Hybride cryptografie voor de CNSA 2.0-transitie

Kwantumcomputers ontwikkelen zich snel en hun vermogen om de encryptiesystemen te kraken die onze online transacties, digitale handtekeningen en privécommunicatie beschermen, baart steeds meer zorgen. Deze krachtige machines zouden traditionele beveiligingsmethoden kunnen verzwakken, waardoor cruciale gegevens gevaar lopen. Om dit aan te pakken, introduceerde de National Security Agency (NSA) in september 2022 de Commercial National Security Algorithm Suite 2.0 (CNSA 2.0), met voortdurende updates om organisaties te begeleiden naar kwantumresistente beveiliging.

Deze grote transitie, die naar verwachting in 2035 voltooid zal zijn, vereist het updaten van systemen naar nieuwe standaarden die bestand zijn tegen kwantumaanvallen. Hybride cryptografie, die traditionele en kwantumveilige methoden combineert, is een belangrijk hulpmiddel in dit proces. Het beschermt tegen potentiële zwakheden in kwantumveilige algoritmen, houdt systemen compatibel met oudere systemen en maakt het mogelijk om terug te vallen op vertrouwde traditionele methoden als er problemen optreden. Hybride cryptografie is echter geen reden om systeemupgrades over te slaan; het is een tijdelijke strategie om de overstap naar de kwantumveilige standaarden van CNSA 2.0 te ondersteunen. 

Hybride cryptografie, gedefinieerd: ondertekenings- of sleuteluitwisselingsbewerkingen waarbij een klassiek algoritme (RSA/ECDSA, ECDH) en een kwantumveilig CNSA 2.0-algoritme (LMS/XMSS/ML-DSA voor ondertekening, ML-KEM voor sleuteluitwisseling) parallel worden uitgevoerd op dezelfde bewerking, zodat een vertrouwende partij met beide kan verifiëren. Dit biedt bescherming tegen een onontdekte zwakte in het nieuwe algoritme, terwijl het klassieke terugvalalgoritme beschikbaar blijft. Dit is strikt genomen een overgangsmaatregel die ruim vóór 2035 zal eindigen.

Key Takeaways

• Hybride ondertekening combineert een klassiek ondertekeningsalgoritme met LMS, XMSS of ML-DSA; hybride sleuteluitwisseling combineert klassieke sleutelovereenkomst (ECDH) met ML-KEM. Dit zijn afzonderlijke mechanismen die afzonderlijke problemen oplossen en die nooit door elkaar kunnen worden vervangen.
• Voor nationale veiligheidssystemen geeft de NSA specifiek de voorkeur aan afzonderlijke kwantumveilige algoritmen boven hybride algoritmen; hybride algoritmen vereisen expliciete goedkeuring van de NSA en zijn voornamelijk toegestaan ​​wanneer een aanpak met één enkel algoritme nog niet haalbaar is, zoals bij protocollen met strikte limieten voor de sleutelgrootte.
• Deze pagina richt zich op waar en hoe hybride/dubbele ondertekeningspatronen van toepassing zijn in verschillende gebruiksscenario's. Voor de volledige CNSA 2.0-migratiearchitectuur (gedateerd) kunt u terecht op [link]. Het ontwerpen van de transitiestrategieën voor CNSA 2.0; voor de algemene algoritmereferentie, zie CNSA 2.0 verkennen: De kernalgoritmes.

Wat is CNSA 2.0?

CNSA 2.0 is het plan van de NSA om kritieke systemen, met name nationale veiligheidssystemen (NSS), te beschermen tegen kwantumcomputers die traditionele encryptiemethoden zoals RSA of elliptische curvecryptografie (ECC) zouden kunnen kraken met behulp van technieken zoals het algoritme van Shor. Het vervangt CNSA 1.0, dat niet ontworpen was voor kwantumdreigingen, en maakt gebruik van post-kwantumcryptografie (PQC) , gebaseerd op wiskundige problemen die bestand zijn tegen zowel reguliere als kwantumaanvallen. De suite omvat:

• Symmetrische-sleutelalgoritmen

  De Advanced Encryption Standard (AES) met 256-bits sleutels biedt encryptie met ten minste 128 bits post-kwantumbeveiliging, sterk genoeg om Grovers algoritme te weerstaan, dat de effectieve sterkte van symmetrische cijfers vermindert. Het Secure Hash Algorithm (SHA) met SHA-384 (192-bits kwantumresistente beveiliging) of SHA-512 (256-bits beveiliging) garandeert de data-integriteit tijdens het hashen en biedt bescherming tegen kwantumaanvallen. Deze algoritmen, overgenomen van CNSA 1.0, zijn kwantumveilig bij correct gebruik.

• Software- en firmware-ondertekening

  De Leighton-Micali Signature (LMS) en het eXtended Merkle Signature Scheme (XMSS), beschreven in NIST SP 800-208, verifiëren de authenticiteit van software en firmware. LMS met SHA-256/192 (192-bits post-quantumbeveiliging) creëert een hash-gebaseerde structuur met 2^20 handtekeningen, elk met een 192-bits hash voor efficiëntie en beveiliging, en wordt aanbevolen voor alle beveiligingsniveaus. XMSS gebruikt een vergelijkbare hash-gebaseerde aanpak met vergelijkbare beveiliging.

• Algoritmen voor openbare sleutels

  Het Module-Lattice-gebaseerde Key Encapsulation Mechanism (ML-KEM, gebaseerd op CRYSTALS-Kyber-1024) ondersteunt het veilig delen van sleutels en biedt 256 bits post-quantumbeveiliging tegen geavanceerde wiskundige aanvallen. Het gebruikt een publieke sleutel van ongeveer 1,568 bytes en een cijfertekstgrootte van 1,568 bytes. Het Module-Lattice-gebaseerde Digital Signature Algorithm (ML-DSA, gebaseerd op CRYSTALS-Dilithium-8) verwerkt gegevensondertekening en biedt eveneens 256-bitsbeveiliging, met een publieke sleutel van 2,592 bytes en een handtekeninggrootte van 4,595 bytes. Beide werken op beveiligingsniveau V, het hoogste niveau gedefinieerd door NIST, voor maximale bescherming.

Deze algoritmen werden in augustus 2024 door NIST gestandaardiseerd via FIPS 203 (ML-KEM) en FIPS 204 (ML-DSA), na een grondig wereldwijd evaluatieproces waarbij de weerstand tegen kwantumaanvalmethoden werd getest. CNSA 2.0 richt zich op NSS, maar biedt een routekaart voor commerciële sectoren om kwantumveilige werkwijzen voor gevoelige gegevens te implementeren.

Waarom is hybride cryptografie belangrijk?

Als organisatie wilt u uw gegevens beveiligen en tegelijkertijd voorbereiden op een kwantumtoekomst. Hybride cryptografie is daarbij een uitstekende oplossing. Het combineert vertrouwde traditionele methoden, zoals RSA-2048 (2048-bits modulus, publieke sleutel van circa 256 bytes) of ECDSA met NIST P-384 (384-bits curve, publieke sleutel van circa 48 bytes), met kwantumveilige methoden zoals ML-KEM of ML-DSA. Deze combinatie zorgt ervoor dat, mocht een kwantumveilig algoritme een onverwachte zwakte vertonen, zoals een nieuwe aanval op de wiskundige structuur, de traditionele methode uw gegevens veilig houdt. Bovendien maakt het mogelijk dat uw systemen samenwerken met andere systemen die nog geen kwantumveilige standaarden hanteren, waardoor een soepele overgang gegarandeerd is.

Hybride cryptografie pakt de dreiging aan van " nu gegevens verzamelen, later decoderen ", waarbij tegenstanders vandaag versleutelde gegevens verzamelen om deze in de toekomst met kwantumcomputers te decoderen. Door al vroeg kwantumveilige methoden toe te voegen, verkleint u dit risico aanzienlijk. Hybride cryptografie is echter geen manier om systeemupgrades te vermijden. Het is een tijdelijke oplossing ter ondersteuning van de overgang naar de kwantumveilige standaarden van CNSA 2.0 in 2035. Als kwantumveilige algoritmen compatibiliteitsproblemen of nieuwe zwakke punten vertonen, kunt u terugvallen op traditionele methoden, wat u flexibiliteit en veiligheid biedt gedurende deze meerjarige overgang.

Waar maakt hybride cryptografie impact?

Hybride cryptografie ondersteunt de implementatie van kwantumveilige beveiliging en houdt bestaande systemen operationeel. Het is een overgangstool, geen permanente oplossing, die bescherming en compatibiliteit garandeert met de mogelijkheid om indien nodig terug te keren naar traditionele methoden. De onderstaande tabel schetst de belangrijkste toepassingen, met details over de hybride aanpak, technische specificaties en de rol ervan in de overgang naar CNSA 2.0. 

Toepassingsgebied	Cryptografische benadering	Rol in transitie
Software-updates en ondertekening	Combineert traditionele handtekeningen (RSA-2048, ECDSA met NIST P-384) met kwantumveilige handtekeningen (LMS met SHA-256/192, XMSS).	Garandeert authenticiteit in alle systemen. Terugval op traditionele handtekeningen als LMS/XMSS faalt vanwege zwakke punten of compatibiliteit. Ondersteunt volledig kwantumveilige ondertekening vanaf 2030.
Websites en beveiligde verbindingen	Maakt quantumveilige sleuteldeling (ML-KEM-1024) mogelijk naast traditionele methoden (ECDH met NIST P-384).	Handhaaft beveiligde verbindingen met een terugval naar ECDH bij problemen met ML-KEM. Maakt upgrades naar kwantumveilige protocollen mogelijk.
Virtuele particuliere netwerken (VPN's)	Combineert traditionele sleuteldeling (256-bit ECDH) met kwantumveilige methoden (ML-KEM-1024).	Beveiligt VPN-tunnels met een terugval naar ECDH als ML-KEM faalt. Ondersteunt kwantumveilige sleuteldeling vanaf 2033.
Besturingssystemen	Integreert quantum-veilige beveiliging (ML-KEM, ML-DSA) met traditionele methoden (RSA-2048, ECDSA) voor API's.	Biedt onmiddellijke beveiliging met een terugval naar traditionele methoden indien nodig. Ondersteunt volledige kwantumveilige integratie.
Cloud- en IoT-omgevingen	Combineert traditionele encryptie (AES-256) met kwantumveilige methoden (ML-KEM-1024).	Beveiligt gegevens met een terugval naar AES als ML-KEM ondermaats presteert, ter ondersteuning van een geleidelijke invoering van kwantumveilige gegevens.
Beveiligde communicatieprotocollen	Verbetert protocollen met kwantumveilige handtekeningen (ML-DSA-8) en traditionele handtekeningen (ECDSA).	Zorgt voor betrouwbare communicatie met een terugval naar ECDSA als ML-DSA faalt. Ondersteunt kwantumveilige protocollen.
Beveiliging van de toeleveringsketen	Gebruikt dubbele handtekeningen (RSA-2048, ECDSA met LMS/XMSS) om de authenticiteit van componenten te verifiëren.	Behoudt vertrouwen door terug te vallen op traditionele handtekeningen bij problemen met LMS/XMSS. Ondersteunt kwantumveilige implementatie.

Uitdagingen van hybride cryptografie

Het gebruik van hybride cryptografie brengt uitdagingen met zich mee die zorgvuldig moeten worden aangepakt: 

• Ingewikkeldheid:Het beheren van twee encryptiemethoden vereist expertise in traditionele systemen (de getalgebaseerde berekeningen van RSA, de curvegebaseerde berekeningen van ECC) en kwantumveilige systemen (de geavanceerde wiskundige bewerkingen van ML-KEM). Fouten bij het instellen van sleutels, het verifiëren van handtekeningen of fallback-processen kunnen beveiligingslekken creëren, dus een grondige planning is essentieel. 
• Behoeften testen: Elke methode moet afzonderlijk en samen worden getest, waarbij de beveiliging tegen indirecte aanvallen (zoals timing- of vermogensanalyse) en kwantumgebaseerde aanvallen, de prestaties (extra verwerkingsinspanning door dubbele berekeningen, bijvoorbeeld ~2 ms voor ML-DSA versus ~0.2 ms voor ECDSA), de compatibiliteit met bestaande systemen en de fallback-betrouwbaarheid worden gecontroleerd. Dit kost veel tijd en moeite. 
• Problemen met sleutelgrootte: Kwantumveilige methoden zoals ML-KEM-1024 (1,568 bytes publieke sleutel, 1,568 bytes ciphertext) en ML-DSA-8 (2,592 bytes publieke sleutel, 4,595 bytes handtekening) gebruiken grotere sleutels dan traditionele (RSA-2048: 256 bytes publieke sleutel; ECDSA P-384: 48 bytes publieke sleutel). Deze kunnen botsen met systeemlimieten, zoals de maximale handshake van 16 KB van TLS, waardoor zorgvuldige aanpassingen nodig zijn. 
• Eisen aan hulpbronnen:Het opzetten van hybride systemen vergt veel tijd, geschoold personeel en computerkracht voor het aanmaken van sleutels (wiskundige bewerkingen van ML-KEM, ~1 ms), verificatie en onderhoud. Hierdoor kunnen de kosten met 20-30% stijgen in vergelijking met systemen die één methode gebruiken. 
• Prestatie-effecten:Het gebruik van twee methoden verhoogt de verwerkingsinspanning, waarbij ML-KEM/ML-DSA ongeveer 1-2 ms per bewerking toevoegt, vergeleken met de ~0.1-0.3 ms van RSA/ECDSA. Hierdoor worden systemen langzamer, vooral op apparaten met beperkte bronnen. Daarom is optimalisatie zoals vooraf berekende sleutels nodig. 

Aanbevelingen van de NSA voor hybride cryptografie

De NSA ziet hybride cryptografie als een instrument voor de korte termijn, met volledige implementatie van CNSA 2.0 in 2035 als doel. Belangrijke doelen zijn onder meer kwantumveilige softwareondertekening in 2025, met behulp van LMS/XMSS, en sleuteldeling in 2033, met behulp van ML-KEM. Voor NSS hebben enkelvoudige kwantumveilige methoden de voorkeur vanwege hun betrouwbaarheid, en vereisen hybride benaderingen expliciete goedkeuring van de NSA. Deze is alleen toegestaan ​​wanneer enkelvoudige methoden niet mogelijk zijn, zoals in systemen met beperkte sleutelgrootte (IKEv2, volgens RFC 8784, een combinatie van 256-bits ECDH en ML-KEM-1024).

RFC 8773 ondersteunt veilige gelaagdheid voor TLS, waardoor hybride sleuteldeling met vooraf gedeelde sleutels mogelijk is. De NSA vereist dat hybrides worden getest op bestendigheid tegen quantum- en traditionele aanvallen om te garanderen dat er geen zwakke punten zijn. Hybriden zullen tegen 2035 geleidelijk worden uitgefaseerd, waarbij systemen overstappen op enkelvoudige quantum-veilige methoden, ondersteund door regelmatige NIST/NSA-updates om nieuwe aanvalsmethoden op encryptie aan te pakken. 

Stappen voor de implementatie van hybride cryptografie

Om hybride cryptografie effectief als tijdelijk hulpmiddel te gebruiken, volgt u deze praktische stappen: 

• Werk met experts: Werk samen met cybersecurityprofessionals die zowel traditionele als kwantumveilige methoden kennen om hybride systemen en betrouwbare fallback-processen op te zetten en zo risico's te beperken. 
• Test zorgvuldigTest elke encryptiemethode (RSA's op getallen gebaseerde berekeningen, ML-DSA's op wiskunde gebaseerde ondertekening) en hun interacties. Controleer de beveiliging tegen quantum- en traditionele aanvallen, prestaties zoals verwerkingssnelheid, compatibiliteit met huidige systemen en fallback-betrouwbaarheid. 
• Volg het NSA-advies: Houd u aan de aanbevelingen van de NSA, verkrijg goedkeuring voor kritieke hybride systemen en zorg dat u voldoet aan de CNSA 2.0-doelen voor beveiliging en naleving. 
• Blijf op de hoogte: Blijf op de hoogte van updates van NIST en NSA voor wijzigingen in kwantumveilige normen of nieuwe aanvalsmethoden om uw systemen veilig te houden. 
• Train je team: Leer uw personeel over traditionele encryptie (de curve-gebaseerde berekeningen van ECC) en kwantumveilige methoden (de geavanceerde wiskunde van ML-KEM) om hybride systemen en fallback-processen goed te kunnen verwerken. 
• Plan voor kwantumveilige systemen: Bouw systemen die vóór 2035 eenvoudig kunnen overschakelen naar enkelvoudige kwantumveilige methoden, waarbij gebruik wordt gemaakt van flexibele ontwerpen om traditionele methoden geleidelijk uit te faseren. 
• Prestaties controleren: Controleer hoe grotere kwantumveilige sleutels (ML-DSA's handtekeningen van 4,595 bytes) en dubbele verwerking de systeemsnelheid beïnvloeden en optimaliseer met technieken zoals vooraf berekende sleutels voor een beperkt aantal apparaten. 

Verificatiecompatibiliteit en terugdraaien

Voordat u in een productieomgeving op een hybride handtekening vertrouwt, moet u controleren of elke verificator in het daadwerkelijke implementatiepad, en niet alleen de referentie-implementatie, het door u gebruikte formaat met dubbele handtekening herkent. Een bootloader, pakketbeheerder of updateclient die is geschreven op basis van de aanname van een enkele handtekening, kan de tweede handtekening afwijzen of stilzwijgend negeren in plaats van netjes terug te vallen op de klassieke handtekening; dit moet worden getest met de specifieke verificatorversies in uw omgeving en mag niet alleen worden aangenomen op basis van de specificatie van de standaard.

Rollbackplanning is de andere helft hiervan: definieer vóór de implementatie wat er gebeurt als er na de release een defect wordt ontdekt in de post-quantum handtekening of de bijbehorende verificatiebibliotheek. Als de klassieke handtekening nog steeds aanwezig is en verificatoren deze nog steeds onafhankelijk vertrouwen, is rollback een configuratiewijziging. Als de pipeline is gebouwd met de aanname dat de hybride handtekening in de toekomst gebruikt zal worden, is het achteraf toevoegen van een rollbackpad aanzienlijk lastiger. Bouw het fallbackpad daarom vanaf het begin in, in plaats van het als een hypothetische mogelijkheid te beschouwen.

De weg voor ons

Hybride cryptografie ondersteunt een veilige en compatibele overgang naar CNSA 2.0, beschermt tegen mogelijke zwakke punten in quantumveilige methoden en zorgt ervoor dat systemen blijven samenwerken, met de mogelijkheid om terug te vallen op traditionele methoden. Het is geen oplossing voor de lange termijn; organisaties moeten vóór 2035 upgraden naar één quantumveilige standaard. Door samen te werken met experts, zorgvuldig te testen en het advies van de NSA op te volgen, kunt u deze overgang vol vertrouwen beheren. Deze overgang versterkt de cybersecurity en bereidt uw organisatie voor op de quantumtoekomst, terwijl vertrouwen en connectiviteit intact blijven.

Hoe kan encryptieconsulting u helpen?

Encryption Consulting helpt bedrijven en overheden bij het implementeren van CNSA 2.0-compatibele digitale handtekeninginfrastructuren met volledige PQC- en hybride cryptografische ondersteuning. CodeSign Secure v3.02 biedt direct ondersteuning voor PQC, waardoor organisaties een voorsprong hebben bij de overstap naar het volgende tijdperk van cryptografie zonder in te leveren op gebruiksgemak of prestaties. Het is een slimme zet nu en een noodzakelijke voor de toekomst.

De overstap naar CNSA 2.0 gaat niet alleen over het selecteren van het juiste algoritme. Het gaat over het ontwikkelen van een end-to-end codeondertekeningsstrategie die sleutels beschermt, workflows automatiseert, beleid handhaaft en compliance garandeert. Dat is precies waar CodeSign Secure voor is ontwikkeld.   

Zo ondersteunt CodeSign Secure CNSA 2.0: 

• Geschikt voor LMS en XMSS: Ondersteunt al de post-quantum handtekeningschema's die vereist zijn voor software- en firmwareondertekening. 
• HSM-ondersteunde sleutelbeveiliging: Uw persoonlijke sleutels blijven beschermd binnen FIPS 140-2 HSM's van niveau 3 zorgen ervoor dat er geen blootstelling plaatsvindt. 
• Ingebouwde statustracking: Beheert automatisch de status voor LMS en XMSS om ervoor te zorgen dat elke handtekening voldoet aan de vereisten. 
• DevOps-vriendelijk: Integreert naadloos met Jenkins, GitHub Actions, Azure DevOps en meer. 
• Beleidsgestuurde beveiliging: Gebruik RBAC, goedkeuringen door meerdere goedkeurders (M of N) en aangepaste beveiligingsbeleidsregels om elk aspect van uw codeondertekening te beheren. 
• Auditklare logging: Krijg volledig inzicht in elke ondertekeningsoperatie voor eenvoudige rapportage en naleving. 

Of u nu software ondertekent voor Windows, Linux, macOS, Docker, IoT-apparaten of cloudplatformen, CodeSign Secure helpt u veilig en efficiënt over te stappen.

Conclusie

De CNSA 2.0-transitie is een belangrijke stap om onze digitale wereld te beveiligen tegen kwantumdreigingen. Hybride cryptografie biedt een vangnet tegen zwakke plekken in kwantumveilige methoden en zorgt voor compatibiliteit, met een terugval naar traditionele methoden tijdens systeemupgrades. Geleid door de duidelijke tijdlijnen en zorgvuldige planning van de NSA kunnen organisaties kwantumgereedheid bereiken. Dit gaat verder dan technologie; het gaat erom uw data en activiteiten veilig te houden in een kwantumbewuste wereld. Begin nu met de voorbereidingen voor een sterke, veilige toekomst.

Veelgestelde Vragen / FAQ

Kan ML-KEM worden gebruikt voor hybride ondertekening?

Nee. ML-KEM is een sleutelversleutelingsmechanisme voor sleuteluitwisseling, geen ondertekeningsalgoritme. Hybride ondertekening combineert een klassiek ondertekeningsalgoritme met LMS, XMSS of ML-DSA; de hybride rol van ML-KEM is in de sleuteluitwisseling (in combinatie met ECDH), een volledig aparte toepassing.

Vereist de NSA hybride cryptografie voor de CNSA 2.0-migratie?

Nee, en voor National Security Systems is het eerder andersom: de NSA geeft de voorkeur aan één enkel kwantumveilig algoritme en vereist expliciete goedkeuring voor het gebruik van een hybride algoritme, wat doorgaans is voorbehouden aan gevallen waarin een aanpak met één enkel algoritme nog niet praktisch is.

Hoe lang zal hybride cryptografie een acceptabele aanpak blijven?

Het is een overgangsmaatregel, geen eindbestemming. De volledige transitie naar CNSA 2.0 is gepland voor 2035, waarbij hybride algoritmen naar verwachting al veel eerder zullen worden uitgefaseerd ten gunste van afzonderlijke kwantumveilige algoritmen, naarmate de ondersteuning voor verificatoren zich verder ontwikkelt.