Harvest now, decrypt later: warum langlebige Produkte heute für Post-Quanten planen müssen

Die Frage, die ich zur Post-Quanten-Kryptografie am häufigsten höre, lautet: „Wann werden Quantencomputer RSA wirklich brechen?“

Eine vernünftige Frage. Und der falsche Ausgangspunkt.

Für viele Organisationen beginnt das Risiko nicht an dem Tag, an dem ein ausreichend leistungsfähiger Quantencomputer existiert. Es beginnt an dem Tag, an dem jemand Daten aufzeichnet, die noch wertvoll sein werden, wenn dieser Computer kommt.

Was „harvest now, decrypt later“ bedeutet

Die Idee ist einfach. Ein Angreifer fängt heute verschlüsselten Datenverkehr ab und speichert ihn. Lesen kann er ihn noch nicht. Muss er auch nicht. Speicher ist billig, und er kann warten.

Sobald ein kryptografisch relevanter Quantencomputer verfügbar ist, könnten Schlüsselaustausche, die durch heutige Public-Key-Verfahren wie RSA und Elliptische-Kurven-Kryptografie geschützt sind, gebrochen werden. Shors Algorithmus hat 1994 gezeigt, dass das grundsätzlich möglich ist. Jahre zuvor aufgezeichnete Daten werden lesbar.

Ob das in zehn oder in zwanzig Jahren passiert, ist ungewiss. Entscheidend ist ein viel einfacherer Vergleich.

Die drei Zahlen, die Ihr Risiko bestimmen

Es gibt eine bekannte Art, das zu betrachten, oft Michele Mosca zugeschrieben. Man vergleicht drei Zeiträume:

• wie lange Ihre Daten vertraulich bleiben müssen (x);
• wie lange die Migration Ihrer Systeme auf quantensichere Kryptografie dauern wird (y);
• wie lange es dauert, bis ein Quantencomputer die heutige Public-Key-Kryptografie brechen kann (z).

Ist x + y größer als z, haben Sie ein Problem, und zwar schon heute.

Das Nützliche an dieser Formel: Sie müssen z nicht genau kennen. Sie müssen nur bei x und y ehrlich sein. Und nach meiner Erfahrung wird y am meisten unterschätzt.

Warum vernetzte Produkte anders sind

Für einen Webdienst ist die Migration schwierig, aber überschaubar. Sie kontrollieren die Server, können neue Bibliotheken einspielen und Zertifikate rotieren.

Vernetzte Produkte sind anders.

• Sie bleiben zehn, fünfzehn, manchmal zwanzig Jahre im Feld.
• Ihre Kryptografie hängt oft an Hardware, Bootloadern und Secure Elements, die Jahre zuvor ausgewählt wurden.
• Ihre Update-Kette kann mehrere Lieferanten umfassen.
• Manche lassen sich überhaupt nicht aktualisieren.

Für ein heute entworfenes Gerät überschneiden sich x und y also fast zwangsläufig mit z. Das Produkt, das Sie jetzt spezifizieren, wird sehr wahrscheinlich noch laufen, wenn der Übergang in vollem Gange ist.

Es geht nicht nur um Vertraulichkeit

„Harvest now, decrypt later“ betrifft die Vertraulichkeit. Bei vernetzten Produkten gibt es ein zweites Risiko, das ich für noch wichtiger halte: die Authentizität.

Firmware-Updates sind signiert. Geräte weisen ihre Identität mit Zertifikaten nach. Werden die Signaturverfahren hinter diesen Mechanismen angreifbar, muss ein Angreifer Ihre Daten gar nicht lesen. Er kann sich als Sie ausgeben: bösartige Firmware signieren oder ein vertrauenswürdiges Gerät klonen.

Dieses Risiko beginnt nicht mit dem Abgreifen von Daten, sondern wenn der Angriff praktikabel wird. Aber die Vertrauensbasis, die ihm standhalten muss, wird viel früher festgelegt: wenn Hardware und Boot-Kette entworfen werden.

Die Fristen stehen bereits

Man muss nicht auf Quantenhardware wetten, um Fristen zu haben.

• Das NIST hat im August 2024 die ersten Post-Quanten-Standards FIPS 203, 204 und 205 veröffentlicht.
• Das NIST plant, quantenanfällige Public-Key-Algorithmen nach 2030 als veraltet einzustufen und nach 2035 nicht mehr zuzulassen.
• Die koordinierte Roadmap der Europäischen Union verlangt, den Übergang bis Ende 2026 zu beginnen, Anwendungsfälle mit hohem Risiko bis 2030 zu schützen und bis 2035 so viele Systeme wie möglich umzustellen.

Regulierer und große Kunden werden sich an diese Daten halten, egal was in den Quantenlaboren passiert.

Was jetzt zu tun ist

Sie müssen nicht in diesem Jahr jeden Algorithmus ersetzen. Sie müssen aufhören, das Problem zu vergrößern.

1. Daten nach Lebensdauer klassifizieren. Was muss länger als zehn Jahre vertraulich bleiben? Dieser Datenverkehr verdient zuerst Aufmerksamkeit.
2. Finden, wo Public-Key-Kryptografie eingesetzt wird. Schlüsselaustausch, Signaturen, Geräteidentität, Update-Signierung. Eine Migration, die man nicht sieht, kann man nicht planen.
3. Keine neuen Produkte ausliefern, die sich nicht ändern können. Sorgen Sie dafür, dass neue Designs Speicher, Leistungsreserven und einen Update-Pfad für neue Algorithmen haben. Ich nenne das Krypto-Agilität.
4. y ehrlich schätzen. Fragen Sie Ihre Teams, wie lange es dauern würde, das Signaturverfahren Ihres ältesten noch unterstützten Produkts zu ändern. Die Antwort ist meist länger, als die Roadmap annimmt.

Der Quantencomputer ist nicht der Ausgangspunkt. Der Ausgangspunkt sind die Daten und die Produkte, die Sie heute erzeugen.