Spørsmål og svar om kvantemigrasjon

Grunnleggende

Hva er kvantemigrasjon?

Kvantemigrasjon er arbeidet med å bytte ut kryptografi som en kvantedatamaskin kan bryte (RSA, Diffie–Hellman og elliptiske kurver) med post-kvante-algoritmer som ML-KEM og ML-DSA. Se hva er kvantemigrasjon.

Hva er forskjellen på PQC og QKD?

PQC er vanlige matematiske algoritmer som tåler kvanteangrep og kjører på vanlig maskinvare. QKD (kvantenøkkeldistribusjon) bruker kvantefysikk på dedikerte linker. Flere europeiske sikkerhetsmyndigheter anbefaler PQC for generell bruk.

Hva er Shors algoritme?

En kvantealgoritme fra 1994 som kan faktorisere store tall og løse diskrete logaritmer effektivt. Den bryter RSA, Diffie–Hellman og elliptiske kurver. Se Shors algoritme.

Er AES og SHA-256 trygge mot kvantedatamaskiner?

I all hovedsak ja. Grovers algoritme halverer i teorien nøkkelstyrken til symmetriske chiffer, så AES-256 anbefales fremfor AES-128 der det er enkelt. SHA-2 og SHA-3 med minst 256 bits utdata regnes som trygge. Problemet er algoritmene for nøkkelutveksling og signaturer.

Hva er kryptoagilitet?

Evnen til å bytte kryptografiske algoritmer uten å bygge om hele systemet. Det betyr at algoritmevalg ligger i konfigurasjon og i sentrale biblioteker, ikke spredt som hardkodede valg i koden. Se kryptoagilitet.

Trusselen og tidslinjen

Når kommer kvantedatamaskiner som kan bryte kryptering?

Det vet ingen sikkert. Anslagene spenner fra rundt ti år til flere tiår, og utviklingen går raskt: i 2025 anslo Craig Gidney ved Google at RSA-2048 kan faktoriseres med under én million støyende qubits på under en uke, en kraftig nedjustering fra tidligere anslag. Se når kommer kvantedatamaskinen.

Hva betyr «harvest now, decrypt later»?

At en angriper lagrer kryptert trafikk i dag for å dekryptere den når en kvantedatamaskin finnes. Det betyr at data med lang fortrolighet allerede kan være i fare. Se harvest now, decrypt later.

Hva er Moscas ulikhet?

Hvis x (hvor lenge dataene må være hemmelige) pluss y (hvor lang tid migrasjonen tar) er større enn z (tid til en kvantedatamaskin finnes), er du for sent ute. Du kan regne ut egne tall i kalkulatoren.

Hjelper forward secrecy mot kvantetrusselen?

Nei, ikke mot harvest now, decrypt later. Forward secrecy beskytter mot senere kompromittering av langtidsnøkler, men de flyktige nøklene i ECDHE kan likevel regnes ut med Shors algoritme. Nøkkelutvekslingen må være post-kvante-sikker.

Er det fornuftig å vente til kvantedatamaskinen finnes?

Nei. Migrasjon tar år, og data som lagres i dag kan dekrypteres senere. Å vente til maskinen finnes er å vente for lenge.

Gjennomføring

Hvor bør vi starte?

Med et kryptografisk inventar: en oversikt over hvilke systemer som bruker hvilke algoritmer, og hvor lenge dataene må beskyttes. Se kryptografisk inventar og fremgangsmåten.

Må vi bytte ut alt på én gang?

Nei. Prioriter etter hvor lenge dataene må beskyttes og hvor vanskelig systemet er å bytte. Nøkkelutveksling for data med lang levetid kommer først, deretter signaturer for firmware og rotsertifikater, til slutt resten.

Hvor lang tid tar en kvantemigrasjon?

For store virksomheter regnes det typisk i år, ofte fem til ti. Mesteparten av tiden går med til å kartlegge hvor kryptografi brukes og til å vente på leverandører, ikke til selve byttet av algoritme.

Hva koster kvantemigrasjon?

Det varierer sterkt. Kostnaden ligger mest i kartlegging, testing og arbeid med eldre systemer, mindre i selve algoritmene. Virksomheter som allerede har god kontroll på kryptografi, sertifikater og oppdateringer, får det vesentlig billigere.

Hva er hybrid kryptografi?

Bruk av en klassisk og en post-kvante-algoritme sammen, slik at forbindelsen er trygg så lenge én av dem holder. Det vanligste eksempelet er X25519MLKEM768 i TLS 1.3. Se hybrid.

Hvordan slår jeg på post-kvante-kryptografi i TLS og SSH?

Oppdater til OpenSSL 3.5 eller nyere og OpenSSH 10.0 eller nyere, og aktiver hybrid nøkkelutveksling. Se praktisk guide.

Hvilke spørsmål bør vi stille leverandørene?

Be om en datert plan for støtte for ML-KEM og ML-DSA, om kryptoagilitet og om oppdateringsløp. Se leverandørkrav.

Sikkerhet og tillit

Er de nye algoritmene trygge?

ML-KEM, ML-DSA og SLH-DSA har vært gjennom åtte år med åpen vurdering fra kryptografer verden over. Men de er yngre enn RSA og elliptiske kurver, og i 2022 ble kandidaten SIKE brutt på en vanlig datamaskin. Derfor anbefales hybrid i overgangsfasen.

Hva er forskjellen på fysiske og logiske qubits?

Et fysisk qubit er maskinvare med feil. Et logisk qubit er satt sammen av mange fysiske qubits med feilretting og oppfører seg som et nesten feilfritt qubit. Kryptoangrep krever logiske qubits.

Påvirker dette nettbanken og tjenestene jeg bruker?

Indirekte. Tilkoblingen til nettbanken bruker i dag nøkkelutveksling som en kvantedatamaskin kan bryte. Det er bank og leverandør som må oppgradere, og de store nettleserne støtter allerede hybrid nøkkelutveksling. Som sluttbruker er det viktigste å holde nettleseren og operativsystemet oppdatert.

Hva gjelder i Norge?

Etter vår kunnskap finnes ingen norsk lovfestet frist, men NSM oppfordrer virksomheter til å møte kvantetrusselen innen 2030, og risikostyringskrav i sikkerhets-, digitalsikkerhets- og sektorregelverk omfatter kryptografi. Se regelverk og frister.