Post-Quantum S/MIME och säker e-postmigrering

Snabbt svar: Post-kvantum S/MIME har ett kodningsproblem och ett säkerhetsproblem, och endast det första är löst. IETF-standarder låter redan ett X.509-certifikat bära en ML-KEM-publik nyckel och låter CMS bära ML-KEM-mottagarinformation via KEMRecipientInfo, så mekaniken för att utfärda och använda post-kvantum S/MIME-certifikat finns idag. Det som inte är löst är att RSA brukade hantera både kryptering och signering med en nyckel; ingen post-kvantumalgoritm gör båda, så S/MIME kräver nu två separata certifikat per användare. Och i ett krypterat meddelande med flera mottagare är meddelandet bara så skyddat som dess svagaste mottagarväg: om även en mottagares certifikat fortfarande är klassiskt kan en angripare återställa den delade innehållskrypteringsnyckeln genom den mottagaren oavsett hur många andra som är post-kvantumkapabla.

S/MIME-migrering behandlas som en mindre kusin till TLS-certifikatmigreringen, utfärda en ny certifikattyp och gå vidare. Strukturellt sett skiljer det sig mer än så. E-postkryptering är i sig flera mottagare, arkiverande till sin natur och byggd på en certifikatmodell som antog att en nyckel kunde göra två jobb. Alla tre dessa antaganden behöver omprövas specifikt för post-kvantum S/MIME.

Key Takeaways

• IETF-standarder stöder ML-KEM i X.509-certifikat och CMS KEMRecipientInfo, så kodningsmekaniken för post-quantum S/MIME finns redan.
• RSA skulle kunna signera och kryptera med samma nyckel; ingen NIST post-kvantumalgoritm gör båda, så S/MIME kräver separata ML-KEM (kryptering) och ML-DSA (signering) certifikat per användare.
• Postkvantumkonfidentialitet i ett meddelande med flera mottagare är en egenskap för varje mottagarsökväg, inte för någon enskild: en enda klassisk mottagare gör den delade innehållskrypteringsnyckeln återställningsbar klassiskt för hela meddelandet.
• Arkiverad krypterad e-post som endast skyddas av klassisk nyckelhantering förblir permanent sårbar om den inte aktivt omkrypteras; ett post-kvantumcertifikat som utfärdas idag skyddar inte retroaktivt gårdagens meddelanden.
• Mottagarens och gatewayens kompatibilitet, inte certifikatutfärdandet, är den praktiska flaskhalsen, eftersom varje e-postklient och säker e-postgateway i en kommunikationsväg måste stödja post-quantum-certifikatformatet.

Varför S/MIME behöver två certifikat nu, inte ett

RSA:s dubbla funktion, där samma nyckelpar signerar ett meddelande och dekrypterar ett adresserat till dig, formade S/MIME:s ursprungliga certifikatmodell kring ett enda identitetscertifikat. Postkvantalgoritmer bryter helt och hållet mot det antagandet: ML-KEM (FIPS 203) utför endast nyckelinkapsling, och ML-DSA (FIPS 204) producerar endast signaturer. Det finns ingen postkvantmässig motsvarighet som gör båda.

Den praktiska konsekvensen är att varje användare behöver två certifikat framöver: ett ML-KEM-certifikat för att ta emot krypterad e-post och ett separat ML-DSA-certifikat för att signera utgående e-post. Detta är inte en mindre detalj i implementeringen. Det fördubblar ungefär kostnaden för certifikatutfärdande, livscykelhantering och återkallelse per användare, och det innebär att certifikatmallar, registreringsflöden och katalogsökningar som byggs kring ett enda S/MIME-certifikat behöver en verklig omdesign, inte en konfigurationsändring.

Gapet i garantier för flera mottagare

Detta är den minst förstådda delen av post-quantum S/MIME, och den är viktigare än certifikatutfärdandemekanismen. Ett S/MIME-krypterat meddelande använder en enda innehållskrypteringsnyckel (CEK) för att skydda meddelandets brödtext, och den CEK:n paketeras sedan separat för varje mottagare med hjälp av mottagarens egen publika nyckel. I en blandad miljö kan vissa mottagare ha post-quantum ML-KEM-certifikat medan andra fortfarande har klassiska RSA- eller ECDH-certifikat.

Nyligen genomförd kryptografisk analys av just detta scenario visar exakt vad som menas: post-kvantum-konfidentialitet är en egenskap hos hela meddelandet, inte hos någon enskild mottagares certifikat. Varje giltig sökväg till den delade CEK:n måste uppfylla post-kvantum-kravet, eftersom en angripare bara behöver bryta den svagaste sökvägen för att återställa CEK:n och läsa meddelandet för varje mottagare, inklusive de med starka post-kvantum-certifikat. Ett meddelande som skickas till fem mottagare, fyra med ML-KEM-certifikat och en fortfarande på RSA, erbjuder exakt RSA-konfidentialitet för varje mottagare, inte fyra femtedelars post-kvantum-skydd.

Det här innebär att en post-quantum S/MIME-utrullning inte kan utvärderas certifikat för certifikat. Den måste utvärderas konversation för konversation, distributionslista för distributionslista, med en tydlig policy för vad som händer när ett meddelande annars skulle gå till en blandad grupp av post-quantum- och klassiska mottagare.

Mottagarkompatibilitet och gateway-stöd

Varje e-postklient i en kommunikationsväg, och varje säker e-postgateway som inspekterar, vidarebefordrar eller arkiverar S/MIME-trafik, måste förstå formatet för post-quantum-certifikat och KEMRecipientInfo-strukturen innan den kan bearbeta ett meddelande korrekt. En gateway som inte kan analysera ett post-quantum-certifikat kommer sannolikt att misslyckas med meddelandet direkt snarare än att skicka det igenom, liknande mönstret för hårda misslyckanden som ses med sammansatta certifikat på okända OID:er. Inventera varje e-postklientversion och varje gateway i din miljö innan du förbinder dig till en tidslinje för utrullning, samma disciplin som är viktig för alla PKI-migreringar, tillämpat specifikt på e-postvägen.

Arkivpost: En annan sorts risk

Krypterade e-postarkiv utgör en risk av typen "skörda-nu-dekryptera-senare" som en framåtblickande certifikatmigrering i sig inte åtgärdar. E-post som krypterades för flera år sedan under klassisk RSA eller ECDH förblir skyddad endast av den klassiska mekanismen på obestämd tid; att utfärda nya ML-KEM-certifikat idag gör ingenting för att skydda meddelanden som redan finns i ett arkiv. Organisationer med långa krav på e-postlagring, vanliga inom reglerade branscher, behöver ett separat, uttryckligt beslut om huruvida historiskt arkiverad krypterad e-post ska krypteras om under postkvantnycklar, och när, snarare än att anta att en framåtblickande migrering täcker det.

Certifikatprofiler och övergångsmodeller

Den mest fungerande övergångsmodellen kör klassiska och post-quantum S/MIME-certifikat parallellt per användare, snarare än en hård övergång. Utfärda det andra certifikatparet (ML-KEM plus ML-DSA) tillsammans med det befintliga RSA-certifikatet, och låt e-postklienter och gateways förhandla fram det starkaste ömsesidigt stödda alternativet per konversation. Detta speglar den hybridmetod som används på andra ställen i PQC-migrering, vilket skyddar ny e-post när post-quantum-kapabla mottagare kommer online, utan att avbryta e-postflödet till mottagare som inte är där än, medan gapet i säkerhetsgaranti för flera mottagare ovan innebär att den faktiska säkerhetsfördelen bara materialiseras fullt ut när varje mottagare i en given tråd har gjort hoppet.

Vad vi egentligen skulle rekommendera

Planera för dubbla certifikat per användare från början, ML-KEM för kryptering och ML-DSA för signering, snarare än att anta att en enda certifikattyp täcker S/MIME på samma sätt som under RSA. Behandla distributionslistor med flera mottagare som ett policybeslut, inte en teknisk eftertanke, och bestäm explicit vad som händer när ett meddelande skulle gå till en blandad post-kvantum- och klassisk publik. Bygg in kompatibilitetstestning av mottagare och gateway i utrullningen före bred distribution, och fatta ett medvetet, daterat beslut om omkryptering av arkiverad e-post snarare än att låta det som standard vara "ej adresserat".

Hur krypteringskonsulting kan hjälpa

Den dubbla certifikatmodell som den här guiden beskriver är precis vad CertSecure Manager är byggd för att hantera: den utfärdar och spårar de parade ML-KEM- och ML-DSA-certifikaten från ett enda policyplan, så dubbel utfärdande per användare och den resulterande livscykel- och återkallningskostnaden fördubblar inte din operativa börda.

Våra PQC-rådgivningstjänster bygger upp övergångspolicyn och planen för arkivomkryptering som den här guiden täcker i en strukturerad S/MIME-migreringsfärdplan, inklusive den policy på distributionslistenivå som kraven i gapet för flera mottagare kräver.

Utgivning var aldrig den svåra delen

Post-quantum S/MIME-certifikat är tekniskt sett enkla att utfärda; standarderna för att koda ML-KEM och ML-DSA i certifikat och CMS-meddelanden finns redan. Det som verkligen är svårt är att e-post är ett flerpartsprotokoll, och post-quantum-konfidentialitet fördelas inte jämnt över en distributionslista på det sätt som certifikatutfärdande ofta förutsätter. Att få modellen med dubbla certifikat rätt, behandla skydd för flera mottagare som ett policybeslut och medvetet bestämma vad som händer med arkiverad e-post är de delar av denna migrering som faktiskt avgör om den ger det skydd den utlovar.

Vanliga frågor om partihandel med mat och dryck

Varför kräver post-quantum S/MIME två certifikat istället för ett?

RSA kunde både signera och dekryptera med samma nyckelpar. Ingen NIST post-kvantumalgoritm utför båda funktionerna: ML-KEM hanterar endast nyckelinkapsling för kryptering, och ML-DSA producerar endast signaturer. S/MIME behöver därför ett separat certifikat för varje funktion.

Är ett meddelande skyddat om bara vissa mottagare har post-quantum-certifikat?

Nej, inte helt. Meddelandets delade innehållskrypteringsnyckel paketeras separat för varje mottagare, och en angripare behöver bara bryta den svagaste mottagarens sökväg för att återställa den. En enda mottagare med endast klassiskt skydd minskar den effektiva sekretessen för hela meddelandet till klassiskt skydd.

Skyddar utfärdande av post-quantum S/MIME-certifikat tidigare arkiverad krypterad e-post?

Nej. E-post som redan är krypterad med klassiska algoritmer förblir endast skyddad av dessa klassiska mekanismer. Att skydda arkiverad e-post kräver ett uttryckligt beslut att kryptera den igen, vilket en framåtblickande certifikatmigrering inte gör automatiskt.

Vilken är den rekommenderade övergångsmodellen för S/MIME-certifikat?

Utfärda post-quantum ML-KEM- och ML-DSA-certifikat tillsammans med befintliga klassiska certifikat istället för att ersätta dem helt och hållet, så att e-postklienter förhandlar fram det starkaste ömsesidigt stödda alternativet. Detta undviker att avbryta e-postflödet till mottagare som ännu inte är post-quantum-kapabla.

Finns det standarder för att koda post-kvantumalgoritmer till S/MIME-certifikat?

Ja. ML-KEM:s publika nycklar kan representeras i X.509-certifikat, och CMS kan bära ML-KEM-mottagarinformation genom KEMRecipientInfo-strukturen. Kodningsproblemet är löst; de återstående utmaningarna är operativa, särskilt gapet i garantin för flera mottagare och kompatibilitet mellan klienter och gateways.