de.wedoany.com-Bericht: Microsoft hat seinen Zeitplan für den Quantensicherheits-Übergang auf das Jahr 2029 vorgezogen. Dies markiert einen Wendepunkt, an dem ein großer Technologieanbieter die Bereitstellung von Post-Quanten-Kryptografie als kurzfristiges Engineering-Problem und nicht mehr als entferntes technologisches Risiko betrachtet. Laut einem Blogbeitrag von Mark Russinovich, Chief Technology Officer von Microsoft Azure, plant das Unternehmen, seine wichtigsten Produkte und Dienste bis 2029 auf Post-Quanten-Kryptografie umzustellen. Diese Initiative integriert die Quantensicherheitsanforderungen in das umfassendere Sicherheits-Engineering-Programm von Microsoft, die „Secure Future Initiative“.
Diese Anpassung des Zeitplans spiegelt die wachsende Besorgnis von Regierungen und der Industrie wider, dass zukünftige Quantencomputer die derzeit vorherrschenden Public-Key-Verschlüsselungssysteme knacken könnten. Diese Verschlüsselungssysteme stützen zentrale Bereiche des modernen Rechnens, darunter Internetverkehr, Software-Updates, digitale Identitäten und Finanztransaktionen. Obwohl ein angriffsfähiger Quantencomputer noch nicht existiert, warnen Forscher und Sicherheitsbehörden, dass die Migration zu sichereren Verschlüsselungssysteme Jahre dauern wird.
Microsoft gibt an, dass Fortschritte in der Quantenforschung die Risikozeitlinie dringlicher machen als bisher angenommen. Das Unternehmen ruft Organisationen dazu auf, sofort mit den Vorbereitungen zu beginnen, da der Übergang umfassende Änderungen auf mehreren Ebenen umfassen wird, darunter Anwendungen, Netzwerke, Zertifikate, Schlüssel, Identitätssysteme und Hardware. Leitlinien der US-Regierung und Frankreichs verlangen bereits von einigen Hochrisikosystemen, ab 2030 quantensichere Kryptografie einzusetzen, was zeigt, dass Aufsichtsbehörden Post-Quanten-Sicherheit in ihre Planungsanforderungen aufnehmen.
Post-Quanten-Kryptografie bezeichnet Verschlüsselungsmethoden, die Angriffen sowohl klassischer als auch zukünftiger Quantencomputer standhalten können. Das aktuelle Risiko besteht darin, dass ein ausreichend leistungsfähiger Quantencomputer Schwachstellen in bestehenden Algorithmen ausnutzen und die derzeitigen Public-Key-Systeme überwinden könnte, einschließlich derer, die für sicheres Surfen im Web, Softwaresignaturen und digitale Zertifikate verwendet werden. Das von Microsoft gesetzte Ziel für 2029 soll Kunden mehr Zeit für die Migration geben. Das Unternehmen weist darauf hin, dass die größte Herausforderung für die meisten Organisationen nicht die Auswahl neuer Algorithmen ist, sondern die Identifizierung der Stellen in ihren Systemen, an denen Verschlüsselungsalgorithmen eingebettet sind, da Verschlüsselungstechnologie typischerweise über Software, Cloud-Dienste, APIs, Datenbanken, Identitätssysteme, mobile Geräte und Legacy-Anwendungen verteilt und oft fest codiert ist.
Der beschleunigte Plan von Microsoft konzentriert sich auf drei Bereiche: Netzwerkverschlüsselung, gespeicherte Daten und die vertrauenswürdige Verschlüsselungskette. Für Daten während der Übertragung im Netzwerk empfiehlt das Unternehmen Organisationen, Protokolle zu aktualisieren, beispielsweise eine breitere Bereitstellung von TLS 1.3, um die Grundlage für zukünftige hybride und Post-Quanten-Schlüsselaustausche zu schaffen. Für gespeicherte Daten müssen Organisationen kryptografische Agilität erreichen, d. h. die Fähigkeit, Verschlüsselungsmethoden auszutauschen, ohne das gesamte System neu aufbauen zu müssen. Dies umfasst die Konfigurierbarkeit von Verschlüsselungseinstellungen, verbesserte Schlüsselrotation und die Entfernung fest codierter Algorithmen. Für die vertrauenswürdige Kette ist die Arbeit komplexer und umfasst Codesignaturen, Zertifikatsausstellung, Schlüsselschutz und Software-Update-Pipelines. Dies erfordert hardwaregestützten Schlüsselschutz, aktualisierte Zertifikatsrichtlinien und kürzere Zertifikatslebenszyklen.
Microsoft weist auch auf das Risiko „Jetzt ernten, später entschlüsseln“ hin, bei dem Angreifer derzeit verschlüsselte Daten sammeln und speichern, um sie später zu entschlüsseln, wenn die Technologie ausgereift ist. Diese Bedrohung ist besonders relevant für Regierungen, Gesundheitsorganisationen, Finanzunternehmen und Unternehmen mit langfristig sensiblen Daten. Das Unternehmen empfiehlt Organisationen, den Übergang iterativ anzugehen, langfristig sensible Daten zu priorisieren, neue Systeme mit kryptografischer Agilität aufzubauen und Projekte zur Identifizierung von Verschlüsselungsabhängigkeiten zu starten.
Microsoft betont, dass Organisationen zunächst Verantwortliche benennen, Meilensteine setzen, eine Echtzeit-Inventarliste von Verschlüsselungsabhängigkeiten erstellen und die Modernisierung von Protokollen vorantreiben sollten. Es ist wichtig anzumerken, dass die Ankündigung von Microsoft nicht bedeutet, dass ein Quantencomputer, der bestehende Verschlüsselung knacken kann, unmittelbar bevorsteht. Das Feld steht weiterhin vor großen technischen Hürden wie Fehlerkorrektur, Skalierbarkeit, Zuverlässigkeit und Kosten, und der Zeitplan ist mit erheblicher Unsicherheit behaftet. Darüber hinaus hat das National Institute of Standards and Technology der USA mit der Standardisierung von Post-Quanten-Algorithmen begonnen, aber deren breite Einführung in kommerziellen Systemen wird noch Zeit in Anspruch nehmen. Organisationen müssen die Leistung, Kompatibilität und Betriebsrisiken neuer Verschlüsselungsmethoden vorab testen.
