Praktisk guide: TLS, SSH og VPN

Hva som er enkelt, og hva som ikke er det

Det er nøkkelutvekslingen som er akutt på grunn av harvest now, decrypt later, og det er den som er enklest å ta i bruk. Signaturer og sertifikater er en annen og tregere historie. Offentlig web-PKI har ennå ikke post-kvante-sertifikater i vanlig bruk, og feltet utvikler seg (blant annet forslag om kompakte sertifikatløsninger). Gjør nøkkelutveksling først.

TLS

Nettlesere og klienter

Chrome (fra versjon 131) og Firefox bruker hybrid X25519MLKEM768 som standard mot servere som støtter det. Apple har hybrid X25519MLKEM768 på som standard i iOS 26, macOS 26 og tilsvarende versjoner, for tilkoblinger via URLSession og Network.framework. Du trenger altså som regel bare å få serveren til å støtte det.

Servere og biblioteker

• OpenSSL 3.5 (LTS, utgitt våren 2025) har støtte for ML-KEM, ML-DSA og SLH-DSA, og hybridgruppen X25519MLKEM768.
• Go 1.24 og nyere aktiverer X25519MLKEM768 som standard i crypto/tls. Programmer og servere skrevet i Go (for eksempel Caddy) får det ved omkompilering.
• Java: JDK 24 har ML-KEM og ML-DSA i plattformen. Sjekk status for hybrid TLS i din versjon.
• BoringSSL og Cloudflare, Google og andre store CDN-er støtter hybrid på kanten. Sjekk innstillingene hos din leverandør.

Eksempel: OpenSSL globalt

I openssl.cnf kan du angi grupper i prioritert rekkefølge, slik at hybrid forsøkes først:

[system_default_sect]
Groups = X25519MLKEM768:X25519:P-256

Eksempel: nginx

Krever at nginx er bygget mot OpenSSL 3.5 eller nyere:

ssl_protocols TLSv1.3 TLSv1.2;
ssl_ecdh_curve X25519MLKEM768:X25519:prime256v1;

Test

openssl version
openssl list -kem-algorithms
openssl s_client -connect eksempel.no:443 -groups X25519MLKEM768 -brief < /dev/null

Ser du X25519MLKEM768 som «Negotiated TLS1.3 group» i utdataene, fungerer hybrid. I nettleserens utviklerverktøy (sikkerhetsfanen) vises også nøkkelutvekslingsgruppen.

Ting som kan gå galt

• Større ClientHello. Hybrid nøkkel er over 1 kilobyte og kan gjøre at ClientHello deles over flere pakker. Eldre brannmurer, lastbalansere og DPI-utstyr kan feile.
• Mellomvare som avviser ukjente grupper. Test hele veien fra klient til server.
• TLS 1.2. Hybrid gjelder bare TLS 1.3. Fjern TLS 1.2 der det er mulig.

SSH

OpenSSH har støttet en post-kvante hybrid siden versjon 9.0 (sntrup761x25519-sha512), og fra 10.0 er mlkem768x25519-sha256 standard. Sjekk hva din installasjon støtter:

ssh -V
ssh -Q kex | grep -E "mlkem|sntrup"

For å kreve det eksplisitt på en server, i sshd_config:

KexAlgorithms mlkem768x25519-sha256,sntrup761x25519-sha512

Pass på at klientene støtter minst én av dem før du fjerner de klassiske alternativene, ellers låser du ute brukere.

VPN

• IPsec/IKEv2: RFC 9370 definerer flere nøkkelutvekslinger i IKEv2, som gjør det mulig å legge ML-KEM til som et ekstra steg. Sjekk leverandørens status. RFC 8784 gir en eldre vei via forhåndsdelte nøkler (PPK) som kan brukes som post-kvante-beskyttelse hvis de er sterke og hemmelige.
• WireGuard: Protokollen har en valgfri forhåndsdelt nøkkel (PresharedKey) som blandes inn i nøkkelavtalen. Når den er stor, tilfeldig og holdt hemmelig, gir den symmetrisk beskyttelse mot HNDL. Du må selv distribuere den trygt.
• OpenVPN og andre: Følg produktets veikart, og vurder tunnelering inni en hybrid TLS-forbindelse som en overgangsløsning.

E-post, filer og andre signaturer

S/MIME, PGP og dokumentsignering har ikke bred post-kvante-støtte i dag. Følg utviklingen i standardiseringen (IETF) og hos leverandørene. For nye langlivede signaturer kan hashbaserte metoder (SLH-DSA, LMS, XMSS) være et konservativt valg.

Sjekkliste

1. Oppdater OpenSSL, OpenSSH og kjøretider på internettvendte tjenester.
2. Aktiver hybrid gruppe først i prioriteringen, og behold klassisk som reserve.
3. Test med nettleser, openssl s_client og dine vanlige klienter.
4. Se etter feil i brannmurer og lastbalansere. Gi fortrinn til tjenester med lang fortrolighet.
5. Rull ut gradvis, mål feilrater og ytelse.
6. Dokumenter i inventaret.

Vanlige spørsmål

Hva er X25519MLKEM768?

En hybrid nøkkelutvekslingsgruppe i TLS 1.3 som kombinerer den klassiske X25519 med post-kvante-algoritmen ML-KEM-768. Forbindelsen er trygg så lenge minst én av dem holder.

Må jeg bytte sertifikater for å bruke hybrid TLS?

Nei. Hybrid gjelder nøkkelutvekslingen, ikke sertifikatene. Eksisterende RSA- eller ECDSA-sertifikater kan brukes sammen med hybrid nøkkelutveksling. Det beskytter mot HNDL, men ikke mot fremtidige forfalskede signaturer.