Kriptografija in postkvantni prehod

Povzetek. WKL TrustBridge stavi na hibridno kriptografijo: klasični postopki za združljivost z obstoječimi preverjevalci, ML-DSA (FIPS 204) kot postkvantni podpis. Hibridni certifikat nosi oba podpisa; klasični preverjevalci ga berejo nespremenjenega, preverjevalci s podporo PQ preverijo oba. Za povezave med partnerji se ML-KEM (FIPS 203) uporablja dvakrat: v hibridni skupini TLS 1.3 in v neodvisni izmenjavi ključev agentov ključev. Kriptografska prilagodljivost se uresničuje z generacijami CA, ne s preklapljanjem med izvajanjem. Merilo za vse postopke in nabore parametrov je BSI TR-02102 v različici 2026-01.

• ML-KEM – Module-Lattice-Based Key-Encapsulation Mechanism (FIPS 203): postopek, s katerim se dve strani dogovorita za skupno skrivnost. FIPS 203 opredeljuje ML-KEM-512, -768 in -1024; BSI med njimi priporoča samo ML-KEM-768 in ML-KEM-1024 (varnostni kategoriji 3 in 5).
• ML-DSA – Module-Lattice-Based Digital Signature Algorithm (FIPS 204). FIPS 204 opredeljuje ML-DSA-44, -65 in -87; BSI med njimi priporoča samo ML-DSA-65 in ML-DSA-87, vsakega v različici „hedged“ (podpis z dodatnim naključjem namesto čisto determinističnega).
• SLH-DSA – postopek podpisovanja brez stanja na osnovi zgoščevalnih funkcij (FIPS 205); konzervativne predpostavke, veliki podpisi.
• Hibridno – kombinacija klasičnega in postkvantnega postopka. Kakšna varnost iz tega izhaja, je odvisno od konstrukcije in od tega, kaj preverjevalec preveri (gl. spodaj).
• Kriptografska prilagodljivost – zmožnost načrtovane menjave postopkov brez preloma.

Ločiti je treba dve grožnji:

TrustBridge obravnava obe. Pred prvo ščitita hibridna skupina TLS in dodatna skrivnost agentov ključev, gl. Postkvantna izmenjava ključev za TLS. Pred drugo ščitijo hibridni certifikati. Njihova kritična pot so sidra zaupanja: korenska CA, ki je danes ustvarjena klasično in naj velja dvajset let, bi s kvantnim računalnikom postala ničvredna pred svojim potekom, z njo pa vsaka veriga pod njo.

Zakaj hibridno in ne samo PQ. ML-DSA je mlad; njegove izvedbe imajo za seboj manj let delovanja kot RSA ali ECDSA, napake v izvedbah pa po izkušnjah tehtajo več kot slabosti matematike. Kombinacija obeh postopkov ščiti pred odpovedjo enega od njiju – vendar samo, če preverjevalec preveri oba podpisa in manjkajočega šteje za napako. BSI zato priporoča postkvantne postopke v kombinaciji s klasičnimi. Hkrati hibridni certifikat ostane berljiv za preverjevalce brez podpore PQ.

Merilo je BSI TR-02102-1 v različici 2026-01. Za dogovor o ključu priporoča samo ML-KEM-768 in ML-KEM-1024 (razdelek 2.4.3, tabela 2.7), za podpise samo ML-DSA-65 in ML-DSA-87 v različici „hedged“ (razdelek 5.3.4.2, tabela 5.7), postkvantne postopke vsakič v kombinaciji s klasičnim postopkom. TrustBridge zato ponuja samo te nabore parametrov in samo hibridno.

ML-DSA-44 in ML-KEM-512 tega priporočila ne izpolnjujeta. V profilih, certifikatih, zahtevkih in razmerjih nista dovoljena; CSR s takim ključem se zavrne.

Identifikator postkvantnega podpisa sledi standardiziranim identifikatorjem iz RFC 9881.

graph LR
  %% LR: polja certifikata so tako navedena drugo pod drugim; od zgoraj navzdol bi bil diagram več kot dvakrat širši.
  CA[CA s klasičnim<br/>in ključem ML-DSA<br/>v HSM]
  subgraph CERT [Certifikat]
    subgraph TBS [Podpisani del]
      SUB[subjekt, serijska številka, veljavnost]
      SPK[klasični javni ključ]
      ALTK[subjectAltPublicKeyInfo 2.5.29.72<br/>ključ ML-DSA]
      ALTA[altSignatureAlgorithm 2.5.29.73]
      ALTV[altSignatureValue 2.5.29.74<br/>podpis ML-DSA CA]
      EXT[druge razširitve]
    end
    SIG[klasični podpis CA<br/>prek celotnega podpisanega dela]
  end
  CA ==>|1. ML-DSA prek podpisanega dela<br/>brez altSignatureValue| ALTV
  CA ==>|2. klasično prek vsega| SIG
  classDef pq fill:#dff6dd,stroke:#107c10,color:#201f1e
  classDef kl fill:#deecf9,stroke:#0078d4,color:#201f1e
  classDef neu fill:#f3f2f1,stroke:#605e5c,color:#201f1e
  classDef tcb fill:#fde7e9,stroke:#a4262c,color:#201f1e
  class ALTK,ALTA,ALTV pq
  class SPK,SIG kl
  class SUB,EXT neu
  class CA tcb
  style CERT fill:#ffffff,stroke:#8a8886,color:#201f1e
  style TBS fill:#ffffff,stroke:#8a8886,color:#201f1e

Dve ravni trditve.

V nasprotju s tem sestavljeni podpisi (osnutek IETF) oba podpisa neločljivo povežejo pod novim algoritmom; klasični preverjevalci takšne certifikate zavrnejo. TrustBridge izdaja hibridne certifikate z alternativnim podpisom, da jih obstoječi preverjevalci lahko še naprej berejo, ločljivost pa izravna z obveznostjo PQ za vsako razmerje.

Meja. Alternativni podpis je ločljiv. Kdor bo v prihodnje znal ponarediti klasični podpis, lahko ustvari certifikat brez razširitev PQ, ki ga preverjevalec brez obveznosti PQ sprejme. Postkvantna zaščita torej učinkuje šele, ko jo preverjevalci zahtevajo. Adapter TLS jo zahteva, kakor hitro to predvideva politika razmerja. Zahtevek za hibridni certifikat mora dokazati posest obeh zasebnih ključev.

Kriptografska prilagodljivost tu ne pomeni preklapljanja postopkov med izvajanjem, temveč vnaprej načrtovano menjavo:

1. Nova generacija namesto zamenjave ključa. Nov postopek pomeni novo CA z novim ključem in novim certifikatom. Obstoječi ključ se ne certificira znova.
2. Prekrivanje. Preverjevalci dobijo novo sidro, preden se pod novo generacijo izvede prva izdaja.
3. Iztek. Stara generacija preneha izdajati, ko njena preostala veljavnost pade pod najdaljšo veljavnost profila, nato pa podpisuje samo še sezname preklicanih.

gantt
  title Zamenjava klasične generacije s hibridno (shematično)
  dateFormat YYYY-MM-DD
  axisFormat %Y
  section Klasična generacija
  izdaja                 :a1, 2027-01-01, 2028-06-30
  samo seznami preklicanih :a2, after a1, 365d
  section Hibridna generacija
  sidro razdeljeno       :b0, 2027-07-01, 180d
  izdaja                 :b1, 2028-01-01, 2031-12-31

Prehod obstoječih klasičnih sider organizacije: popis preverjevalcev in njihove podpore PQ; razdelitev hibridnega sidra poleg starega; izdaja novih certifikatov samo še hibridno; dogovor o obveznosti PQ za vsako razmerje, ko lahko preverjata obe strani; umik starega sidra po poteku vseh certifikatov pod njim.

Odvisnost od HSM. Hibridne CA predpostavljajo HSM, ki ML-DSA ustvarja in uporablja neizvozljivo. Programskega ključa za CA ni niti kot prehodne rešitve.

Raznolike izvedbe. Certifikatna agencija ostane pri eni sami osnovi, ker vsaka dodatna knjižnica v zaupanja vredni osnovi pomnoži delo s preverjanjem. Komponente na končnih točkah namerno uporabljajo drugo izvedbo TLS: dodatna skrivnost je s tem tudi v izvedbi neodvisna od kriptografije certifikatne agencije.

Preverjanje s standardnimi vektorji. Vsaka različica preveri ML-DSA in ML-KEM z objavljenimi testnimi primeri iz FIPS 203 in FIPS 204, vključno z napačnimi ključi in spremenjenimi kontekstnimi nizi. Nabor parametrov ključa se prebere iz njegovega identifikatorja objekta, ne sklepa iz dolžine.

Vsak modul, ki prestane ta prevzem, je za TrustBridge dovoljen. Programski modul je za ključe CA izključen in je predviden samo za testna in izobraževalna okolja.

• Določenega HSM. Zahteve in prevzemno preverjanje so navedeni zgoraj.
• Sestavljenih podpisov. TrustBridge uporablja ločljivi alternativni podpis, da lahko klasični preverjevalci certifikate še naprej berejo.
• Postopkov zunaj priporočila BSI TR-02102, tudi ne na željo posameznih partnerjev.

• FIPS 203 – ML-KEM.
• FIPS 204 – ML-DSA.
• RFC 9881 – identifikatorji za ML-DSA v X.509.
• RFC 10024 – hibridni dogovor o ključu iz ECDHE in ML-KEM za TLS 1.3.
• BSI TR-02102 – TR-02102-1 in TR-02102-2, različica 2026-01.
• PKCS #11 različica 3.2 – mehanizmi za ML-DSA in ML-KEM.