Om du signerar programvara eller firmware når post-kvantumövergången dig före nästan alla andra, och det tvingar fram ett val som resten av PQC-diskussionen oftast hoppar över. Det mesta av uppmärksamheten går till TLS och certifikat, som kan utfärdas på nytt inom några timmar när något behöver ändras. Firmware-signering är det motsatta fallet. Signaturen på en firmware-avbildning måste förbli verifierbar i tio eller femton år, på enheter du kanske aldrig fysiskt rör igen, mot en angripare som kanske redan har en kvantdator när dessa enheter går i pension.
Om den signaturen vilar på RSA eller ECDSA kan en kvantdator förfalska den, och förfalskad firmware är firmware som enheten litar på och kör. När roten till förtroendet är inbränd i hårdvaran finns det vanligtvis ingen patch som fixar det i efterhand. Det gör att de enheter du skickar i år är de mest exponerade och svårast att reparera när de väl är ute i fält. Det här är den delen av post-kvantmigreringen som inte kan vänta, och det är anledningen till att firmwaresignering har den tidigaste deadline i hela övergången.
Pressen är verklig, men svaren råder det inget tvivel om. De kvantsäkra signaturalgoritmerna för detta jobb, SLH-DSA , LMS och XMSS, är alla hashbaserade, alla standardiserade och alla byggda på kryptografi som har studerats i årtionden. Så frågan som signeringsteam står inför år 2026 är inte om det finns en lösning, utan vilken man ska använda, och den ärliga versionen av det beslutet är mer begränsad än den först verkar. Det här inlägget går igenom hur dessa algoritmer skiljer sig åt, avvägningen mellan tillståndsbaserad och tillståndslös i centrum för valet, och den enda regelverksvägledning som ofta fattar beslutet åt dig.
Varför hashbaserade signaturer, och varför nu
Kod- och firmwaresignering har en egenskap som de flesta kryptografiska system inte har: signaturen måste överleva nästan allt runt omkring den. Du signerar en firmware-avbildning en gång, och den signaturen kan behöva verifieras korrekt under hårdvarans hela livslängd, långt efter att signeringsinfrastrukturen har ändrats. Om algoritmen bakom den är trasig i det fönstret kan en angripare förfalska en signatur och skicka ut skadlig firmware som enheter litar helt på. För en förtroenderot som är inbränd i hårdvara kanske det inte finns något sätt att åtgärda det i fält.
Den långa horisonten är just därför kvantresistens är det viktigaste. Det är också därför hashbaserade signaturer är det valda verktyget. Till skillnad från RSA och ECDSA , som vilar på talteoretiska problem som en kvantdator kan lösa, vilar hashbaserade signaturer endast på säkerheten hos en hashfunktion som SHA-256. Hashfunktioner hotas inte meningsfullt av kvantdatorer, utöver en hanterbar minskning av styrka som större utdata absorberar. De är gamla, de är väl förstådda och de var redo långt innan de gitterbaserade schemana mognade. För något som måste förbli säkert i femton år är den meritlistan värd mycket.
SLH-DSA, LMS och XMSS är alla hashbaserade och delar samma underliggande struktur: många engångssignaturinstanser kombinerade till en enda offentlig nyckel via ett Merkle-träd. Skillnaderna mellan dem är vad beslutet beror på.
Den verkliga skillnaden: statsbaserad eller statslös
Den viktigaste skillnaden är inte prestanda eller signaturstorlek. Det är tillståndet.
LMS och XMSS är tillståndskänsliga. Varje privat nyckel kan bara producera ett fast antal signaturer, och signeraren måste spåra exakt vilka som har använts. Den spårningen är hela spelet. Om tillståndet någonsin hanteras fel, om en engångskomponent används två gånger på grund av att en nyckel återställdes från en säkerhetskopia, kopierades till en andra server eller kördes parallellt, kan en angripare som ser båda signaturerna förfalska nya. Matematiken som gör dessa system säkra beror helt på att man aldrig återanvänder en engångskomponent. Om tillståndet anges fel är säkerheten borta, i det tysta.
SLH-DSA är tillståndslös. Den utformades specifikt för att eliminera denna risk. Istället för att spåra använda signaturer gör den slumpmässiga val och förlitar sig på att sannolikheten för en kollision är försumbar liten. Det finns inget tillstånd att korrumpera, ingen räknare att förlora, ingen risk från en återställd säkerhetskopia. Det enda designvalet har stora operativa konsekvenser, vilket är nästa sak att väga in.
Vad du ger upp och vinner åt varje håll
Tillståndskänsliga signaturer (LMS och XMSS) är effektiva och kompakta i förhållande till det tillståndslösa alternativet, och de har en lång implementeringshistorik i just denna roll som signering av firmware. Kostnaden är operativ disciplin. Eftersom signeraren måste bibehålla tillståndet perfekt är signeringen knuten till en enda kontrollerad instans av nyckeln. Du kan inte köra signering parallellt fritt över många maskiner, eftersom det är just så du återanvänder tillståndet.
För en firmware-signeringsprocess där volymen av signaturer är känd och begränsad är detta vanligtvis en acceptabel begränsning, och det är därför dessa scheman passar firmware-fallet så bra. Den starka rekommendationen är dock att hålla nyckeln och dess tillståndshantering inuti hårdvaran, en HSM, så att tillståndet inte kan dupliceras eller återställas av misstag.
Mellan de två tillståndskänsliga alternativen är LMS det enklare och snabbare standardalternativet. Det använder färre klockcykler för nyckelgenerering, signering och verifiering, och det förbrukar mindre minne. XMSS lägger till en bitmaskkonstruktion som vissa team föredrar på grund av dess starkare säkerhetsantaganden, på bekostnad av mer hashning och högre minnesanvändning. För de flesta signeringsoperationer är den praktiska skillnaden liten, och LMS är en rimlig utgångspunkt om du inte specifikt vill ha det som XMSS erbjuder.
Statslösa signaturer (SLH-DSA) byter storlek mot säkerhet. SLH-DSA -signaturer är större, vilket kan vara viktigt för bandbreddsbegränsade enheter eller lagringsbegränsade uppdateringsmekanismer, och signering är beräkningsmässigt tyngre. I gengäld får du helt frihet från tillstånd. Eftersom det inte finns något att korrumpera kan SLH-DSA parallelliseras och köras över ett distribuerat signeringssystem utan den återanvändningsrisk som begränsar LMS och XMSS. För en högvolyms- eller distribuerad signeringsoperation där koordinering av tillstånd mellan maskiner skulle vara bräckligt, är den friheten värd de större signaturerna.
Fångsten som ofta avgör: CNSA 2.0
Det är här den rena trevägsjämförelsen brister, och det är den detalj som de flesta sammanfattningar begraver. Om din signering berör nationella säkerhetssystem, eller om dina kunder säljer in sig på dem, styr NSA:s CNSA 2.0 -svit ditt val, och CNSA 2.0 godkänner inte SLH-DSA.
För signering av programvara och firmware godkänner CNSA 2.0 de tillståndskänsliga scheman LMS och XMSS, hämtade från NIST SP 800-208, där LMS använder SHA-256/192 som den föredragna parameteruppsättningen. SLH-DSA är en slutgiltig NIST-standard under FIPS 205, och den är helt legitim för kommersiell signering, men den är inte en del av CNSA 2.0 och är inte godkänd för NSS. ML-DSA, den gitterbaserade standarden för tillståndslösa signaturer, är också godkänd under CNSA 2.0 och är det förnuftiga alternativet när din signeringsvolym överstiger vad en enda tillståndskänslig nyckel rimligen kan hantera, eller när du behöver distribuerad signering.
Så beslutet delas upp längs en linje. Om du är intresserad av CNSA 2.0 är ditt tillståndslösa alternativ i praktiken ML-DSA, inte SLH-DSA, och du kommer sannolikt att bygga på LMS eller XMSS med hårdvarubaserad tillståndshantering. Om du väljer den kommersiella världen har du hela menyn, och avvägningen tillståndsfull kontra tillståndslös ovan är ett genuint ingenjörsval snarare än en efterlevnadsbegränsning.
Tidspressen är verklig i vilket fall som helst. Firmware-signering har den tidigaste deadline i hela post-kvantumövergången, eftersom firmware-rötter av förtroende är de svåraste sakerna att ändra efter att de har levererats. Under CNSA 2.0 har förväntningen varit att börja använda dessa signaturer redan nu, med förvärvsgatewayen för mjukvaru- och firmware-signering som kommer långt före den bredare 2035-överföringen. Oavsett om CNSA 2.0 binder dig eller inte, gäller den underliggande logiken: ju längre dina signaturer måste vara giltiga, desto mindre tid har du på dig att göra övergången.
Hur krypteringskonsulting kan hjälpa
Att välja mellan tillståndsbaserad och tillståndslös signering, och sedan använda den på ett säkert sätt, är en blandning av strategi och detaljerade implementeringsdetaljer. Det är det arbete vi gör.
CodeSign Secure , vår kodsigneringslösning, är byggd för att skydda signeringsnycklar och upprätthålla kontrollerade signeringsarbetsflöden, vilket är precis vad dessa kvantsäkra scheman kräver. Den ger dig en styrd signeringsprocess för programvara, firmware och andra artefakter, med de policykontroller och nyckelskydd som är viktigast när du övergår till LMS, XMSS eller en tillståndslös algoritm. För tillståndskänsliga scheman, där en enda tillståndsfel kan ångra hela säkerhetsmodellen, är det att signeringen körs genom ett disciplinerat, centraliserat system snarare än ad hoc-skript som förhindrar att en engångsnyckel någonsin återanvänds.
Eftersom de tillståndskänsliga schemana i praktiken kräver hårdvarubaserad nyckel- och tillståndshantering är HSM-as-a-Service den naturliga grunden under dem. Det håller dina signeringsnycklar isolerade i en hårdvarusäkerhetsmodul, så att det tillstånd som LMS och XMSS är beroende av inte kan kopieras, återställas från en säkerhetskopia eller köras parallellt, de fellägen som förvandlar en tillståndskänslig signatur till en förfalskningsbar.
Att bestämma vilken algoritm som passar dina enheter, din signeringsvolym och dina efterlevnadsskyldigheter är där våra rådgivningstjänster för postkvantkryptografi kommer in i bilden. Vi hjälper dig att väga avvägningen mellan tillståndsfull och tillståndslös mot dina verkliga begränsningar, tar hänsyn till CNSA 2.0 om det gäller dig och skapar en migreringsplan för din signeringsinfrastruktur som passar den tidslinje du arbetar mot.
Om du planerar kvantsäker signering för dina produkter, eller försöker bestämma dig mellan LMS, XMSS och ett tillståndslöst schema innan du binder dig, kontakta oss . Vi kan hjälpa dig att fatta beslutet och bygga upp infrastrukturen bakom det.
Slutsats
Övergången till kvantsäker kod- och firmwaresignering är en av de få delarna av PQC-övergången där algoritmerna är fastställda och deadline är nära. SLH-DSA, LMS och XMSS är alla sunda, hashbaserade och kvantresistenta. Valet mellan dem beror på om du kan hantera tillstånd säkert och om något driver dig mot en tillståndslös design.
För de flesta team är de avgörande faktorerna efterlevnad och drift. Om CNSA 2.0 gäller tillhör den tillståndslösa platsen vid bordet ML-DSA, och dina hashbaserade alternativ är LMS och XMSS med hårdvarubaserade tillstånd. Om det inte gör det är SLH-DSA ett legitimt sätt att helt undvika tillståndshanteringsbördan, till priset av större signaturer. Båda vägarna fungerar, men bara om signeringsnycklarna är skyddade och processen är tillräckligt disciplinerad så att en engångsnyckel aldrig används två gånger.
Firmware som du signerar i år kan fortfarande köras, och fortfarande behöva verifieras, långt efter att kvantdatorer anländer. Det är anledningen till att detta beslut inte kan vänta, och anledningen till att det är värt att göra rätt första gången.
