Post-Quantum Code Signing med ML-DSA och LMS

Postkvantkodsignering är praxis att signera programvara, firmware och uppdateringar med kvantresistenta algoritmer, främst ML-DSA (FIPS 204) för generell signering och hashbaserade LMS- eller XMSS-scheman (NIST SP 800-208) för firmware, så att signaturer förblir tillförlitliga efter att kvantdatorer kan bryta RSA och ECDSA.

Postkvantkodsignering ersätter RSA- och ECDSA-signaturerna som används i dagens kodsignering med kvantresistenta algoritmer. De två huvudvalen är ML-DSA (FIPS 204), en gitterbaserad signatur som är lämplig för generell signering och signering av stora volymer, och LMS eller XMSS (NIST SP 800-208), tillståndskänsliga hashbaserade signaturer som NSA rekommenderar för signering av firmware och programuppdateringar idag. Eftersom signerad kod kan finnas kvar i åratal är denna migrering en av de mest brådskande i kvantövergången.

Key Takeaways

• Postkvantkodsignering använder kvantresistenta algoritmer så att programvaru- och firmwaresignaturer inte kan förfalskas när en kvantdator väl har gått sönder. RSA och ECDSA.
• ML-DSA (FIPS 204) är det lattice-baserade, generella alternativet: tillståndslöst, högt dataflöde och väl lämpat för frekvent programvarusignering. Det slutfördes i augusti 2024.
• LMS och XMSS (NIST SP 800-208) är tillståndssäkra hashbaserade signaturer. NSA rekommenderar dem för signering av firmware- och programuppdateringar idag, men de kräver strikt spårning av nyckelstatus, vilket gör säker nyckelhantering avgörande.
• Signerad kod har lång hållbarhet, så en signatur som skapas idag måste motstå en kvantdator som anländer flera år senare. Det är därför kodsignering är ett högprioriterat migreringsområde under CNSA 2.0.
• Inte alla HSM:er stöder ML-DSA ännu, så en riktig migrering innebär att bekräfta stöd för HSM och verktygskedjor, pilotprojekt i icke-produktion och ofta dubbel- eller hybridsignering under övergången.

Varför kodsignering måste ske post-kvantum

Kodsignering bevisar att programvaran kommer från en betrodd utgivare och inte har ändrats. Den förlitar sig nästan helt på RSA- och ECDSA -signaturer, vilka båda en tillräckligt kraftfull kvantdator kan förfalska med hjälp av Shors algoritm. Om en angripare kan förfalska en kodsignatur kan de distribuera skadlig programvara som operativsystem, pakethanterare och enheter accepterar som äkta, vilket är bland de mest skadliga attackerna som är möjliga.

Två faktorer gör detta brådskande snarare än teoretiskt. För det första är signerade artefakter långlivade: firmware, drivrutiner och operativsystemavbildningar som signeras idag kan fortfarande verifieras om ett decennium eller mer, så en signatur måste motstå framtidens kvantdatorer, inte bara dagens. För det andra är verifieringsalgoritmen i många system svår att ändra efter driftsättning. Det är därför NSA:s CNSA 2.0 -vägledning behandlar kod- och firmwaresignering som ett högprioriterat migreringsområde, före många andra kryptografiska övergångar.

De två huvudsakliga metoderna: ML-DSA och hashbaserad (LMS/XMSS)

Postkvantkodsignering kretsar kring två algoritmfamiljer, och valet mellan dem är det centrala beslutet. De kompletterar varandra, inte konkurrerar, och många organisationer kommer att använda båda.

ML-DSA (FIPS 204)

ML-DSA är en gitterbaserad signaturalgoritm, färdigställd av NIST i augusti 2024, och det är den allmänna standarden för postkvantsignering. Dess viktigaste fördelar för kodsignering är att den är statslös, så det finns ingen bokföring per signatur, och den erbjuder obegränsad signeringskapacitet med stark prestanda, vilket passar signering med hög volym och hög genomströmning, såsom kontinuerliga programvarubyggen.

Dess huvudsakliga kostnad är större signaturer och nycklar än klassiska algoritmer, men mindre än de hashbaserade alternativen i många konfigurationer.

LMS och XMSS (NIST SP 800-208)

LMS (Leighton-Micali Signature) och XMSS (eXtended Merkle Signature Scheme) är tillståndssäkra hashbaserade signaturer, standardiserade av NIST 2019. Deras säkerhet vilar endast på egenskaperna hos hashfunktioner, den mest konservativa och väl förstådda grunden inom kryptografi, vilket är anledningen till att NSA rekommenderar dem för signering av firmware och programuppdateringar idag.

Haken är att de är tillståndskänsliga: varje privat nyckel kan bara producera ett fast antal signaturer , och signeraren måste spåra vilka engångsnycklar som har använts, eftersom återanvändning av en nyckel bryter mot säkerheten. Detta gör dem idealiska för sällsynt, kontrollerad signering, såsom firmware-utgåvor, och opraktiska för högfrekvent signering.

SLH-DSA (FIPS 205): det statslösa hashbaserade alternativet

SLH-DSA , som slutfördes i augusti 2024, är en tillståndslös hashbaserad signatur. Den erbjuder den konservativa hashbaserade säkerheten hos LMS och XMSS utan tillståndshanteringsbördan, på bekostnad av större signaturer. Det är ett starkt val där en organisation vill ha hashbaserad säkerhet men inte kan hantera signeringsstatus.

Algoritm	Typ	Bästa kodsigneringslösning
ML-DSA (FIPS 204)	Gitterbaserad, statslös	Generell programvarusignering i hög volym; CI/CD
LMS / XMSS (SP 800-208)	Hashbaserad, tillståndskänslig	Signering av firmware och sällsynta uppdateringar; rekommenderas av NSA idag
SLH-DSA (FIPS 205)	Hashbaserad, statslös	Konservativ långlivad undertecknande utan statlig ledning

Hur man väljer: ML-DSA eller LMS/XMSS

Beslutet beror på signeringsfrekvens, den konservatism som krävs och den operativa komplexiteten.

• Välj ML-DSA när du signerar ofta eller med hög volym, vill ha tillståndslös enkelhet i CI/CD och är bekväm med gitterbaserad säkerhet. Detta passar de flesta allmänna programvarusigneringer.
• Välj LMS eller XMSS när du signerar sällan, behöver den mest konservativa hashbaserade säkerheten för långlivad firmware och följer CNSA 2.0-riktlinjerna för signering av firmware- och programuppdateringar idag. Var redo att hantera signeringsstatus.
• Välj SLH-DSA när ni vill ha hashbaserad konservatism men kan inte acceptera den operativa bördan av statlig förvaltning, och kan tolerera större signaturer.

Många organisationer kombinerar dem: LMS eller XMSS för firmware och säker startrot som måste vara maximalt konservativa, och ML-DSA för applikationer och paketsignering med högre volym där dataflödet är viktigt.

Migreringsvägen till post-kvantkodsignering

1. Inventera din signering: Hitta alla platser där din organisation signerar kod och firmware, vilka algoritmer och nyckelstorlekar som används och var nycklarna finns. Du kan inte migrera det du inte kan se.
2. Prioritera efter livslängd: Börja med de signaturer som måste förbli giltiga längst och är svårast att ändra: firmware, säker startrot och långlivade utgåvor.
3. Bekräfta stöd för HSM och verktygskedja: Kontrollera att din HSM, signeringsverktyg och verifieringsklienter stöder din valda postkvantalgoritm. Alla HSM:er stöder ännu inte ML-DSA, så engagera leverantörer tidigt.
4. Pilot i icke-produktion: Testa signering och verifiering med ML-DSA, LMS eller XMSS för att upptäcka problem med prestanda, signaturstorlek och kompatibilitet innan du genomför implementeringen.
5. Använd dubbel- eller hybridsignering: Under övergången, signera artefakter med både en klassisk och en postkvantalgoritm så att äldre verifierare fortfarande fungerar medan nyare får kvantmotstånd.
6. Bygg kryptoagilitet: Designa signering och verifiering så att algoritmer kan bytas ut utan omarkitektur, eftersom vägledning och standarder kommer att fortsätta utvecklas.

Den svåra delen: HSM:er, nyckelhantering och tillstånd

Algoritmerna är standardiserade, men det är i den operativa verkligheten av postkvantkodsignering som programmen stannar. Tre utmaningar återkommer.

För det första håller HSM-stödet fortfarande på att mogna. Inte alla hårdvarusäkerhetsmoduler kan ännu generera och använda ML-DSA-nycklar, och leverantörer har lanserat stöd enligt sina egna tidslinjer, så att bekräfta stöd är ett verkligt migreringssteg snarare än ett antagande. För det andra lägger hashbaserade scheman till en börda för tillståndshantering: LMS och XMSS kräver strikt spårning av vilka engångsnycklar som har använts, och ett misstag kan äventyra säkerheten, så detta kan inte lämnas till manuella processer.

För det tredje är själva nycklarna lika känsliga som någonsin, så de måste finnas kvar i hårdvaran hela tiden. En kapabel signeringsplattform hanterar alla tre: den hanterar HSM-baserade postkvantnycklar, spårar hashbaserad signeringsstatus automatiskt och upprätthåller åtkomstkontroll och granskning för varje signeringsoperation.

Hur krypteringskonsulting hjälper

Encryption Consultings CodeSign Secure är byggt för att göra post-kvantumkodsignering operationell, inte bara teoretisk. Den signerar mot nycklar som lagras i en FIPS 140-2 Level 2 HSM, stöder post-kvantumsigneringsscheman inklusive ML-DSA och hashbaserade LMS och XMSS, och hanterar den strikta signeringsstatusspårning som tillståndsfulla hashbaserade scheman kräver så att team inte behöver hantera det manuellt.

Den integreras i CI/CD-pipelines, stöder dubbel- och hybridsignering under övergången och loggar varje operation för granskning. Samma plattform styr din klassiska och post-kvantumsignering över programvara, firmware och containrar, så att du kan migrera enligt din egen tidslinje utan att förlora kontrollen. Stöds av ISO/IEC 27001:2022 och SOC 2-certifierade metoder.

Vanliga frågor om partihandel med mat och dryck

Vad är postkvantkodsignering?

Postkvantkodsignering är praxisen att signera programvara, firmware och uppdateringar med kvantresistenta algoritmer istället för RSA eller ECDSA, så att signaturerna inte kan förfalskas av en framtida kvantdator. De viktigaste algoritmerna är ML-DSA (FIPS 204), en gitterbaserad generell signatur, och LMS eller XMSS (NIST SP 800-208), tillståndskänsliga hashbaserade signaturer som rekommenderas för firmware. Eftersom signerad kod kan användas i åratal är migrering av kodsignering en av de mest brådskande delarna av kvantövergången.

Ska jag använda ML-DSA eller LMS för kodsignering?

Det beror på hur du signerar. ML-DSA är tillståndslöst, har hög genomströmning och är väl lämpat för frekvent programvarusignering med hög volym, såsom CI/CD-pipelines. LMS och XMSS är tillståndskänsliga hashbaserade scheman med den mest konservativa säkerheten, rekommenderade av NSA för signering av firmware och programuppdateringar idag, men de kräver strikt spårning av nyckeltillstånd och passar för sällan signering. Många organisationer använder LMS eller XMSS för firmware-rötter och ML-DSA för programsignering med hög volym.

Varför kallas LMS och XMSS för tillståndskänsliga, och varför spelar det roll?

LMS och XMSS är tillståndskänsliga eftersom varje privat nyckel bara kan producera ett fast antal signaturer, och signeraren måste spåra vilka engångsnycklar som redan har använts. Återanvändning av en engångsnyckel bryter mot schemats säkerhet, så tillståndet måste spåras tillförlitligt, aldrig manuellt. Detta är hanterbart för sällan signering av firmware men opraktiskt för högfrekvent signering, och det gör en kapabel signeringsplattform som automatiserar tillståndsspårning viktig för säker implementering.

Stöds ML-DSA av hårdvarusäkerhetsmoduler ännu?

Stödet växer men är inte universellt. Från och med 2026 kan inte alla HSM:er generera och använda ML-DSA-nycklar, och stora leverantörer har lanserat post-kvantumsstöd enligt sina egna tidslinjer. Att bekräfta att din specifika HSM, signeringsverktyg och verifieringsklienter stöder din valda algoritm är ett nödvändigt migreringssteg, inte något att anta. Detta är en anledning till att organisationer testar post-kvantumssignering i icke-produktionsmiljöer innan de genomför en implementation.

Vad är dubbel- eller hybridkodsignering?

Dubbel- eller hybridsignering innebär att signera en artefakt med både en klassisk algoritm (som RSA eller ECDSA) och en postkvantalgoritm (som ML-DSA) under övergångsperioden. Äldre verifieringsklienter som ännu inte förstår postkvantumsignaturer kan fortfarande validera den klassiska signaturen, medan nyare klienter får kvantmotstånd från den postkvantumbaserade. Det är ett praktiskt sätt att migrera utan att bryta kompatibiliteten för system som ännu inte har uppdaterats.

Behöver jag gå över till post-kvantumkodsignering nu?

För långlivade signerade artefakter, ja, planeringen bör börja nu. Firmware, drivrutiner och systemavbildningar som signeras idag kan verifieras om flera år, när en kvantdator skulle kunna förfalska klassiska signaturer, och i många system är verifieringsalgoritmen svår att ändra efter driftsättning. CNSA 2.0 behandlar kod- och firmwaresignering som ett migreringsområde med högsta prioritet och anger en aggressiv tidslinje. Att börja med inventering och ett pilotprojekt som inte är i produktion låter dig migrera medvetet snarare än under press.

Flytta din kodsignering till kvantsäkra algoritmer

Postkvantkodsignering är lika mycket en operativ utmaning som ett algoritmval: HSM-stöd, tillståndshantering och dubbelsignering måste alla fungera tillsammans. Utforska CodeSign Secure för att signera med ML-DSA och hashbaserade LMS och XMSS mot HSM-skyddade nycklar, med automatiserad tillståndsspårning och fullständig granskning.