen Internet-Kommunikation. Das ist so, als ob Bauingenieure schwerwiegende Materialfehler beim eingesetzten Betons entdeckt hätten. Eine grundsätzliche Bedrohung der gesamten Infrastrukturen bedingt eine grundlegende Änderung der Art und Weise, wie mit Verschlüsselungsverfahren umgegangen wird. Jede Organisation sollte ihre eigenen Abläufe daraufhin überprüfen, wie sich Quantencomputing auf die eingesetzten Public-Key-Kryptographiesysteme auswirken wird.

2. Keine Kryptografielücken

Leider gibt es viele Probleme, die behoben werden müssen, bevor die Vorbereitung auf Quantenbedrohungen überhaupt erst beginnen kann. So zeigt der 2023 Digicert Post Quantum Cryptography (PQC) Report, dass viele Unternehmen ihre kryptographischen IT-Assets aktuell nicht vollständig im Blick oder unter Kontrolle haben. In jedem zweiten Fall gibt es keine vollständige Übersicht der verwendeten Kryptografieschlüssel und -zertifikate. Nur 36 Prozent der Befragten wissen, ob diese Daten lokal oder in der Cloud gespeichert sind.

Hinzu kommt, dass nur etwas mehr als die Hälfte der Organisationen derzeit eine Bestandsaufnahme der verwendeten Kryptografiemethoden und -verfahren durchführen. Laut 61 Prozent der Befragten verfügten ihre Unternehmen nur über eine begrenzte Krypto-Management-Strategie, die zudem auf bestimmte Anwendungen oder Anwendungsfälle (36 Prozent) begrenzt sei. Bei 25 Prozent der untersuchten Organisationen fehlt sie ganz, was die Anfälligkeit für Bedrohungen der nächsten Generation oder zukünftige Quantenbedrohungen erhöht.

3. Entwicklung von Post-Quanten-Kryptographie

Zum Glück ist die Entwicklung von Post-Quanten-Kryptographie bereits in vollem Gange. Im Gegensatz zu kryptographischen Algorithmen der aktuellen Generation werden diese besser in der Lage sein, Quantenbedrohungen zu erkennen und abzuwehren. Das US-amerikanische National Institute of Standards and Technology (NIST) unterstützt bereits seit Jahren die Entwicklung quantenresistenter Algorithmen.

Zur Standardisierung von PQC-Algorithmen kündigte das NIST offene Ausschreibungen für die Entwicklung quantenresistenter Public-Key-Kryptografie-Assets wie digitale Signaturen und Zertifikate an. Das NIST erwartet, diesen Prozess noch 2024 abzuschließen.

Organisationen müssen zunächst ein umfassendes Verständnis über ihre kryptographischen Assets haben, um notwendige Änderungen vornehmen zu können. Nach der Bestandsaufnahme sollten sie hinsichtlich ihrer Kritikalitätsstufe sortiert werden, damit sie entsprechend aufgerüstet oder ersetzt werden können. Hier stellen sich einige entscheidende Fragen:

• Wer hat die Zertifikate ausgestellt?

• Wann laufen sie ab?

• Welche Domains schützen sie, und welche Algorithmen werden dabei verwendet?

Mit diesem Wissensstand können IT-Verantwortliche dann entscheiden, welche Verschlüsselungsalgorithmen sie zuerst austauschen. Die Aktualisierung der kryptographischen Infrastruktur beginnt sinnvollerweise bei den Teilbereichen, die für das langfristige Vertrauen am wichtigsten sind. Dazu zählen beispielsweise interne Zertifizierungsstellen oder langlebige Geräte.

4. Aufrechterhaltung der Krypto-Agilität

Die entscheidende Komponente bei der Abwehr von Quantenbedrohungen im Unternehmen ist Krypto-Agilität. Aktuelle Verschlüsselungssysteme verwenden relativ statische Algorithmen. Viele Sicherheitsadministratoren verlassen sich darauf, Datenschutz und Kommunikationssicherheit trotzdem weiter gewährleisten zu können. Quantenbedrohungen lassen sich jedoch nur mit hoher Krypto-Agilität abwehren — also der Fähigkeit zur effizienten Aktualisierung von kryptographischen Algorithmen, Parametern, Prozessen und Technologien.

Je nach Bedrohung ist eine Kombination aus kontinuierlicher Asset-Transparenz, effizienten Methoden für den Einsatz kryptographischer Technologien und schneller Reaktionsfähigkeit bei auftretenden Sicherheitsprobleme erforderlich. Einem NIST-Bericht über Post-Quantum-Kryptographie zufolge müsse der Fokus zwangsläufig auf der „Aufrechterhaltung von Krypto-Agilität“ liegen, weil noch kein Ersatz für die standardisierten Public-Key-Algorithmen verfügbar sei.

Der Startpunkt für diesen Prozess ist die gründliche Erfassung von Quantenschwachstellen der eingesetzten Zertifikate im gesamten Datenökosystem. Auf dieser Wissensbasis können Unternehmen damit beginnen, skalierbare und automatisierte Verwaltungs-Tools für den Zertifikatslebenszyklus einzusetzen.

Vorbereitung auf das Quantenzeitalter

Digicert veranstaltet ersten World Quantum Readiness Day

Erleichtert wird die PQC-Umstellung durch automatisierte Workflows, die sowohl die Fehlerquote als auch die Betriebskosten senken. Dieser Schritt ist die Voraussetzung für eine schnelle und unterbrechungsfreie Bereitstellung quantensicherer Zertifikate.

5. Sofortstart

Am wichtigsten ist der Zeitfaktor: Organisationen müssen jetzt mit ihren Vorbereitungen beginnen. Allerdings deckte die Digicert-PQC-Studie auf, dass momentan lediglich einem Viertel der befragten Unternehmen ein Plan zur Bewältigung von Quantenbedrohungen vorliegt. Und nur 30 Prozent der Unternehmen können aktuell Budgets für die PQC-Bereitschaft zur Verfügung stellen. Keine Frage: Das muss sich ändern.

Die Ära der Quantencomputer mag noch einige Jahre auf sich warten lassen, aber eine effektive Vorbereitung auf diesen Quantensprung kann ebenfalls Jahre erfordern. Das NIST entwickelt noch die passenden Methoden, um neue PQC-Algorithmen sicher implementieren, testen und einsetzen zu können.

Die für die Implementierung der Algorithmen verantwortlichen Experten — beispielsweise Entwickler der kryptografischen Bibliotheken und Sicherheitssoftware — müssen jetzt anfangen. Neue Erkenntnisse und Erfahrungen werden für den Erfolg des gesamten Prozesses entscheidend sein und müssen als Best Practices technologisch in die bestehenden Systeme integriert werden.

Für den gesamten Prozessablauf ist dabei Krypto-Agilität ein fundamental wichtiger Faktor. Der Übergang zu quantensicheren Algorithmen erfordert eine grundlegende Neugestaltung, wie Unternehmen mit Verschlüsselung umgehen. Dieser Ansatz sollte konsistent im gesamten Unternehmen mit klaren Zuständigkeiten und Verantwortlichkeiten verwirklicht werden.

Die Vorbereitung auf Quantenbedrohungen ist eine kostenintensive und zeitaufwändige Aufgabe. Sie muss rechtzeitig vor der kommerziellen Nutzung von Quantencomputern abgeschlossen sein, denn die Angreifer bereiten sich ebenfalls auf den Tag X vor. Mit Blick auf zukünftige Rechenkapazitäten führen Bedrohungsakteure bereits jetzt schon Raubattacken auf verschlüsselte Daten durch, die später mit leistungsstarken Quantencomputern einsehbar sein werden. PQC-Algorithmen und Krypto-Agilität sind die entscheidende Voraussetzung dafür, dass solche Vermögenswerte dauerhaft geschützt bleiben.

(ID:50129502)