Post-Quanten-Kryptografie auf Embedded-Geräten: was FIPS 203, 204 und 205 ändern

Im August 2024 hat das NIST seine ersten drei Standards für Post-Quanten-Kryptografie veröffentlicht. Für Cloud-Dienste ist die Einführung vor allem eine Frage aktualisierter Bibliotheken und Protokolle. Für Embedded-Geräte ist sie eine Designfrage.

Diese Notiz ist ein Überblick für Produkt- und Engineering-Verantwortliche, keine Kryptografie-Vorlesung. Ich bin kein Kryptograf; bei Shorium haben wir Leute, die es sind. Meine Aufgabe ist es, diese Entscheidungen für die Teams verständlich zu machen, die damit leben müssen.

Die drei Standards, je ein Absatz

FIPS 203, ML-KEM (abgeleitet von CRYSTALS-Kyber). Ein Schlüsselkapselungsverfahren: Es übernimmt die Rolle von RSA oder Elliptische-Kurven-Diffie-Hellman beim Aufbau eines gemeinsamen Geheimnisses. Es ist schnell, aber öffentliche Schlüssel und Chiffretexte werden in Kilobyte statt in einigen Dutzend Byte gemessen.

FIPS 204, ML-DSA (abgeleitet von CRYSTALS-Dilithium). Ein universelles Verfahren für digitale Signaturen, der wahrscheinlichste Ersatz für ECDSA- und RSA-Signaturen in den meisten Anwendungen. Signaturen sind einige Kilobyte groß.

FIPS 205, SLH-DSA (abgeleitet von SPHINCS+). Ein zustandsloses, hashbasiertes Signaturverfahren. Seine Sicherheit beruht auf gut verstandenen Hashfunktionen, was es zu einer konservativen Wahl macht, um den Preis großer Signaturen und langsameren Signierens.

Für Firmware lohnt es sich, eine vierte Familie zu kennen: die zustandsbehafteten hashbasierten Signaturen LMS und XMSS, spezifiziert in NIST SP 800-208. Die CNSA-2.0-Suite der US-amerikanischen NSA nennt sie für das Signieren von Software und Firmware.

Was sich auf einem ressourcenarmen Gerät ändert

Die Algorithmen funktionieren. Die Frage ist, ob Ihr Gerät, Ihre Protokolle und Ihre Lieferkette sie tragen können.

Größe. Schlüssel und Signaturen sind viel größer als die ECC-Werte, um die die meisten Embedded-Systeme herum entworfen wurden. Das betrifft Flash- und RAM-Budgets, Zertifikatsketten und jedes Protokoll mit engen Nachrichtengrenzen.

Bandbreite und Funkzeit. In Low-Power-Netzen ist es nicht umsonst, bei jedem Handshake einige Kilobyte mehr zu senden. Es kostet Energie, Latenz und manchmal regulatorische Sendezeit.

Leistung und Speicherspitzen. Manche Operationen sind auf dem Papier schnell, brauchen aber Arbeitsspeicher, den kleine Mikrocontroller nicht übrig haben.

Hardwarebeschleunigung. Viele Geräte setzen auf Krypto-Beschleuniger oder Secure Elements, die für RSA und ECC gebaut sind. Laufen die neuen Algorithmen in Software, brauchen Timing- und Seitenkanalschutz neue Aufmerksamkeit.

Zustand. LMS und XMSS sind effizient und konservativ, aber jeder private Schlüssel kann nur eine begrenzte Zahl von Nachrichten signieren, und ein Zustand darf niemals wiederverwendet werden. In einer gut geführten Signierinfrastruktur ist das beherrschbar. Überall dort, wo Zustand kopiert oder zurückgesetzt werden könnte, ist es ein ernstes Risiko.

Hybrid ist ein Übergangswerkzeug, kein Ziel

Während des Übergangs kombinieren viele Protokolle ein klassisches mit einem Post-Quanten-Verfahren, sodass die Verbindung sicher bleibt, solange eines davon hält. Hybrider Schlüsselaustausch ist in TLS bereits verbreitet.

Für Geräte verschaffen hybride Modi Zeit und senken das Risiko. Sie erhöhen aber auch Größe und Komplexität. Betrachten Sie sie als Brücke, die Sie überqueren wollen, mit einem Datum auf der anderen Seite.

Fragen vor der Wahl

Bevor jemand einen Algorithmus auswählt, hätte ich gern klare Antworten auf diese Fragen:

• Wofür nutzt das Gerät Public-Key-Kryptografie tatsächlich? Secure Boot, Firmware-Updates, Geräteidentität, Sitzungsschlüssel? Jeder Fall hat eine andere beste Lösung.
• Wie lange wird das Gerät unterstützt, und lässt sich seine Vertrauensbasis in dieser Zeit aktualisieren?
• Wie groß sind die echten Reserven bei Speicher, Flash, Energie und Bandbreite auf der aktuellen Hardware-Revision, und auf der nächsten?
• Welche Teile der Kette kontrollieren wir, und welche gehören Lieferanten: Chiphersteller, Modulhersteller, Cloud-Plattform, Zertifizierungsstelle?
• Wenn wir falsch wählen, wie würden wir es ändern?

Die letzte Frage ist die wichtigste. Die Standards sind neu, Implementierungen werden besser, Empfehlungen werden sich weiterentwickeln. Das Gerät, das dieses Jahrzehnt übersteht, ist nicht das, das 2026 den perfekten Algorithmus gewählt hat. Es ist das, das auf Veränderung ausgelegt wurde.

Wo man anfängt

Beginnen Sie mit einem Inventar, wo Public-Key-Kryptografie in Ihren Produkten eingesetzt wird, und mit einer ehrlichen Einschätzung der Hardware-Reserven der Geräte, die Sie 2030 noch ausliefern werden. Alles andere, die Wahl des Algorithmus eingeschlossen, hängt von diesen beiden Antworten ab.