Was ist Post-Quanten-Kryptografie (PQC)?

Kryptografie, die ihre Sicherheit auf mathematische Probleme stützt, die vermutlich auch für Quantencomputer nicht effizient lösbar sind, etwa Gitterprobleme und Hashfunktionen. Sie läuft auf herkömmlichen Computern und dient als Ersatz für RSA und Elliptische-Kurven-Kryptografie, die der Shor-Algorithmus brechen kann.

Japanische Bezeichnung: 耐量子計算機暗号

„Post-Quanten-Kryptografie (PQC)“ kommt in 2 Übungsfragen aus 1 Themen vor, z. B. Hardware für Quantencomputer.

Fachgebiet: Hardware für Quantencomputer

Warum sie nötig ist

RSA und Elliptische-Kurven-Kryptografie, die heute weit verbreitet sind, würden auf einem großen fehlertoleranten Quantencomputer durch den Shor-Algorithmus gebrochen. Solche Quantencomputer gibt es noch nicht, doch es besteht das Risiko „Harvest now, decrypt later“, bei dem heute aufgezeichnete Chiffretexte in der Zukunft entschlüsselt werden, und der Austausch von Kryptografie dauert viele Jahre. Die Umstellung muss daher beginnen, bevor es solche Quantencomputer gibt.

Wichtige Verfahren und Standards

2024 veröffentlichte das US-amerikanische NIST als Standards den gitterbasierten Schlüsselkapselungsmechanismus ML-KEM (FIPS 203), das gitterbasierte Signaturverfahren ML-DSA (FIPS 204) und das hashbasierte Signaturverfahren SLH-DSA (FIPS 205). Ihre Schlüssel und Signaturen sind größer als bisher: Ein öffentlicher Schlüssel von ML-KEM-768 umfasst zum Beispiel 1184 Byte, weit mehr als die 32 Byte des Schlüsselaustauschs X25519 mit elliptischen Kurven. Eine Signatur von ML-DSA-65 umfasst 3309 Byte.

Hardware und Umstellung

Da Schlüssel und Signaturen größer sind und die Berechnungen anderer Art, erfolgt die Umstellung unter Prüfung der Auswirkungen auf eingebettete Geräte und Chipkarten mit wenig Speicher, auf Paketgrößen in Kommunikationsprotokollen und Ähnliches. Gitterbasierte Verfahren beschleunigen die Polynommultiplikation mit der zahlentheoretischen Transformation (NTT), und eine Beschleunigung durch spezielle Schaltungen wird erforscht. Implementierungen brauchen außerdem Schutz gegen Seitenkanalangriffe, bei denen Geheimnisse über Leistungsaufnahme oder Laufzeit preisgegeben werden. Vorerst erfolgt die Umstellung schrittweise mit hybriden Verfahren, die herkömmliche Kryptografie einbeziehen, und Wert gelegt wird auf Entwürfe, die einen späteren Austausch der Kryptografie erleichtern (Krypto-Agilität).

Jetzt üben: Fragen zu Post-Quanten-Kryptografie (PQC)

Welche Aussage beschreibt Post-Quanten-Kryptografie (PQC) richtig?

AKryptografie, die auf herkömmlichen Computern läuft und ihre Sicherheit auf mathematische Probleme (etwa Gitterprobleme) stützt, die vermutlich auch für Quantencomputer nicht effizient lösbar sind
BKryptografie, die ohne Quantencomputer weder ver- noch entschlüsseln kann
CKryptografie, die lediglich die Schlüssellänge von RSA verdoppelt

Antwort und Erläuterung anzeigen

Antwort: A. Kryptografie, die auf herkömmlichen Computern läuft und ihre Sicherheit auf mathematische Probleme (etwa Gitterprobleme) stützt, die vermutlich auch für Quantencomputer nicht effizient lösbar sind

Post-Quanten-Kryptografie ersetzt die Faktorisierung und das diskrete Logarithmusproblem, die der Shor-Algorithmus lösen kann, durch Verfahren auf Basis von Gitterproblemen, Hashfunktionen und Ähnlichem und läuft unverändert auf heutigen Computern und Netzwerkgeräten. 2024 veröffentlichte das US-amerikanische NIST Standards, darunter den gitterbasierten Schlüsselkapselungsmechanismus ML-KEM (FIPS 203) und das Signaturverfahren ML-DSA (FIPS 204). Viele dieser Verfahren haben größere Schlüssel oder Signaturen als RSA oder Elliptische-Kurven-Kryptografie, daher erfolgt die Umstellung mit Blick auf die Auswirkungen auf Kommunikationsprotokolle, eingebettete Geräte und Hardware-Implementierungen. Sie ist eine andere Technik als die Quantenschlüsselverteilung (QKD), die Schlüssel mithilfe der Quanteneigenschaften selbst austauscht.

Was ist der zutreffendste Grund, die Umstellung auf Post-Quanten-Kryptografie zu beschleunigen, obwohl es große Quantencomputer noch nicht gibt?

AQuantencomputer der Mitte der 2020er-Jahre brechen RSA-2048 bereits routinemäßig
BDer Wechsel zu Post-Quanten-Kryptografie macht die Kommunikation ausnahmslos schneller
CHeute abgefangene und gespeicherte Chiffretexte könnten von künftigen Quantencomputern entschlüsselt werden („Harvest now, decrypt later“), und die Umstellung der Kryptografie dauert viele Jahre

Antwort und Erläuterung anzeigen

Antwort: C. Heute abgefangene und gespeicherte Chiffretexte könnten von künftigen Quantencomputern entschlüsselt werden („Harvest now, decrypt later“), und die Umstellung der Kryptografie dauert viele Jahre

Ein Angreifer kann verschlüsselten Datenverkehr schon jetzt aufzeichnen und, sobald Quantencomputer praxistauglich sind, den Schlüsselaustausch brechen und die Inhalte lesen. Informationen, die lange geheim bleiben müssen, sind daher schon vor dem Aufkommen von Quantencomputern mit Post-Quanten-Kryptografie zu schützen. Zudem ist Kryptografie in Betriebssysteme, Browser, Netzwerkgeräte, Chipkarten sowie die Firmware und Hardware eingebetteter Geräte eingebaut, und alles auszutauschen dauert viele Jahre. Die Umstellung erfolgt schrittweise mit hybriden Verfahren, die herkömmliche und Post-Quanten-Kryptografie kombinieren.

Häufige Fragen

Wie unterscheidet sie sich von der Quantenschlüsselverteilung (QKD)?

Post-Quanten-Kryptografie beruht auf der Schwierigkeit mathematischer Probleme und läuft auf gewöhnlichen Computern und Netzwerken. Die Quantenschlüsselverteilung tauscht Schlüssel mithilfe von Quanteneigenschaften von Photonen und Ähnlichem aus und erfordert spezielle optische Kommunikationsgeräte. Es sind getrennte Techniken, und im Mittelpunkt der Ablösung steht die Post-Quanten-Kryptografie.

Müssen auch symmetrische Verfahren wie AES ersetzt werden?

Gegen symmetrische Verschlüsselung gibt es nur die quadratische Beschleunigung des Grover-Algorithmus; man geht daher davon aus, dass kein Wechsel des Verfahrens nötig ist und ausreichend lange Schlüssel genügen. AES-256 gilt zum Beispiel auch gegenüber Quantencomputern als ausreichend sicher.

„Post-Quanten-Kryptografie (PQC)“ in den Erläuterungen

Post-Quanten-Kryptografie ersetzt die Faktorisierung und das diskrete Logarithmusproblem, die der Shor-Algorithmus lösen kann, durch Verfahren auf Basis von Gitterproblemen, Hashfunktionen und Ähnlichem und läuft unverändert auf heutigen Computern und Netzwerkgeräten.
Welche Aussage beschreibt Post-Quanten-Kryptografie (PQC) r…
Informationen, die lange geheim bleiben müssen, sind daher schon vor dem Aufkommen von Quantencomputern mit Post-Quanten-Kryptografie zu schützen.
Was ist der zutreffendste Grund, die Umstellung auf Post-Qu…