THINK Blog DACH

• Quantencomputer sind inzwischen technologisch so weit fortgeschritten, dass sie schon bald moderne Verschlüsselungen knacken könnten.
• Schätzungen zufolge müssen mehr als 20 Milliarden digitale Geräte aufgerüstet oder durch neue quantensichere verschlüsselte Kommunikation ersetzt werden.
• Die Antworten auf diese sechs Schlüsselfragen könnten dazu beitragen, Ihr Unternehmen quantensicher zu machen.

Die Begriffe „Post-Quantum“ und „Quantensicherheit“ sind im Zusammenhang mit der Verschlüsselung sensibler Daten zu Schlagwörtern geworden. Insbesondere nachdem das National Institute of Standards and Technology (NIST), ein Bereich des US-Handelsministeriums, vier neue Algorithmen angekündigt hat, die im Jahr 2024 als neue Verschlüsselungsstandards dienen sollen.

Mit der Weiterentwicklung von Quantencomputern steigt die Anzahl der Prozessor-Qubits und diese werden immer stabiler, sodass sie in der Lage sind, auch komplexe Probleme zu bewältigen, die für klassische Rechner als unlösbar gelten. In dem Maße, wie Quantencomputer ihre volle Leistungsfähigkeit entfalten, steigt jedoch auch das Risiko, dass sie moderne Verschlüsselungen knacken und damit sensible Daten kompromittieren können.

Hier kommt quantensichere Kryptographie auf Basis mathematischer Gitter ins Spiel. Im Gegensatz zu den heute gängigen faktorbasierten Verschlüsselungsverfahren wie RSA, die auf dem Faktorisieren komplexer, riesiger Zahlen basieren, arbeitet die quantensichere Kryptografie stattdessen mit Vektoren, d. h. Richtungen in einem strukturierten Gitter.

Da Quantencomputer eine derart ernste Bedrohung für die Verschlüsselung darstellen, veröffentlichte das Weiße Haus im Mai 2022 ein Memorandum bezüglich des Plans der Regierung zur Sicherung kritischer Systeme vor den Quantencomputern der Zukunft. Es folgte die Veröffentlichung einer neuen Commercial National Security Algorithm Suite (CNSA) durch die National Security Agency (NSA), in der die Verwendung neuer quantensicherer Algorithmen zusammen mit einem Zeitplan für den Ersatz beschrieben sind.

Nach Schätzungen des Weltwirtschaftsforums werden in den nächsten ein bis zwei Jahrzehnten mehr als 20 Milliarden digitale Geräte durch diese neuen Methoden der quantensicheren verschlüsselten Kommunikation aufgerüstet oder ersetzt werden müssen.

Einige Branchen haben bereits mit der Umstellung auf quantensichere Protokolle begonnen. Die Telekommunikationsorganisation GSMA hat im vergangenen September eine Post-Quantum Telco Network Taskforce gegründet, der IBM und Vodafone als erste Mitglieder beigetreten sind. Ziel ist es, bei der Definition von Richtlinien, Vorschriften und Geschäftsprozessen für Betreiber mitzuwirken, um Telekommunikationsunternehmen vor zukünftigen Quantenbedrohungen zu schützen.

Die Taskforce hat kürzlich eine Post Quantum Telco Network Impact Assessment veröffentlicht, eine eingehende Analyse der Quantensicherheitsbedrohungen, mit denen die Telekommunikationsbranche konfrontiert ist, sowie eine detaillierte Liste potenzieller Lösungen zur Vorbereitung auf diese Bedrohungen.

Zwar wurde viel darüber geredet, dass Unternehmen Schritte in eine „quantensichere“ Zukunft einleiten sollten, aber für die meisten Unternehmen werfen diese Äußerungen möglicherweise mehr Fragen als Antworten auf. Bei IBM gehen wir diese Fragen mit einer„ quantensicheren Roadmap“ an, die Unternehmen durch die Phasen der Aufdeckung, Beobachtung und Transformation führt.

Hier sind die Antworten auf sechs Schlüsselfragen, die Ihnen helfen, Ihr Unternehmen quantensicher zu machen.

1. Wie können Sie „aufdecken“, welche Daten und Systeme auf neue Algorithmen umgestellt werden sollen?

Jedes Unternehmen hat seine eigenen Prioritäten, wenn es um die Frage geht, was zu welchem Zeitpunkt migriert werden soll. Für einige wird die Migration notwendig sein, um weiterhin Produkte und Dienstleistungen an die US-Bundesregierung zu verkaufen. Für andere wiederum mag das Risiko bestehen, wegen eines künftigen Quantenereignisses, z. B. einer Datenpanne, den Geschäftsbetrieb einstellen zu müssen. Zunächst ist es also wichtig zu verstehen, wo und wie alte Algorithmen verwendet werden und die damit verbundenen Risiken zu analysieren. Dies wird idealerweise erreicht, indem die Verwendung sicherer Software-Supply-Chain-Konzepte erweitert wird, die auch Gegenstand einer Executive Order zur Verbesserung der Cybersicherheit waren.

Um Unternehmen in dieser Anfangsphase zu unterstützen, hat IBM ein Tool namens Explorer entwickelt, das den Quell- und Objektcode scannt, um alle kryptografisch relevanten Artefakte aufzudecken, ihre Positionen zu ermitteln und Abhängigkeiten zu entdecken. Der Explorer erzeugt ein Aufrufdiagramm, das kryptografische Artefakte katalogisiert und eine Wissensbasis erstellt, die in einer CBOM (Cryptography Bill of Materials) angeordnet ist.

2. Wie „beobachten“ Sie die Daten- und Systemprioritäten Ihres Unternehmens?

In der Phase „Beobachten“ nimmt ein Unternehmen die entdeckten Informationen auf und erstellt ein mit Kontext angereichertes kryptografisches Inventar, um den kryptografischen Stand der Compliance zu analysieren. Dieses Inventar enthält eine Liste von Sicherheitslücken, die auf branchenspezifischen Konformitätsrichtlinien und Geschäftsprioritäten basieren, sodass ein Unternehmen seine Verschlüsselungsinfrastruktur leichter aktualisieren kann.

Für diese Phase haben wir ein Tool namens Advisor entwickelt. Es lässt sich mit Netzwerk- und Sicherheitsscannern in der IT-Umgebung eines Unternehmens integrieren, um CBOMs zu konsolidieren und zu verwalten und Metadaten von anderen Netzkomponenten zu erfassen, um ein umfassendes kryptografisches Inventar zu erstellen. Anhand richtlinienbasierter Daten kann Advisor eine Liste gefährdeter Assets und Datenströme generieren, die Unternehmen in die Lage versetzt, den Status ihrer kryptografischen Compliance zu analysieren.

Unternehmen können Kosten und Aufwand einsparen, indem sie strategische Modernisierungsinitiativen abstimmen, die die Migration von Verschlüsselungen vereinfachen und die Sicherheit verbessern. Eine Strategie, die Risiko mit strategischer Anwendungsmodernisierung kombiniert, ist der beste Weg, quantensicher zu werden.

3. Wie lange dauert die quantensichere „Transformation“?

Das hängt davon ab, was migriert werden soll. Ein komplexes Altsystem kann die Migration erschweren. Anwendungsmodernisierung ist der Schlüssel zur Quantensicherheit.

Wenn eine Organisation bereit zur „Transformation“ ist, kommt unser Remediator ins Spiel: ein Tool, das es Unternehmen ermöglicht, quantensichere Korrekturmuster zu testen, damit sie die potenziellen Auswirkungen auf Systeme und Assets verstehen. Remediator hilft bei der Umsetzung jedes Musters, das dem Unternehmen zur Quantensicherheit verhilft.

Er ermöglicht es dem Unternehmen, mit verschiedenen quantensicheren Algorithmen, Zertifikaten und Schlüsselverwaltungsdiensten zu arbeiten. Außerdem hilft es dem Unternehmen, sich schnell an sich ändernde Richtlinien und Bedrohungen anzupassen, ohne erhebliche betriebliche oder finanzielle Auswirkungen zu riskieren. Remediator unterstützt zudem eine hybride Implementierungsstrategie, die es Unternehmen ermöglicht, bei ihrem Übergang zu quantensicheren Algorithmen sowohl klassische als auch quantensichere Kryptografie zu verwenden.

4. Kann die Transformation im Hintergrund Ihres normalen Betriebs durchgeführt werden?

Mit dem richtigen Bewusstsein und der strategischen Governance ist es möglich, ein Unternehmen mit minimalen Auswirkungen schrittweise zu migrieren. Nehmen Sie zum Beispiel APIs, die ein Unternehmen intern nutzt oder extern anbietet. Die Verwendung von quantensicheren Infrastrukturkomponenten, die den Zugriff auf diese APIs ermöglichen und mit quantensicheren Algorithmen geschützt sind, ist sehr einfach. IBM hat diesen Ansatz verwendet, um ein zweites quantensicheres Gateway zu seinen IBM Cloud Key Protect-Services anzubieten.

5. Was sind die neuen NIST-Algorithmen und wie wissen wir, dass sie wirklich sicherer sind?

Am besten kann man sich diese Algorithmen als die nächste Generation kryptografischer Algorithmen vorstellen. Sie wurden inzwischen für die zukünftige Verwendung durch den US-Bundesstaat freigegeben und werden auch in die Vorschriften vieler anderer Länder und Branchen Eingang finden. Die Algorithmen wurden von externen internationalen Konsortien entwickelt und bei einem vom NIST veranstalteten Wettbewerb eingereicht. Dieser sechs Jahre dauernde Prozess mündete in eine intensive und offene Prüfung der Algorithmen und in die Auswahl von vier Kandidaten durch das NIST, die bis 2024 standardisiert werden sollen.

6. Warum sollten Sie jetzt in diese Migration investieren, wo doch Quantencomputer noch nicht voll einsatzbereit sind?

Wir wissen nicht, wann ein kryptografisch relevanter Quantencomputer entwickelt werden wird. Eine neue Generation von Verschlüsselungsverfahren zum Schutz vor dieser zukünftigen Entwicklung ist jedoch bereits vorhanden. Das Konzept der quantensicheren Kryptografie hält Einzug in die Rechtsvorschriften und Ökosysteme, und die meisten Unternehmen werden es unterstützen müssen.

Sich der Notwendigkeit einer Migration auf strategischer Ebene bewusst zu werden und schon heute damit zu beginnen, hat viele Vorteile. Maßnahmen, die die Migration vereinfachen, können zu bestehenden Sicherheitsinitiativen und Programmen zur Anwendungsmodernisierung hinzugefügt werden. Dies minimiert den Aufwand und spart auf lange Sicht Kosten. Abwarten hingegen bedeutet, dass mehr gefährdete Altlasten geschaffen werden, was eine spätere Migration erschwert.

Deshalb sollten Sie noch heute mit der Umstellung auf quantensicheren Algorithmen beginnen.

Ursprünglicher Artikel erschienen in englisch im World Economic Forum.

Weitere Informationen zu IBM Quantum Safe: https://www.ibm.com/quantum/quantum-safe