Post-Quanten-Kryptografie

SSH Post-Quanten-Kryptografie - Beschreibung

Beschreibung

OpenSSH unterstützt eine Reihe von Algorithmen zur kryptografischen Schlüsselvereinbarung, die als sicher gegen Angriffe durch Quantencomputer gelten

• Wir empfehlen, diese Algorithmen für alle SSH-Verbindungen zu verwenden

OpenSSH bietet seit Version 9.0 (April 2022) standardmäßig eine postquantische Schlüsselvereinbarung (KexAlgorithms) an, zunächst über den Algorithmus sntrup761x25519-sha512

• Vor kurzem haben wir in OpenSSH 9.9 eine zweite postquantische Schlüsselvereinbarung mlkem768x25519-sha256 hinzugefügt, die in OpenSSH 10.0 (April 2025) zum neuen Standardverfahren wurde

Um die Umstellung auf diese stärkeren Algorithmen zu fördern, warnt OpenSSH 10.1 den Benutzer, wenn ein nicht-postquantisches Schlüsselvereinbarungsschema ausgewählt wird, mit der folgenden Meldung:

** WARNING: connection is not using a post-quantum key exchange algorithm
** This session may be vulnerable to "store now, decrypt later" attacks
** The server may need to be upgraded
** See https://openssh.com/pq.html

Diese Warnung wird standardmäßig angezeigt, kann jedoch über die Option WarnWeakCrypto in ssh_config(5) deaktiviert werden

Hintergrund

Ein Quantencomputer (QC) ist ein Gerät, das Berechnungen mit Informationen durchführen kann, die als Quantenzustände kodiert sind

• Ein solches Gerät könnte bestimmte Probleme, die für bestehende „klassische” Computer unlösbar sind, schnell lösen

Die Mathematik, die einer Reihe von kryptografischen Algorithmen zugrunde liegt, gehört zu den Problemen, von denen man annimmt, dass Quantencomputer sie effektiv lösen können

• Das bedeutet, dass ein ausreichend leistungsfähiger Quantencomputer (auch bekannt als „kryptografisch relevanter” Quantencomputer) in der Lage sein wird, sie zu knacken
• Am stärksten betroffen ist die Kryptografie, die für die Schlüsselvereinbarung und digitale Signaturen verwendet wird, die beide eine wichtige Rolle in SSH spielen

Glücklicherweise wurden Quantencomputer, die leistungsfähig genug sind, um Kryptografie zu knacken, noch nicht erfunden

• Schätzungen darüber, wann ein kryptografisch relevanter Quantencomputer auf den Markt kommen wird, basieren auf den Fortschritten in diesem Bereich und reichen von 5 bis 20 Jahren, wobei viele Beobachter davon ausgehen, dass sie Mitte der 2030er Jahre verfügbar sein werden

Die gesamte Privatsphäre einer SSH-Verbindung hängt von der kryptografischen Schlüsselvereinbarung ab

• Wenn ein Angreifer die Schlüsselvereinbarung knacken kann, ist er in der Lage, die gesamte Sitzung zu entschlüsseln und einzusehen
• Der Angreifer muss diesen Angriff nicht in Echtzeit durchführen; er kann verschlüsselte SSH-Sitzungen sammeln und sie später entschlüsseln, sobald er Zugang zu einem Quantencomputer hat
• Dies wird als „Store now, decrypt later”-Angriff (auch als „Harvest now, decrypt later”) bezeichnet

Glücklicherweise wurden verbesserte „Post-Quanten“-Kryptografiealgorithmen entwickelt, die auf anderen zugrunde liegenden mathematischen Problemen basieren, von denen man annimmt, dass sie von einem Quantencomputer nicht angegriffen werden können

OpenSSH unterstützt seit mehreren Jahren die postquantische Schlüsselvereinbarung, um Angriffe nach dem Prinzip „jetzt speichern, später entschlüsseln“ zu verhindern, und seit der Veröffentlichung von OpenSSH-9.0 im Jahr 2022 ist dies die Standardeinstellung

Häufig gestellte Fragen

Ich habe eine Warnung von ssh erhalten. Was soll ich tun?

Wie oben erwähnt, warnt OpenSSH 10.1 Benutzer nun, wenn Verbindungen eine Kryptografie verwenden, die gegenüber Quantencomputern nicht sicher ist

• Wenn Sie eine solche Warnung erhalten haben, bedeutet dies, dass der Server, mit dem Sie sich verbunden haben, keinen der beiden Post-Quantum-Schlüsselvereinbarungsalgorithmen anbietet, die für das SSH-Protokoll standardisiert werden: mlkem768x25519-sha256 und sntrup761x25519-sha512 Die ideale Lösung besteht darin, den Server so zu aktualisieren, dass er eine SSH-Implementierung verwendet, die mindestens einen dieser Algorithmen unterstützt
• OpenSSH-Versionen 9.0 und höher unterstützen sntrup761x25519-sha512 und Versionen 9.9 und höher unterstützen mlkem768x25519-sha256
• Wenn auf Ihrem Server bereits eine dieser Versionen ausgeführt wird, überprüfen Sie, ob die Option KexAlgorithms deren Verwendung deaktiviert hat
• Wenn Sie den Server nicht aktualisieren können und/oder das Risiko der weiteren Verwendung quantenunsicherer Kryptografie in Kauf nehmen möchten, kann die Warnung über die Option WarnWeakCrypto in ssh_config(5) deaktiviert werden

Beispiel

Match host unsafe.example.com
WarnWeakCrypto no

Quantencomputer gibt es noch gar nicht, warum dieser Aufwand?

Aufgrund Angriffs „Jetzt speichern, später entschlüsseln“

• Der heute gesendete Datenverkehr ist gefährdet, entschlüsselt zu werden, sofern keine Post-Quantum-Verschlüsselung verwendet wird

Was ist mit Signaturalgorithmen? Sie sagten, dass auch diese gefährdet seien

Ja, die meisten derzeit verwendeten Signaturalgorithmen (einschließlich RSA und ECDSA) können von einem Quantencomputer geknackt werden

• Allerdings besteht in dieser Situation kein Risiko für den bestehenden Datenverkehr (d. h. es gibt kein analoges „jetzt speichern, später entschlüsseln“)
• Die einzige Dringlichkeit für Signaturalgorithmen besteht darin, sicherzustellen, dass alle klassischen Signaturschlüssel vor der Einführung kryptografisch relevanter Computer ausgemustert werden
• OpenSSH wird in Zukunft Unterstützung für Post-Quanten-Signaturalgorithmen hinzufügen

Ich glaube nicht, dass wir jemals Quantencomputer haben werden. Das ist reine Zeitverschwendung

Einige Leute halten die Aufgabe, bestehende Quantencomputer so weit zu skalieren, dass sie kryptografische Probleme lösen können, für praktisch unüberwindbar

• Das ist möglich
• Es scheint jedoch, dass die meisten Hindernisse für einen kryptografisch relevanten Quantencomputer eher technische Herausforderungen sind als grundlegende physikalische Probleme
• Wenn wir mit unserer Einschätzung richtig liegen, dass Quantencomputer praktikabel sind, dann haben wir riesige Mengen an Benutzerdaten geschützt
• Wenn wir uns irren, dann haben wir lediglich auf kryptografische Algorithmen mit stärkerer mathematischer Grundlage umgestellt

Post-Quanten-Algorithmen sind neu

• Sind wir sicher, dass sie nicht geknackt werden können?

Auch wir sind diesbezüglich vorsichtig

• Obwohl Algorithmen für die postquantische Schlüsselvereinbarung in den letzten Jahren viel Aufmerksamkeit in der Kryptografie erhalten haben, ist es möglich, dass neue Angriffe gefunden werden
• Um uns dagegen zu schützen, haben wir postquantische Algorithmen mit guten Sicherheitsmargen ausgewählt
• Das bedeutet, dass sie selbst dann, wenn sie sich als schwächer als erwartet herausstellen sollten, wahrscheinlich immer noch stark genug sind, um als zweckmäßig zu gelten
• Darüber hinaus sind alle von OpenSSH implementierten Post-Quantum-Algorithmen „Hybride”, die einen Post-Quantum-Algorithmus mit einem klassischen Algorithmus kombinieren
• Beispielsweise kombiniert mlkem768x25519-sha256 ML-KEM, ein Post-Quanten-Schlüsselvereinbarungsschema, mit ECDH/x25519, einem klassischen Schlüsselvereinbarungsalgorithmus, der früher die bevorzugte Standardeinstellung von OpenSSH war
• Dadurch wird sichergestellt, dass der kombinierte Hybridalgorithmus nicht schlechter ist als der bisher beste klassische Algorithmus, selbst wenn sich der Post-Quanten-Algorithmus durch zukünftige Kryptoanalyse als vollkommen unbrauchbar erweisen sollte

Konfiguration

Dateien

Datei	Beschreibung

Anhang

---

Dokumentation

1. https://www.openssh.org/pq.html

Links

Projekt

1. https://www.openssh.org