Krypto-Inventar und Krypto-Agilität: Sie migrieren nicht, was Sie nicht haben

Jedes Gespräch über die Post-Quanten-Migration stößt auf eine unbeantwortete Frage: Wo genau setzt die Organisation Kryptografie ein? Die meisten Führungskräfte wissen nicht, wie sie reagieren sollen, und wer schnell reagiert, irrt oft.

Dieser Mangel an Wissen ist das größte Hindernis für das Projekt. Sie können nicht auf einer leeren Karte migrieren, Prioritäten setzen oder Fristen abschätzen. Bevor Sie sich für ML-KEM, ML-DSA oder einen anderen Algorithmus entscheiden, müssen Sie sich über die Lage im Klaren sein.

In diesem Artikel geht es um die beiden Fähigkeiten, die jedem ernsthaften kryptografischen Übergang zugrunde liegen: Inventar, das zeigt, was Sie haben, und Krypto-Agilität, die es Ihnen ermöglicht, Algorithmen zu ändern, ohne das gesamte System neu zu schreiben. Ohne sie wird die Post-Quantenmigration zu einem ewigen und teuren Projekt.

Warum Inventar vor allem kommt

Verschlüsselung verbreitet sich unbemerkt im gesamten Unternehmen. Es liegt im Netzwerkverkehr, in Zertifikaten, in Softwaresignaturen, in Tokens, in Datenbanken, in Integrationen mit Dritten, in Geräten, in Bibliotheken, die in Abhängigkeiten eingebettet waren, die niemand bewusst gewählt hat.

Durch diese Streuung entstehen gefährliche tote Winkel. Ein vergessenes Zertifikat, eine alte Bibliothek, die drei Ebenen weiter unten in der Abhängigkeitskette eingebettet ist, ein veralteter Dienst, den niemand anfassen möchte: All das könnte genau der Punkt sein, der RSA oder ECC kritisch nutzt. Sie migrieren nicht, was Sie nicht haben, und was Sie nicht wissen, dass Sie es haben, ist das, was am meisten weh tut.

Das Inventar ermöglicht auch die Priorisierung. Ohne zu wissen, wo sich die Verschlüsselung befindet und welche Daten sie schützt, können Sie nicht sagen, was zuerst migriert werden soll. Mit der Karte ändert sich die Diskussion von „Wir müssen etwas gegen Quanten unternehmen“ zu „Diese zwanzig Streams schützen Langzeitdaten und verlassen sich auf anfällige Algorithmen, fangen wir mit ihnen an.“

Und da ist noch der Compliance-Aspekt. Einer Aufsichtsbehörde, einem Wirtschaftsprüfer oder einem Kunden zu zeigen, dass Sie wissen, wo Sie Verschlüsselung einsetzen und einen Plan haben, ist etwas ganz anderes, als zuzugeben, dass Sie keine Ahnung haben. Gemäß LGPD ist die Kenntnis und der Schutz des Pfads personenbezogener Daten Teil der Verpflichtung und keine zusätzliche Pflicht.

Was konkret zugeordnet werden soll

Eine sinnvolle kryptografische Bestandsaufnahme geht über die Auflistung von Zertifikaten hinaus. Er beantwortet operative Fragen.

Ordnen Sie kryptografische Assets zu: Schlüssel, Zertifikate, Geheimnisse, ihre Standorte, Besitzer und Ablaufdaten. Ordnen Sie die verwendeten Algorithmen zu und unterscheiden Sie dabei, welche für Quantencomputing anfällig sind, wie RSA und ECC, und welche, die widerstandsfähiger sind, wie beispielsweise starke symmetrische Kryptographie. Ordnen Sie die Bibliotheken und Versionen zu, die jede Anwendung verwendet, einschließlich der in Abhängigkeiten integrierten, denn dort befindet sich der Großteil der Verschlüsselung, die niemand bewusst ausgewählt hat.

Ordnen Sie die Protokolle Ihrer internen und externen Verbindungen zu, denn auf deren Schlüsselaustausch konzentriert sich das Risiko einer frühzeitigen Erfassung. Und bilden Sie die Daten ab, die jeder Einsatz von Verschlüsselung schützt, mit besonderem Augenmerk auf die Gültigkeit der Vertraulichkeit: Daten, die viele Jahre lang geheim bleiben müssen, sind am stärksten dem „Jetzt ernten, später entschlüsseln“ ausgesetzt, der Erfassung heute verschlüsselter Daten für die Entschlüsselung in der Zukunft mit Quantencomputing.

Abschließend ordnen Sie die Lieferanten zu. Ein Großteil Ihrer Verschlüsselung läuft bei Cloud-Anbietern, SaaS und Partnern. Zu wissen, welche von ihnen einen Post-Quantum-Übergangsplan haben, gehört zu Ihrem Inventar, denn ihr Risiko liegt bei Ihnen.

So führen Sie die Umfrage ohne Absturz durch

Die Reaktion vieler Teams auf diese Liste ist entmutigend: Sie scheint zu groß zu sein. Die Lösung besteht nicht darin, zu versuchen, alles auf einmal perfekt zu inventarisieren.

Kombinieren Sie Schriftarten. Automatisierte Erkennungstools scannen Netzwerk, Code und Zertifikate und finden vieles, was verborgen bleibt. Sie ersetzen jedoch nicht das Wissen der Menschen: Architekten und Produktteams kennen Abhängigkeiten und Zusammenhänge, die kein Scan erfasst. Nutzen Sie beide Fronten.

Beginnen Sie mit dem, was wichtig ist. Anstelle einer allgemeinen Bestandsaufnahme, bevor Sie Maßnahmen ergreifen, sollten Sie Systemen Vorrang einräumen, die sich mit Daten mit langer Gültigkeit und hoher Gefährdung befassen. Machen Sie zunächst eine Bestandsaufnahme, beginnen Sie mit der Umsetzung und erweitern Sie die Umfrage in Wellen. Eine unvollständige und umsetzbare Inventur ist mehr wert als eine vollständige und verspätete.

Und behandeln Sie das Inventar als lebendig. Es handelt sich nicht um ein Dokument, das Sie einmal schreiben und abheften. Systeme ändern sich, Zertifikate werden geboren und sterben, Abhängigkeiten nehmen mit der Version zu. Ein Inventar, das nicht aktualisiert wird, altert schnell und wird wieder zu einer leeren Karte. Integrieren Sie die kryptografische Erkennung in Ihre Änderungs- und Bereitstellungsprozesse.

Krypto-Agilität: Austausch ohne Umschreiben

Das Inventar antwortet mit „was ich habe“. Krypto-Agilität antwortet: „Wie schnell kann ich handeln“. Die beiden ergänzen sich.

Unter Kryptoagilität versteht man die Fähigkeit, den kryptografischen Algorithmus eines Systems zu ändern, ohne ihn komplett neu zu schreiben. Es handelt sich um eine architektonische Immobilie. Systeme, die einen bestimmten Algorithmus in den Code eingebunden haben und direkte Aufrufe an eine Chiffre weit und breit verbreiten, zahlen für Änderungen einen hohen Preis: Jede Änderung wird zu einem monatelangen Projekt, bei dem an jeder Stelle Risiken bestehen.

Der Unterschied liegt in der Kopplung. Wenn die Verschlüsselung hinter einer klar definierten Schicht isoliert ist, einer klaren Grenze, die der Rest des Systems verwendet, ohne die internen Details zu kennen, ist das Umschalten des Algorithmus unterhalb dieser Grenze eine begrenzte Änderung. Der Rest des Systems bemerkt es nicht einmal.

Dies ist besonders jetzt wichtig, da sich die Post-Quanten-Kryptographie weiterentwickeln wird. Parameter werden angepasst, neue Algorithmen können entstehen, Empfehlungen werden sich ändern. Ohne Krypto-Agilität wiederholen Sie bei jedem Schritt das gesamte Migrationsprojekt. Damit erfolgt der nächste Austausch inkrementell. Die Post-Quanten-Migration ist der erste große Beweis dieser Fähigkeit, nicht der letzte.

Aufbau der Austauschfähigkeit

Krypto-Agilität kann nicht von der Stange gekauft werden, sie entsteht durch bewusste Designentscheidungen.

Zentralisieren Sie den Zugriff auf die Verschlüsselung. Anstatt dass jeder Teil des Systems direkt eine bestimmte Chiffre aufruft, lassen Sie sie einen gemeinsamen Punkt durchlaufen, der entscheidet, welcher Algorithmus verwendet werden soll. Das Ändern des Algorithmus bedeutet, diese zentrale Entscheidung zu ändern und nicht nach im Code verstreuten Aufrufen zu suchen.

Algorithmuskonfiguration auslagern. Welche Chiffre mit welchen Parametern verwendet werden soll, muss eine Konfiguration und keine im Code eingebettete Konstante sein. Dies ermöglicht Ihnen Anpassungen und sogar ein Rollback, ohne alles neu schreiben und bereitstellen zu müssen. Dies ist von entscheidender Bedeutung, wenn ein Post-Quantum-Upgrade Probleme in der Produktion verursacht und Sie einen Weg zurück benötigen.

Entwerfen Sie, um mit mehr als einem Algorithmus gleichzeitig zu arbeiten. Während des Übergangs befinden sich Clients und Server in unterschiedlichen Stadien, und der Hybridansatz kombiniert klassische und Post-Quanten-Algorithmen. Ihr System muss mehrere Algorithmen parallel aushandeln und unterstützen, ohne legitime Verbindungen zu unterbrechen. Wer bei der Gestaltung von einem einzigen Algorithmus ausgegangen ist, leidet genau hier.

Und den neuen Größen gerecht werden. Post-Quantum-Schlüssel und -Signaturen sind größer. Strukturen, Felder und Grenzen, die eine geringe Größe angenommen haben, benötigen Freiraum. Wenn Sie diesen Puffer jetzt aufbauen, müssen Sie die Arbeit später nicht noch einmal erledigen.