Was ist ML-KEM?

Ein gitterbasierter Schlüsselkapselungsmechanismus (KEM), den das US-amerikanische NIST im August 2024 als FIPS 203 standardisiert hat. Der Name steht für Module-Lattice-Based Key-Encapsulation Mechanism; Grundlage ist CRYSTALS-Kyber. Die Sicherheit beruht auf der Schwierigkeit des Module-LWE-Problems, bei dem ein Geheimnis aus einem linearen Gleichungssystem mit kleinen hinzugefügten Fehlern zu bestimmen ist und das vermutlich auch Quantencomputer nicht effizient lösen können. Es gibt drei Parametersätze: ML-KEM-512, ML-KEM-768 und ML-KEM-1024. Eingesetzt wird es etwa in TLS, um den ECDHE-Schlüsselaustausch zu ersetzen oder mit ihm kombiniert zu werden.

Japanische Bezeichnung: ML-KEM

„ML-KEM“ kommt in 4 Übungsfragen aus 2 Themen vor, z. B. Grundlagen und Anwendungen der Kryptografie, Hardware für Quantencomputer.

Fachgebiet: Grundlagen und Anwendungen der Kryptografie

Was ist ein Schlüsselkapselungsmechanismus?

Ein KEM besteht aus drei Operationen: Schlüsselerzeugung, Kapselung und Entkapselung. Der Sender führt mit dem öffentlichen Schlüssel des Empfängers die Kapselung aus, erhält ein zufälliges gemeinsames Geheimnis und einen Geheimtext, der es einkapselt, und sendet den Geheimtext. Der Empfänger entkapselt ihn mit seinem privaten Schlüssel und erhält dasselbe gemeinsame Geheimnis. Anders als beim Diffie-Hellman-Schlüsselaustausch muss der Sender kein eigenes, langfristig verwendetes Schlüsselpaar bereithalten.

Größen als Richtwert

Bei ML-KEM-768 ist der öffentliche Schlüssel (Kapselungsschlüssel) 1184 Byte groß, der Geheimtext 1088 Byte und das gemeinsame Geheimnis 32 Byte. Der öffentliche Wert beim Schlüsselaustausch X25519 mit elliptischen Kurven ist 32 Byte groß, die zu sendenden Daten werden also deutlich größer. Die Berechnung selbst ist dagegen leichtgewichtig und gilt als nicht langsamer als der Schlüsselaustausch mit elliptischen Kurven.

Einsatz im Hybridverfahren

Als Vorkehrung gegen Unsicherheiten bei neuen Verfahren wird Stand 2025 in TLS 1.3 zunehmend ein hybrider Schlüsselaustausch (etwa X25519MLKEM768) eingesetzt, bei dem die gemeinsamen Geheimnisse von X25519 und ML-KEM-768 beide in die Schlüsselableitung einfließen. Ist eines der beiden Verfahren sicher, bleibt der erzeugte Schlüssel geschützt.

Jetzt üben: Fragen zu ML-KEM

Welche Beschreibung der Verwendung eines Schlüsselkapselungsmechanismus (KEM) wie ML-KEM ist richtig?

ADer Sender signiert das gemeinsame Geheimnis mit seinem privaten Schlüssel und sendet es; der Empfänger prüft die Signatur mit dem öffentlichen Schlüssel des Senders und erhält so das Geheimnis
BDer Sender erzeugt aus dem öffentlichen Schlüssel des Empfängers ein gemeinsames Geheimnis und einen Geheimtext, der es einkapselt; der Empfänger gewinnt mit seinem privaten Schlüssel dasselbe Geheimnis
CSender und Empfänger besitzen vorab denselben symmetrischen Schlüssel und verschlüsseln die Nachricht direkt damit

Antwort und Erläuterung anzeigen

Antwort: B. Der Sender erzeugt aus dem öffentlichen Schlüssel des Empfängers ein gemeinsames Geheimnis und einen Geheimtext, der es einkapselt; der Empfänger gewinnt mit seinem privaten Schlüssel dasselbe Geheimnis

Ein KEM besteht aus drei Operationen: Schlüsselerzeugung, Kapselung und Entkapselung. Der Sender führt mit dem öffentlichen Schlüssel des Empfängers die Kapselung aus, erhält dabei gleichzeitig ein zufälliges gemeinsames Geheimnis und einen Geheimtext, der es einkapselt, und sendet nur den Geheimtext. Der Empfänger entkapselt ihn mit seinem privaten Schlüssel, erhält dasselbe gemeinsame Geheimnis und verwendet danach mit einem daraus abgeleiteten Schlüssel die symmetrische Verschlüsselung. Da ein KEM nur dem Austausch von Schlüsseln dient, wird zur Authentifizierung des Gegenübers zusätzlich eine Signatur wie ML-DSA verwendet.

Welche Aussage beschreibt den Gedanken des hybriden Schlüsselaustauschs richtig, der während der Umstellung auf Post-Quanten-Kryptografie X25519 (Diffie-Hellman-Schlüsselaustausch mit elliptischen Kurven) und ML-KEM kombiniert?

ADie gemeinsamen Geheimnisse beider Verfahren fließen beide in die Schlüsselableitung ein, sodass der erzeugte Schlüssel sicher ist, solange eines der beiden Verfahren sicher ist
BVon den beiden Verfahren wird nur das gemeinsame Geheimnis desjenigen verwendet, das im Handshake zuerst fertig ist; das andere wird verworfen
CML-KEM wird erst verwendet, wenn Quantencomputer Wirklichkeit werden; beide Verfahren werden bereitgehalten, damit dann automatisch umgeschaltet wird

Antwort und Erläuterung anzeigen

Antwort: A. Die gemeinsamen Geheimnisse beider Verfahren fließen beide in die Schlüsselableitung ein, sodass der erzeugte Schlüssel sicher ist, solange eines der beiden Verfahren sicher ist

ML-KEM ist ein neues Verfahren, bei dem sich die Gefahr von Implementierungsfehlern oder neu entdeckten Angriffen noch nicht ausreichend ausschließen lässt. X25519 dagegen ist zwar gegenüber Quantencomputern schwach, hat aber eine lange Erfolgsbilanz bei der Sicherheit gegenüber klassischen Computern. Beim hybriden Schlüsselaustausch werden beide gemeinsamen Geheimnisse verkettet in die Schlüsselableitungsfunktion gegeben, sodass ein Angreifer beide Verfahren brechen muss, um den Schlüssel zu erhalten; damit wird auch verhindert, dass heute aufgezeichnete Kommunikation von künftigen Quantencomputern entschlüsselt wird. Stand 2025 wird diese Kombination (etwa X25519MLKEM768) in TLS 1.3 zunehmend eingesetzt.

Häufige Fragen

Kann man mit ML-KEM signieren?

Nein. ML-KEM dient dem Austausch von Schlüsseln. Für Signaturen der Post-Quanten-Kryptografie werden ML-DSA (FIPS 204) und SLH-DSA (FIPS 205) verwendet, die ebenfalls im August 2024 standardisiert wurden.

Ist es dasselbe wie die Quantenschlüsselverteilung (QKD)?

Nein. ML-KEM beruht auf der Schwierigkeit eines mathematischen Problems und läuft unverändert auf gewöhnlichen Computern und Netzwerken. Die Quantenschlüsselverteilung ist eine Technik, die Schlüssel mithilfe von Quanteneigenschaften etwa von Photonen austauscht, und erfordert eigene Geräte und Übertragungswege.

„ML-KEM“ in den Erläuterungen

ML-KEM ist ein neues Verfahren, bei dem sich die Gefahr von Implementierungsfehlern oder neu entdeckten Angriffen noch nicht ausreichend ausschließen lässt.
Welche Aussage beschreibt den Gedanken des hybriden Schlüss…
2024 veröffentlichte das US-amerikanische NIST Standards, darunter den gitterbasierten Schlüsselkapselungsmechanismus ML-KEM (FIPS 203) und das Signaturverfahren ML-DSA (FIPS 204).
Welche Aussage beschreibt Post-Quanten-Kryptografie (PQC) r…
ML-KEM nach FIPS 203 (ursprünglicher Name CRYSTALS-Kyber) ist ein Schlüsselkapselungsmechanismus zum Austausch von Schlüsseln, ML-DSA nach FIPS 204 (CRYSTALS-Dilithium) und SLH-DSA nach FIPS 205 (SPHINCS+) sind Verfahren für die digitale Signatur.
Welche Zuordnung der im August 2024 vom US-amerikanischen N…