Mapping della libreria WvdS Post-Quantum-Cryptography sui moduli BSI IT-Grundschutz.

Il compendio BSI IT-Grundschutz¹⁾ definisce i requisiti di sicurezza per i sistemi IT. Questa pagina documenta come WvdS soddisfa i moduli rilevanti.

Modulo: Concezione e procedure - Concetto crittografico²⁾

CON.1.A1 - Selezione procedure crittografiche appropriate:

// WvdS utilizza esclusivamente algoritmi standardizzati NIST
CryptoConfig.DefaultMode = CryptoMode.Hybrid;
 
// Algoritmi disponibili:
// - ML-DSA-44/65/87 (NIST FIPS 204)
// - ML-KEM-512/768/1024 (NIST FIPS 203)
// - RSA-2048/3072/4096 (classico)
// - ECDSA P-256/384/521 (classico)

CON.1.A4 - Lunghezze chiavi appropriate:

Le lunghezze chiavi corrispondono alle raccomandazioni BSI³⁾:

Modulo: Gestione chiavi⁴⁾

CON.5.A5 - Derivazione chiavi:

Le funzioni di derivazione chiavi corrispondono alle raccomandazioni BSI⁵⁾ e agli standard NIST⁶⁾.

// HKDF (RFC 5869) per derivazione chiavi
var derivedKey = KeyDerivationExtensions.DeriveKey(
    sharedSecret,
    salt: cryptoRandom,
    info: contextInfo,
    outputLength: 32,
    HashAlgorithmName.SHA256
);
 
// Argon2id per derivazione basata su password (Memory-Hard)
var key = OpenSslKdf.Argon2id(
    password,
    salt,
    outputLength: 32,
    iterations: 3,
    memoryKiB: 65536,  // 64 MB
    parallelism: 4
);

CON.5.A6 - Distruzione chiavi:

// Distruzione automatica chiavi via IDisposable
using var keyPair = ctx.GenerateKeyPair(PqAlgorithm.MlDsa65);
// ... utilizzo ...
// Dispose() chiama SecureZeroMemory sui byte della chiave privata

Modulo: Logging⁷⁾

Rilevanza: Configurazione TLS per server web

// Certificato server ibrido per TLS
var serverCert = request.CreateServerCertificate(
    intermediateCa,
    dnsNames: new[] { "api.example.com" },
    mode: CryptoMode.Hybrid  // ECDSA + ML-DSA
);

Rilevanza: Dispositivi di rete con certificati

La direttiva tecnica BSI TR-03116⁸⁾ definisce specifiche crittografiche concrete:

• Panoramica compliance
• Direttiva NIS2
• Checklist di audit completa
• BSI IT-Grundschutz (esterno)

Wolfgang van der Stille @ EMSR DATA d.o.o. - Post-Quantum Cryptography Professional