PKIaaS en crypto-wendbaarheidsstrategie: voorbereiding op algoritme-wijzigingen

Elke organisatie die PKI gebruikt, zal uiteindelijk de algoritmen die het PKI gebruikt moeten aanpassen. Niet omdat ze in eerste instantie de verkeerde algoritmen hebben gekozen, maar omdat de beveiliging van algoritmen niet constant blijft. RSA-2048 was een veilige keuze in 2005 en een geschikte keuze in 2015. NIST IR 8547 stelt nu vast dat RSA en ECC rond 2030 niet meer geschikt zullen zijn voor nieuwe toepassingen en rond 2035 niet meer toegestaan ​​zullen zijn. NIST heeft in augustus 2024 drie post-kwantum cryptografiestandaarden afgerond: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA). De migratie van klassieke naar post-kwantum algoritmen is geen toekomstige gebeurtenis waar je op moet wachten; het is een actief programma dat organisaties nu al zouden moeten uitvoeren.

De cruciale vraag voor organisaties die PKI beheren, is niet of ze moeten migreren, maar hoe snel en tegen welke kosten. Organisaties met een zelfbeheerde, on-premises PKI worden geconfronteerd met een infrastructuurwijziging om algoritmen te migreren: CA-software-updates, HSM-firmware-updates, nieuwe certificaatsjablonen, vernieuwde wijzigingsbeheercycli en in sommige gevallen volledig nieuwe CA-hiërarchieën voor het nieuwe algoritme. Organisaties die een crypto-agile PKI as a Service gebruiken , worden geconfronteerd met een wijziging in de profielconfiguratie. Het verschil in inspanning, tijdsverloop en risico tussen deze twee benaderingen is de kern van het argument voor PKIaaS als versneller van PQC-migratie.

Kort antwoord: Hoe maakt PKIaaS crypto-flexibiliteit mogelijk?

PKIaaS maakt crypto-flexibiliteit mogelijk omdat de set algoritmen die worden gebruikt bij de uitgifte van certificaten wordt beheerd door de configuratie van het certificaatprofiel, en niet door de hardware- of software-installatie van de certificeringsinstantie (CA). Wanneer het platformteam een ​​certificaatprofiel bijwerkt om ML-DSA (FIPS 204) in plaats van ECDSA P-256 te specificeren, ontvangen alle toekomstige certificaatverzoeken die dat profiel gebruiken, ML-DSA-ondertekende certificaten. De CA-infrastructuur (HSM's, CA-software, sleutelbeheer) is de verantwoordelijkheid van de PKIaaS-provider; wanneer een nieuw algoritme door het platform wordt ondersteund, configureert de klant het gebruik ervan via de beheerinterface. Algoritmemigratie is een profielupdate, geen infrastructuurproject.

Key Takeaways

• NIST IR 8547 stelt dat RSA en ECC rond 2030 niet meer geschikt zullen zijn voor nieuwe toepassingen en rond 2035 niet meer toegestaan ​​zullen zijn. NIST heeft FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA) in augustus 2024 afgerond. Organisaties die momenteel PKI-infrastructuur implementeren die in 2030 nog steeds operationeel zal zijn, zouden nu al moeten beginnen met het ontwerpen van een PQC-migratie naar die infrastructuur, en niet als een toekomstige aanpassing achteraf.
• Crypto-flexibiliteit in PKI betekent de mogelijkheid om het algoritme in certificaatprofielen te wijzigen zonder de CA-infrastructuur te hoeven vervangen. PKIaaS biedt crypto-flexibiliteit omdat de provider de CA-software en de firmware van de HSM beheert, terwijl de klant de configuratie van het certificaatprofiel beheert. Wanneer de provider ML-DSA-ondersteuning toevoegt, activeert de klant dit in zijn certificaatprofielen. Geen HSM-aanschaf, geen CA-software-upgrade, geen wijzigingsbeheer voor de infrastructuur.
• Cryptografische inventarisatie is een essentiële voorwaarde voor het plannen van algoritmemigratie. Een organisatie die niet weet welke systemen welke algoritmen gebruiken, kan de PQC-migratie niet prioriteren, kan niet bepalen welke certificaattypen vóór de uitfasering in 2030 moeten worden gemigreerd en kan de voortgang van de migratie niet meten. Cryptografische ontdekking en inventarisatie moeten de eerste stap zijn in elk crypto-agilityprogramma, voordat profielupdates beginnen.
• Hybride en samengestelde certificaten vormen de migratiebrug voor omgevingen die niet alle vertrouwende partijen tegelijkertijd kunnen bijwerken. Een samengesteld certificaat dat ECDSA en ML-DSA in één certificaat combineert, werkt zowel in legacy-systemen (die verifiëren met ECDSA) als in bijgewerkte systemen (die verifiëren met ML-DSA). PKIaaS-implementaties die de uitgifte van samengestelde certificaten ondersteunen, maken het mogelijk om met de migratie te beginnen voordat alle vertrouwende partijen zijn bijgewerkt.
• De centralisatie van certificaatprofielen maakt PKIaaS tot het juiste migratieplatform. In een zelfbeheerde PKI met meerdere uitgevende certificeringsinstanties (CA's), waarbij de software van elke CA onafhankelijk is geconfigureerd, vereist algoritmemigratie een individuele update van elke CA. In PKIaaS worden alle uitgevende CA's beheerd door hetzelfde beheerplatform en dezelfde certificaatprofielen. Een profielupdate wordt gelijktijdig doorgevoerd naar alle CA's die dat profiel gebruiken. De migratieoperatie schaalt mee met de profielset, niet met het aantal CA's.

Waarom het migratievenster voor algoritmen niet optioneel is

De post-quantummigratie is geen dreiging aan de horizon, maar een deadline met een specifieke datum. NIST IR 8547 beschrijft een overgang in twee fasen: het uitfaseren van RSA en ECC voor nieuwe toepassingen rond 2030, en het niet langer toestaan ​​van bestaande RSA- en ECC-toepassingen rond 2035. Federale systemen die onder de NIST-richtlijnen vallen, en de vele gereguleerde en commerciële systemen die voldoen aan de NIST-standaarden, moeten hun PQC-migratie binnen deze periode voltooien.

De uitfasering in 2030 is dichterbij dan het lijkt als we kijken naar de tijdlijnen van PKI-programma's. Een CA-hiërarchie met een geldigheidsperiode van 20 jaar voor de root-CA, intermediaire CA's met een geldigheidsperiode van 10 jaar en uitgevende CA's met een geldigheidsperiode van 5 jaar is waarschijnlijk al lang vóór 2025 ontworpen en geïmplementeerd. Om dit vóór 2030 te migreren, is het volgende nodig: het voltooien van de cryptografische inventarisatie om te weten wat er in gebruik is (6 tot 12 maanden voor de meeste grote organisaties), het plannen van de migratievolgorde voor alle certificaattypen (3 tot 6 maanden), het uitvoeren van een pilot voor de uitgifte van PQC-certificaten en het testen van de compatibiliteit met relying parties (3 tot 6 maanden), en een gefaseerde uitrol over het gehele certificaatportfolio (12 tot 24 maanden voor grote implementaties). Deze tijdlijnen tellen op tot 24 tot 48 maanden actieve programma-uitvoering, waardoor een comfortabele migratie mogelijk is vanaf 2026 of uiterlijk 2027.

Organisaties die nog niet met de inventarisatiefase zijn begonnen, lopen al achter op schema voor een migratie met een laag risico. De organisaties met het grootste risico zijn die met een grote hoeveelheid certificaten, veel verschillende certificaattypen, diverse vertrouwende partijen (waarvan sommige traag zullen zijn met het updaten voor ML-DSA-ondersteuning) en een verouderde CA-infrastructuur die wijzigingen op hardwareniveau vereist om nieuwe algoritmen te ondersteunen. PKIaaS elimineert het laatste van deze risico's; de andere drie vereisen programma-uitvoering, ongeacht het PKI-infrastructuurmodel.

Er is ook een risicodimensie op het gebied van gegevensbeveiliging die onafhankelijk is van de deadline voor naleving. De "harvest now, decrypt later" (HNDL)-aanvalsstrategie, waarbij tegenstanders vandaag versleutelde gegevens verzamelen met de bedoeling deze te decoderen zodra een cryptografisch geschikte kwantumcomputer beschikbaar komt, betekent dat gegevens die vandaag met RSA- of ECC-sleutels zijn versleuteld, in de toekomst mogelijk door een voldoende capabele kwantumtegenstander kunnen worden gedecodeerd. Organisaties met lange vereisten voor gegevensvertrouwelijkheid (geclassificeerde overheidsgegevens, financiële gegevens, gezondheidsinformatie met bewaartermijnen van meerdere decennia) moeten de PQC-migratie beschouwen als een actief risicobeheerprogramma, en niet als een afvinklijstje voor naleving in 2030.

Stap 1: Cryptografische inventarisatie vóór profielupdates

Voor het plannen van een algoritmemigratie is een volledig overzicht nodig van welke algoritmen in gebruik zijn, waar en met welke certificaattypen. Zonder dit overzicht is het migratieplan onvolledig: sommige certificaattypen worden over het hoofd gezien, sommige gebruikers ondervinden onverwachte incompatibiliteitsproblemen en de migratie lijkt op papier voltooid, terwijl er in productiesystemen nog steeds RSA- of ECC-certificaten aanwezig zijn.

Een cryptografische inventaris voor de planning van PKI-migraties verzamelt de volgende gegevens:

• Handtekeningalgoritme en sleutelgrootte per certificaat: Welke algoritmen (RSA-2048, RSA-4096, ECDSA P-256, ECDSA P-384, DSA) worden momenteel gebruikt binnen het certificaatportfolio, en met welke sleutelgroottes? Dit geeft aan welke certificaten niet aan de huidige minimumvereisten voldoen en welke vóór de uitfasering in 2030 moeten worden gemigreerd.
• Certificaattype per certificaat: TLS-server, TLS-client, smartcard-aanmelding, S/MIME, codeondertekening, apparaatidentificatie, CA-certificaat. Elk certificaattype heeft verschillende vertrouwende partijen met verschillende updatefrequenties, geldigheidsperioden en registratiemechanismen. Migratieplanning moet per certificaattype worden uitgevoerd, niet alleen per algoritme.
• Uitgevende CA per certificaat: Welke certificeringsinstantie (CA) elk certificaat heeft uitgegeven en of het ondertekeningsalgoritme van die CA de bottleneck vormt (een CA die ondertekent met RSA-2048 produceert RSA-2048-ondertekende certificaten, ongeacht de abonneesleutel). De migratie van het CA-algoritme moet voorafgaan aan de migratie van de abonneecertificaten in de hiërarchie.
• Vertrouwende partijsystemen per certificaattype: Welke systemen verifiëren certificaten van elk type, en of die systemen ML-DSA-ondersteuning hebben bevestigd of op de roadmap staan ​​voor een update. Systemen die ML-DSA niet binnen de migratieperiode zullen ondersteunen, vereisen mogelijk nog steeds de uitgifte van klassieke certificaten via de composietcertificaatbrug.
• Cryptografische activa zonder certificaat: SSH-sleutels, TLS-sessieconfiguraties, codeondertekeningssleutels, symmetrische encryptiesleutels en hardware-root-of-trust-certificaten die gebruikmaken van klassieke algoritmen. Deze vallen buiten de directe reikwijdte van de PKI-certificaatmigratie, maar maken wel deel uit van de volledige post-quantummigratie van de organisatie.

CBOM Secure van Encryption Consulting levert deze cryptografische inventaris door middel van geautomatiseerde detectie in het netwerk en de infrastructuur van de organisatie. Dit resulteert in een Cryptographic Bill of Materials (CBOM) die alle cryptografische assets in de omgeving catalogiseert. De CBOM vormt de input voor de prioriteringsfase van de migratie: het laat zien welke algoritmen in gebruik zijn, welke certificaattypen het grootste volume aan klassieke algoritmecertificaten hebben en welke systemen de langste geschatte update-tijdlijnen voor relying parties hebben.

Stap 2: Het vaststellen van het algoritmebeleid in certificaatprofielen

Het algoritmebeleid in PKIaaS wordt vastgelegd in certificaatprofielen. Elk profiel specificeert de toegestane sleutelalgoritmen en de minimale sleutelgrootte voor certificaten die onder dat profiel worden uitgegeven. In een crypto-agile PKIaaS-implementatie is het algoritmebeleid gecentraliseerd in de set certificaatprofielen en wordt het door de CA afgedwongen op het moment van uitgifte: een aanvraag voor een certificaat met een algoritme dat niet is toegestaan ​​door het profiel, wordt afgewezen voordat er een certificaat wordt ondertekend.

Het vaststellen van het algoritmebeleid voor de PQC-migratie omvat drie beslissingen op profielniveau:

• Handhaving van de minimale sleutelgrootte voor bestaande algoritmen: Voordat u overstapt op PQC-algoritmen, dient u te controleren of alle actieve certificaatprofielen de huidige minimale sleutelgroottes voor klassieke algoritmen afdwingen: minimaal RSA-2048 (voorkeur voor RSA-3072 of RSA-4096 voor nieuwe uitgiften), minimaal ECDSA P-256 (voorkeur voor P-384). Profielen die RSA-1024 of andere kleinere sleutelgroottes toestaan, moeten onmiddellijk worden bijgewerkt, ongeacht in welk stadium van de PQC-migratie de organisatie zich bevindt. Te kleine sleutels vormen een risico van nu, niet van de toekomst.
• Klassieke profielen voor certificaattypen waarvan de vertrouwende partijen de ondersteuning voor ML-DSA nog niet hebben bevestigd: Sommige certificaattypen (browsergerichte TLS, authenticatie van oudere netwerkapparaten) zijn afhankelijk van vertrouwende partijen die mogelijk niet direct ML-DSA-verificatie ondersteunen. Tijdens de overgangsperiode blijven certificaatprofielen voor deze typen voldoen aan de vereisten voor klassieke algoritmen (ECDSA P-256 of RSA-2048) totdat het ecosysteem van vertrouwende partijen zich hierop heeft aangepast.
• Samengestelde/hybride profielen voor certificaattypen in actieve PQC-migratie: Voor certificaattypen waarbij de vertrouwende partijen worden bijgewerkt om ML-DSA te ondersteunen, maar niet alle vertrouwende partijen tegelijkertijd worden bijgewerkt, specificeren samengestelde certificaatprofielen zowel ECDSA- als ML-DSA-componenten in één certificaat. Het profiel definieert de algoritmecombinatie, de sleutelparameters voor elke component en of de klassieke of PQC-handtekening voorrang heeft voor vertrouwende partijen die beide ondersteunen. Zodra alle vertrouwende partijen voor een certificaattype volledig zijn bijgewerkt, verandert het samengestelde profiel in een puur ML-DSA-profiel.
• ML-DSA-only profielen voor certificaattypen met volledig bijgewerkte relying party estates: Certificaattypen waarbij alle vertrouwende partijen bevestigd hebben ML-DSA-verificatie te ondersteunen, worden overgezet naar pure ML-DSA-profielen. Dit is het migratie-eindpunt voor elk certificaattype: de samengestelde fase is een overbrugging, geen permanente toestand.

Stap 3: Migratie van het CA-sleutelalgoritme

Het algoritme voor de ondertekeningssleutel van de certificeringsinstantie (CA) is het eerste migratiedoel, niet het laatste. Elk certificaat dat door een CA wordt uitgegeven, erft het ondertekeningsalgoritme van de CA in de uitgifteketen: een CA die ondertekent met RSA-2048 ondertekent alle abonneecertificaten met RSA-2048, ongeacht het algoritme voor de abonneesleutel. Migreren naar ML-DSA-abonneecertificaten onder een met RSA ondertekende uitgevende CA resulteert in een hybride keten die niet volledig post-quantum is (de vertrouwensketen van root tot abonnee bevat nog steeds een met RSA ondertekend CA-certificaat).

Voor een volledige PQC-migratie van de PKI-hiërarchie moeten de CA-sleutels van de root naar de leaf in de hiërarchie worden gemigreerd. Het proces is als volgt:

• Genereer nieuwe ML-DSA root CA-sleutels (met een nieuwe root CA-sleutelceremonie).
• Genereer nieuwe ML-DSA-tussenliggende en uitgevende CA-sleutels, ondertekend door de ML-DSA-hoofd-CA.
• Verspreid het nieuwe ML-DSA root CA-certificaat naar alle vertrouwensarchieven (besturingssysteem, browser, applicatie, apparaat) naast het bestaande klassieke root CA-certificaat en behoud beide gedurende de overgangsperiode.
• Begin met het uitgeven van abonneecertificaten vanuit de nieuwe ML-DSA-CA-hiërarchie voor certificaattypen waarvan de vertrouwende partijen het vertrouwen in de ML-DSA-root-CA hebben bevestigd.
• Ga door met het uitgeven van certificaten vanuit de klassieke CA-hiërarchie voor certificaattypen waarvan de vertrouwende partijen de vertrouwensarchieven nog niet hebben bijgewerkt met de ML-DSA-root.
• Beëindig de klassieke CA-hiërarchie nadat alle vertrouwensarchieven van de relying parties zijn bijgewerkt en alle certificaten van de klassieke hiërarchie zijn verlopen of vervangen.

Bij een PKIaaS-implementatie is het genereren van nieuwe CA-sleutels voor ML-DSA, het ondergeschikt maken ervan aan de nieuwe PQC-root en het configureren van uitgevende CA's om de PQC-hiërarchie te gebruiken een bewerking via de beheerconsole en API. De PKIaaS-provider beheert de HSM-sleutelgeneratie en de configuratie van de CA-hiërarchie. In een zelfbeheerde on-premises PKI vereist elk van deze stappen hardware-interactie met de HSM, wijzigingen in de CA-softwareconfiguratie en fysieke ceremoniecoördinatie. Het voordeel van PKIaaS bij CA-sleutelmigratie is hetzelfde als bij profielupdates: configuratie vervangt hardware-interactie.

Hybride en samengestelde certificaten: de migratiebrug

Samengestelde certificaten coderen zowel een klassieke handtekening (ECDSA P-256 of P-384) als een post-kwantumhandtekening (ML-DSA) in één enkel X.509-certificaat. De samengestelde structuur is gedefinieerd in IETF-ontwerpstandaarden voor samengestelde publieke sleutel- en handtekeningalgoritmen (lopend werk in de IETF LAMPS-werkgroep vanaf 2026).

Het voordeel van samengestelde certificaten bij migratie is dat ze de noodzaak wegnemen om alle vertrouwende partijen gelijktijdig bij te werken voordat een PQC-certificaat kan worden geïmplementeerd. Een vertrouwende partij die alleen klassieke ECDSA-verificatie ondersteunt, kan een samengesteld certificaat nog steeds verifiëren met behulp van de ECDSA-component. Een vertrouwende partij die is bijgewerkt om ML-DSA te ondersteunen, kan hetzelfde certificaat verifiëren met behulp van de ML-DSA-component. Het certificaat is in beide omgevingen verifieerbaar.

Praktische overwegingen bij de implementatie van samengestelde certificaten:

• De afmetingen van certificaten nemen toe: Het opnemen van zowel ECDSA- als ML-DSA-publieke sleutels en handtekeningen in één certificaat resulteert in een aanzienlijk groter certificaat dan een certificaat dat alleen klassieke sleutels en handtekeningen bevat. ML-DSA (FIPS 204) met parameterinstelling ML-DSA-65 produceert een publieke sleutel van 1,952 bytes en een handtekening van 3,309 bytes. Gecombineerd met een ECDSA P-256 publieke sleutel (65 bytes) en handtekening (64-72 bytes) is een samengesteld certificaat aanzienlijk groter dan een klassiek certificaat. Applicaties die certificaten verzenden in bandbreedtebeperkte omgevingen (sommige TLS-handshakeconfiguraties, sommige communicatieprotocollen voor IoT-apparaten) moeten de impact van de grootte van samengestelde certificaten evalueren vóór implementatie.
• Bevestiging van ondersteuning door de PKIaaS-provider vereist: Voor de uitgifte van samengestelde certificaten is het vereist dat de PKIaaS CA-software en de HSM-firmware het genereren van beide algoritmecomponenten in één certificaatondertekening ondersteunen. Bevestig de ondersteuning voor samengestelde certificaten met de PKIaaS-provider voordat u een migratieplan opstelt dat van deze mogelijkheid afhankelijk is. Vanaf augustus 2026 verschilt de ondersteuning voor samengestelde certificaten per PKIaaS-provider.
• Composiet als overgangstoestand, niet als permanente toestand: Een omgeving met samengestelde certificaten brengt, indien niet beheerd als een overgangsfase, onbeperkt onderhoudskosten met zich mee voor zowel klassieke als PQC-algoritmen. Het migratieplan voor elk certificaattype moet de criteria definiëren voor de overgang van samengestelde naar pure ML-DSA-profielen — met name welk percentage van de vertrouwende partijen ML-DSA moet ondersteunen voordat de fase met samengestelde certificaten voor dat certificaattype eindigt.

Algoritmebeleid als een doorlopende bestuurspraktijk

Crypto-agility is geen project met een einddatum; het is een doorlopende governancepraktijk. De PQC-migratie is de huidige implementatie van die praktijk, maar algoritmewijzigingen zullen ook na PQC doorgaan: updates van de ML-DSA-parameterreeks, nieuwe algoritmestandaardisatie, algoritmespecifieke kwetsbaarheden die na de standaardisatie worden ontdekt en de CA/B Forum-vereisten voor door browsers vertrouwde certificaten zullen allemaal leiden tot toekomstige beleidswijzigingen met betrekking tot algoritmen.

PKIaaS-governance voor algoritmebeleid omvat drie permanente operationele praktijken:

• Frequentie van beoordeling van certificaatprofielen: Certificaatprofielen moeten minstens jaarlijks worden herzien aan de hand van de huidige algoritme-eisen van NIST, ETSI en het CA/B Forum. Elk profiel dat algoritmen of sleutelgroottes toestaat die onder de huidige standaarden liggen, moet worden bijgewerkt. De herziening moet worden gedocumenteerd, inclusief de motivering van de beslissing voor elk profiel dat omwille van achterwaartse compatibiliteit algoritmen onder de huidige standaard handhaaft (met een geplande einddatum voor de uitzondering).
• Continue cryptografische inventarisatie: De CBOM die wordt bijgehouden door het cryptografische inventarisatieplatform moet een continu bijgewerkt overzicht zijn, geen momentopname. Er worden dagelijks nieuwe certificaten uitgegeven; de gebruikte algoritmen veranderen naarmate nieuwe certificaattypen worden geïmplementeerd en oude verlopen. De continu bijgewerkte CBOM voorziet de herziening van het algoritmebeleid van actuele gegevens in plaats van verouderde beoordelingsgegevens.
• Proces voor het activeren van de uitfasering van algoritmen: Wanneer NIST, ETSI, NSA of het CA/B Forum een ​​afschaffing of uitsluiting aankondigt voor een specifiek algoritme of sleutelgrootte, dient de organisatie een gedefinieerd proces te hebben voor: (1) het beoordelen van de impact met behulp van de huidige CBOM (welke systemen het afgeschafte algoritme gebruiken en in welke mate); (2) het bijwerken van de betreffende certificaatprofielen om het nieuwe algoritme toe te voegen of het afgeschafte algoritme te verwijderen; (3) het vaststellen van de tijdlijn voor het bijwerken van de relying party voor de overgang; en (4) het uitvoeren van de migratie volgens de geprioriteerde volgorde van certificaattypen. Dit triggerproces moet worden gedocumenteerd en getest voordat een daadwerkelijke aankondiging van afschaffing dit vereist.

CNSA 2.0 en de verplichtingen van het nationale veiligheidssysteem

Voor organisaties die Amerikaanse nationale veiligheidssystemen beheren of systemen die onder de richtlijnen van de NSA vallen, stelt de Commercial National Security Algorithm Suite 2.0 (CNSA 2.0) de algoritme-eisen vast voor nationale veiligheidssystemen in het post-kwantumtijdperk. CNSA 2.0 specificeert ML-KEM en ML-DSA als de vereiste algoritmen voor nieuwe systemen en definieert overgangstermijnen voor bestaande systemen.

De tijdlijnen van CNSA 2.0 zijn over het algemeen ambitieuzer dan de tijdlijnen van NIST IR 8547 voor algemene systemen. Defensieaannemers, inlichtingendiensten en federale instanties die geclassificeerde systemen of systemen voor nationale veiligheid beheren, moeten nagaan welke tijdlijn van toepassing is op hun specifieke systeemclassificatie en ervoor zorgen dat hun PKIaaS-implementatie een migratiepad volgt dat compatibel is met de CNSA 2.0-vereisten.

Het bijwerken van het PKIaaS-certificaatprofiel voor CNSA 2.0-conformiteit volgt hetzelfde mechanisme als voor algemene NIST IR 8547-conformiteit: updates van het profielalgoritme, migratie van CA-sleutels naar ML-DSA-ondertekeningssleutels en, indien nodig, een composietcertificaatbrug. Het verschil zit hem in de tijdlijn en de specifieke algoritme-parameterreeksen die vereist zijn door CNSA 2.0 (ML-DSA-87, ML-KEM-1024 voor TOP SECRET-systemen).

Het meten van de voortgang van migratie

Een programma voor crypto-flexibiliteit vereist meetbare voortgangsindicatoren. Voor de migratie van PQC-certificaten zijn de belangrijkste indicatoren:

• Algoritmeverdeling over het actieve certificatenbestand: Welk percentage van de momenteel actieve certificaten maakt gebruik van ECDSA P-256, ECDSA P-384, RSA-2048, RSA-4096, samengestelde certificaten (ECDSA + ML-DSA) en pure ML-DSA? Deze metriek, die maandelijks wordt bijgehouden vanuit de CLM-inventaris, toont de migratiesnelheid en identificeert certificaattypen of uitgevende CA's waar de migratie is vastgelopen.
• Percentage van certificaattypen met ML-DSA-compatibele profielen: Is voor elk certificaattype in de PKIaaS-profielset het actieve profiel geschikt voor ML-DSA (pure ML-DSA of samengesteld), of is het nog steeds alleen geschikt voor klassieke certificaten? Deze metriek volgt de voortgang van profielupdates onafhankelijk van het daadwerkelijke certificaatportfolio — een profiel kan worden bijgewerkt om ML-DSA te ondersteunen voordat het eerste ML-DSA-certificaat onder dat profiel is uitgegeven;
• Ondersteuningsdekking voor ML-DSA door de vertrouwende partij: Voor elk certificaattype, welk percentage van de vertrouwende partijen ondersteunt de verificatie van ML-DSA-certificaten? Deze indicator is bepalend voor de beslissing om over te stappen van samengestelde naar pure ML-DSA-certificaten voor elk certificaattype. De drempel voor het beëindigen van de fase met samengestelde certificaten moet worden vastgelegd in het migratieplan en worden bijgehouden aan de hand van de inventaris van vertrouwende partijen.
• Vervaldatum van certificaten voor klassieke algoritmen: Wat is de maximale resterende geldigheidsduur van alle certificaten met een klassiek algoritme in het actieve netwerk? Deze maatstaf zorgt ervoor dat alle certificaten met een klassiek algoritme vóór de uitsluitingsdatum van 2035 verlopen zijn, zonder dat proactief intrekking en vervanging van elk certificaat vóór de natuurlijke vervaldatum nodig is.

Hoe encryptieconsultancy kan helpen

• CBOM Secure: Encryptie Consulting's CBOM Secure Biedt de cryptografische inventaris die een voorwaarde is voor PQC-migratieplanning: geautomatiseerde detectie van alle cryptografische assets in het netwerk en de infrastructuur van de organisatie, algoritmeclassificatie (RSA, ECDSA, AES en hun respectievelijke sleutelgroottes), CBOM-generatie in CycloneDX-formaat en continue inventarisupdates die de basis vormen voor het voortdurende beheer van algoritmebeleid. Neem contact met ons op via Encryptie Consulting Om te beginnen met een beoordeling van de cryptografische inventaris.
• PKI als een service: Encryptie Consulting's PKIaaS-aanbod Dit is de crypto-flexibele CA-infrastructuur die migratie van algoritmen op profielniveau mogelijk maakt zonder de infrastructuur te hoeven vervangen: ondersteuning voor ML-DSA (FIPS 204) certificaatprofielen, de mogelijkheid tot het uitgeven van samengestelde/hybride certificaten, gecentraliseerd beheer van certificaatprofielen over de volledige hiërarchie van uitgevende CA's, en de CA-sleutelmigratieservices die nodig zijn om PQC-root- en uitgevende CA-sleutels te creëren onder de nieuwe algoritmehiërarchie.
• PQC-adviesdiensten: Encryptie Consulting's PQC Adviesdiensten Het gestructureerde migratieplan van klassieke naar post-quantum PKI opstellen: inventarisatie met behulp van CBOM Secure-output, migratieprioritering per certificaattype en updateplanning voor relying parties, ontwerp van samengestelde certificaatprofielen, planning van CA-sleutelmigratie (ontwerp van ceremonie voor nieuwe ML-DSA root CA-sleutels), compatibiliteitstesten voor relying parties en gefaseerde uitrolplanning tot de uitfasering in 2030 en de uitsluiting in 2035.
• PQC-expertisecentrum: Encryptie Consulting's PQC Centrum van Uitmuntendheid Het centrum biedt de technische expertise en afstemming op regelgeving voor organisaties die te maken hebben met NIST IR 8547, CNSA 2.0, de ETSI EN 319-serie PQC-richtlijnen en branchespecifieke post-quantumvereisten. Het centrum levert op onderzoek gebaseerde beoordelingen van risico's bij algoritmemigratie, testen van de interoperabiliteit van samengestelde certificaten en rapportages over de migratiestatus voor het management.
• CertSecure Manager: Encryptie Consulting's CertSecure Manager Het CLM-zichtbaarheidssysteem maakt het mogelijk om de voortgang van migraties te meten: statistieken over de distributie van algoritmen binnen het actieve certificaatportfolio, het bijhouden van de migratiestatus op certificaattypeniveau, het monitoren van de compatibiliteit met vertrouwende partijen en rapportage over het vervalprofiel van klassieke algoritmen. De CLM-statistieken vormen de basis voor het voortdurende beheer van algoritmebeleid dat nodig is voor crypto-flexibiliteit.

Conclusie

De post-quantummigratie is de meest ingrijpende algoritmewijziging in de geschiedenis van PKI. De termijn voor de afschaffing en uitsluiting van NIST IR 8547 is vastgesteld. De FIPS 203-, 204- en 205-standaarden zijn definitief. Organisaties die de afschaffingsdatum van 2030 willen halen, moeten nu al beginnen met het migratieprogramma, zodat ze hierop voorbereid zijn en niet in allerijl aan de slag hoeven te gaan.

PKIaaS maakt dit migratieprogramma sneller en minder risicovol dan een vergelijkbaar programma op een zelfbeheerde PKI-infrastructuur. Het mechanisme is crypto-agility: algoritmemigratie via profielconfiguratie in plaats van vervanging van de infrastructuur. Het certificaatprofiel is de beleidshefboom; het bijwerken van het profiel zorgt ervoor dat de algoritmewijziging wordt doorgevoerd in alle toekomstige certificaatuitgiften onder dat profiel. De CA-software en HSM-firmware die ML-DSA ondersteunen, vallen onder de verantwoordelijkheid van de PKIaaS-provider. De organisatie is verantwoordelijk voor de inventarisatie, de prioritering, de profielupdates, de compatibiliteit met de relying parties en de governancepraktijken die de migratie meetbaar en duurzaam maken.

Organisaties die nu beginnen met de cryptografische inventarisatie hebben de tijd om een ​​methodische migratie uit te voeren. Organisaties die in 2028 beginnen, zullen noodmigraties moeten uitvoeren onder tijdsdruk, waarbij de compatibiliteit met de vertrouwende partij een onbekende factor is. Het verschil zit hem in de planning, en planning begint met weten wat je hebt.

Als uw organisatie een PQC-migratiebeoordeling start of een crypto-agilityprogramma ontwerpt, neem dan contact op met Encryption Consulting.

Dit bericht wordt elke zes maanden herzien en wanneer NIST, NSA, ETSI of IETF updates publiceren over PQC-standaarden, tijdlijnen voor algoritme-overgangen of specificaties voor samengestelde certificaten die van invloed zijn op de PKI-migratieplanning.

Veelgestelde Vragen / FAQ

Wat is crypto-agility en waarom is het belangrijk voor PKI?

Crypto-flexibiliteit is de mogelijkheid om cryptografische algoritmen te vervangen zonder de systemen die ze gebruiken te hoeven vervangen. Voor PKI betekent dit dat de certificeringsinstantie (CA) certificaten kan uitgeven met ML-DSA in plaats van ECDSA door een certificaatprofiel bij te werken, en niet door de hardware of software van de CA te vervangen. Dit is belangrijk omdat NIST IR 8547 vaststelt dat RSA en ECC rond 2030 zullen worden uitgefaseerd en rond 2035 niet meer toegestaan ​​zullen zijn. PKIaaS biedt crypto-flexibiliteit omdat de algoritmekeuze in het certificaatprofiel plaatsvindt, en niet in de infrastructuur van de CA.

Welke NIST-standaarden voor post-kwantumcryptografie zijn van toepassing op PKI-certificaten?

NIST heeft in augustus 2024 drie PQC-standaarden afgerond. FIPS 204 (ML-DSA, gebaseerd op CRYSTALS-Dilithium) is het primaire post-kwantum digitale handtekeningalgoritme voor het ondertekenen van PKI-certificaten. FIPS 205 (SLH-DSA, gebaseerd op SPHINCS+) is een alternatief post-kwantum handtekeningalgoritme met hash-gebaseerde beveiligingsveronderstellingen. FIPS 203 (ML-KEM, gebaseerd op CRYSTALS-Kyber) is van toepassing op TLS-sleuteluitwisseling in plaats van certificaatondertekening. Voor PKI-certificaatmigratie is FIPS 204 ML-DSA het primaire migratiedoel voor CA-ondertekeningssleutels en abonneecertificaten.

Wat zijn hybride of samengestelde PQC-certificaten?

Een samengesteld certificaat bevat zowel een klassieke handtekening (ECDSA) als een post-quantum handtekening (ML-DSA) in één X.509-certificaat. Vertrouwende partijen die alleen ECDSA ondersteunen, kunnen het certificaat verifiëren met behulp van de klassieke component; vertrouwende partijen die zijn bijgewerkt om ML-DSA te ondersteunen, kunnen verifiëren met behulp van de post-quantum component. Dit maakt het mogelijk om met de PQC-migratie te beginnen voordat alle vertrouwende partijen zijn bijgewerkt, waardoor het niet nodig is om alle vertrouwende partijen te synchroniseren voordat PQC-certificaten kunnen worden geïmplementeerd.

Wat is de planning van NIST IR 8547 voor de uitfasering van RSA en ECC?

NIST IR 8547 stelt dat RSA en ECC rond 2030 niet meer gebruikt mogen worden voor nieuwe toepassingen (nieuwe systemen en certificaten moeten na deze datum PQC-algoritmen gebruiken) en rond 2035 niet meer zijn toegestaan ​​(bestaande RSA- en ECC-toepassingen moeten vóór deze datum gemigreerd zijn). Aangezien migratieprogramma's voor PQC-certificaten binnen bedrijven doorgaans 24 tot 48 maanden in beslag nemen voor alle certificaattypen, zouden organisaties nu al moeten beginnen met inventarisatie en planning om de uitfasering in 2030 te halen zonder noodmaatregelen te hoeven nemen.

Hoe zorgt PKIaaS ervoor dat algoritmemigratie sneller verloopt dan bij een zelfbeheerde PKI?

Bij zelfbeheerde PKI vereist algoritmemigratie updates van de CA-software, HSM-firmware, nieuwe certificaatsjablonen en wijzigingsbeheercycli voor elke CA afzonderlijk. Bij PKIaaS beheert de provider de actualiteit van de CA-software en HSM-firmware. Wanneer ML-DSA door het platform wordt ondersteund, werkt de klant de certificaatprofielen bij via de beheerinterface. Alle uitgevende CA's die dat profiel gebruiken, ontvangen de update gelijktijdig. Algoritmemigratie is een wijziging in de profielconfiguratie, geen upgradeproject voor meerdere CA-infrastructuur.