Postkvantna PKI: zakaj zamenjava certifikata ne zadostuje

Izdaja 10 serije »Postkvantna varnost v slovensko-nemški dobavni verigi«. Za sistemske skrbnike in arhitekte, ki skrbijo za potrdila, imenike in dostope do nemških naročnikov.

Vaš strežnik ima novo potrdilo, izdano včeraj, veljavno dve leti. Na prvi pogled je vse v redu. Toda podpisal ga je izdajatelj, ki ste ga postavili leta 2016 na strežniku z Active Directory Certificate Services, z ključem RSA-2048 v datoteki na disku. Ta izdajatelj velja do leta 2031. Zamenjava potrdila je opravek za pet minut. Zamenjava izdajatelja je projekt.

V tem članku: PKI ni potrdilo · Zakaj novo potrdilo ne zadostuje · Kaj lahko počaka in kaj ne · Življenjski cikel ključa · Kvalificirana potrdila · Kje ste v nemški PKI · Primer · Kaj narediti letos · Vprašanje za naročnika · Priloga: shema in seznam

Infrastruktura javnih ključev je sistem za izdajanje, vzdrževanje in preklic potrdil. V majhnem ali srednjem podjetju je pogosto razpršena po več mestih, ki jih nihče ne vidi kot celoto:

• korenski izdajatelj (Root CA), pogosto izključen iz omrežja ali pozabljen na virtualnem strežniku;
• vmesni izdajatelji, ki dejansko izdajajo, na primer AD CS s predlogami potrdil;
• hramba ključev: strojni varnostni modul (HSM), pametne kartice, žetoni, a pogosto tudi datoteke na disku;
• samodejna izdaja: samodejni vpis v domeni, ACME za spletne strežnike, SCEP za naprave in mobilne telefone;
• preklic: seznami preklicanih potrdil (CRL) in sprotno preverjanje (OCSP);
• preverjanje: vsak odjemalec, naprava in aplikacija, ki preveri podpis ali verigo potrdil.

Zamenjava potrdila se dotakne zadnjega člena verige. Postkvantni prehod se dotakne vseh. Šifriranje povezav pride na vrsto v naslednji izdaji: PKI dokazuje, kdo je kdo, šifriranje varuje vsebino.

Postkvantni podpisni postopek ML-DSA je NIST standardiziral avgusta 2024 (FIPS 204). Kako se uporablja v potrdilih X.509, določa RFC 9881 iz oktobra 2025. Standard torej obstaja. Toda da bi potrdilo z ML-DSA kaj koristilo, morajo slediti vsi deli PKI:

1. Preverjanje mora postopek poznati. Odjemalec, ki ML-DSA ne pozna, potrdila ne bo sprejel. Zato mora biti preverjalna stran pripravljena prva; kdor zamenja strežniška potrdila pred odjemalci, odjemalce odklopi.
2. Izdajatelj mora znati podpisovati z ML-DSA. Pri AD CS je to vprašanje različice operacijskega sistema in posodobitev, ne nastavitve. Preverite načrt proizvajalca za svojo različico.
3. Hramba ključev mora postopek podpirati. Pri HSM je to vprašanje strojne programske opreme, certifikacije in včasih zamenjave naprave.
4. Zaupanje v korenskega izdajatelja mora priti na vse preverjalne sisteme. V domeni s pravilnikom skupine je to preprosto; pri napravah v proizvodnji ali pri naročniku je lahko potrebna posodobitev strojne programske opreme.

V praksi se zato nova, postkvantno zmožna hierarhija gradi vzporedno z obstoječo in se uvaja postopoma. Postopki, ki v enem potrdilu združijo klasičen in postkvantni podpis, so pri IETF v pripravi in lahko prehod olajšajo.

Dobra novica: ni vse enako nujno. Nevarnost »prestrezi zdaj, dešifriraj pozneje« zadeva dogovor o ključu, ne podpisov. Dogovor o ključu lahko v TLS zamenjate s hibridnim brez novih potrdil: povezava s hibridnim dogovorom o ključu deluje s klasičnim strežniškim potrdilom.

Podpis v povezavi bi napadalec moral ponarediti v trenutku povezave, za nazaj tega ne more. Dokler kvantnega računalnika ni, klasično potrdilo varuje današnjo povezavo.

Ne velja pa za podpise, ki morajo veljati dolgo:

• korenske izdajatelje, ki bodo vgrajeni v naprave še leta 2035;
• podpise strojne in programske opreme, na katere se naprave zanašajo vso svojo življenjsko dobo; evropski načrt za prehod izrecno priporoča, da se posodobitveni mehanizmi opremijo s kvantno odpornimi podpisi;
• podpise dokumentov, ki morajo kot dokaz veljati leta.

Pri teh se načrtovanje začne zdaj. Ne zato, ker bi napad grozil danes, ampak ker prehod traja leta.

Postkvantni prehod je dobra priložnost, da pregledate, kako z ključi sploh ravnate. Vsak ključ ima šest faz, in v vsaki se lahko kaj zatakne:

Postkvantni ključi so večji, njihovi podpisi tudi: podpis ML-DSA-65 ima 3.309 bajtov, podpis ECDSA P-256 64. Pri strežnikih to ni težava. Pri pametnih karticah, napravah z malo pomnilnika in protokolih z omejeno velikostjo paketa je lahko odločilno. Preverite to, preden izberete postopek.

Če vaše podjetje elektronsko podpisuje dokumente za nemškega naročnika, na primer izjave o skladnosti, zapisnike preizkusov ali pogodbe, uporabljate verjetno kvalificirana potrdila ponudnika storitev zaupanja po uredbi eIDAS. Tu ne odločate vi. Ponudnik bo prešel na postkvantne postopke, ko bo to zanj mogoče in dovoljeno, kvalificirana sredstva za elektronski podpis pa bodo morala postopke podpirati. Evropski načrt za prehod na to odvisnost izrecno opozarja.

Kaj lahko storite: vedeti, katere dokumente podpisujete s kvalificiranim potrdilom, kako dolgo morajo veljati kot dokaz in kateri ponudnik jih izdaja. Ko bo ponudnik objavil načrt, boste vedeli, koga zadeva.

Kot dobavitelj nemškega naročnika ste del njegove PKI, tudi če o tem nikoli niste razmišljali. Odvisnost teče v treh smereh:

• Naročnik izdaja, vi zaupate ali uporabljate: potrdila za VPN vaših serviserjev, odjemalska potrdila za portal, potrdila za podpis dokumentov v njegovem imenu. Ko naročnik preide, morajo vaši odjemalci slediti.
• Vi izdajate, naročnik zaupa: podpisi vaše strojne programske opreme, potrdila vaših storitev, podpisi vaših zapisnikov. Vaš prehod določa, kaj morajo naročnikovi sistemi preverjati.
• Oba zaupata tretjim: javni izdajatelji in ponudniki storitev zaupanja. Njihov časovni načrt velja za oba.

Za vsako smer potrebujete svoj dogovor in svojo kontaktno osebo.

Predstavljajte si proizvajalca krmilnih modulov v Velenju s 180 zaposlenimi. Njegova PKI: korenski izdajatelj na virtualnem strežniku, izklopljenem od leta 2016, in en vmesni izdajatelj z AD CS. Ključa sta v datotekah, zaščitena z gesli, ki ju pozna en sam sodelavec. Upajmo, da je zadovoljen s svojo službo. Isti vmesni izdajatelj izdaja potrdila za Wi-Fi, za notranje spletne strani in za podpis strojne programske opreme modulov, ki jih podjetje dobavlja nemškemu proizvajalcu strojev.

Ko nemški naročnik vpraša, kako bo podpis strojne programske opreme prešel na postkvantne postopke, skrbnik ugotovi:

• Korenski izdajatelj v zagonskem nalagalniku modulov je vgrajen trajno. Moduli, dobavljeni do danes, bodo strojno programsko opremo za vedno preverjali z RSA.
• Ključ za podpis kode ni ločen od ključa za Wi-Fi in nima lastne hrambe.
• Za nove module se lahko podjetje še odloči drugače: ločen izdajatelj za podpis kode, ključ v HSM, zagonski nalagalnik, ki zna zamenjati zaupanja vredno sidro.

Odgovor naročniku zato ni »ne vemo«, ampak: »Za dobavljene module velja RSA in to bomo dokumentirali. Za generacijo 2027 načrtujemo ločeno hierarhijo in zamenljivo sidro. Potrebujemo vašo potrditev, katere postopke bodo vaši sistemi preverjali.«

• Narišite svojo PKI: vse izdajatelje, njihove ključe, mesto hrambe in rok veljavnosti.
• Ločite namene: podpis kode in dokumentov naj ne visi na istem izdajatelju kot Wi-Fi.
• Ključe iz datotek prenesite v zaščiteno hrambo, vsaj za izdajatelje in podpis kode.
• Popišite preverjalno stran: katere naprave, odjemalci in aplikacije preverjajo vaše podpise in katere različice imajo.
• Vprašajte proizvajalca HSM in platforme za načrt podpore ML-DSA.
• Pri novih napravah načrtujte zamenljivo zaupanja vredno sidro.

„Planen Sie, Ihre Zertifizierungsstellen für Lieferantenzugänge umzustellen, und wenn ja: Ab wann müssen unsere Clients neue Signaturverfahren prüfen können, und gibt es eine Übergangszeit mit paralleler Hierarchie?“

Prevod: Ali načrtujete prehod svojih izdajateljev potrdil za dostope dobaviteljev in, če da: od kdaj morajo naši odjemalci znati preverjati nove podpisne postopke in ali bo prehodno obdobje z vzporedno hierarhijo?

Zakaj tako? Ker vas naročnikov prehod lahko odklopi, ne da bi kdo karkoli pokvaril. Z vprašanjem dobite rok, na katerega lahko pripravite svoje odjemalce, in pokažete, da razumete, zakaj preverjalna stran pride prva.

Nemška izdaja te teme se obrača na infrastrukturo in upravljanje identitet pri naročnikih: „Ihre Zertifikate laufen ab. Ihre Vertrauensarchitektur bleibt.“ (v nemščini). Prejšnja izdaja: Imate SBOM? Še vedno morda ne veste, katero kriptografijo uporabljate.

Referenčna shema PKI z dobaviteljsko odvisnostjo (od zgoraj navzdol: kar živi najdlje, je zgoraj). V nemški izdaji je vsebinsko enaka.

Kontrolni seznam odvisnosti za prehod:

1. Seznam vseh zaupanja vrednih sider z algoritmom, potekom in mestom razdelitve.
2. Za vsako sidro: kako se zamenja na preverjalnih sistemih (razdelitev, posodobitev, zamenjava naprave)?
3. HSM: podprti postopki danes, napovedana strojna programska oprema, stanje certifikacije.
4. Postopki vpisa: podpora novim vrstam ključev, različica.
5. Preverjalna programska oprema: knjižnice in različice s podporo ML-DSA v X.509 (RFC 9881).
6. Naprave z omejenimi viri: pomnilnik, velikost paketa, dolžina verige.
7. Podpis kode in strojne programske opreme: algoritem, mesto ključa, zamenljivost sidra v napravi.
8. Podpisi dokumentov z dolgo dokazno vrednostjo: postopek, ponudnik storitev zaupanja.
9. Potrdila, ki jih naročnik izdaja za vas: število, odjemalci, odgovorni.
10. Potrdila, ki jih vi izdajate za naročnika: izdajatelj, kontakt, vaš načrt.
11. Preklic: velikost seznamov, dosegljivost, podpisni postopek.
12. Roki veljavnosti: kje jih skrajšati, da bo poznejša zamenjava lažja.

Vse objavljene izdaje serije: pregled »Postkvantna varnost v dobavni verigi«

Naslednja izdaja (4. 5. 2026): »TLS, VPN, API Gateway: kje se vaša kriptografska zaščita dejansko konča?«

Viri (stanje 6. 4. 2026): NIST FIPS 204 (avgust 2024); RFC 9881 »Internet X.509 Public Key Infrastructure: Algorithm Identifiers for ML-DSA« (oktober 2025); NIS Cooperation Group, »A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography«, različica 1.1 (junij 2025), poglavja 3.2, 4.2 in 6.3; Uredba (EU) št. 910/2014 (eIDAS), kakor je bila spremenjena z Uredbo (EU) 2024/1183.

Če vaš izdajatelj potrdil podpisuje tudi strojno programsko opremo za nemškega naročnika, nam pišite.