PKIaaS- und Krypto-Agilitätsstrategie: Vorbereitung auf Algorithmusänderungen

Jede Organisation, die PKI einsetzt, wird früher oder später die verwendeten Algorithmen ändern müssen. Nicht etwa, weil sie anfänglich die falschen Algorithmen gewählt hat, sondern weil die Sicherheit von Algorithmen sich mit der Zeit verändert. RSA-2048 war 2005 eine sichere Wahl und auch 2015 noch angemessen. NIST IR 8547 legt nun fest, dass RSA und ECC für neue Anwendungen etwa ab 2030 als veraltet gelten und ab etwa 2035 nicht mehr zulässig sein werden. NIST hat im August 2024 drei Standards für Post-Quanten-Kryptographie finalisiert: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA). Die Migration von klassischen zu Post-Quanten-Algorithmen ist kein zukünftiges Ereignis, das geplant werden muss; es handelt sich um ein aktives Programm, das Organisationen jetzt umsetzen sollten.

Die entscheidende Frage für Organisationen, die eine PKI betreiben, ist nicht, ob sie migrieren sollen, sondern wie schnell und zu welchen Kosten. Organisationen mit einer selbstverwalteten, lokalen PKI müssen ihre Infrastruktur ändern, um Algorithmen zu migrieren: CA-Software-Updates, HSM-Firmware-Updates, neue Zertifikatvorlagen, erneuerte Änderungsmanagementzyklen und in manchen Fällen komplett neue CA-Hierarchien für den neuen Algorithmus. Organisationen, die eine kryptoagile PKI als Service nutzen , müssen lediglich die Profilkonfiguration ändern. Der Unterschied im Aufwand, im Zeitrahmen und im Risiko zwischen diesen beiden Ansätzen ist der Hauptgrund, warum PKIaaS die Migration von PQC beschleunigt.

Kurzantwort: Wie ermöglicht PKIaaS Krypto-Agilität?

PKIaaS ermöglicht Krypto-Agilität, da die für die Zertifikatsausstellung verwendeten Algorithmen durch die Zertifikatsprofilkonfiguration und nicht durch die Hardware- oder Softwareinstallation der Zertifizierungsstelle (CA) gesteuert werden. Wenn das Plattformteam ein Zertifikatsprofil aktualisiert und ML-DSA (FIPS 204) anstelle von ECDSA P-256 angibt, erhalten alle zukünftigen Zertifikatsanforderungen mit diesem Profil ML-DSA-signierte Zertifikate. Die CA-Infrastruktur (HSMs, CA-Software, Schlüsselverwaltung) liegt in der Verantwortung des PKIaaS-Anbieters. Sobald ein neuer Algorithmus von der Plattform unterstützt wird, konfiguriert der Kunde dessen Verwendung über die Verwaltungsschnittstelle. Die Migration eines Algorithmus ist eine Profilaktualisierung und kein Infrastrukturprojekt.

Wichtige Erkenntnisse

• NIST IR 8547 legt fest, dass RSA und ECC für neue Anwendungsfälle voraussichtlich ab 2030 als veraltet gelten und ab etwa 2035 nicht mehr zulässig sein werden. NIST finalisierte FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA) im August 2024. Organisationen, die heute eine PKI-Infrastruktur implementieren, die auch 2030 noch betriebsbereit sein soll, sollten die Migration von PQC in diese Infrastruktur bereits jetzt planen und nicht erst später nachrüsten.
• Kryptoagilität in PKI bedeutet die Möglichkeit, den in Zertifikatsprofilen verwendeten Algorithmus zu ändern, ohne die CA-Infrastruktur ersetzen zu müssen. PKIaaS bietet Kryptoagilität, da der Anbieter die CA-Software und die HSM-Firmware verwaltet; der Kunde hingegen die Konfiguration der Zertifikatsprofile. Sobald der Anbieter ML-DSA-Unterstützung hinzufügt, aktiviert der Kunde diese in seinen Zertifikatsprofilen. Es sind weder HSM-Beschaffung noch CA-Software-Upgrades oder ein Änderungsmanagement-Fenster für die Infrastruktur erforderlich.
• Die Erfassung kryptografischer Daten ist Voraussetzung für die Planung der Algorithmenmigration. Organisationen, die nicht wissen, welche Systeme welche Algorithmen verwenden, können die PQC-Migration weder priorisieren noch die vor dem Abkündigungszeitraum 2030 zu migrierenden Zertifikatstypen identifizieren und den Migrationsfortschritt nicht messen. Die Ermittlung und Erfassung kryptografischer Daten muss daher der erste Schritt jedes Programms zur Steigerung der Krypto-Agilität sein, noch bevor Profilaktualisierungen erfolgen.
• Hybrid- und Kompositzertifikate bilden die Migrationsbrücke für Umgebungen, in denen nicht alle vertrauenden Parteien gleichzeitig aktualisiert werden können. Ein Kompositzertifikat, das ECDSA und ML-DSA in einem einzigen Zertifikat vereint, funktioniert sowohl in älteren Systemen (die die Verifizierung mit ECDSA durchführen) als auch in aktualisierten Systemen (die die Verifizierung mit ML-DSA durchführen). PKIaaS-Bereitstellungen, die die Ausstellung von Kompositzertifikaten unterstützen, ermöglichen den Beginn der Migration, bevor alle vertrauenden Parteien aktualisiert wurden.
• Die Zentralisierung von Zertifikatsprofilen macht PKIaaS zum idealen Migrationsinstrument. In einer selbstverwalteten PKI mit mehreren ausstellenden Zertifizierungsstellen (CAs), deren Software jeweils unabhängig konfiguriert ist, erfordert die Migration von Algorithmen die Aktualisierung jeder einzelnen CA. In PKIaaS hingegen werden alle ausstellenden CAs von derselben Managementebene und denselben Zertifikatsprofilen gesteuert. Eine Profilaktualisierung wird gleichzeitig an alle CAs weitergegeben, die dieses Profil verwenden. Der Migrationsaufwand skaliert mit dem Profilsatz, nicht mit der Anzahl der CAs.

Warum das Algorithmus-Migrationsfenster nicht optional ist

Die Migration nach der Quantenautomatisierung ist keine drohende Gefahr, sondern ein fester Termin. NIST IR 8547 sieht einen zweiphasigen Übergang vor: Die Abschaffung von RSA und ECC für neue Anwendungen ist für etwa 2030 geplant, die Abschaffung bestehender Anwendungen für etwa 2035. Bundesbehörden, die den NIST-Richtlinien unterliegen, sowie zahlreiche regulierte und kommerzielle Systeme, die sich an den NIST-Standards orientieren, müssen ihre Migration nach der Quantenautomatisierung innerhalb dieses Zeitraums abschließen.

Das Jahr 2030, in dem die Zertifizierungsstellen abgeschafft werden sollen, rückt näher als es im Hinblick auf die Zeitpläne von PKI-Programmen scheint. Eine CA-Hierarchie mit einer 20-jährigen Gültigkeitsdauer der Root-CA, 10-jährigen Gültigkeitsdauer der Zwischen-CAs und 5-jährigen Gültigkeitsdauer der ausstellenden CAs wurde wahrscheinlich deutlich vor 2025 konzipiert und implementiert. Die Migration vor 2030 erfordert: die vollständige Erfassung des kryptografischen Inventars, um den aktuellen Bestand zu ermitteln (6 bis 12 Monate für die meisten großen Organisationen), die Planung der Migrationsreihenfolge über alle Zertifikatstypen hinweg (3 bis 6 Monate), die Pilotierung der PQC-Zertifikatsausstellung und Kompatibilitätstests mit den vertrauenden Parteien (3 bis 6 Monate) sowie die stufenweise Einführung aller Zertifikate (12 bis 24 Monate für große Implementierungen). Diese Zeiträume ergeben insgesamt 24 bis 48 Monate aktive Programmdurchführung, sodass der Starttermin für eine reibungslose Migration auf 2026 oder spätestens 2027 verschoben werden kann.

Organisationen, die die Inventarisierungsphase noch nicht begonnen haben, hinken dem Zeitplan für eine risikoarme Migration bereits hinterher. Besonders gefährdet sind Organisationen mit großen Zertifikatsbeständen, vielen Zertifikatstypen, diversen vertrauenden Systemen (von denen einige nur langsam für die ML-DSA-Unterstützung aktualisiert werden) und veralteter CA-Infrastruktur, die Hardwareänderungen zur Unterstützung neuer Algorithmen erfordert. PKIaaS eliminiert das letztgenannte Risiko; die anderen drei erfordern die Programmausführung unabhängig vom PKI-Infrastrukturmodell.

Es besteht auch eine von der Frist für die Einhaltung der Vorschriften unabhängige Dimension des Datensicherheitsrisikos. Die Angriffsstrategie „Jetzt sammeln, später entschlüsseln“ (HNDL), bei der Angreifer heute verschlüsselte Daten sammeln, um sie zu entschlüsseln, sobald ein kryptografisch geeigneter Quantencomputer verfügbar ist, bedeutet, dass heute mit RSA- oder ECC-Schlüsseln verschlüsselte Daten in Zukunft von einem ausreichend leistungsfähigen Quantenangreifer entschlüsselt werden könnten. Organisationen mit langen Anforderungen an die Vertraulichkeit ihrer Daten (z. B. klassifizierte Regierungsdaten, Finanzdaten, Gesundheitsdaten mit jahrzehntelangen Aufbewahrungsfristen) sollten die PQC-Migration als aktives Risikomanagementprogramm und nicht als bloße Pflichterfüllung für 2030 betrachten.

Schritt 1: Kryptografische Bestandsaufnahme vor Profilaktualisierungen

Die Planung einer Algorithmenmigration erfordert ein vollständiges Bild davon, welche Algorithmen wo und in welchen Zertifikatstypen verwendet werden. Ohne dieses Bild ist der Migrationsplan unvollständig: Einige Zertifikatstypen werden übersehen, einige vertrauende Parteien stoßen auf unerwartete Inkompatibilitäten, und die Migration erscheint zwar auf dem Papier abgeschlossen, während RSA- oder ECC-Zertifikate weiterhin in Produktivsystemen im Einsatz sind.

Ein kryptografisches Inventar für die PKI-Migrationsplanung erfasst:

• Signaturalgorithmus und Schlüssellänge pro Zertifikat: Welche Algorithmen (RSA-2048, RSA-4096, ECDSA P-256, ECDSA P-384, DSA) werden derzeit im gesamten Zertifikatsbestand verwendet und mit welchen Schlüssellängen? Dadurch lässt sich feststellen, welche Zertifikate die aktuellen Mindestanforderungen nicht erfüllen und welche bis zum Abkündigungstermin 2030 migriert werden müssen.
• Zertifikatstyp pro Zertifikat: TLS-Server, TLS-Client, Smartcard-Anmeldung, S/MIME, Codesignierung, Geräteidentität, CA-Zertifikat. Jeder Zertifikatstyp hat unterschiedliche vertrauende Parteien mit unterschiedlichen Aktualisierungszeiträumen, Gültigkeitsdauern und Registrierungsmechanismen. Die Migrationsplanung muss pro Zertifikatstyp und nicht nur pro Algorithmus erfolgen.
• Ausstellende Zertifizierungsstelle pro Zertifikat: Welche Zertifizierungsstelle (CA) welches Zertifikat ausgestellt hat und ob deren Signaturalgorithmus den Flaschenhals darstellt (eine CA, die mit RSA-2048 signiert, erzeugt unabhängig vom Teilnehmerschlüssel RSA-2048-signierte Zertifikate), ist zu ermitteln. Die Migration des CA-Algorithmus muss in der Hierarchie vor der Migration der Teilnehmerzertifikate erfolgen.
• Vertrauende Parteiensysteme pro Zertifikatstyp: Welche Systeme verifizieren Zertifikate der jeweiligen Typen und ob diese Systeme ML-DSA-Unterstützung bestätigt haben oder eine Aktualisierung geplant ist? Systeme, die ML-DSA innerhalb des Migrationszeitraums nicht unterstützen, benötigen möglicherweise weiterhin die klassische Zertifikatsausstellung über die kombinierte Zertifikatsbrücke.
• Nicht-zertifikatsbasierte kryptografische Vermögenswerte: SSH-Schlüssel, TLS-Sitzungskonfigurationen, Codesignaturschlüssel, symmetrische Verschlüsselungsschlüssel und Hardware-Root-of-Trust-Zertifikate, die klassische Algorithmen verwenden, fallen nicht direkt in den Bereich der PKI-Zertifikatsmigration, sind aber Teil des gesamten Post-Quantum-Migrationsumfangs der Organisation.

Encryption Consultings CBOM Secure erstellt dieses kryptografische Inventar durch automatisierte Erkennung im gesamten Netzwerk und der Infrastruktur des Unternehmens und generiert eine kryptografische Stückliste (CBOM), die alle kryptografischen Assets in der Umgebung katalogisiert. Die CBOM dient als Grundlage für die Priorisierung der Migration: Sie zeigt, welche Algorithmen verwendet werden, welche Zertifikatstypen die meisten Zertifikate mit klassischen Algorithmen aufweisen und welche Systeme die längsten geschätzten Aktualisierungszeiten für die vertrauenden Parteien haben.

Schritt 2: Festlegung der Algorithmusrichtlinie in Zertifikatsprofilen

Die Algorithmenrichtlinie in PKIaaS wird durch Zertifikatsprofile ausgedrückt. Jedes Profil legt die zulässigen Schlüsselalgorithmen und die minimalen Schlüssellängen für die unter diesem Profil ausgestellten Zertifikate fest. In einer krypto-agilen PKIaaS-Implementierung ist die Algorithmenrichtlinie im Zertifikatsprofilsatz zentralisiert und wird von der Zertifizierungsstelle (CA) bei der Zertifikatsausstellung durchgesetzt: Eine Zertifikatsanfrage mit einem im Profil nicht zulässigen Algorithmus wird abgelehnt, bevor ein Zertifikat signiert wird.

Die Festlegung der Algorithmusrichtlinie für die PQC-Migration umfasst drei Entscheidungen auf Profilebene:

• Durchsetzung der Mindestschlüssellänge für bestehende Algorithmen: Vor der Migration zu PQC-Algorithmen ist zu prüfen, ob alle aktiven Zertifikatsprofile die aktuellen Mindestschlüssellängen für klassische Algorithmen erzwingen – mindestens RSA-2048 (RSA-3072 oder RSA-4096 für Neuausstellungen bevorzugt) und mindestens ECDSA P-256 (P-384 bevorzugt). Profile, die RSA-1024 oder andere, unter dem Mindestwert liegende Schlüssellängen zulassen, sollten umgehend aktualisiert werden, unabhängig davon, in welchem ​​Stadium des PQC-Migrationsprozesses sich die Organisation befindet. Zu kurze Schlüssellängen stellen ein akutes, kein zukünftiges Risiko dar.
• Klassische Profile für Zertifikatstypen, deren vertrauende Parteien die ML-DSA-Unterstützung noch nicht bestätigt haben: Einige Zertifikatstypen (browserseitiges TLS, Authentifizierung älterer Netzwerkgeräte) sind von vertrauenden Parteien abhängig, die die ML-DSA-Verifizierung möglicherweise nicht sofort unterstützen. Während der Übergangsphase behalten die Zertifikatsprofile für diese Typen die klassischen Algorithmusanforderungen (ECDSA P-256 oder RSA-2048) bei, während das Ökosystem der vertrauenden Parteien nachzieht;
• Zusammengesetzte/hybride Profile für Zertifikatstypen in der aktiven PQC-Migration: Bei Zertifikatstypen, bei denen die vertrauenden Parteien zur Unterstützung von ML-DSA aktualisiert werden, jedoch nicht alle vertrauenden Parteien gleichzeitig, spezifizieren zusammengesetzte Zertifikatsprofile sowohl ECDSA- als auch ML-DSA-Komponenten in einem einzigen Zertifikat. Das Profil definiert die Algorithmuskombination, die Schlüsselparameter für jede Komponente und legt fest, ob die klassische oder die PQC-Signatur für vertrauende Parteien, die beide unterstützen, Vorrang hat. Sobald die vertrauenden Parteien eines Zertifikatstyps vollständig aktualisiert sind, wird das zusammengesetzte Profil in ein reines ML-DSA-Profil umgewandelt.
• ML-DSA-Profile nur für Zertifikatstypen mit vollständig aktualisierten vertrauenden Parteienbeständen: Zertifikatstypen, bei denen die Unterstützung der ML-DSA-Verifizierung durch alle vertrauenden Parteien bestätigt wurde, werden auf reine ML-DSA-Profile umgestellt. Dies ist der Migrationsendpunkt für jeden Zertifikatstyp: Die Übergangsphase ist ein Zwischenzustand, kein Dauerzustand.

Schritt 3: Migration des CA-Schlüsselalgorithmus

Der Signaturschlüsselalgorithmus der Zertifizierungsstelle (CA) ist das erste, nicht das letzte Migrationsziel. Jedes von einer CA ausgestellte Zertifikat übernimmt den Signaturalgorithmus der CA in seiner Ausstellerkette: Eine mit RSA-2048 signierende CA signiert alle Teilnehmerzertifikate mit RSA-2048, unabhängig vom verwendeten Teilnehmerschlüsselalgorithmus. Die Migration zu ML-DSA-Teilnehmerzertifikaten unter einer RSA-signierten ausstellenden CA erzeugt eine hybride Kette, die nicht vollständig postquantenkonform ist (die Vertrauenskette von der Wurzel zum Teilnehmer enthält weiterhin ein RSA-signiertes CA-Zertifikat).

Für die vollständige PQC-Migration der PKI-Hierarchie müssen die CA-Schlüssel von der Wurzel zu den Blättern in der Hierarchie migriert werden. Der Prozess:

• Generieren neuer ML-DSA-Root-CA-Schlüssel (mit einer neuen Root-CA-Schlüsselzeremonie).
• Generieren Sie neue ML-DSA-Zwischen- und Ausgabeschlüssel der Zertifizierungsstelle, die von der ML-DSA-Root-Zertifizierungsstelle signiert sind.
• Verteilen Sie das neue ML-DSA-Root-CA-Zertifikat an alle Truststores (Betriebssystem, Browser, Anwendung, Gerät) zusammen mit dem bestehenden klassischen Root-CA-Zertifikat und behalten Sie beide während der Übergangszeit bei.
• Beginnen Sie mit der Ausstellung von Teilnehmerzertifikaten aus der neuen ML-DSA-Ausstellungs-CA-Hierarchie für Zertifikatstypen, deren vertrauende Parteien das ML-DSA-Root-CA-Vertrauen bestätigt haben.
• Die Ausstellung von Zertifikaten gemäß der klassischen CA-Hierarchie wird für Zertifikatstypen fortgesetzt, deren vertrauende Parteien die Truststores noch nicht aktualisiert haben, um die ML-DSA-Root einzuschließen.
• Die klassische CA-Hierarchie sollte außer Betrieb genommen werden, nachdem alle Vertrauensspeicher der vertrauenden Parteien aktualisiert und alle Zertifikate der klassischen Hierarchie abgelaufen oder ersetzt wurden.

In einer PKIaaS-Bereitstellung erfolgt die Generierung neuer CA-Schlüssel für ML-DSA, deren Unterordnung unter die neue PQC-Root-Instanz und die Konfiguration der ausstellenden CAs zur Verwendung der PQC-Hierarchie über eine Managementkonsole und eine API. Der PKIaaS-Anbieter übernimmt die HSM-Schlüsselgenerierung und die Konfiguration der CA-Hierarchie. In einer selbstverwalteten, lokalen PKI erfordert jeder dieser Schritte die Interaktion mit dem HSM, Änderungen an der CA-Softwarekonfiguration und die Koordination physischer Zeremonien. Der Vorteil von PKIaaS bei der CA-Schlüsselmigration ist derselbe wie bei Profilaktualisierungen: Die Konfiguration ersetzt die Hardwareinteraktion.

Hybrid- und Kompositzertifikate: Die Migrationsbrücke

Kompositzertifikate kodieren sowohl eine klassische Signatur (ECDSA P-256 oder P-384) als auch eine Post-Quanten-Signatur (ML-DSA) in einem einzigen X.509-Zertifikat. Die Kompositstruktur ist in den IETF-Entwürfen für Algorithmen für zusammengesetzte öffentliche Schlüssel und Signaturen definiert (laufende Arbeiten der IETF-Arbeitsgruppe LAMPS, Stand 2026).

Der Migrationsvorteil von zusammengesetzten Zertifikaten liegt darin, dass die gleichzeitige Aktualisierung aller vertrauenden Parteien vor der Bereitstellung eines PQC-Zertifikats entfällt. Eine vertrauende Partei, die nur die klassische ECDSA-Verifizierung unterstützt, kann ein zusammengesetztes Zertifikat weiterhin mithilfe der ECDSA-Komponente verifizieren. Eine vertrauende Partei, die für die Unterstützung von ML-DSA aktualisiert wurde, kann dasselbe Zertifikat mithilfe der ML-DSA-Komponente verifizieren. Das Zertifikat ist in beiden Umgebungen verifizierbar.

Praktische Überlegungen zur Bereitstellung von zusammengesetzten Zertifikaten:

• Die Größe des Zertifikats nimmt zu: Die Kombination von ECDSA- und ML-DSA-Schlüsseln und -Signaturen in einem Zertifikat führt zu einem deutlich größeren Zertifikat als einem rein klassischen Zertifikat. ML-DSA (FIPS 204) mit dem Parametersatz ML-DSA-65 erzeugt einen öffentlichen Schlüssel von 1,952 Byte und eine Signatur von 3,309 Byte. Zusammen mit einem ECDSA-P-256-Schlüssel (65 Byte) und einer Signatur (64–72 Byte) ist ein solches zusammengesetztes Zertifikat wesentlich größer als ein klassisches Zertifikat. Anwendungen, die Zertifikate in bandbreitenbeschränkten Umgebungen übertragen (z. B. bestimmte TLS-Handshake-Konfigurationen, bestimmte IoT-Gerätekommunikationsprotokolle), sollten die Auswirkungen der Größe zusammengesetzter Zertifikate vor der Bereitstellung prüfen.
• Bestätigung der Unterstützung durch den PKIaaS-Anbieter erforderlich: Die Ausstellung von zusammengesetzten Zertifikaten erfordert, dass die PKIaaS-CA-Software und die HSM-Firmware die Generierung beider Algorithmuskomponenten in einem einzigen Zertifikatsignierungsvorgang unterstützen. Klären Sie die Unterstützung zusammengesetzter Zertifikate mit dem PKIaaS-Anbieter ab, bevor Sie einen Migrationsplan erstellen, der auf dieser Funktion basiert. Stand August 2026 variiert die Unterstützung zusammengesetzter Zertifikate je nach PKIaaS-Anbieter.
• Komposit als Übergangszustand, nicht als dauerhafter Zustand: Eine Umgebung mit zusammengesetzten Zertifikaten verursacht dauerhaft Wartungsaufwand sowohl für klassische als auch für PQC-Algorithmen, wenn sie nicht als Übergangsprozess gestaltet wird. Der Migrationsplan für jeden Zertifikatstyp sollte die Kriterien für den Wechsel von zusammengesetzten zu reinen ML-DSA-Profilen definieren – insbesondere, welcher Prozentsatz der vertrauenden Parteien ML-DSA unterstützen muss, bevor die Phase der zusammengesetzten Zertifikate für diesen Zertifikatstyp endet.

Algorithmenrichtlinie als fortlaufende Governance-Praxis

Krypto-Agilität ist kein Projekt mit einem festgelegten Fertigstellungstermin, sondern ein fortlaufender Governance-Prozess. Die PQC-Migration ist die aktuelle Umsetzung dieses Prozesses, doch algorithmische Änderungen werden auch nach PQC fortgesetzt: Aktualisierungen der ML-DSA-Parametersätze, die Standardisierung neuer Algorithmen, nach der Standardisierung entdeckte algorithmenspezifische Schwachstellen und die Anforderungen des CA/B-Forums an browservertrauenswürdige Zertifikate werden zukünftige Änderungen der Algorithmusrichtlinien maßgeblich beeinflussen.

Die PKIaaS-Governance für Algorithmenrichtlinien umfasst drei permanente operative Praktiken:

• Überprüfungsrhythmus des Zertifikatsprofils: Zertifikatsprofile sollten mindestens jährlich anhand der aktuellen Algorithmenanforderungen von NIST, ETSI und dem CA/B Forum überprüft werden. Profile, die Algorithmen oder Schlüssellängen unterhalb der aktuellen Standards zulassen, sollten aktualisiert werden. Die Überprüfung sollte dokumentiert werden, einschließlich der Begründung für jedes Profil, das aus Gründen der Abwärtskompatibilität weiterhin Algorithmen unterhalb der aktuellen Standards verwendet (mit einem geplanten Enddatum für die Ausnahme).
• Kontinuierliches kryptografisches Inventar: Das von der kryptografischen Inventarplattform verwaltete CBOM sollte eine kontinuierlich aktualisierte Ansicht und keine Momentaufnahme darstellen. Täglich werden neue Zertifikate ausgestellt; die verwendeten Algorithmen ändern sich mit der Einführung neuer Zertifikatstypen und dem Ablauf alter Zertifikate. Das fortlaufende CBOM speist die Überprüfung der Algorithmenrichtlinien mit aktuellen Daten anstelle veralteter Bewertungsdaten.
• Prozess zur Auslösung der Algorithmus-Abschaffung: Wenn NIST, ETSI, NSA oder das CA/B Forum die Abschaffung oder Nichtzulassung eines bestimmten Algorithmus oder einer bestimmten Schlüssellänge bekanntgeben, sollte die Organisation einen definierten Prozess für folgende Schritte haben: (1) Bewertung der Auswirkungen mithilfe des aktuellen CBOM (welche Systeme den veralteten Algorithmus verwenden und in welchem ​​Umfang); (2) Aktualisierung der betroffenen Zertifikatsprofile, um den neuen Algorithmus hinzuzufügen oder den veralteten zu entfernen; (3) Festlegung des Zeitplans für die Aktualisierung der vertrauenden Parteien; und (4) Durchführung der Migration gemäß der priorisierten Zertifikatstypreihenfolge. Dieser Prozess sollte dokumentiert und getestet werden, bevor eine tatsächliche Abschaffungsankündigung ihn erforderlich macht.

CNSA 2.0 und Verpflichtungen des nationalen Sicherheitssystems

Für Organisationen, die US-amerikanische nationale Sicherheitssysteme oder Systeme, die den Richtlinien der NSA unterliegen, betreiben, legt die Commercial National Security Algorithm Suite 2.0 (CNSA 2.0) die Algorithmenanforderungen für nationale Sicherheitssysteme im Post-Quantenzeitalter fest. CNSA 2.0 spezifiziert ML-KEM und ML-DSA als erforderliche Algorithmen für neue Systeme und definiert Übergangsfristen für bestehende Systeme.

Die Zeitvorgaben von CNSA 2.0 sind im Allgemeinen ambitionierter als die von NIST IR 8547 für allgemeine Systeme. Rüstungsunternehmen, Nachrichtendienste und Bundesbehörden, die klassifizierte oder Systeme der nationalen Sicherheit betreiben, sollten prüfen, welche Zeitvorgabe für ihre spezifische Systemklassifizierung gilt, und sicherstellen, dass ihre PKIaaS-Implementierung auf einem Migrationspfad liegt, der mit den CNSA-2.0-Anforderungen kompatibel ist.

PKIaaS-Zertifikatprofilaktualisierungen zur CNSA-2.0-Konformität folgen demselben Mechanismus wie die allgemeine NIST-IR-8547-Konformität: Aktualisierung der Profilalgorithmen, Migration der CA-Schlüssel zu ML-DSA-Signaturschlüsseln und gegebenenfalls Einrichtung einer kombinierten Zertifikatsbrücke. Der Unterschied liegt im Zeitplan und den spezifischen, von CNSA 2.0 geforderten Algorithmusparametersätzen (ML-DSA-87, ML-KEM-1024 für Systeme der Stufe „Streng geheim“).

Messung des Migrationsfortschritts

Ein Krypto-Agilitätsprogramm erfordert messbare Fortschrittskennzahlen. Für die Migration von PQC-Zertifikaten sind die wichtigsten Kennzahlen:

• Verteilung des Algorithmus über den gesamten Bestand aktiver Zertifikate: Welcher Prozentsatz der aktuell aktiven Zertifikate verwendet ECDSA P-256, ECDSA P-384, RSA-2048, RSA-4096, kombinierte Zertifikate (ECDSA + ML-DSA) und reine ML-DSA-Zertifikate? Diese monatlich aus dem CLM-Inventar erfasste Kennzahl zeigt die Migrationsgeschwindigkeit und identifiziert Zertifikatstypen oder ausstellende Zertifizierungsstellen, bei denen die Migration ins Stocken geraten ist;
• Prozentsatz der Zertifikatstypen mit ML-DSA-fähigen Profilen: Ist für jeden Zertifikatstyp im PKIaaS-Profilsatz das aktive Profil ML-DSA-fähig (reines ML-DSA oder zusammengesetzt) ​​oder ist es noch ausschließlich klassisch? Diese Metrik verfolgt den Fortschritt der Profilaktualisierung unabhängig vom tatsächlichen Zertifikatsbestand – ein Profil kann aktualisiert werden, um ML-DSA zu unterstützen, bevor das erste ML-DSA-Zertifikat unter diesem Profil ausgestellt wird;
• ML-DSA-Unterstützungsabdeckung der vertrauenden Partei: Welcher Prozentsatz der vertrauenden Parteien unterstützt nachweislich die ML-DSA-Zertifikatsverifizierung für jeden Zertifikatstyp? Diese Kennzahl bestimmt die Entscheidung über den Übergang von der Composite- zur Pure-ML-DSA-Phase für jeden Zertifikatstyp – der Schwellenwert für das Ende der Composite-Phase sollte im Migrationsplan definiert und anhand des Verzeichnisses der vertrauenden Parteien überwacht werden;
• Ablaufprofil für Zertifikate nach klassischem Algorithmus: Wie hoch ist die maximale verbleibende Gültigkeitsdauer aller Zertifikate mit klassischem Algorithmus im aktiven Bestand? Diese Kennzahl stellt sicher, dass alle Zertifikate mit klassischem Algorithmus vor dem Stichtag 2035 abgelaufen sind, ohne dass jedes Zertifikat vor seinem natürlichen Ablauf proaktiv widerrufen und ersetzt werden muss.

Wie Verschlüsselungsberatung helfen kann

• CBOM Secure: Verschlüsselungsberatung CBOM Secure Bietet das kryptografische Inventar, das Voraussetzung für die PQC-Migrationsplanung ist: automatisierte Erkennung aller kryptografischen Assets im Netzwerk und der Infrastruktur des Unternehmens, Klassifizierung der Algorithmen (RSA, ECDSA, AES und deren jeweilige Schlüssellängen), Generierung von CBOM im CycloneDX-Format und kontinuierliche Aktualisierung des Inventars zur Unterstützung der laufenden Algorithmen-Richtlinien. Kontaktieren Sie uns unter Verschlüsselungsberatung Zunächst sollte eine Bestandsaufnahme der kryptografischen Daten erfolgen.
• PKI als Dienstleistung: Verschlüsselungsberatung PKIaaS-Angebot ist die krypto-agile CA-Infrastruktur, die eine Migration von Algorithmen auf Profilebene ohne Infrastrukturaustausch ermöglicht: Unterstützung von ML-DSA (FIPS 204)-Zertifikatprofilen, Fähigkeit zur Ausstellung von zusammengesetzten/hybriden Zertifikaten, zentralisierte Verwaltung von Zertifikatprofilen über die gesamte ausstellende CA-Hierarchie hinweg sowie die CA-Schlüsselmigrationsdienste, die zur Erstellung von PQC-Root- und ausstellenden CA-Schlüsseln unter der neuen Algorithmushierarchie erforderlich sind.
• PQC Beratungsleistungen: Verschlüsselungsberatung PQC-Beratungsdienste Bereitstellung eines strukturierten Migrationsfahrplans von klassischer zu Post-Quanten-PKI: Bestandsaufnahme anhand der CBOM Secure-Ausgabe, Priorisierung der Migration nach Zertifikatstyp und Aktualisierungszeitplan der vertrauenden Partei, Entwurf eines zusammengesetzten Zertifikatsprofils, Planung der CA-Schlüsselmigration (Zeremonienentwurf für neue ML-DSA-Root-CA-Schlüssel), Kompatibilitätstests der vertrauenden Partei und stufenweise Einführungsplanung bis zum Ende der Nutzungsdauer im Jahr 2030 und dem Ende der Nutzungsdauer im Jahr 2035.
• PQC Kompetenzzentrum: Verschlüsselungsberatung PQC Kompetenzzentrum Das Zentrum bietet technisches Fachwissen und Unterstützung bei der Einhaltung regulatorischer Vorgaben für Organisationen, die sich mit NIST IR 8547, CNSA 2.0, den PQC-Richtlinien der ETSI EN 319-Reihe und branchenspezifischen Anforderungen im Bereich der Post-Quanten-Technologie auseinandersetzen. Es erstellt forschungsbasierte Bewertungen der Risiken der Algorithmenmigration, führt Interoperabilitätstests für zusammengesetzte Zertifikate durch und erstellt Berichte zum Migrationsstatus für die Geschäftsleitung.
• CertSecure Manager: Verschlüsselungsberatung CertSecure Manager Die CLM-Transparenzschicht dient der Messung des Migrationsfortschritts: Sie umfasst Metriken zur Algorithmusverteilung im gesamten aktiven Zertifikatsbestand, die Verfolgung des Migrationsstatus auf Zertifikatstypebene, die Überwachung der Kompatibilität mit vertrauenden Parteien sowie die Erstellung klassischer Berichte zum Ablaufprofil von Algorithmen. Die CLM-Metriken fließen in die kontinuierliche Governance der Algorithmenrichtlinien ein, die für Krypto-Agilität unerlässlich ist.

Fazit

Die Migration nach der Quantenphysik stellt die bedeutendste Algorithmusänderung in der Geschichte der PKI dar. Der Zeitplan für die Abschaffung und Nichtzulassung von NIST IR 8547 ist festgelegt. Die FIPS-Standards 203, 204 und 205 sind final. Organisationen, die bis zum Abschaffungsdatum 2030 gut vorbereitet sein und nicht in Hektik geraten wollen, sollten ihr Migrationsprogramm jetzt starten.

PKIaaS beschleunigt und minimiert das Risiko eines vergleichbaren Migrationsprogramms im Vergleich zu einer selbstverwalteten PKI-Infrastruktur. Der Mechanismus basiert auf Krypto-Agilität: Die Migration von Algorithmen erfolgt durch Profilkonfiguration statt durch Infrastrukturaustausch. Das Zertifikatsprofil dient als zentraler Hebel; durch Aktualisierung des Profils wird die Algorithmusänderung auf alle zukünftigen Zertifikatsausstellungen unter diesem Profil übertragen. Die CA-Software und die HSM-Firmware, die ML-DSA unterstützen, fallen in die Verantwortung des PKIaaS-Anbieters. Die Organisation ist verantwortlich für die Bestandsaufnahme, die Priorisierung, die Profilaktualisierungen, die Kompatibilitätsprüfung der vertrauenden Parteien sowie die Governance-Praktiken, die eine messbare und nachhaltige Migration gewährleisten.

Organisationen, die jetzt mit der Erfassung ihrer kryptografischen Daten beginnen, haben Zeit für eine systematische Migration. Organisationen, die erst 2028 damit beginnen, werden unter Zeitdruck Notfallmigrationen durchführen müssen, wobei die Kompatibilität der vertrauenden Parteien eine unbekannte Variable darstellt. Der Unterschied liegt in der Planung, und Planung beginnt damit, den vorhandenen Bestand zu kennen.

Wenn Ihre Organisation eine PQC-Migrationsbewertung durchführt oder ein Krypto-Agilitätsprogramm entwirft, wenden Sie sich an Encryption Consulting.

Dieser Beitrag wird halbjährlich überprüft und immer dann aktualisiert, wenn NIST, NSA, ETSI oder IETF Aktualisierungen der PQC-Standards, der Zeitpläne für den Algorithmusübergang oder der Spezifikationen für zusammengesetzte Zertifikate veröffentlichen, die sich auf die PKI-Migrationsplanung auswirken.

Häufig gestellte Fragen

Was ist Krypto-Agilität und warum ist sie für PKI wichtig?

Kryptoagilität bezeichnet die Fähigkeit, kryptografische Algorithmen zu ersetzen, ohne die zugrunde liegenden Systeme austauschen zu müssen. Für PKI bedeutet dies, dass die Zertifizierungsstelle (CA) Zertifikate mit ML-DSA anstelle von ECDSA ausstellen kann, indem sie ein Zertifikatsprofil aktualisiert, ohne Hardware oder Software der CA zu ersetzen. Dies ist relevant, da NIST IR 8547 festlegt, dass RSA und ECC voraussichtlich um 2030 als veraltet gelten und ab etwa 2035 nicht mehr zulässig sein werden. PKIaaS bietet Kryptoagilität, da die Algorithmusauswahl im Zertifikatsprofil und nicht in der CA-Infrastruktur erfolgt.

Welche NIST-Standards für Post-Quanten-Kryptographie gelten für PKI-Zertifikate?

Das NIST finalisierte im August 2024 drei PQC-Standards. FIPS 204 (ML-DSA, basierend auf CRYSTALS-Dilithium) ist der primäre Post-Quanten-Digitalsignaturalgorithmus für die PKI-Zertifikatssignatur. FIPS 205 (SLH-DSA, basierend auf SPHINCS+) ist ein alternativer Post-Quanten-Signaturalgorithmus mit hashbasierten Sicherheitsannahmen. FIPS 203 (ML-KEM, basierend auf CRYSTALS-Kyber) gilt für den TLS-Schlüsselaustausch und nicht für die Zertifikatssignatur. Für die Migration von PKI-Zertifikaten ist FIPS 204 ML-DSA das primäre Migrationsziel für CA-Signaturschlüssel und Teilnehmerzertifikate.

Was sind hybride oder kombinierte PQC-Zertifikate?

Ein zusammengesetztes Zertifikat enthält sowohl eine klassische Signatur (ECDSA) als auch eine Post-Quantum-Signatur (ML-DSA) in einem einzigen X.509-Zertifikat. Vertrauende Parteien, die nur ECDSA unterstützen, können das Zertifikat mithilfe der klassischen Komponente verifizieren; vertrauende Parteien, die auf ML-DSA aktualisiert wurden, können die Post-Quantum-Komponente verwenden. Dadurch kann die PQC-Migration beginnen, bevor alle vertrauenden Parteien aktualisiert wurden. So entfällt die Notwendigkeit, alle vertrauenden Parteien vor der Bereitstellung von PQC-Zertifikaten zu synchronisieren.

Welchen Zeitplan sieht die Abschaffung von RSA und ECC gemäß NIST IR 8547 vor?

NIST IR 8547 legt fest, dass RSA und ECC für neue Anwendungen voraussichtlich ab 2030 nicht mehr verwendet werden (neue Systeme und Zertifikate sollten ab diesem Datum PQC-Algorithmen nutzen) und ab ca. 2035 nicht mehr zulässig sein werden (bestehende RSA- und ECC-Anwendungen müssen bis zu diesem Datum migriert werden). Da unternehmensweite PQC-Migrationsprogramme in der Regel 24 bis 48 Monate für die Umsetzung über alle Zertifikatstypen hinweg benötigen, sollten Organisationen jetzt mit der Bestandsaufnahme und Planung beginnen, um die Umstellung bis 2030 ohne Notfallmaßnahmen zu gewährleisten.

Wie beschleunigt PKIaaS die Migration von Algorithmen im Vergleich zu selbstverwalteter PKI?

In selbstverwalteten PKI-Systemen erfordert die Migration von Algorithmen Software-Updates für Zertifizierungsstellen (CA), Firmware-Updates für Hardware-Speichermodule (HSM), neue Zertifikatvorlagen und separate Änderungsmanagementzyklen für jede CA. Bei PKIaaS verwaltet der Anbieter die CA-Software und die Firmware-Aktualisierung der HSM. Wenn ML-DSA von der Plattform unterstützt wird, aktualisiert der Kunde die Zertifikatsprofile über die Verwaltungsschnittstelle. Alle ausstellenden CAs, die dieses Profil verwenden, erhalten das Update gleichzeitig. Die Migration von Algorithmen ist eine Änderung der Profilkonfiguration und kein Projekt zur Modernisierung der Infrastruktur mehrerer CAs.