Post-Quantum S/MIME en veilige e-mailmigratie

Kort antwoord: Post-quantum S/MIME heeft een coderingsprobleem en een beveiligingsprobleem, en alleen het eerste is opgelost. IETF-standaarden staan ​​al toe dat een X.509-certificaat een ML-KEM-publieke sleutel bevat en dat CMS ML-KEM-ontvangersinformatie via KEMRecipientInfo doorgeeft, dus de mechanismen voor het uitgeven en gebruiken van post-quantum S/MIME-certificaten bestaan ​​al. Wat niet is opgelost, is dat RSA vroeger zowel encryptie als ondertekening met één sleutel afhandelde; geen enkel post-quantum-algoritme doet beide, dus S/MIME vereist nu twee aparte certificaten per gebruiker. En in een versleuteld bericht met meerdere ontvangers is het bericht slechts zo goed beveiligd als het zwakste pad van de ontvangers: als zelfs maar één ontvanger nog een klassiek certificaat heeft, kan een aanvaller de gedeelde inhoudsversleutelingssleutel via die ontvanger achterhalen, ongeacht hoeveel andere ontvangers post-quantum-compatibel zijn.

S/MIME-migratie wordt vaak gezien als een kleinere variant van de TLS-certificaatmigratie: een nieuw certificaattype uitgeven en verdergaan. Structureel gezien is het echter complexer. E-mailversleuteling is inherent gericht op meerdere ontvangers, archivering en is gebaseerd op een certificaatmodel dat ervan uitgaat dat één sleutel twee functies kan vervullen. Al deze drie aannames moeten specifiek voor post-kwantum S/MIME herzien worden.

Key Takeaways

• IETF-standaarden ondersteunen ML-KEM in X.509-certificaten en CMS KEMRecipientInfo, dus de coderingsmechanismen voor post-quantum S/MIME bestaan ​​al.
• RSA kan zowel ondertekenen als versleutelen met dezelfde sleutel; geen enkel post-kwantumalgoritme van NIST kan beide, dus S/MIME vereist aparte ML-KEM- (versleuteling) en ML-DSA- (ondertekening)certificaten per gebruiker.
• Post-kwantumvertrouwelijkheid in een bericht met meerdere ontvangers is een eigenschap van elk ontvangerpad, niet van één enkel pad: één ontvanger die alleen klassieke encryptie gebruikt, maakt het mogelijk om de gedeelde inhoudsversleutelingssleutel klassiek te achterhalen voor het hele bericht.
• Gearchiveerde, versleutelde e-mails die alleen beveiligd zijn met klassiek sleutelbeheer, blijven permanent kwetsbaar tenzij ze actief opnieuw worden versleuteld; een post-quantum certificaat dat vandaag is uitgegeven, biedt geen retroactieve bescherming voor berichten van gisteren.
• De compatibiliteit tussen ontvanger en gateway, en niet de uitgifte van certificaten, is in de praktijk het grootste knelpunt, aangezien elke e-mailclient en beveiligde e-mailgateway in een communicatiepad het post-quantum certificaatformaat moet ondersteunen.

Waarom S/MIME nu twee certificaten nodig heeft in plaats van één.

De dubbele functionaliteit van RSA, waarbij hetzelfde sleutelpaar een bericht kan ondertekenen en een bericht dat aan u is gericht kan decoderen, vormde het oorspronkelijke certificaatmodel van S/MIME rond één enkel identiteitscertificaat. Post-kwantumalgoritmen doorbreken die aanname radicaal: ML-KEM (FIPS 203) voert alleen sleutelinkapseling uit en ML-DSA (FIPS 204) produceert alleen handtekeningen. Er bestaat geen post-kwantumequivalent dat beide doet.

Het praktische gevolg hiervan is dat elke gebruiker voortaan twee certificaten nodig heeft: een ML-KEM-certificaat voor het ontvangen van versleutelde e-mail en een apart ML-DSA-certificaat voor het ondertekenen van uitgaande e-mail. Dit is geen onbelangrijk implementatiedetail. Het verdubbelt ruwweg de overhead voor het uitgeven, beheren en intrekken van certificaten per gebruiker, en het betekent dat certificaatsjablonen, inschrijvingsworkflows en adresboekopzoekingen die zijn gebouwd rond één enkel S/MIME-certificaat, volledig opnieuw ontworpen moeten worden, en niet slechts een configuratiewijziging vereisen.

De zekerheidskloof bij meerdere begunstigden

Dit is het minst begrepen onderdeel van post-quantum S/MIME, en het is belangrijker dan de mechanismen voor certificaatuitgifte. Een S/MIME-versleuteld bericht gebruikt één enkele inhoudsversleutelingssleutel (CEK) om de berichtinhoud te beschermen. Deze CEK wordt vervolgens voor elke ontvanger afzonderlijk versleuteld met behulp van de publieke sleutel van die ontvanger. In een gemengde omgeving beschikken sommige ontvangers mogelijk over post-quantum ML-KEM-certificaten, terwijl anderen nog steeds klassieke RSA- of ECDH-certificaten hebben.

Recente cryptografische analyses van dit specifieke scenario maken het punt duidelijk: post-kwantumvertrouwelijkheid is een eigenschap van het hele bericht, niet van het certificaat van een individuele ontvanger. Elk geldig pad naar de gedeelde CEK moet voldoen aan de post-kwantumvereiste, omdat een aanvaller alleen het zwakste pad hoeft te kraken om de CEK te achterhalen en het bericht voor elke ontvanger te lezen, inclusief degenen met sterke post-kwantumcertificaten. Een bericht dat naar vijf ontvangers wordt verzonden, vier met ML-KEM-certificaten en één met een RSA-certificaat, biedt exact dezelfde vertrouwelijkheid als RSA voor elke ontvanger, en niet vier vijfde post-kwantumbescherming.

Dit betekent dat een S/MIME-implementatie na het kwantumtijdperk niet certificaat voor certificaat kan worden geëvalueerd. De evaluatie moet plaatsvinden per gesprek, per distributielijst, met een expliciet beleid voor wat er gebeurt wanneer een bericht anders naar een gemengde groep ontvangers van zowel post-kwantum- als klassieke communicatie zou worden gestuurd.

Compatibiliteit van de ontvanger en gateway-ondersteuning

Elke e-mailclient in een communicatiepad, en elke beveiligde e-mailgateway die S/MIME-verkeer inspecteert, doorstuurt of archiveert, moet het post-quantum certificaatformaat en de KEMRecipientInfo-structuur begrijpen voordat een bericht correct kan worden verwerkt. Een gateway die een post-quantum certificaat niet kan parseren, zal het bericht waarschijnlijk direct weigeren in plaats van het door te sturen, vergelijkbaar met het harde foutpatroon dat wordt gezien bij samengestelde certificaten op niet-herkende OID's. Inventariseer elke e-mailclientversie en elke gateway in uw omgeving voordat u een implementatietijdlijn vaststelt. Deze discipline is van belang voor elke PKI-migratie, maar dan specifiek toegepast op het e-mailpad.

Gearchiveerde post: een ander soort risico

Versleutelde e-mailarchieven brengen het risico met zich mee dat gegevens nu worden verzameld en later worden ontsleuteld. Een toekomstgerichte certificaatmigratie lost dit risico op zichzelf niet op. E-mail die jaren geleden is versleuteld met klassieke RSA- of ECDH-certificaten blijft alleen door dat klassieke mechanisme voor onbepaalde tijd beschermd; het uitgeven van nieuwe ML-KEM-certificaten biedt geen bescherming aan berichten die al in een archief staan. Organisaties met lange bewaartermijnen voor e-mail, zoals vaak het geval is in gereguleerde sectoren, hebben een aparte, expliciete beslissing nodig over de vraag of historisch gearchiveerde versleutelde e-mail opnieuw moet worden versleuteld met post-quantum-sleutels, en tegen wanneer, in plaats van ervan uit te gaan dat een migratie naar de toekomst dit dekt.

Certificaatprofielen en overgangsmodellen

Het meest werkbare transitiemodel gebruikt parallel klassieke en post-quantum S/MIME-certificaten per gebruiker, in plaats van een abrupte overgang. Geef het tweede certificaatpaar (ML-KEM plus ML-DSA) uit naast het bestaande RSA-certificaat en laat e-mailclients en gateways per gesprek de sterkste, wederzijds ondersteunde optie kiezen. Dit weerspiegelt de hybride aanpak die elders bij PQC-migraties wordt gebruikt, waarbij nieuwe e-mail wordt beschermd naarmate post-quantum-compatibele ontvangers online komen, zonder de e-mailstroom naar ontvangers die dat nog niet zijn te onderbreken. De hierboven beschreven beveiligingskloof voor meerdere ontvangers betekent dat het daadwerkelijke beveiligingsvoordeel pas volledig tot uiting komt wanneer elke ontvanger in een bepaalde thread de overstap heeft gemaakt.

Wat we daadwerkelijk zouden aanbevelen

Plan vanaf het begin voor dubbele certificaten per gebruiker: ML-KEM voor encryptie en ML-DSA voor ondertekening, in plaats van ervan uit te gaan dat één certificaattype S/MIME dekt zoals onder RSA het geval was. Beschouw distributielijsten met meerdere ontvangers als een beleidsbeslissing, niet als een technische bijkomstigheid, en bepaal expliciet wat er gebeurt wanneer een bericht naar een gemengd post-quantum en klassiek publiek wordt verzonden. Integreer compatibiliteitstests voor ontvangers en gateways in de uitrol vóór de brede implementatie, en neem een ​​weloverwogen, gedateerde beslissing over het opnieuw versleutelen van gearchiveerde e-mail in plaats van de standaardinstelling "niet geadresseerd" te laten.

Hoe encryptieconsultancy kan helpen

Het model met dubbele certificaten dat in deze handleiding wordt beschreven, is precies waarvoor CertSecure Manager is ontworpen: het geeft de gekoppelde ML-KEM- en ML-DSA-certificaten uit en beheert deze vanuit één beleidslaag. Hierdoor verdubbelen de kosten voor het uitgeven van dubbele certificaten per gebruiker en de bijbehorende overhead voor de levenscyclus en intrekking uw operationele lasten niet.

Onze PQC Advisory Services ontwikkelen het transitiebeleid en het archiveringsherversleutelingsplan dat in deze handleiding wordt beschreven, tot een gestructureerd S/MIME-migratieplan, inclusief het beleid op distributielijstniveau dat nodig is om de beveiligingskloof voor meerdere ontvangers te dichten.

De uitgifte was nooit het moeilijkste.

Het uitgeven van post-quantum S/MIME-certificaten is technisch gezien eenvoudig; de standaarden voor het coderen van ML-KEM en ML-DSA in certificaten en CMS-berichten bestaan ​​al. Wat echt lastig is, is dat e-mail een protocol voor meerdere partijen is, en dat post-quantum vertrouwelijkheid zich niet gelijkmatig verdeelt over een distributielijst zoals vaak wordt aangenomen bij de uitrol van certificaatuitgifte. Het correct implementeren van het model met dubbele certificaten, het beschouwen van bescherming voor meerdere ontvangers als een beleidsbeslissing en het bewust bepalen wat er met gearchiveerde e-mail gebeurt, zijn de onderdelen van deze migratie die daadwerkelijk bepalen of de beloofde bescherming wordt geboden.

Veelgestelde Vragen / FAQ

Waarom vereist post-quantum S/MIME twee certificaten in plaats van één?

RSA kan zowel ondertekenen als ontsleutelen met hetzelfde sleutelpaar. Geen enkel post-kwantumalgoritme van NIST voert beide functies uit: ML-KEM verzorgt alleen de sleutelinkapseling voor versleuteling en ML-DSA genereert alleen handtekeningen. S/MIME heeft daarom een ​​apart certificaat nodig voor elke functie.

Is een bericht beveiligd als slechts sommige ontvangers over post-quantumcertificaten beschikken?

Nee, niet helemaal. De gedeelde inhoudsversleutelingssleutel van het bericht wordt voor elke ontvanger afzonderlijk versleuteld, en een aanvaller hoeft alleen het zwakste pad van de ontvanger te kraken om deze te achterhalen. Een enkele ontvanger die alleen klassieke versleuteling gebruikt, reduceert de effectieve vertrouwelijkheid van het hele bericht tot klassieke bescherming.

Biedt het uitgeven van S/MIME-certificaten na de quantumoverschrijding bescherming aan eerder gearchiveerde, versleutelde e-mailberichten?

Nee. E-mail die al versleuteld is met klassieke algoritmen, blijft alleen beschermd door die klassieke mechanismen. Het beschermen van archiefmail vereist een expliciete beslissing om deze opnieuw te versleutelen, wat een toekomstgerichte certificaatmigratie niet automatisch doet.

Wat is het aanbevolen transitiemodel voor S/MIME-certificaten?

Geef post-quantum ML-KEM- en ML-DSA-certificaten uit naast bestaande klassieke certificaten in plaats van ze volledig te vervangen. Laat e-mailclients de sterkste, door beide partijen ondersteunde optie kiezen. Dit voorkomt dat de e-mailstroom wordt onderbroken naar ontvangers die nog niet post-quantum-compatibel zijn.

Bestaan ​​er standaarden voor het coderen van post-kwantumalgoritmen in S/MIME-certificaten?

Ja. ML-KEM-publieke sleutels kunnen worden weergegeven in X.509-certificaten en CMS kan ML-KEM-ontvangerinformatie doorgeven via de KEMRecipientInfo-structuur. Het coderingsprobleem is opgelost; de resterende uitdagingen zijn operationeel van aard, met name de beveiligingskloof voor meerdere ontvangers en de compatibiliteit tussen client en gateway.