====== 2.3 Strategija in tehnologija ======

Strateško načrtovanje in tehnološke odločitve za post-kvantno kriptografijo.

----

===== Faze migracije =====

<code>
        Faza 1          Faza 2          Faza 3          Faza 4
        ------          ------          ------          ------
        Priprava        Hibridno        Validacija      Samo PQ

Danes -------------------------------------------------------> Prihodnost

        Knjižnico       Novi cert.      Oba podpisa     Samo PQ
        namestiti       hibridni        validirati      (opcijsko)
</code>

----

===== Faza 1: Priprava =====

**Aktivnosti:**
  * Evalvacija NuGet-paketa
  * Uvedba OpenSSL 3.6 v testnem okolju
  * Inventura: Kateri sistemi uporabljajo kriptografijo?
  * Ocena tveganja: Kateri podatki imajo dolgoročno potrebo po zaščiti?

**Rezultat:** Knjižnica nameščena, v klasičnem načinu (brez sprememb obnašanja)

----

===== Faza 2: Aktivacija hibridnega načina =====

**Aktivnosti:**
  * Aktivacija CryptoMode.Hybrid v pilotnem projektu
  * Ustvarjanje novih certifikatov (avtomatsko hibridnih)
  * Testi združljivosti z legacy odjemalci
  * Postopna uvedba na druge sisteme

**Rezultat:** Novi certifikati so PQ-zaščiteni, stari še naprej delujejo

----

===== Faza 3: Validacija =====

**Aktivnosti:**
  * Aktivacija validacije PQ-podpisov
  * Vzpostavitev nadzora za napake pri validaciji
  * Postopna zamenjava legacy certifikatov
  * Dokumentacija in usposabljanje

**Rezultat:** Popolna hibridna validacija aktivna

----

===== Faza 4: Samo PQ (opcijsko) =====

**Predpogoj:** Vsi sistemi PQ-zmožni

**Aktivnosti:**
  * Aktivacija CryptoMode.PostQuantum
  * Odstranitev podpore za legacy
  * Polna PQ-varnost

**Opomba:** Za večino organizacij je faza 3 zadostna.

----

===== Prednostno razvrščanje =====

^  Prioriteta  ^  Sistemi  ^  Utemeljitev  ^
| 1 (takoj) | Dolgoročni arhivi, pogodbe | Najvišja potreba po zaščiti |
| 2 (kratkoročno) | PKI, infrastruktura certifikatov | Osnova za druge sisteme |
| 3 (srednjeročno) | API-ji, spletne storitve | Tekoča komunikacija |
| 4 (pozneje) | Interni sistemi | Nižje tveganje prestrezanja |

----

===== Tehnološke odločitve =====

==== Zakaj OpenSSL 3.6? ====

^  Kriterij  ^  OpenSSL 3.6  ^  Alternative  ^
| **FIPS-validacija** | FIPS 140-3 validirljivo | Bouncy Castle: Brez FIPS |
| **PQ-algoritmi** | ML-DSA, ML-KEM nativno | liboqs: Eksperimentalno |
| **Vzdrževanje** | OpenSSL Foundation, dolgoročno | Majhne ekipe, negotovo |
| **Zmogljivost** | Strojno optimizirano (AES-NI, AVX) | Pogosto le programsko |

==== Zakaj AES-256-GCM? ====

^  Kriterij  ^  AES-256-GCM  ^  ChaCha20-Poly1305  ^
| **FIPS-certifikacija** | FIPS 197 (standard) | Ni FIPS-certificiran |
| **Strojna podpora** | AES-NI na vseh CPE-jih | Brez strojnega pospeševanja |
| **PQ-varnost** | 128-bitna post-kvantna | 128-bitna post-kvantna |

==== Zakaj hibridno namesto samo PQ? ====

^  Vidik  ^  Hibridno (priporočeno)  ^  Samo PQ  ^
| **Tveganje** | Minimalno - dve varnostni plasti | Višje - samo PQ-algoritmi |
| **Združljivost** | Legacy sistemi delujejo | Prekinitev z legacy |
| **Priporočilo NIST** | Priporočeno za prehodno obdobje | Šele po migraciji |

----

===== Povzetek za revizije =====

^  Odločitev  ^  Utemeljitev  ^  Referenca  ^
| OpenSSL 3.6 | FIPS-validirljivo, industrijski standard | OpenSSL Foundation |
| AES-256-GCM | FIPS 197 certificirano, strojno pospešeno | NIST FIPS 197 |
| ML-DSA/ML-KEM | NIST-standardizirano (FIPS 203/204) | NIST PQC Project |
| Hibridni način | NIST/BSI priporočeno, defenzivno | NIST SP 800-227 |

----

===== Dejavniki uspeha =====

  * **Podpora vodstva:** Podpora poslovodstva
  * **Zgodnji začetek:** Ne čakajte na kvantne računalnike
  * **Postopna uvedba:** Zmanjšanje tveganja s fazami
  * **Nadzor:** Zaznavanje in odpravljanje napak pri validaciji
  * **Dokumentacija:** Za revizije in prenos znanja

----

===== Nadaljnje branje =====

  * [[..:developer:migration|Migracija (tehnično)]] - Podrobni koraki
  * [[.:compliance|Skladnost]] - Regulativne zahteve
  * [[..:administrator:start|Administrator]] - Operativna izvedba

----
//Wolfgang van der Stille @ EMSR DATA d.o.o. - Post-Quantum Cryptography Professional//

{{tag>strategie migration planung technologie audit}}