In einer Zeit, in der Quantenkryptographie mehr als nur Theorie ist, suchen Organisationen wie das Nationale Institut für Wissenschaft und Technologie (NIST) nach Möglichkeiten zur Standardisierung von Post-Quanten-Kryptographie-Algorithmen. Das NIST entwickelt Compliance-Standards, Best Practices und Vorschriften für Cybersicherheit. Es arbeitet an einem standardisierten Rahmen für verschiedene Verschlüsselungsalgorithmen und -methoden, um in unterschiedlichen Organisationen bestmögliche Sicherheit zu gewährleisten.
Quantenkryptografie ist ein Vorteil, der in den kommenden Jahren genutzt werden kann. Sie kann jedoch auch die Sicherheit von Organisationen gefährden, wenn diese nicht vorbereitet sind. Aus diesem Grund hat sich das NIST mit seinem Standardisierungsprojekt für Post-Quanten-Kryptografie (PQC) der Standardisierung der Post-Quanten-Kryptografie zugewandt.
Was ist das PQC-Standardisierungsprojekt?
Wie bereits erwähnt, legt das NIST Standards und Best Practices für die Cybersicherheit fest, deren Einhaltung Organisationen empfohlen wird. Quantenkryptografie ist eine Kryptografieform, die der Cybersicherheits-Community große Probleme bereiten könnte, da sie die meisten kryptografischen Algorithmen obsolet machen wird. Dies ist möglich, weil Algorithmen, deren Knacken normalerweise zehn Jahre dauert, mit einem ausreichend leistungsstarken Computer dank Quantencomputern nun in nur wenigen Wochen oder Tagen geknackt werden können.
Dies ist der Hauptgrund, warum das NIST das PQC-Standardisierungsprojekt ins Leben gerufen hat. Ziel des Projekts ist es, Organisationen auf Quantenkryptographie vorzubereiten, bevor diese zu einer realen Bedrohung wird. Dadurch können Unternehmen unternehmensweit geeignete Verschlüsselungsalgorithmen implementieren und sich so gegen Angriffe verteidigen, sobald Quantencomputing möglich ist. Das PQC-Standardisierungsprojekt arbeitet an der Standardisierung quantensicherer Algorithmen. Ein quantensicherer Algorithmus ist resistent gegen Angriffe sowohl von klassischen Computern (wie wir sie heute verwenden) als auch von Quantencomputern.
Dadurch können private Informationen, die auf Geräten gespeichert sind oder in Organisationen übertragen werden, so sicher wie möglich gehalten werden, da selbst ein Quantencomputer nicht in der Lage sein wird, einen quantensicheren Algorithmus innerhalb von Stunden oder Tagen zu knacken.
Bestimmung der quantensichersten Algorithmen
Das NIST hat in der Vergangenheit bereits mehrfach Projekte wie das PQC-Standardisierungsprojekt durchgeführt, bei denen zahlreiche Algorithmen eingereicht wurden, um zu prüfen, ob sie die Kriterien für einen Standard der jeweiligen Kryptografieart am besten erfüllen. Zum Zeitpunkt der Veröffentlichung dieses Textes hat das NIST die dritte Auswahlrunde für kryptografische Algorithmen abgeschlossen . Die Finalisten und Alternativen sind wie folgt:
- Algorithmen für den Schlüsselerstellungsmechanismus (KEM): Kyber, NTRU, SABER und Classic McEliece
- Algorithmen für digitale Signaturen: Dilithium, Falcon und Rainbow
- Alternative KEM-Algorithmen: BIKE, FrodoKEM, HQC, NTRUprime und SIKE
- Alternative Algorithmen für digitale Signaturen: GeMSS, PICNIC und SPHINCS+
Nach Abschluss der aktuellen Runde werden ein oder zwei der KEM-Algorithmen und ein oder zwei der Digital Signature-Algorithmen als quantenresistente Algorithmen ausgewählt, die stark genug für eine Standardisierung in der gesamten Cybersicherheitslandschaft sind. Nach Abschluss der dritten Runde werden die Mathematiker und Forscher des NIST weitere Algorithmen und neu entstehende Algorithmen untersuchen, um festzustellen, ob sie leistungsstark genug sind, um als Teil der standardisierten Gruppe quantenresistenter Algorithmen betrachtet zu werden.
Wie können sich Unternehmen auf die Zukunft vorbereiten?
Obwohl das NIST seine Liste empfohlener quantenresistenter Kryptografiealgorithmen noch nicht veröffentlicht hat, können sich Unternehmen bereits jetzt auf Quantencomputer vorbereiten. Im Folgenden finden Sie einige Möglichkeiten, wie sich Unternehmen auf die Zukunft vorbereiten können:
- Quantenrisikobewertung
Durch die Durchführung einer Quantenrisikobewertung für Ihr Unternehmen erhalten die Sicherheitsteams in Ihrem Unternehmen einen guten Überblick über die bestehenden Lücken im Zusammenhang mit Quantencomputing. Eine Quantenrisikobewertung hilft zudem bei der Erstellung einer Liste der Anwendungen, die von der Entwicklung von Quantencomputern betroffen sind. So erhält das Unternehmen eine detaillierte Liste der Anwendungen, die bei der Umstellung auf quantenresistente Algorithmen aktualisiert werden müssen. Dies hilft auch beim nächsten Schritt, der Identifizierung gefährdeter Daten.
- Identifizieren Sie gefährdete Daten
Die Identifizierung gefährdeter Unternehmensdaten ist äußerst wichtig, auch im Hinblick auf die Cybersicherheit im Allgemeinen. Systeme zur Datenklassifizierung und -identifizierung sind unerlässlich, um den Überblick über die Daten zu behalten und deren Schutz zu gewährleisten.
- Verwenden Sie kryptografisch agile Lösungen
Das NIST hat darauf hingewiesen, dass der Einsatz kryptoagiler Lösungen ein hervorragender erster Schritt hin zu quantensicherer Sicherheit ist. Kryptoagilität bezeichnet die Fähigkeit, zwischen Algorithmen, Primitiven und anderen Verschlüsselungsmechanismen zu wechseln, ohne die Infrastruktur des Unternehmens wesentlich zu beeinträchtigen.
- Entwickeln Sie ein Verständnis für Quantencomputing und seine Risiken
Indem wir unsere Mitarbeiter darin schulen, worauf sie bei der Zukunft des Quantencomputings achten müssen und wie sie quantenresistent werden, entwickeln wir eine Denkweise, die bereits jetzt auf das Post-Quanten-Zeitalter vorbereitet ist.
- Verfolgen Sie das PQC-Standardisierungsprojekt des NIST
Durch die Beobachtung des PQC- Standardisierungsprojekts kann sich eine Organisation über etwaige Änderungen an den im Einsatz befindlichen quantenresistenten Algorithmen auf dem Laufenden halten und zum richtigen Zeitpunkt auf die ausgewählten Algorithmen umsteigen.
