Postkvanttiavainhallinta: HSM, krypto-ketteryys ja CNSA 2.0

Kryptografiset algoritmit ovat helpoin osa kvanttisiirtymää. Kuka tahansa voi lisätä ML-KEM:n kättelykirjastoon. Vaikea osa on kaikki algoritmin ympärillä: missä avaimet sijaitsevat, miten ne luodaan peukalosuojatuissa olosuhteissa, miten ne jaetaan tuhansille kentällä oleville solmuille, miten niitä kierrätetään parametrisarjan muuttuessa ja miten koko laite pysyy yhteentoimivana vertaisten kanssa, jotka eivät ole vielä siirtyneet. Tämä laite on avainhallinta, ja puolustusjärjestelmille se on kantava elementti siirtyessä CNSA 2.0:aan. Tässä artikkelissa tarkastellaan, miten rakentaa kvanttijälkeinen avainhallinta luokitelluille ja valvotuille järjestelmille: laitteistoturvamoduulien integraatio, hybridiavanvaihto, krypto-ketteryys arkkitehtuurisena ominaisuutena ja siirtymäjärjestys, joka kestää operatiivisen todellisuuden.

Miksi avainhallinta – ei algoritmi – on todellinen siirtymä

Standardoidut kvanttijälkeiset primitiivit ovat nyt vakaita. NIST viimeisteli ML-KEM:n (FIPS 203) avainten kapseloinnille, ML-DSA:n (FIPS 204) digitaalisille allekirjoituksille ja SLH-DSA:n (FIPS 205) hash-pohjaisena allekirjoitusvaihtoehtona, tilapohjaisien hash-kaavioiden LMS ja XMSS ohella ohjelmiston ja laiteohjelmiston allekirjoittamiseen. Toteutukset ovat olemassa valtavirran TLS- ja VPN-pinoissa. Jos algoritmin valitseminen olisi koko ongelma, siirtymä olisi jo ohi.

Se ei ole, koska näiden algoritmien kuluttamat avaimet ovat suurempia, lukuisampia ja pitkäikäisempiä kuin järjestelmät, jotka hallitsevat niitä, oli suunniteltu. Klassinen ECDH-avain P-384-käyrällä on alle sata tavua. ML-KEM-1024-avainpari ja ML-DSA-87-avainpari mitataan kilotavuissa. Kerro tämä jokaisella TLS-päätepisteellä, jokaisella radiolla, jokaisella allekirjoitetulla laiteohjelmistokuvalla ja jokaisella lepotilan avaimella kentällä olevassa ohjelmassa, ja rajoitukset kohdistuvat avainhallintajärjestelmään: HSM:n slottikapasiteetti, jakelukanavankaistanleveys, avainvarastossa oleva tallennustila ja aika, joka kuluu kaiken kierrättämiseen algoritmin muuttuessa.

Tästä syystä uskottavat ohjelmat käsittelevät siirtymää avainhallintaohjelmana, jolla on kryptografinen komponentti, eikä päinvastoin. Algoritmi on riippuvuus; avainten elinkaari on projekti.

HSM-integraatio: luottamuksen juuri kvanttijälkeisessä kuormassa

Kaikille luokiteltua tai valvottua dataa käsitteleville järjestelmille kvanttijälkeiset avaimet on luotava ja pidettävä FIPS 140-3 -validoidussa laitteistoturvamoduulissa – sama luottamuksen juuren vaatimus, joka koski klassisia avaimia. HSM on se, missä entropia kerätään, missä yksityiset avaimet eivät koskaan poistu selkotekstinä ja missä allekirjoitus- ja avainten kapselointioperaatiot suoritetaan peukalosuojan takana.

Kvanttijälkeinen tuki HSM-tuotelinjoilla on saapumassa, mutta epätasaisesti. Useat validoidut linjat tarjoavat nyt ML-KEM:n ja ML-DSA:n validoidussa laiteohjelmistossa tai esivalidoinnin varhaisessa käyttökanavassa, ja useimmat tarjoavat LMS:n ja XMSS:n koodin allekirjoittamiseen, koska nämä kaavat ovat kypsiä ja standardoituja. Integraatiotyö koskee vähemmän sitä, onko algoritmi olemassa, ja enemmän suurempien avainten toissijaisia vaikutuksia.

Avainslottien kapasiteetti ja varmuuskopiointi

HSM:llä on rajallinen määrä suojattua avainvarastoa. Kymmenien tavujen klassisten avainten korvaaminen kilotavujen kokoisilla kvanttijälkeisillä avaimilla voi kuluttaa slottikapasiteetin paljon odotettua nopeammin, erityisesti laitteissa, jotka on mitoitettu vuosia sitten klassiselle avainpopulaatiolle. Varmuuskopiointi- ja palautusmuodot on myös mitoitettava uudelleen, ja avainten pakkauskaaava, joka suojaa vietyä avainmateriaalia, on itsessään oltava kvanttijälkeinen, jottei varmuuskopioista tule sadonkorjuukohteita. Suunnittele kapasiteetti kvanttijälkeiselle avainpopulaatiolle, ei sen korvaamalle klassiselle.

Suorituskyky realistisessa kuormassa

ML-DSA-allekirjoittamisella ja ML-KEM-kapseloinnilla on erilaiset suorituskykyprofiililt kuin RSA:lla ja ECC:llä, ja nämä profiilit vaihtelevat suuresti HSM-mallin mukaan. Allekirjoituksen läpäisykyky voi erityisesti muodostua pullonkaulaksi koodin allekirjoitusputkilinjassa tai suuren volyymin keskinäisessä TLS-yhdyskäytävässä. Vertaile tiettyä mallia sillä kuormalla, jota se todella näkee – samanaikaiset istunnot, allekirjoitusnopeus, avainluonnin purskeet massauudelleenavainnuksen aikana – sen sijaan, että olettaisit pariteettia klassisten toimintojen kanssa. Datasheet-numeroon perustuva siirtymäsuunnitelma, joka ei pidä kuormassa, on suunnitelma, joka epäonnistuu kentällä.

Krypto-ketteryys arkkitehtuurisena ominaisuutena

Krypto-ketteryys on kyky vaihtaa algoritmeja, parametrisarjoja ja protokollia koko järjestelmässä ilman sovellusten uudelleenrakentamista tai yhteentoimivuuden rikkomista. Se ei ole ominaisuus, jonka voi liittää päälle; se on ominaisuus siitä, miten järjestelmä viittaa kryptografiaan. Ketterässä suunnittelussa sovellus ei koskaan nimeä algoritmia suoraan. Se pyytää operaatiota – "luo istuntoavain tälle vertaiselle", "allekirjoita tämä laiteohjelmistokuva" – avaintunnisteen ja käytännön perusteella. Käytäntö nimeää algoritmin ja parametrisarjan; avainhallintakerros ratkaisee sen.

Hyöty on operatiivinen. Kun ML-KEM-parametrinvalintaohjeet muuttuvat, kun uusi allekirjoituskaava lisätään pakettiin tai kun käytöössä oleva primitiivi on poistettava käytöstä, muutos on käytäntöpäivitys, joka jaetaan avainhallintatasolla – ei laiteohjelmiston uudelleenkäännös, joka työnnetään jokaiselle kentällä olevalle solmulle. Puolustusjärjestelmille, joilla on kymmenen ja kahdenkymmenen vuoden käyttöikä ja primitiivit, jotka vielä kypsyvät, tämä on ero konfigurointimuutoksen ja uudelleenkäyttöönotto-ohjelman välillä.

Ketteryys rajoittaa myös suunnittelua hyödyllisillä tavoilla. Se pakottaa selkeän erottelun avainmateriaalin ja sitä käyttävän koodin välillä, kryptografisen käytännön eksplisiittisen versioinnin ja kykyjen neuvottelun yhteyden aikana niin, että siirtynyt solmu voi silti kommunikoida sellaisen kanssa, joka ei ole siirtynyt. Nämä ovat juuri niitä ominaisuuksia, joita monivuotinen siirtymä tarvitsee. Krypto-ketteryyden rakentaminen salaisuuksien hallinta- ja allekirjoitusputkilinjaan varhain on paljon halvempaa kuin sen jälkikäteinen lisääminen, kun parametrisarjaa on vaihdettava aikarajapaineen alla.

Hybridiavanvaihto siirtymän aikana

Valtavirran lähestymistapa kvanttijälkeisen avainmuodostuksen käyttöönottoon ilman, että kaikki asetetaan nuoren algoritmin varaan, on hybridiavanvaihto. Hybridikättely suorittaa klassisen avainsopimuksen (tyypillisesti ECDH P-384:llä) ja kvanttijälkeisen KEM:n (ML-KEM) rinnakkain, sitten johtaa istuntoavaimen molemmista jaetuista salaisuuksista standardin avaimeenjohtamisfunktion kautta. Yhdistetty salaisuus on vain niin heikko kuin vahvempi kahdesta syötteestä.

Riski, jota tämä suojaa, on konkreettinen. Kvanttijälkeiset algoritmit ovat uusia; toteutusvirhettä tai nuoren primitiivin ennakoimatonta heikkoa kohtaa ei voida sulkea pois. Jos näin käy, klassinen komponentti suojaa edelleen istuntoa kaikkia vastustajia vastaan, joilla ei ole kvanttitietokonetta. Vastaavasti, kun kryptografisesti merkityksellinen kvanttitietokone saapuu, kvanttijälkeinen komponentti suojaa istunnot, joiden klassinen avaustenvaihdanta muuten kaatuisi. Kummankaan komponentin ei tarvitse olla täydellinen; molempien on epäonnistuttava, jotta istunto murtuu.

Avainhallintanäkökulmasta hybriditila noin kaksinkertaistaa istuntokohtaisen avainmateriaalin ja kättelyn suoritinkustannuksen, ja se edellyttää kykyjen neuvottelua, jotta hybridikykyinen solmu voi perääntyä sujuvasti, kun sen vertainen tukee vain klassista tai vain kvanttijälkeistä. Avainhallintakerros on se, missä neuvottelukäytäntö asuu, missä kahta avaintyyppiä seurataan yhdessä ja missä auditoinnit osoittavat, mitkä istunnot todella käyttivät kvanttijälkeistä komponenttia. Sama hybridperiaate on fyysisen kerroksen lähestymistapojaan, kuten kvanttiavanjakelu taktisille yhteyksille, taustalla, vaikka kvanttiavanjakelu käsittelee avainsopimusta eri kanavan kautta sen sijaan, että korvaisi avainhallintatasoa.

CNSA 2.0 ja kerää nyt, pura myöhemmin -kello

CNSA 2.0 asettaa määränpään ja aikataulun. Se velvoittaa ML-KEM:n avainten muodostamiseen, ML-DSA:n yleisiin allekirjoituksiin ja LMS:n tai XMSS:n ohjelmiston ja laiteohjelmiston allekirjoittamiseen kansallisen turvallisuuden järjestelmissä vaiheistetulla aikataululla: ensin ohjelmiston ja laiteohjelmiston allekirjoittaminen, sitten verkko- ja avainhallintalaitteet, ja täyden käyttöönoton odotetaan tapahtuvan vuoteen 2033 mennessä. Avainhallintalaitteet ovat nimenomaisesti soveltamisalassa – niiden on luotava, tallennettava ja jaettava nämä kvanttijälkeiset avaimet mieluiten validoidussa laitteistossa.

Aikaraja ei kuitenkaan ole todellinen ajuri. Ajuri on kerää nyt, pura myöhemmin: vastustaja, joka tallentaa salattua puolustusliikennettä tänään ja säilyttää sen, kunnes tuleva kvanttitietokone pystyy murtamaan sen suojannut klassinen avaustenvaihdannan. Kaikki tiedot, joiden luottamuksellisuuden on kestettävä kauemmin kuin aika kvanttitietokoneeseen, ovat jo altistuneet riippumatta vuoden 2033 tavoitteesta. Tämä muotoilee priorisoinnin kokonaan uudelleen – ensimmäiset siirrettävät yhteydet ovat ne, jotka kantavat pisimpään säilytettäviä salaisuuksia, ei niitä, joihin on helpointa koskea.

Siirtymän järjestäminen ilman kentän rikkomista

Toimiva järjestys alkaa kryptografisella inventaariolla: jokainen kohta, jossa järjestelmä luo, tallentaa, vaihtaa tai tarkistaa avaimia, annotoituna algoritmilla, avaimen käyttöiällä ja suojatun datan luottamuksellisuus- tai eheysajalla. Tämä inventaario ohjaa priorisointia. Laiteohjelmiston ja ohjelmiston allekirjoittaminen siirtyvät varhain – ne ovat CNSA 2.0:n ensimmäinen vaihe ja suojaavat itse toimitusketjua – seuraavina ovat pisimpään säilytettäviä salaisuuksia kantavat yhteydet, sitten laaja joukko lyhytaikaisia istuntoja.

Jokainen siirtynyt komponentti kulkee krypto-ketterän abstraktion kautta, suorittaa hybridin missä yhteentoimivuus ei-siirtyneiden vertaisten kanssa on tarpeen, ja on tuettu HSM:llä, joka on mitoitettu kvanttijälkeiselle avainpopulaatiolle. Koko ajan avainhallintakerros pakottaa lyhennetyt avainten käyttöiät ja automaattisen kierron, jotta minkä tahansa yksittäisen avaimen altistumisikkuna pysyy pienenä. Ohjelmille, jotka jo suunnittelevat laajempaa siirtymää, tämä nivoutuu CNSA 2.0:n vaatimustenmukaisuus- ja siirtymäkarttaan; katso kumppaniopas CNSA 2.0 -vaatimustenmukaisuus puolustusorganisaatioille ohjelmatasoisesta näkökulmasta.

Sitä yhteensitova kuri on krypto-ketteryysharjoitus: vaihda säännöllisesti parametrisarjaa päästä päähän edustavassa ympäristössä todistaaksesi, että siirtymäpolku on edelleen käytettävissä. Siirtymäkyky, jota ei koskaan testata, on kyky, jota sinulla ei todella ole, kun seuraava algoritmimuutos saapuu.