PQ-Schlüsselaustausch für TLS

Zusammenfassung. TrustBridge schützt jede Verbindung zwischen zwei Partnern zusätzlich mit einem Post-Quanten-Geheimnis, das unabhängig von TLS entsteht. Auf jedem angebundenen Rechner vereinbart ein Schlüsselagent mit dem Agenten der Gegenstelle regelmäßig ein frisches Geheimnis über ML-KEM; beide Agenten weisen sich dabei mit ML-DSA-Zertifikaten aus. Ein lokaler Schlüsselvermittler übergibt das Geheimnis an den TLS-Adapter, der es als externen Pre-Shared Key (PSK) nach RFC 9973 in den Handshake von TLS 1.3 einbringt, zusätzlich zu einer hybriden Schlüsseleinigung und zur gegenseitigen Authentisierung mit Zertifikaten. Wer eine Verbindung aufzeichnet, muss damit später zwei voneinander unabhängige Schlüsselvereinbarungen brechen. Die Authentisierung bleibt bei den Zertifikaten; das zusätzliche Geheimnis ersetzt sie nicht.

• Externer PSK – ein außerhalb von TLS vereinbartes Geheimnis, das beide Seiten in den Schlüsselplan von TLS 1.3 einbringen (RFC 8446, Abschnitt 2.2).
• psk_dhe_ke – Modus von TLS 1.3, in dem der PSK zusätzlich zu einer (EC)DHE-Schlüsseleinigung verwendet wird; die Vorwärtssicherheit der Schlüsseleinigung bleibt erhalten.
• Hybride Gruppe – Schlüsseleinigung in TLS 1.3 aus einem klassischen Verfahren und ML-KEM, etwa SecP256r1MLKEM768 (RFC 10024).
• tls_cert_with_extern_psk – TLS-Erweiterung (Codepoint 33) aus RFC 9973, mit der ein Handshake Zertifikatsauthentisierung und einen externen PSK im Schlüsselplan verbindet.
• Schlüsselagent – Dienst auf einem angebundenen Rechner, der den Post-Quanten-Schlüsselaustausch mit dem Agenten der Gegenstelle führt.
• Schlüsselvermittler – lokale Komponente, die das vereinbarte Geheimnis an den TLS-Adapter auf demselben Rechner übergibt.
• TLS-Adapter – lokaler Dienst, der für eine bestehende Anwendung die TLS-Verbindung zur Gegenstelle aufbaut oder annimmt.
• Peer Binding – Bindung des Schlüsselaustauschs an die geprüfte Identität der Gegenstelle.
• Verbindungsrotation – planmäßiger Ersatz einer bestehenden TLS-Verbindung durch eine neue mit frischem Geheimnis, ohne dass die Anwendung eine Unterbrechung bemerkt.

Für die Vertraulichkeit gegen spätere Entschlüsselung gibt es in TLS 1.3 einen standardisierten Weg: hybride Gruppen aus ECDHE und ML-KEM (RFC 10024). Das BSI nennt davon SecP256r1MLKEM768 und SecP384r1MLKEM1024 (TR-02102-2). TrustBridge verwendet diese Gruppen in jeder Verbindung. Das zusätzliche Geheimnis ergänzt sie in drei Punkten:

Das zusätzliche Geheimnis ist eine weitere Schutzschicht im Sinne der gestaffelten Verteidigung. Es macht TLS nicht überflüssig, ersetzt keine Zertifikate und ist kein neues TLS-Protokoll: Es nutzt eine Schnittstelle, die TLS 1.3 mit RFC 9973 ausdrücklich vorsieht.

graph TD
  subgraph HA [Rechner bei Organisation A]
    AA[Anwendung]
    TA[TLS-Adapter A]
    KBA[Schlüsselvermittler A<br/>lokal]
    AGA[Schlüsselagent A]
  end
  subgraph HB [Rechner bei Organisation B]
    AB[Anwendung]
    TB[TLS-Adapter B]
    KBB[Schlüsselvermittler B<br/>lokal]
    AGB[Schlüsselagent B]
  end
  subgraph PKI [Zertifizierungsstellen beider Organisationen]
    CA[CA-Worker A und B<br/>je eigene Vertrauensbasis]
  end
  AGA ==>|ML-KEM, beide Seiten mit ML-DSA authentisiert| AGB
  AGA ==>|Geheimnis| KBA
  AGB ==>|Geheimnis| KBB
  KBA ==>|externer PSK| TA
  KBB ==>|externer PSK| TB
  AA --> TA
  TA -->|TLS 1.3: Zertifikate, externer PSK, hybride Gruppe| TB
  TB --> AB
  CA -.->|Agenten- und Dienstzertifikate| AGA
  CA -.->|Agenten- und Dienstzertifikate| AGB
  classDef tcb fill:#fde7e9,stroke:#a4262c,color:#201f1e
  classDef onl fill:#f3f2f1,stroke:#605e5c,color:#201f1e
  classDef par fill:#deecf9,stroke:#0078d4,color:#201f1e
  classDef pq fill:#dff6dd,stroke:#107c10,color:#201f1e
  class CA tcb
  class TA,TB onl
  class AA,AB par
  class AGA,AGB,KBA,KBB pq
  style HA fill:#ffffff,stroke:#8a8886,color:#201f1e
  style HB fill:#ffffff,stroke:#8a8886,color:#201f1e
  style PKI fill:#ffffff,stroke:#8a8886,color:#201f1e

Der Schlüsselvermittler ist ausdrücklich lokal. Ein zentraler Dienst, der Sitzungsschlüssel an Endpunkte verteilt, würde zum Angriffsziel mit Zugriff auf alle Verbindungen. TrustBridge hat keinen solchen Dienst; auch ein Betriebspartner im Modell Managed kennt keine Geheimnisse der Agenten.

RFC 9973 (Juli 2026, Standardspur) regelt genau die Verbindung, die TrustBridge braucht: Zertifikatsauthentisierung in TLS 1.3, bei der zusätzlich ein externer PSK in den Schlüsselplan eingeht. Ohne diese Erweiterung schließen sich PSK und Zertifikat in TLS 1.3 aus.

sequenceDiagram
  participant AA as Agent A
  participant AB as Agent B
  participant TA as TLS-Adapter A
  participant TB as TLS-Adapter B
  AA->>AB: ML-KEM-Austausch, beide Seiten mit ML-DSA authentisiert
  AB-->>AA: gemeinsames Geheimnis, PSK-Kennung, Gültigkeit
  AA->>TA: PSK über lokalen Schlüsselvermittler
  AB->>TB: PSK über lokalen Schlüsselvermittler
  TA->>TB: ClientHello mit tls_cert_with_extern_psk, pre_shared_key, psk_dhe_ke, key_share hybrid
  TB-->>TA: ServerHello mit tls_cert_with_extern_psk, pre_shared_key, key_share
  TB-->>TA: CertificateRequest, Certificate, CertificateVerify, Finished
  TA->>TB: Certificate, CertificateVerify, Finished
  Note over TA,TB: Alle Verkehrsschlüssel hängen vom PSK und vom hybriden Geheimnis ab

Zusätzlich gelten RFC 9257 (Hinweise zum Einsatz externer PSKs) und RFC 9258 (Bindung importierter externer PSKs an Protokoll und Hashfunktion).

TLS 1.3 nimmt ein neues externes Geheimnis nur beim Verbindungsaufbau auf. KeyUpdate leitet in einer bestehenden Verbindung neue Verkehrsschlüssel nur aus dem bisherigen Verkehrsgeheimnis ab und bringt kein frisches Material ein. TrustBridge erneuert den Schutz deshalb über die Verbindung selbst:

sequenceDiagram
  participant AP as Anwendung
  participant TA as TLS-Adapter A
  participant TB as TLS-Adapter B
  Note over TA,TB: Verbindung 1 mit Geheimnis n
  TA->>TB: Verbindung 2 mit Geheimnis n+1 aufbauen
  TB-->>TA: Handshake abgeschlossen
  AP->>TA: neue Anfragen
  TA->>TB: über Verbindung 2
  Note over TA,TB: Verbindung 1 nimmt nichts mehr an und schließt nach der letzten Antwort

• Kein neues TLS-Protokoll und kein Ersatz für TLS 1.3. TrustBridge nutzt die in RFC 9973 vorgesehene Erweiterung.
• Keine quantensichere Authentisierung durch den PSK. Die Authentisierung leisten die Zertifikate; ihre Post-Quanten-Eigenschaften beschreibt Kryptographie und Post-Quanten-Übergang.
• Kein Schutz der Strecke zwischen TLS-Adapter und Anwendung auf demselben Rechner.
• Keine Berechtigung. Eine Verbindung mit gültigem Geheimnis erlaubt noch keine Operation; das regelt die Zielanwendung, siehe Vertrauensmodell.

• RFC 8446 – TLS 1.3; Abschnitt 2.2 zu PSKs, Abschnitt 4.6.3 zu KeyUpdate, Abschnitt 7.1 zum Schlüsselplan.
• RFC 9973 – TLS-1.3-Erweiterung für Zertifikate mit externem PSK (Juli 2026, Standardspur, löst RFC 8773 ab); trennt ausdrücklich Vertraulichkeit von Authentisierung.
• RFC 10024 – hybride Schlüsseleinigung aus ECDHE und ML-KEM für TLS 1.3.
• RFC 9257 – Hinweise zum Einsatz externer PSKs.
• RFC 9258 – Import externer PSKs in TLS 1.3.
• FIPS 203 – ML-KEM.
• FIPS 204 – ML-DSA.
• BSI TR-02102 – TR-02102-2 (Fassung 2026-01), Abschnitt 3.4.2: Empfehlung der hybriden Gruppen SecP256r1MLKEM768 und SecP384r1MLKEM1024.