Postkvantna izmenjava ključev za TLS

Povzetek. TrustBridge vsako povezavo med dvema partnerjema dodatno zaščiti s postkvantno skrivnostjo, ki nastane neodvisno od TLS. Na vsakem povezanem strežniku se agent ključev z agentom nasprotne strani redno dogovori za svežo skrivnost prek ML-KEM; oba agenta se pri tem izkažeta s certifikati ML-DSA. Lokalni posrednik ključev skrivnost preda adapterju TLS, ki jo kot zunanji vnaprej deljeni ključ (PSK) po RFC 9973 vnese v rokovanje TLS 1.3, poleg hibridnega dogovora o ključu in vzajemne avtentikacije s certifikati. Kdor povezavo posname, mora zato pozneje zlomiti dva med seboj neodvisna dogovora o ključu. Avtentikacija ostane pri certifikatih; dodatna skrivnost je ne nadomešča.

• Zunanji PSK – skrivnost, dogovorjena zunaj TLS, ki jo obe strani vneseta v razpored ključev TLS 1.3 (RFC 8446, razdelek 2.2).
• psk_dhe_ke – način TLS 1.3, v katerem se PSK uporabi poleg dogovora o ključu (EC)DHE; naprejšnja tajnost (forward secrecy) dogovora o ključu se ohrani.
• Hibridna skupina – dogovor o ključu v TLS 1.3 iz klasičnega postopka in ML-KEM, na primer SecP256r1MLKEM768 (RFC 10024).
• tls_cert_with_extern_psk – razširitev TLS (kodna točka 33) iz RFC 9973, s katero rokovanje združi avtentikacijo s certifikatom in zunanji PSK v razporedu ključev.
• Agent ključev – storitev na povezanem strežniku, ki z agentom nasprotne strani izvaja postkvantno izmenjavo ključev.
• Posrednik ključev – lokalna komponenta, ki dogovorjeno skrivnost preda adapterju TLS na istem strežniku.
• Adapter TLS – lokalna storitev, ki za obstoječo aplikacijo vzpostavi ali sprejme povezavo TLS z nasprotno stranjo.
• Vezava na nasprotno stran – vezava izmenjave ključev na preverjeno identiteto nasprotne strani.
• Menjava povezave – načrtovana zamenjava obstoječe povezave TLS z novo s svežo skrivnostjo, ne da bi aplikacija opazila prekinitev.

Za zaupnost pred poznejšim dešifriranjem ima TLS 1.3 standardizirano pot: hibridne skupine iz ECDHE in ML-KEM (RFC 10024). BSI med njimi navaja SecP256r1MLKEM768 in SecP384r1MLKEM1024 (TR-02102-2). TrustBridge te skupine uporablja v vsaki povezavi. Dodatna skrivnost jih dopolni v treh točkah:

Dodatna skrivnost je plast globinske obrambe. TLS ne naredi odvečnega, ne nadomešča certifikatov in ni nov protokol TLS: uporablja vmesnik, ki ga TLS 1.3 z RFC 9973 izrecno predvideva.

graph TD
  subgraph HA [Strežnik pri organizaciji A]
    AA[Aplikacija]
    TA[Adapter TLS A]
    KBA[Posrednik ključev A<br/>lokalno]
    AGA[Agent ključev A]
  end
  subgraph HB [Strežnik pri organizaciji B]
    AB[Aplikacija]
    TB[Adapter TLS B]
    KBB[Posrednik ključev B<br/>lokalno]
    AGB[Agent ključev B]
  end
  subgraph PKI [Certifikatni agenciji obeh organizacij]
    CA[Delavec CA A in B<br/>vsak z lastno zaupanja vredno osnovo]
  end
  AGA ==>|ML-KEM, obe strani overjeni z ML-DSA| AGB
  AGA ==>|skrivnost| KBA
  AGB ==>|skrivnost| KBB
  KBA ==>|zunanji PSK| TA
  KBB ==>|zunanji PSK| TB
  AA --> TA
  TA -->|TLS 1.3: certifikati, zunanji PSK, hibridna skupina| TB
  TB --> AB
  CA -.->|certifikati agentov in storitev| AGA
  CA -.->|certifikati agentov in storitev| AGB
  classDef tcb fill:#fde7e9,stroke:#a4262c,color:#201f1e
  classDef onl fill:#f3f2f1,stroke:#605e5c,color:#201f1e
  classDef par fill:#deecf9,stroke:#0078d4,color:#201f1e
  classDef pq fill:#dff6dd,stroke:#107c10,color:#201f1e
  class CA tcb
  class TA,TB onl
  class AA,AB par
  class AGA,AGB,KBA,KBB pq
  style HA fill:#ffffff,stroke:#8a8886,color:#201f1e
  style HB fill:#ffffff,stroke:#8a8886,color:#201f1e
  style PKI fill:#ffffff,stroke:#8a8886,color:#201f1e

Posrednik ključev je izrecno lokalen. Osrednja storitev, ki bi sejne ključe razdeljevala končnim točkam, bi postala tarča z dostopom do vseh povezav. TrustBridge take storitve nima; tudi operativni partner v modelu Managed ne pozna nobene skrivnosti agentov.

RFC 9973 (julij 2026, standardna pot) ureja natanko povezavo, ki jo TrustBridge potrebuje: avtentikacijo s certifikatom v TLS 1.3, pri kateri v razpored ključev vstopi še zunanji PSK. Brez te razširitve se PSK in certifikat v TLS 1.3 izključujeta.

sequenceDiagram
  participant AA as Agent A
  participant AB as Agent B
  participant TA as Adapter TLS A
  participant TB as Adapter TLS B
  AA->>AB: izmenjava ML-KEM, obe strani overjeni z ML-DSA
  AB-->>AA: skupna skrivnost, identifikator PSK, veljavnost
  AA->>TA: PSK prek lokalnega posrednika ključev
  AB->>TB: PSK prek lokalnega posrednika ključev
  TA->>TB: ClientHello s tls_cert_with_extern_psk, pre_shared_key, psk_dhe_ke, key_share hibridno
  TB-->>TA: ServerHello s tls_cert_with_extern_psk, pre_shared_key, key_share
  TB-->>TA: CertificateRequest, Certificate, CertificateVerify, Finished
  TA->>TB: Certificate, CertificateVerify, Finished
  Note over TA,TB: Vsi prometni ključi so odvisni od PSK in od hibridne skrivnosti

Poleg tega veljata RFC 9257 (napotki za uporabo zunanjih PSK) in RFC 9258 (vezava uvoženih zunanjih PSK na protokol in zgoščevalno funkcijo).

TLS 1.3 novo zunanjo skrivnost sprejme samo ob vzpostavitvi povezave. KeyUpdate v obstoječi povezavi nove prometne ključe izpelje samo iz dosedanje prometne skrivnosti in ne prinese svežega materiala. TrustBridge zato zaščito obnavlja z zamenjavo same povezave:

sequenceDiagram
  participant AP as Aplikacija
  participant TA as Adapter TLS A
  participant TB as Adapter TLS B
  Note over TA,TB: povezava 1 s skrivnostjo n
  TA->>TB: vzpostavi povezavo 2 s skrivnostjo n+1
  TB-->>TA: rokovanje končano
  AP->>TA: nove zahteve
  TA->>TB: prek povezave 2
  Note over TA,TB: povezava 1 ne sprejema več ničesar in se zapre po zadnjem odgovoru

• Novega protokola TLS ali nadomestka za TLS 1.3. TrustBridge uporablja razširitev, predvideno v RFC 9973.
• Kvantno odporne avtentikacije s PSK. Avtentikacijo zagotavljajo certifikati; njihove postkvantne lastnosti opisuje stran Kriptografija in postkvantni prehod.
• Zaščite odseka med adapterjem TLS in aplikacijo na istem strežniku.
• Pooblastil. Povezava z veljavno skrivnostjo še ne dovoli nobene operacije; to ureja ciljna aplikacija, gl. Model zaupanja.

• RFC 8446 – TLS 1.3; razdelek 2.2 o PSK, razdelek 4.6.3 o KeyUpdate, razdelek 7.1 o razporedu ključev.
• RFC 9973 – razširitev TLS 1.3 za certifikate z zunanjim PSK (julij 2026, standardna pot, nadomešča RFC 8773); izrecno loči zaupnost od avtentikacije.
• RFC 10024 – hibridni dogovor o ključu iz ECDHE in ML-KEM za TLS 1.3.
• RFC 9257 – napotki za uporabo zunanjih PSK.
• RFC 9258 – uvoz zunanjih PSK v TLS 1.3.
• FIPS 203 – ML-KEM.
• FIPS 204 – ML-DSA.
• BSI TR-02102 – TR-02102-2 (različica 2026-01), razdelek 3.4.2: priporočilo hibridnih skupin SecP256r1MLKEM768 in SecP384r1MLKEM1024.