Oblike postkvantnih delov

graph TD
    CERT["Hibridno potrdilo"]
    TBS["TBSCertificate s tremi nekritičnimi razširitvami"]
    SPKI["subjectAltPublicKeyInfo: ključ ML-DSA imetnika"]
    ALG["altSignatureAlgorithm: nabor parametrov ML-DSA"]
    VAL["altSignatureValue: podpis ML-DSA izdajatelja"]
    SIG["Klasični podpis: RSA ali ECDSA prek celotnega TBSCertificate"]
    CERT --> TBS
    CERT --> SIG
    TBS --> SPKI
    TBS --> ALG
    TBS --> VAL

Slika: Hibridno potrdilo je običajno potrdilo X.509. Postkvantni del je v treh nekritičnih razširitvah, ki jih pokriva tudi klasični podpis.

Knjižnica vsak postkvantni del (PQ) shrani tako, da programska oprema brez znanja o PQ podatke še naprej bere in preverja. Kjer obliko določa standard, knjižnica sledi njemu. Kjer standarda še ni, uporablja začasne identifikatorje; ta mesta so navedena spodaj.

• Hibridna potrdila in seznami preklicanih potrdil po ITU-T X.509 (10/2019), alternativni podpisi.
• Čista potrdila ML-DSA po RFC 9881.
• Sestavljeni ML-DSA za surove podpise po osnutku IETF draft-ietf-lamps-pq-composite-sigs.
• Šifriranje CMS za ML-KEM po RFC 9629 (KEMRecipientInfo).
• Datoteke PFX po RFC 7292 s ključem ML-DSA v lastni vrečki za ključe.
• Začasno: podpisi PQ v CMS in XML ter hibridno šifriranje z EncryptHybrid.

Hibridno potrdilo nosi tri nekritične razširitve iz ITU-T X.509 (10/2019):

Podpis ML-DSA pokriva TBSCertificate brez razširitve altSignatureValue. Klasični podpis pokriva celoten TBSCertificate, torej tudi vse tri razširitve. Klasični preverjevalnik neznane nekritične razširitve prezre in potrdilo preveri kot vsako drugo. Seznami preklicanih potrdil iz X509CrlBuilder nosijo dodatni podpis na enak način.

Potrdila v načinu PostQuantum nosijo ključ ML-DSA kot običajen SubjectPublicKeyInfo in so podpisana z ML-DSA, kot določa RFC 9881. Knjižnica podpira nabore parametrov ML-DSA-44, ML-DSA-65 in ML-DSA-87. Kateri od njih ustvarijo podatke brez izjeme, določajo Pravila za postkvantne postopke.

Surovi podpisi v načinu Hybrid so sestavljeni podpisi ML-DSA po osnutku IETF draft-ietf-lamps-pq-composite-sigs (različica 19): podpis ML-DSA, ki mu je pripet podpis RSA ali ECDSA. Osnutek določa fiksne pare. Knjižnica jih podpira; stolpec »Zgoščevalni postopek« navaja vrednost, ki jo podate metodama SignData in VerifyData:

Drug par, na primer ML-DSA-65 z RSA-2048, knjižnica zavrne s CryptographicException. Pari z ML-DSA-44 podpisujejo samo z izjemo ReducedParameterSets; preveriti jih je mogoče tudi brez nje. Ed25519 in Ed448 manjkata, ker .NET 8 ne ponuja EdDSA.

KemEnvelopedCms zapiše CMS EnvelopedData (RFC 5652) s KEMRecipientInfo (RFC 9629). Za ML-KEM oblika ustreza tisti, ki jo zapiše OpenSSL 3.6; za sestavljeni ML-KEM sledi osnutku IETF draft-ietf-lamps-cms-composite-kem. Prejemniki RSA istega sporočila prejmejo KeyTransRecipientInfo z RSAES-OAEP.

EnvelopedCms iz .NET sporočila s KEMRecipientInfo ne more dekodirati, tudi ne za prejemnika RSA istega sporočila. Mešana sporočila zato odpirajte s KemEnvelopedCms.

ExportPfx zapiše datoteko PKCS #12 po RFC 7292. Ključ ML-DSA je v dodatni šifrirani vrečki za ključe poleg klasičnega ključa; z istim localKeyId je povezan s potrdilom. Ključi ML-KEM in sestavljeni ključi ML-KEM so v datoteki shranjeni na enak način. Drugi programi potrdilo in klasični ključ berejo kot običajno, dodatno vrečko pa prezrejo. Kako je datoteka šifrirana, opisuje Ključi in njihova hramba.

Za naslednje primere še noben standard ne določa identifikatorjev. Knjižnica uporablja začasne identifikatorje. Del PQ preverijo samo nasprotne strani, ki uporabljajo to knjižnico; klasični preverjevalniki podatke še naprej berejo.

Napoved v CMS ščiti klasični podpis. Če kdo podpis PQ odstrani, preverjevalnik s to knjižnico to prepozna kot znižanje zaščite in sporočilo zavrne.

• Začasni identifikatorji niso registrirani. Prihodnji standard bo določil druge identifikatorje. Podpise PQ v CMS in XML zato uporabljajte samo med aplikacijami, ki uporabljajo to knjižnico, in podpisanih dokumentov ne hranite dolgoročno samo z zaupanjem v te identifikatorje.
• Osnutki niso standardi. Sestavljeni ML-DSA in sestavljeni ML-KEM sledita osnutkoma IETF v določeni različici. Nasprotna stran, ki izvaja drugo različico, lahko takšne podpise in sporočila zavrne.
• Lastna binarna oblika samo med vašimi aplikacijami. EncryptHybrid in PqCrypto nista primerna za izmenjavo s tujo programsko opremo. Za izmenjavo uporabite KemEnvelopedCms.

• Načini delovanja in vezava klicev
• Ključi in njihova hramba
• Podpisovanje sporočil CMS
• Podpisovanje dokumentov XML
• Šifriranje sporočil CMS