Post-Quantum-Resilienz in die Unternehmenssicherheit integrieren

Mit dem Vormarsch des Quantencomputings ist eine der größten langfristigen Bedrohungen für die Unternehmenssicherheit nicht mehr weit entfernt. Während Standardverschlüsselungstechniken Benutzer und Unternehmen bisher gut geschützt haben, besteht nun die dringende Notwendigkeit, Kryptografiealgorithmen und -implementierungen zu entwickeln, die einem Quantenangriff standhalten können. [...]

Im Mittelpunkt der heutigen Verschlüsselungssysteme stehen mathematische Probleme, die klassische Computer nur schwer lösen können. Es gibt symmetrische Verschlüsselungsalgorithmen wie Advanced Encryption Standard (AES) 256 und asymmetrische Algorithmen wie Rivest-Shamir-Adleman (RSA), Diffie-Hellman und Elliptic-curve cryptography (ECC). Während symmetrische Algorithmen auch nach der Einführung der Quantenphysik wirksam bleiben dürften, könnte ein ausreichend leistungsfähiger Quantencomputer asymmetrische Algorithmen innerhalb von Stunden lösen und damit viele der derzeitigen Verschlüsselungsverfahren überflüssig machen.

Der allgemeine Einsatz von Quantencomputern mag noch einige Jahre entfernt sein, aber die Bedrohung für unsere Daten ist bereits heute sehr real. Jedes Mal, wenn ein Angreifer verschlüsselte Daten exfiltriert, ist davon auszugehen, dass er diese entschlüsselt, sobald die Quantenfähigkeiten ausgereift sind. Diese Taktik ist als „harvest now, decrypt later“ (HNDL) bekannt. Das bedeutet, dass Sicherheitsverantwortliche dringend die anfällige herkömmliche Verschlüsselung in ihrer digitalen Infrastruktur ersetzen und den Übergang zur Post-Quantum-Kryptografie (PQC) einleiten müssen, die Quantenangriffen widerstehen kann. Dies entspricht auch der Anweisung der Aufsichtsbehörden und Behörden für Cybersicherheit.

Kritische Verschlüsselungsebenen identifizieren

Alle CTOs, CIOs und CISOs sollten gemeinsam ihre digitale Infrastruktur bewerten und verstehen, an welchen Stellen und in welchen Prozessen anfällige Verschlüsselungen eingesetzt werden. Bei der Umstellung auf PQC sollte der Schwerpunkt auf Daten liegen, die sich außerhalb der Unternehmensgrenzen befinden oder diese durchqueren. Innerhalb eines vertrauenswürdigen Netzwerks sind andere, traditionelle Verteidigungsmaßnahmen (wie die Zugriffskontrolle) entscheidend, um der HNDL-Bedrohung zu begegnen.

Basierend auf unserer eigenen Netskope-One-Plattform haben wir fünf kritische Verschlüsselungsebenen identifiziert, die Maßnahmen rechtfertigen. Sie beschränken sich nicht auf unsere Plattform. Prozesse wie Secure Boot, Authentifizierungs-Handshakes und Transport Layer Security (TLS)-Verschlüsselung sind bei einer Vielzahl von Web- und Cloud-Anwendungen üblich. Anhand folgender Beispiele können IT-Verantwortliche eruieren, wo es im technischen Stack ihres Unternehmens ähnliche Anwendungsfälle gibt, die angegangen werden müssen.

1. Service-to-Service Data-in-Transit-Verschlüsselung

In einer typischen Cloud-Architektur kommunizieren zahlreiche Microservices ständig miteinander. Diese Interaktionen werden heute mit herkömmlichen Methoden verschlüsselt, müssen aber auf PQC-Algorithmen umgestellt werden, damit diese Kanäle auch in einer Post-Quantum-Welt sicher bleiben.

2. TLS-Verschlüsselung für die Inspektion von Web- und Anwendungsverkehr

Die Überprüfung des verschlüsselten Web- und App-Verkehrs zur Durchsetzung von Richtlinien und zur Abwehr von Bedrohungen ist eine Kernfunktion jedes Cloud-Sicherheits-Stacks. Dieser TLS-Entschlüsselungs- und Wiederverschlüsselungsprozess muss mit Post-Quantum-Schlüsselaustauschmechanismen verbessert werden, um Abhörrisiken zu vermeiden.

3. Client-to-Cloud-Authentifizierung und Schlüsselaustausch

Stellt ein Nutzer eine Verbindung zu einer Cloud-Plattform her, werden seine Daten und seine Identität durch Verschlüsselung und Authentifizierung per Handshake geschützt. Diese Verbindungsschicht muss mit PQC umgerüstet werden, um die Integrität der sicheren Schlüsselgenerierung und Authentifizierung zu gewährleisten.

4. Interner Schutz von Metadaten

Selbst wenn die Daten verschlüsselt sind, können Metadaten wie Routing-Informationen oder Zugriffsprotokolle wichtige Einblicke gewähren. Wir müssen Post-Quantum-Schutzmaßnahmen auf die interne Metadatenverschlüsselung anwenden, um zu verhindern, dass diese Informationen zu einer Sicherheitslücke werden.

5. Verschlüsselung von Kundenkonfigurations- und Policy-Daten

Kundenspezifische Konfigurationsdateien, Sicherheitsrichtlinien und gespeicherte Daten müssen mit quantensicherer Verschlüsselung geschützt werden, um eine langfristige Datenexposition zu verhindern.

Standards und Zeitpläne einhalten

Für die PQC-Einführung ist die Einhaltung der neuen kryptografischen Standards des NIST zentral. Von den vier neuen Algorithmen sind drei für digitale Signaturen und einer für Schlüsselkapselungen (CRYSTALS-Kyber, umbenannt in ML-KEM). Insbesondere ML-KEM 768 wird sich aufgrund seiner Leistung, seines Sicherheitsprofils und seiner Interoperabilität als entscheidend für das Schlüsselaustausch-Element des TLS-Verbindungsaufbauprotokolls erweisen.

Sicherheitsverantwortliche sollten die sich abzeichnenden gesetzlichen Fristen und Verantwortlichkeiten genau kennen. Anbieter tragen eine große Verantwortung dafür, dass ihr Produkt – das zum Schutz der Daten von Millionen von Nutzern auf der ganzen Welt eingesetzt wird – eine robuste Kryptografie aufweist. Unternehmen sollten sich auf ihre Anbieter stützen und sicherstellen, dass sie ihre Pläne mit Zeitvorgaben kommunizieren und nützliche Erkenntnisse gewinnen, wo innerhalb des breiteren Sicherheitsstapels noch Änderungsbedarf besteht, der entweder von anderen Anbietern oder vom Unternehmen selbst ausgeht.

Implementierung und Prüfung

Die neuen PQC-Algorithmen sind nicht gleichwertig. Sie haben unterschiedliche Leistungsanforderungen und wirken sich unterschiedlich auf die Energie- und Speicherressourcen aus. Hier sind gründliche Tests in einer Sandbox-Umgebung notwendig, um eine Unterbrechung des Geschäftsbetriebs zu vermeiden. Wenn beispielsweise PQC-fähige Hardware in ein Rechenzentrum integriert wird, ergeben sich neue Energie- und Leistungsanforderungen. Dies erfordert eine Anpassung der Ressourcen, wenn sie diesen Bedarf auf das Niveau skalieren, das zur Unterstützung neuer KI-Tools erforderlich ist. Anbieter von Anwendungen und Diensten sollten auf die gleiche Weise vorgehen und eine kontrollierte Einführung anbieten, die die volle Funktionalität mit PQC-gestützter Verschlüsselung bietet und es CISOs und Sicherheitsteams ermöglicht, Kompatibilität, Leistung und Effektivität in realen Szenarien zu validieren.

Ein strategischer Vorteil

In einem Umfeld, in dem sich Cybersecurity-Bedrohungen schnell weiterentwickeln und technologische Störungen drohen, wird die Quantenvorbereitung kurzfristig ein Wettbewerbsvorteil und langfristig ein strategischer Imperativ sein. Dies wird besonders deutlich, wenn Unternehmen massiv in den Aufbau der Dateninfrastruktur investieren, um die Einführung von KI-Technologien zu unterstützen. Jeder Schritt zur Integration von PQC signalisiert heute nicht nur technische Raffinesse, sondern auch ein tiefes Verständnis des sich wandelnden Sicherheitsparadigmas und der Bedrohung eines wichtigen globalen Guts – der Daten. Wenn Unternehmen in einer Welt der KI und des Zero Trusts führend sein wollen, sollten sie das Quantenrisiko ernst nehmen und mit Anbietern zusammenarbeiten, die dasselbe tun.