Gjør det

Slik lager du et kryptografisk inventar

Første og vanskeligste steg i kvantemigrasjon: å finne ut hvor og hvordan kryptografi brukes.

Sist oppdatert 12. november 2026

Hvorfor et inventar først?

Du kan ikke migrere det du ikke vet at du har. Kryptografi gjemmer seg i protokoller, biblioteker, innebygd programvare, nettverksutstyr, sertifikater og skripter. Uten et inventar blir migrasjonen enten ufullstendig eller full av overraskelser. Inventaret gir også grunnlaget for prioritering, leverandørdialog og rapportering til ledelsen og tilsyn.

Hva du bør registrere

Forslag til felter i et inventar
Felt	Eksempel	Hvorfor
System og eier	Kundeportal, team Plattform	Hvem må handle?
Bruksområde	TLS mot internett, signering av JWT, VPN	Avgjør hvilken type algoritme som kreves
Algoritme og parametre	ECDHE P-256, RSA-2048, AES-128-GCM	Hva er kvantesårbart?
Protokoll og versjon	TLS 1.2, SSH 8.x	Hvilken oppgradering er nødvendig?
Bibliotek og versjon	OpenSSL 3.0, BoringSSL, Bouncy Castle	Støtter det ML-KEM?
Sertifikater og nøkler	Utsteder, utløpsdato, lagret i HSM	Levetid og byttbarhet
Dataenes levetid	Må være hemmelig i 25 år	Gir prioritet via Moscas ulikhet
Oppdaterbarhet	Skybasert, kan oppdateres / fastvare i felt	Hvor vanskelig er det å bytte?
Leverandør og avhengigheter	Produkt X, versjon Y	Hvem må gi oss støtte?

Hvor kryptografi finnes

Nettverk: TLS på webservere, API-gatewayer, lastbalansere og interne tjenester. VPN (IPsec, OpenVPN, WireGuard). SSH. Wi-Fi-sikkerhet og 802.1X.
Identitet: sertifikater og PKI, Kerberos, SAML- og OIDC-signering, JWT, smartkort og tokens.
Data: kryptering av databaser, disker og sikkerhetskopier, nøkkelhåndtering (KMS, HSM), filsignering.
Programvare: kodesignering, pakkesignering, firmware, container-signering, secure boot.
Kommunikasjon: e-post (S/MIME, PGP), meldingstjenester, dokumentsignering og tidsstempling.
Enheter: IoT, industrielle styringssystemer, kjøretøy, medisinsk utstyr.
Tredjepart: SaaS, betalingsløsninger, skytjenester og alt der leverandøren eier kryptografien.

Metoder for å finne det

1. Nettverksskanning

Se hva serverne dine faktisk forhandler. Eksempler:

openssl s_client -connect eksempel.no:443 -brief < /dev/null
nmap --script ssl-enum-ciphers -p 443 eksempel.no
testssl.sh eksempel.no

Dette viser TLS-versjon, chiffer og nøkkelutveksling for de tjenestene du kan nå. Husk interne tjenester og ikke-standard porter.

2. Sertifikater

Hent ut alle sertifikater du har (fra PKI, lastbalansere, Certificate Transparency-logger og KMS), og se på algoritmer og utløp:

openssl x509 -in sertifikat.pem -noout -text | grep -E "Public Key Algorithm|Signature Algorithm|Not After"

3. Kodeskanning

Søk i kode og konfigurasjon etter bruk av kvantesårbare primitiver. En enkel start:

grep -rniE "RSA|ECDSA|ECDH|secp256|prime256v1|P-256|X25519|Ed25519|DiffieHellman" --include="*.java" --include="*.py" --include="*.go" --include="*.js" --include="*.ts" --include="*.cs" --include="*.c" --include="*.cpp" --include="*.yaml" --include="*.conf" .

Det finnes også verktøy som gjør dette strukturert og kan lage en CBOM, både kommersielle og åpne, som IBMs CBOMkit.

4. Avhengigheter og SBOM

Bruker du allerede en SBOM (programvarestykkliste), er det naturlig å utvide den. Se hvilke kryptobiblioteker som er med, og i hvilke versjoner.

5. Konfigurasjon og maskinvare

Gå gjennom konfigurasjon i HSM-er, KMS-er, brannmurer, VPN-konsentratorer og nettverksutstyr. Her finnes ofte algoritmevalg som ikke er synlige utenfra.

6. Leverandørspørsmål

Mye av kryptografien er innebygd i produkter du ikke kan skanne. Bruk spørsmålslisten for leverandører.

CBOM: et strukturert format

CBOM står for cryptographic bill of materials og er en maskinlesbar liste over kryptografiske ressurser. Spesifikasjonen CycloneDX 1.6 har støtte for kryptografiske ressurser: algoritmer, sertifikater, nøkler og protokoller, med egenskaper som algoritmefamilie, parametersett, og kvantesikkerhetsnivå. Fordelen er at inventaret kan kobles til eksisterende verktøy for sikkerhet og etterlevelse, og holdes oppdatert automatisk.

Prioritering: fra inventar til plan

Når du har listen, sorterer du den etter to akser:

Eksponering: hvor lenge må dataene være hemmelige, og går de over nettet? Det gir risikoen for HNDL.
Byttbarhet: hvor lang tid og hvor mye kostnad tar det å bytte, og kan det oppdateres i felt?

Høy eksponering og lav byttbarhet gir den høyeste prioriteten. Dette er systemene som skal ha leverandørkrav og plan først. Se fremgangsmåten.

Vanlige feil

Å vente på perfekt dekning. Start med de viktigste systemene og utvid.
Et inventar som blir foreldet. Knytt det til utviklings- og driftsprosessene, ikke bare til et prosjekt.
Å glemme interne og eldre systemer. Det er ofte der de eldste algoritmene sitter.
Å bare se på TLS. Signaturer, lagring og firmware er like viktige.

Vanlige spørsmål

Hva er en CBOM?

CBOM (cryptographic bill of materials) er en maskinlesbar oversikt over kryptografiske ressurser som algoritmer, sertifikater, nøkler og protokoller i et system. Formatet støttes i CycloneDX 1.6.

Hvor lang tid tar det å lage et inventar?

En første oversikt over de viktigste systemene kan lages på noen uker. Et fullstendig inventar i en stor virksomhet tar ofte flere måneder og må vedlikeholdes løpende.

Hvilke verktøy trenger jeg?

Du kan komme langt med OpenSSL, nmap, testssl.sh og kodesøk. Spesialiserte verktøy for CBOM gjør det mer strukturert og skalerbart.