Post-Quanten-Codesignierung mit ML-DSA und LMS

Post-Quantum-Codesignierung ist die Praxis, Software, Firmware und Updates mit quantenresistenten Algorithmen zu signieren, vorwiegend mit ML-DSA (FIPS 204) für allgemeine Signierungen und den Hash-basierten Verfahren LMS oder XMSS (NIST SP 800-208) für Firmware, damit die Signaturen auch dann noch vertrauenswürdig sind, wenn Quantencomputer RSA und ECDSA knacken können.

Post-Quanten-Codesignierung ersetzt die heute üblichen RSA- und ECDSA-Signaturen durch quantenresistente Algorithmen. Die beiden wichtigsten Optionen sind ML-DSA (FIPS 204), eine gitterbasierte Signatur, die sich für allgemeine Anwendungen und große Datenmengen eignet, und LMS oder XMSS (NIST SP 800-208), zustandsbehaftete Hash-basierte Signaturen, die die NSA aktuell für die Signierung von Firmware und Software-Updates empfiehlt. Da signierter Code jahrelang erhalten bleiben kann, ist diese Migration eine der dringlichsten im Übergang zur Quantencomputertechnologie.

Wichtige Erkenntnisse

• Die Post-Quanten-Codierung verwendet quantenresistente Algorithmen, sodass Software- und Firmware-Signaturen nicht gefälscht werden können, sobald ein Quantencomputer die Quantenmechanik durchbrechen kann. RSA und ECDSA.
• ML-DSA (FIPS 204) ist die gitterbasierte, universell einsetzbare Lösung: zustandslos, mit hohem Durchsatz und ideal für häufige Softwaresignaturen. Die finale Version wurde im August 2024 veröffentlicht.
• LMS und XMSS (NIST SP 800-208) sind zustandsbehaftete, hashbasierte Signaturen. Die NSA empfiehlt sie heute für die Signierung von Firmware- und Software-Updates, allerdings erfordern sie eine strikte Nachverfolgung des Schlüsselzustands, weshalb ein sicheres Schlüsselmanagement unerlässlich ist.
• Signierter Code hat eine lange Lebensdauer, daher muss eine heute erstellte Signatur einem Quantencomputer standhalten, der Jahre später entwickelt wird. Aus diesem Grund ist die Codesignierung ein Migrationsbereich mit höchster Priorität im Rahmen von CNSA 2.0.
• Noch unterstützen nicht alle HSMs ML-DSA, daher beinhaltet eine echte Migration die Bestätigung der HSM- und Toolchain-Unterstützung, Pilotprojekte in Nicht-Produktionsumgebungen und häufig die Verwendung von Dual- oder Hybrid-Signaturen während der Übergangsphase.

Warum die Codesignierung nach der Quantenphysik erfolgen muss

Die Codesignierung beweist, dass Software von einem vertrauenswürdigen Herausgeber stammt und nicht verändert wurde. Sie basiert fast ausschließlich auf RSA- und ECDSA- Signaturen, die beide von einem ausreichend leistungsstarken Quantencomputer mithilfe von Shors Algorithmus gefälscht werden können. Gelingt es einem Angreifer, eine Codesignierung zu fälschen, kann er Schadsoftware verbreiten, die von Betriebssystemen, Paketmanagern und Geräten als echt akzeptiert wird – einer der verheerendsten Angriffe überhaupt.

Zwei Faktoren machen dieses Thema dringlich und nicht nur theoretisch. Erstens sind signierte Artefakte langlebig: Firmware, Treiber und Betriebssystemabbilder, die heute signiert werden, können auch noch in zehn Jahren oder länger verifiziert werden. Daher muss eine Signatur nicht nur den heutigen, sondern auch den Quantencomputern der Zukunft standhalten. Zweitens lässt sich der Verifizierungsalgorithmus in vielen Systemen nach der Bereitstellung nur schwer ändern. Aus diesem Grund behandelt die CNSA-2.0- Richtlinie der NSA die Signierung von Code und Firmware als einen Migrationsbereich mit höchster Priorität, noch vor vielen anderen kryptografischen Übergängen.

Die zwei Hauptansätze: ML-DSA und Hash-basiert (LMS/XMSS)

Die Post-Quanten-Codierung basiert auf zwei Algorithmenfamilien, und die Wahl zwischen ihnen ist die zentrale Entscheidung. Sie ergänzen sich, konkurrieren nicht miteinander, und viele Organisationen werden beide verwenden.

ML-DSA (FIPS 204)

ML-DSA ist ein gitterbasierter Signaturalgorithmus, der im August 2024 vom NIST finalisiert wurde und als allgemeiner Standard für Post-Quanten-Signaturen gilt. Seine wichtigsten Vorteile für die Codesignierung sind die Zustandslosigkeit (dadurch entfällt die Verwaltung einzelner Signaturen) und die unbegrenzte Signaturkapazität bei gleichzeitig hoher Leistung. Dies macht ihn ideal für Signaturprozesse mit hohem Volumen und hohem Durchsatz, wie beispielsweise kontinuierliche Software-Builds.

Der Hauptnachteil besteht in den größeren Signaturen und Schlüsseln im Vergleich zu klassischen Algorithmen, die jedoch in vielen Konfigurationen kleiner sind als bei den Hash-basierten Alternativen.

LMS und XMSS (NIST SP 800-208)

LMS (Leighton-Micali Signature) und XMSS (eXtended Merkle Signature Scheme) sind zustandsbehaftete, hashbasierte Signaturen, die 2019 vom NIST standardisiert wurden. Ihre Sicherheit beruht ausschließlich auf den Eigenschaften von Hashfunktionen, dem konservativsten und am besten verstandenen Fundament der Kryptographie. Aus diesem Grund empfiehlt die NSA sie heute für die Signierung von Firmware- und Software-Updates.

Der Haken dabei ist, dass sie zustandsbehaftet sind: Jeder private Schlüssel kann nur eine begrenzte Anzahl von Signaturen erzeugen , und der Unterzeichner muss nachverfolgen, welche Einmalschlüssel bereits verwendet wurden, da die Wiederverwendung eines Schlüssels die Sicherheit beeinträchtigt. Daher eignen sie sich ideal für seltenes, kontrolliertes Signieren, wie beispielsweise Firmware-Releases, und sind für häufiges Signieren unpraktisch.

SLH-DSA (FIPS 205): die zustandslose Hash-basierte Option

SLH-DSA , das im August 2024 finalisiert wurde, ist eine zustandslose, hashbasierte Signatur. Sie bietet die konservative, hashbasierte Sicherheit von LMS und XMSS ohne den Aufwand der Zustandsverwaltung, allerdings auf Kosten größerer Signaturen. Sie ist eine gute Wahl für Organisationen, die hashbasierte Sicherheit benötigen, aber den Signaturzustand nicht selbst verwalten können.

Algorithmus	Typ	Optimale Codesignatur-Passform
ML-DSA (FIPS 204)	Gitterbasiert, zustandslos	Universelle Softwaresignierung für große Datenmengen; CI/CD
LMS / XMSS (SP 800-208)	Hash-basiert, zustandsbehaftet	Firmware und seltene Update-Signatur; heute von der NSA empfohlen.
SLH-DSA (FIPS 205)	Hash-basiert, zustandslos	Konservative, langlebige Unterzeichnung ohne staatliche Verwaltung

So wählen Sie: ML-DSA oder LMS/XMSS

Die Entscheidung hängt von der Häufigkeit der Vertragsunterzeichnung, dem erforderlichen Konservatismus und der operativen Komplexität ab.

• Wählen Sie ML-DSA, wenn Sie signieren häufig oder in großem Umfang, wünschen sich zustandslose Einfachheit in CI/CD und sind mit gitterbasierter Sicherheit vertraut? Dann ist dies für die meisten allgemeinen Softwaresignaturen geeignet.
• Wählen Sie LMS oder XMSS, wenn Sie signieren selten, benötigen für langlebige Firmware die sicherste Hash-basierte Sicherheitsmethode und befolgen die CNSA 2.0-Richtlinien für die Signierung von Firmware- und Software-Updates. Seien Sie darauf vorbereitet, den Signaturstatus zu verwalten.
• Wählen Sie SLH-DSA, wenn Sie wünschen sich Hash-basierten Konservatismus, können aber den operativen Aufwand der Zustandsverwaltung nicht akzeptieren und tolerieren größere Signaturen.

Viele Organisationen kombinieren sie: LMS oder XMSS für die Firmware- und Secure-Boot-Roots, die maximal konservativ sein müssen, und ML-DSA für die Signierung von Anwendungen und Paketen mit höherem Volumen, bei der der Durchsatz wichtig ist.

Der Migrationspfad zur Post-Quanten-Codesignierung

1. Erstellen Sie eine Liste Ihrer Unterschriften: Ermitteln Sie alle Stellen, an denen Ihr Unternehmen Code und Firmware signiert, welche Algorithmen und Schlüssellängen verwendet werden und wo die Schlüssel gespeichert sind. Was Sie nicht sehen, können Sie nicht migrieren.
2. Priorisieren nach Langlebigkeit: Beginnen Sie mit den Signaturen, die am längsten gültig bleiben müssen und am schwierigsten zu ändern sind: Firmware, Secure-Boot-Roots und langlebige Releases.
3. HSM- und Toolchain-Unterstützung bestätigen: Stellen Sie sicher, dass Ihre HSMSignaturwerkzeuge und Verifizierungsclients unterstützen den von Ihnen gewählten Post-Quanten-Algorithmus. Da noch nicht alle HSMs ML-DSA unterstützen, sollten Sie frühzeitig mit den Anbietern Kontakt aufnehmen.
4. Pilotprojekt in der Nichtproduktion: Testen Sie die Signierung und Verifizierung mit ML-DSA, LMS oder XMSS, um Probleme mit der Leistung, der Signaturgröße und der Kompatibilität aufzudecken, bevor Sie die Transaktion abschließen.
5. Doppelte oder hybride Gebärdensprache einführen: Während des Übergangs werden Signierungsartefakte sowohl mit einem klassischen als auch mit einem Post-Quanten-Algorithmus signiert, sodass ältere Verifizierer weiterhin funktionieren, während neuere Quantenresistenz erlangen.
6. Krypto-Agilität aufbauen: Design Signierung und Verifizierung so gestalten, dass Algorithmen ohne Neuarchitektur ausgetauscht werden können, da sich Richtlinien und Standards ständig weiterentwickeln werden.

Der schwierige Teil: HSMs, Schlüsselmanagement und Staat

Die Algorithmen sind standardisiert, doch die praktische Umsetzung der Post-Quanten-Codierung ist der Punkt, an dem Programme scheitern. Drei Herausforderungen treten immer wieder auf.

Erstens befindet sich die HSM-Unterstützung noch in der Entwicklung. Nicht jedes Hardware-Sicherheitsmodul kann bereits ML-DSA-Schlüssel generieren und verwenden, und die Hersteller führen die Unterstützung in ihrem eigenen Tempo ein. Daher ist die Bestätigung der Unterstützung ein notwendiger Migrationsschritt und keine bloße Annahme. Zweitens bringen hashbasierte Verfahren einen zusätzlichen Aufwand für die Zustandsverwaltung mit sich: LMS und XMSS erfordern eine genaue Nachverfolgung der verwendeten Einmalschlüssel, und ein Fehler kann die Sicherheit gefährden. Daher darf dies nicht manuell erfolgen.

Drittens sind die Schlüssel selbst nach wie vor hochsensibel und müssen daher durchgehend in der Hardware verbleiben. Eine leistungsfähige Signaturplattform erfüllt alle drei Anforderungen: Sie verwaltet HSM-gestützte Post-Quantum-Schlüssel, verfolgt automatisch den Hash-basierten Signaturstatus und gewährleistet Zugriffskontrolle und Protokollierung bei jedem Signaturvorgang.

Wie Verschlüsselungsberatung hilft

CodeSign Secure von Encryption Consulting wurde entwickelt, um Post-Quantum-Codesignierung nicht nur theoretisch, sondern auch praktisch umzusetzen. Es signiert mit Schlüsseln, die in einem FIPS 140-2 Level 2 HSM gespeichert sind, unterstützt Post-Quantum-Signaturverfahren wie ML-DSA sowie die Hash-basierten Verfahren LMS und XMSS und übernimmt die strikte Nachverfolgung des Signaturstatus, die zustandsbehaftete Hash-basierte Verfahren erfordern, sodass Teams diese nicht manuell verwalten müssen.

Es integriert sich in CI/CD-Pipelines, unterstützt Dual- und Hybrid-Signatur während der Migration und protokolliert jeden Vorgang für Auditzwecke. Dieselbe Plattform steuert Ihre klassische und Post-Quantum-Signatur für Software, Firmware und Container, sodass Sie die Migration in Ihrem eigenen Tempo durchführen können, ohne die Kontrolle zu verlieren. Entspricht den Standards ISO/IEC 27001:2022 und SOC 2.

Häufig gestellte Fragen

Was ist Post-Quanten-Codesignierung?

Post-Quanten-Codesignierung bezeichnet die Praxis, Software, Firmware und Updates mit quantenresistenten Algorithmen anstelle von RSA oder ECDSA zu signieren, sodass die Signaturen von zukünftigen Quantencomputern nicht gefälscht werden können. Die wichtigsten Algorithmen sind ML-DSA (FIPS 204), eine gitterbasierte Allzwecksignatur, und LMS oder XMSS (NIST SP 800-208), zustandsbehaftete Hash-basierte Signaturen, die für Firmware empfohlen werden. Da signierter Code jahrelang im Einsatz bleiben kann, ist die Migration der Codesignierung einer der dringlichsten Aspekte des Übergangs zur Quantencomputertechnologie.

Soll ich ML-DSA oder LMS für die Codesignierung verwenden?

Es kommt darauf an, wie Sie signieren. ML-DSA ist zustandslos, bietet hohen Durchsatz und eignet sich gut für häufige und umfangreiche Softwaresignaturen, wie sie beispielsweise in CI/CD-Pipelines vorkommen. LMS und XMSS sind zustandsbehaftete, Hash-basierte Verfahren mit der höchsten Sicherheit. Sie werden von der NSA für die Signierung von Firmware und Software-Updates empfohlen, erfordern jedoch eine strikte Schlüsselstatusverfolgung und eignen sich für seltene Signierungen. Viele Organisationen verwenden LMS oder XMSS für Firmware-Roots und ML-DSA für die Signierung umfangreicher Anwendungen.

Warum werden LMS und XMSS als zustandsbehaftet bezeichnet, und warum ist das wichtig?

LMS und XMSS sind zustandsbehaftet, da jeder private Schlüssel nur eine begrenzte Anzahl von Signaturen erzeugen kann und der Unterzeichner nachverfolgen muss, welche Einmalschlüssel bereits verwendet wurden. Die Wiederverwendung eines Einmalschlüssels gefährdet die Sicherheit des Verfahrens, daher muss der Zustand zuverlässig, jedoch niemals manuell, nachverfolgt werden. Dies ist für seltenes Signieren von Firmware praktikabel, jedoch für häufiges Signieren unpraktisch. Aus diesem Grund ist eine leistungsfähige Signaturplattform, die die Zustandsverfolgung automatisiert, für eine sichere Einführung unerlässlich.

Wird ML-DSA bereits von Hardware-Sicherheitsmodulen unterstützt?

Die Unterstützung wächst, ist aber noch nicht flächendeckend. Ab 2026 können nicht alle HSMs ML-DSA-Schlüssel generieren und verwenden, und die großen Anbieter führen die Unterstützung für Post-Quantum-Signaturen nach ihren eigenen Zeitplänen ein. Die Bestätigung, dass Ihr spezifisches HSM, Ihre Signaturtools und Verifizierungsclients den gewählten Algorithmus unterstützen, ist ein notwendiger Migrationsschritt und keine Selbstverständlichkeit. Aus diesem Grund testen Unternehmen die Post-Quantum-Signatur zunächst in Testumgebungen, bevor sie sie flächendeckend einführen.

Was ist duale oder hybride Codesignatur?

Die duale oder hybride Signierung bedeutet, dass ein Artefakt während der Übergangsphase sowohl mit einem klassischen Algorithmus (wie RSA oder ECDSA) als auch mit einem Post-Quanten-Algorithmus (wie ML-DSA) signiert wird. Ältere Verifizierungsclients, die Post-Quanten-Signaturen noch nicht unterstützen, können die klassische Signatur weiterhin validieren, während neuere Clients durch die Post-Quanten-Signatur Quantenresistenz erhalten. Dies ist eine praktische Migrationsmethode, die die Kompatibilität mit noch nicht aktualisierten Systemen nicht beeinträchtigt.

Muss ich jetzt auf Post-Quanten-Codesignatur umsteigen?

Für langlebige signierte Artefakte sollte die Planung jetzt beginnen. Firmware, Treiber und Systemabbilder, die heute signiert werden, können erst in einigen Jahren verifiziert werden, wenn ein Quantencomputer klassische Signaturen fälschen kann. Zudem lässt sich der Verifizierungsalgorithmus in vielen Systemen nach der Bereitstellung nur schwer ändern. CNSA 2.0 priorisiert die Code- und Firmware-Signierung und setzt einen ambitionierten Zeitplan. Mit einer Bestandsaufnahme und einem Pilotprojekt außerhalb der Produktionsumgebung können Sie die Migration gezielt und nicht unter Zeitdruck durchführen.

Stellen Sie Ihre Codesignierung auf quantensichere Algorithmen um.

Post-Quanten-Codesignierung stellt sowohl eine operative Herausforderung als auch eine Frage der Algorithmuswahl dar: HSM-Unterstützung, Zustandsverwaltung und Dual-Signing müssen reibungslos zusammenarbeiten. Entdecken Sie CodeSign Secure für die Signierung mit ML-DSA und hashbasierten LMS- und XMSS-Verfahren gegen HSM-geschützte Schlüssel – inklusive automatisierter Zustandsverfolgung und vollständiger Protokollierung.