BSI IT-Grundschutz preslikava

Preslikava knjižnice WvdS za post-kvantno kriptografijo na gradnike BSI IT-Grundschutz.

Kompendij BSI IT-Grundschutz¹⁾ določa varnostne zahteve za IT-sisteme. Ta stran dokumentira, kako WvdS izpolnjuje ustrezne gradnike.

Gradnik: Koncepti in postopki - Kripto-koncept²⁾

CON.1.A1 - Izbira primernih kriptografskih postopkov:

// WvdS uporablja izključno NIST-standardizirane algoritme
CryptoConfig.DefaultMode = CryptoMode.Hybrid;
 
// Razpoložljivi algoritmi:
// - ML-DSA-44/65/87 (NIST FIPS 204)
// - ML-KEM-512/768/1024 (NIST FIPS 203)
// - RSA-2048/3072/4096 (klasično)
// - ECDSA P-256/384/521 (klasično)

CON.1.A4 - Primerne dolžine ključev:

Dolžine ključev ustrezajo BSI-priporočilom³⁾:

Gradnik: Upravljanje ključev⁴⁾

CON.5.A5 - Izpeljava ključev:

Funkcije za izpeljavo ključev ustrezajo BSI-priporočilom⁵⁾ in NIST-standardom⁶⁾.

// HKDF (RFC 5869) za izpeljavo ključev
var derivedKey = KeyDerivationExtensions.DeriveKey(
    sharedSecret,
    salt: cryptoRandom,
    info: contextInfo,
    outputLength: 32,
    HashAlgorithmName.SHA256
);
 
// Argon2id za izpeljavo na podlagi gesla (Memory-Hard)
var key = OpenSslKdf.Argon2id(
    password,
    salt,
    outputLength: 32,
    iterations: 3,
    memoryKiB: 65536,  // 64 MB
    parallelism: 4
);

CON.5.A6 - Uničenje ključev:

// Samodejno uničenje ključev preko IDisposable
using var keyPair = ctx.GenerateKeyPair(PqAlgorithm.MlDsa65);
// ... uporaba ...
// Dispose() pokliče SecureZeroMemory na bajtih zasebnega ključa

Gradnik: Beleženje⁷⁾

Relevantnost: TLS-konfiguracija za spletne strežnike

// Hibridni strežniški certifikat za TLS
var serverCert = request.CreateServerCertificate(
    intermediateCa,
    dnsNames: new[] { "api.example.com" },
    mode: CryptoMode.Hybrid  // ECDSA + ML-DSA
);

Relevantnost: Omrežne naprave s certifikati

Tehnična smernica BSI TR-03116⁸⁾ določa konkretne kriptografske zahteve:

• Pregled skladnosti
• NIS2-direktiva
• Popoln kontrolni seznam za revizije
• BSI IT-Grundschutz (zunanji)

Wolfgang van der Stille @ EMSR DATA d.o.o. - Post-Quantum Cryptography Professional