Hybride Verschlüsselung: Post-Quantum-Sicherheitsproblem gelöst?

Foto: Fiona M. Donnelly | shutterstock.com

Wenn Sie einen Fallschirm haben, brauchen Sie dann eine Reserve? Viele CISOs, Sicherheitsteams und Kryptografie-Profis stellen sich in Bezug auf Verschlüsselungsalgorithmen der nächsten Generation ähnliche Fragen:

• Brauchen die Benutzer mehrere Verschlüsselungsebenen?

• Lohnt es sich, die zusätzliche Komplexität und Mehrkosten in Kauf zu nehmen?

Ein hybrider Ansatz ist in den Augen der Befürworter dieser Technik die Antwort auf künftige Sicherheitsanforderungen in Zusammenhang mit Verschlüsselungsalgorithmen.

Was ist hybride Verschlüsselung?

Viele Diskussionen über “Hybrid Encryption” beginnen mit einer Debatte darüber, was das eigentlich konkret ist. Im Allgemeinen bezeichnet der Begriff die Kombination von (asymmetrischer) Public-Key-Kryptografie und symmetrischen Verschlüsselungsverfahren. Systeme, die mehrere Encryption-Algorithmen kombinieren, sind nicht unbedingt neu – im Gegenteil. Mathematiker haben über die Jahre diverse Algorithmen miteinander kombiniert, um deren jeweilige Vorteile zu erschließen – insbesondere die Geschwindigkeitsvorteile symmetrischer Verfahren wie AES. So verwenden etwa viele Public-Key-Systeme die entsprechenden Algorithmen nur, um einen symmetrischen Key zu erzeugen, der dann dazu verwendet wird, Daten zu verschlüsseln.

Aktuell erhält das Thema im Zuge der Veröffentlichung der Post-Quantum-Algorithmen, die im Rahmen eines NIST-Wettbewerbs entwickelt wurden, neue Aufmerksamkeit. Denn etliche Experten fragen sich, ob diese neuen Algorithmen vertrauenswürdig sind und hoffen darauf, dass ein hybrider Ansatz für eine wie auch immer geartete Übergangszeit mehr Sicherheit gewährleistet. Google beschreitet den hybriden Weg in Sachen Verschlüsselungsalgorithmen bereits. Seit 2023 handeln Chrome und einige Server Sessions Keys mit Hilfe der Kombination zweier Algorithmen aus:

• X25519 (eine gängige TLS-Wahl, die elliptische Kurven verwendet) und

• Kyber-768 (eine quantenresistente Methode um Keys zu kapseln und der Gewinner des bereits erwähnten NIST-Wettbewerbs).

In der zugehörigen Ankündigung beziffert Devon O’Brien, Technical Program Manager for Chrome Security, den durch das gekapselte Schlüsselmaterial entstehenden Overhead auf (pro TLS-ClientHello-Nachricht) auf etwa 1.000 Bytes. Das stelle laut dem Experten für die große Mehrheit der Benutzer kein Problem dar.

Post-Quantum-Sicherheitsprobleme

Der Rollout der Post-Quantum-Technologie war sowohl spannend als auch frustrierend: Mehrfach musste das NIST die Fristen verlängern, bevor sich die Verantwortlichen auf in Frage kommende Lösungen einigen konnten. Wer erwartet hatte, dass der Wettbewerb eine perfekte Lösung hervorbringen würde, die uns alle sicher in die Zukunft bringt, wurde enttäuscht. Stattdessen hat die NIST-Initiative mindestens ebenso viele Fragen aufgeworfen wie sie beantworten konnte.

Die Gefahr, dass ein neuer Verschlüsselungsalgorithmus ausgewählt wird, der versteckte Schwachstellen beinhaltet, war dabei nicht nur eine theoretisches Bedrohung: Mehrere Algorithmen, die es in die Endrunde des Wettbewerbs schafften und vielversprechend aussahen, erwiesen sich am Ende als leicht zu knacken – das Rainbow Signature Scheme oder das Supersingular Isogeny Diffie-Hellman Protocol (SIDH) etwa.

Angesichts der immerwährenden Bedrohung durch versteckte Schwachstellen, scheinen hybride Kryptografieansätze ein idealer Ansatz. Whitfield Diffie – einer der beiden Erfinder des Diffie-Hellman-Schlüsselaustauschs – glaubt jedenfalls daran: “Ein hybrider Ansatz ist für den Übergang zur Post Quantum Cryptography unabdingbar”.

Hybrid-Encryption-Nachteile

Es gibt jedoch auch Experten, die das kritisch sehen. Sie begründen ihre Skepsis im Wesentlichen auf drei Aspekten:

• Erhöhte Komplexität: Die Code-Menge, die dafür zu schreiben, zu debuggen, zu überprüfen und zu warten ist, verdoppelt sich – mindestens.

• Geringere Effizienz: Der Rechenaufwand, um Daten oder Sessions Keys zu ver- und entschlüsseln, steigt ebenfalls mindestens um den Faktor zwei.

• Inkonsistente Strukturen: Die kombinierten Algorithmen lassen sich nicht einfach durch andere ersetzen. Einige Signaturalgorithmen verwenden beispielsweise Einmalschlüssel, andere nicht.

Steve Weis, Principal Engineer beim Softwareunternehmen Databricks bringt die Bedenken auf den Punkt: “Es ist schon schwierig genug, einen Standard korrekt zu implementieren. Zwei verschiedene parallel zu verwenden, birgt ein höheres Risiko von Implementierungsfehlern und kann neue Angriffsformen begünstigen.”

Zu den prominentesten Kritikern hybrider Encryption-Ansätze gehören die Geheimdienste der USA und Großbritanniens. Sowohl die NSA als auch der GCHQ raten von der Verwendung nicht standardmäßiger Lösungen in diesem Bereich ab (PDF) – unter anderem, weil ein erhebliches Risiko bestehe, dass inkompatible Lösungen entstehen. Dabei ist fraglich, welches Interesse insbesondere die NSA mit dieser Empfehlung verfolgt – gehört es doch zu ihren Hauptaufgaben, Verschlüsselungen zu knacken, um Informationen zu sammeln. Die europäischen Cybersicherheitsbehörden – etwa in Deutschland oder Frankreich – verfolgen hingegen einen anderen Ansatz.

So empfiehlt etwa das Bundesamt für Sicherheit in der Informationstechnik (PDF): “Aktuelle PQC-Verfahren weisen derzeit noch einige praktische Probleme auf: Zum einen ist ihre Standardisierung noch nicht abgeschlossen, so dass es im Vergleich zu klassischen Verfahren bislang nur wenige Forschungsergebnisse zu möglichen Seitenkanalattacken oder Implementierungsfehlern gibt, zum anderen unterscheiden sich ihre Eigenschaften (darunter Schlüssellängen, Speicherplatzbedarf und Rechenzeit) mitunter wesentlich von denen klassischer RSA- und ECC-Verfahren. Ferner müssen bestehende Protokolle angepasst werden, um die Nutzung von PQC-Verfahren zu ermöglichen. Grundsätzlich wird empfohlen, neue Systeme kryptoagil zu gestalten.”

Die wohl größte Debatte in Zusammenhang mit hybrider Verschlüsselung dreht sich darum, welches Maß an Sicherheit der Ansatz wirklich bieten kann. Wie sicher ein hybrider Verschlüsselungsansatz in der Praxis ist, hängt im Wesentlichen von den Details respektive den gewählten Algorithmen und der Art und Weise ab, wie diese kombiniert werden. (fm)

Dieser Beitrag basiert auf einem Artikel unserer US-Schwesterpublikation CSO Online.