BSI IT-Grundschutz mapiranje

Mapiranje WvdS Post-Quantum kriptografske biblioteke na BSI IT-Grundschutz module.

BSI IT-Grundschutz-Kompendium¹⁾ definira sigurnosne zahtjeve za IT sustave. Ova stranica dokumentira kako WvdS ispunjava relevantne module.

Modul: Koncepcije i postupci - Kriptografski koncept²⁾

CON.1.A1 - Odabir prikladnih kriptografskih postupaka:

// WvdS koristi isključivo NIST-standardizirane algoritme
CryptoConfig.DefaultMode = CryptoMode.Hybrid;
 
// Dostupni algoritmi:
// - ML-DSA-44/65/87 (NIST FIPS 204)
// - ML-KEM-512/768/1024 (NIST FIPS 203)
// - RSA-2048/3072/4096 (klasično)
// - ECDSA P-256/384/521 (klasično)

CON.1.A4 - Prikladne duljine ključeva:

Duljine ključeva odgovaraju BSI preporukama³⁾:

Modul: Upravljanje ključevima⁴⁾

CON.5.A5 - Derivacija ključeva:

Funkcije derivacije ključeva odgovaraju BSI preporukama⁵⁾ i NIST standardima⁶⁾.

// HKDF (RFC 5869) za derivaciju ključeva
var derivedKey = KeyDerivationExtensions.DeriveKey(
    sharedSecret,
    salt: cryptoRandom,
    info: contextInfo,
    outputLength: 32,
    HashAlgorithmName.SHA256
);
 
// Argon2id za derivaciju temeljenu na lozinki (Memory-Hard)
var key = OpenSslKdf.Argon2id(
    password,
    salt,
    outputLength: 32,
    iterations: 3,
    memoryKiB: 65536,  // 64 MB
    parallelism: 4
);

CON.5.A6 - Uništavanje ključeva:

// Automatsko uništavanje ključeva putem IDisposable
using var keyPair = ctx.GenerateKeyPair(PqAlgorithm.MlDsa65);
// ... korištenje ...
// Dispose() poziva SecureZeroMemory na bajtove privatnog ključa

Modul: Protokoliranje⁷⁾

Relevantnost: TLS konfiguracija za web poslužitelje

// Hibridni serverski certifikat za TLS
var serverCert = request.CreateServerCertificate(
    intermediateCa,
    dnsNames: new[] { "api.example.com" },
    mode: CryptoMode.Hybrid  // ECDSA + ML-DSA
);

Relevantnost: Mrežni uređaji s certifikatima

BSI Tehnička smjernica TR-03116⁸⁾ definira konkretne kriptografske zahtjeve:

• Pregled usklađenosti
• NIS2 direktiva
• Potpuna kontrolna lista za reviziju
• BSI IT-Grundschutz (vanjski)

Wolfgang van der Stille @ EMSR DATA d.o.o. - Post-Quantum Cryptography Professional