Warum wir jetzt quantenresistente Kryptographie brauchen.

Quantencomputer bedrohen Verschlüsselung

Quantencomputer werden die Informationstechnologie in einer Weise verändern, wie wir es noch nie erlebt haben.

Die bisherige Forschung hat verschiedene Quantenalgorithmen hervorgebracht, mit denen verschiedene Probleme, die heute als zu schwierig gelten, effizient gelöst werden können. Aufgrund dieser Fähigkeit werden Quantencomputer große Verbesserungen in verschiedenen Bereichen der Informationstechnologie bringen.

Sie stellen jedoch auch eine ernsthafte Bedrohung für die Kryptographie dar, da die heute weit verbreiteten asymmetrischen Kryptosysteme (RSA, (EC)DSA und (EC)DH) auf Varianten von nur zwei schwierigen mathematischen Problemen beruhen, die Quantencomputer leider wesentlich schneller lösen können: das Problem der ganzzahligen Faktorisierung und das Problem des diskreten Logarithmus.

Mit dem Algorithmus von Shor (1994), der auf einem universellen Quantencomputer läuft, werden beide Probleme in polynomieller Zeit lösbar.

Dies bedeutet, dass die jeweiligen Kryptosysteme, die auf RSA, (EC)DSA und (EC)DH beruhen, tatsächlich geknackt werden können.

Wie viel Zeit ein Angreifer dafür benötigt, hängt von der Kapazität des Quantencomputers ab. Laut einer Studie des deutschen Bundesamtes für Sicherheit in der Informationstechnik (BSI) sind etwa 1 Million physikalische Qubits erforderlich, um 2048-Bit-RSA in 100 Tagen zu knacken, und etwa 1 Milliarde Qubits, um es innerhalb einer Stunde zu knacken. Fortschritte bei der Entwicklung von Algorithmen werden diese Zahlen weiter reduzieren.

"Das bedeutet, dass Quantencomputer das Potenzial haben, die meisten sicheren Kommunikationsverbindungen auf der Welt zu knacken", sagt der Kryptograph Rafael Misoczki. Der Wettlauf um neue Wege zum Schutz von Daten und Kommunikation, um die Bedrohung durch universelle Quantencomputer in großem Maßstab zu bekämpfen, hat begonnen.

So sind beispielsweise US-Bundesbehörden wie das FBI und die NSA bereits verpflichtet, Post-Quanten-Sicherheitsmaßnahmen zu ergreifen, und dem privaten Sektor wird geraten, diesem Beispiel zu folgen. Diese Forderung ist Teil der Nationalen Cybersicherheitsstrategie, die von der Regierung Biden im März 2023 veröffentlicht wurde. Es ist offensichtlich, dass die politischen Entscheidungsträger die Bedrohung durch Quantencomputer für die vertrauliche und geheime Online-Kommunikation bereits erkannt haben.

Wann werden Quantencomputer zur Realität?

Bislang wurde noch kein praktischer Quantencomputer entwickelt. Das Quantencomputing ist jedoch ein sehr aktives Forschungsgebiet, und in der Vergangenheit, insbesondere in den letzten Jahren, wurden rasche Fortschritte erzielt.

Große Unternehmen wie IBM, Google und Intel geben regelmäßig Fortschritte beim Quantencomputing bekannt. Diese Computer arbeiten jedoch nur mit etwa 50 bis 70 physikalischen Qubits. Laut der erwähnten BSI-Studie wird ein Quantencomputer, der in der Lage ist, die heutigen Kryptosysteme zu knacken, in naher Zukunft nicht Realität werden.

Allerdings haben die Enthüllungen von Edward Snowden deutlich gemacht, dass bereits heute verschlüsselte Daten von verschiedenen Akteuren gespeichert werden. Es ist höchste Zeit, dafür zu sorgen, dass diese Akteure nicht in der Lage sind, sie in Jahren zu entschlüsseln, wenn universelle Quantencomputer in großem Maßstab gebaut worden sind.

Darüber hinaus ist das Quantencomputing keine ferne Möglichkeit mehr, sondern bereits Realität. Das Riken-Forschungsinstitut in Japan hat angekündigt, dass es den ersten im Lande gebauten Quantencomputer für verschiedene Unternehmen und akademische Einrichtungen online zur Verfügung stellen wird. Riken plant, diesen Quantencomputer-Prototyp bis 2025 mit dem zweitschnellsten Supercomputer der Welt, Fugaku, zu verbinden, um seine Anwendungsmöglichkeiten in der realen Welt zu erweitern, einschließlich der Material- und Pharmaforschung.

Dies ist keine isolierte Entwicklung, sondern Teil eines Quantencomputer-"Wettrüstens". Nach Angaben der japanischen Agentur für Wissenschaft und Technologie hat China in den letzten drei Jahrzehnten weltweit die meisten Patente für Quantencomputer angemeldet, etwa 2 700, gefolgt von den USA mit etwa 2 200 und Japan mit 885.

Es ist klar, dass die Welt mit dem Aufkommen von Quantencomputern vor einer technologischen Revolution steht, die eine noch nie dagewesene Rechenleistung und die Fähigkeit verspricht, komplexe Probleme zu lösen, die klassische Computer nicht lösen können.

Das ist zwar aufregend, stellt aber auch eine Bedrohung für die derzeitigen Verschlüsselungsprotokolle dar, die von Quantencomputern leicht geknackt werden könnten, so dass sensible Informationen für Angreifer ungeschützt bleiben. Aus diesem Grund fordert die Nationale Cybersicherheitsstrategie der USA den Übergang zur Post-Quantum-Kryptografie, die Algorithmen verwendet, die gegen Angriffe von Quantencomputern resistent sind. Die Strategie erkennt die Notwendigkeit an, sich auf die Zukunft vorzubereiten und sicherzustellen, dass die Verschlüsselungsprotokolle angesichts der sich entwickelnden Bedrohungen sicher bleiben.

Auch wenn nicht damit zu rechnen ist, dass ein Quantencomputer in naher Zukunft die derzeitigen Ende-zu-Ende-Verschlüsselungsprotokolle knacken kann, ist es wichtig, diese Art von Bedrohung so bald wie möglich zu verhindern, da die Entwicklung effizienter Lösungen Zeit braucht.

Wie Quantencomputer funktionieren

Gewöhnliche Computer speichern Daten als 1en und 0en. Quantencomputer hingegen verwenden Qubits zum Speichern von Daten. Jedes Qubit befindet sich in einer Überlagerung von 1 und 0. Messungen projizieren einen dieser Zustände mit einer bestimmten Wahrscheinlichkeit. Diese Möglichkeit wird durch den Quantenalgorithmus geändert. Da jedes Qubit zwei Zustände auf einmal repräsentiert, verdoppelt sich die Gesamtzahl der Zustände mit jedem zusätzlichen Qubit.

Ein Qubit entspricht also zwei möglichen Zahlen, zwei Qubits entsprechen vier möglichen Zahlen, drei Qubits entsprechen acht möglichen Zahlen. Seit der Coronavirus-Pandemie wissen wir alle, was Exponentialzahlen sind. Wir können uns eine Vorstellung davon machen, wie leistungsfähig ein Quantencomputer mit, sagen wir, 100 Qubits, sein könnte. Eine Quantenmaschine mit 300 Qubits könnte beispielsweise mehr Werte darstellen, als es Atome im beobachtbaren Universum gibt.

Vor etwa 20 Jahren leisteten Forscher in Japan Pionierarbeit auf dem Gebiet der supraleitenden Qubits: Sie kühlten bestimmte Metalle auf extrem niedrige Temperaturen ab, um eine stabile Arbeitsumgebung für Quantencomputer zu schaffen.

Diese Methode war so vielversprechend, dass sie Forschungsprojekte bei Google, IBM und Intel auslöste.

Die eigentlichen Quantencomputer sehen überhaupt nicht wie gewöhnliche Computer aus. Stattdessen handelt es sich um große Zylinder aus Metall und verdrillten Drähten, die in große Kühlschränke gestellt werden. Die Forscher senden Informationen an die Maschine und erhalten im Gegenzug Berechnungen, genau wie bei gewöhnlichen Computern.

IBM bietet externen Forschern sogar die Möglichkeit, Rechenleistung auf ihrem Q System One zu kaufen. So können Forscher auf der ganzen Welt einen Quantencomputer nutzen, ohne ihn jemals in echt gesehen oder berührt zu haben.

Die inhärente Parallelisierung von Berechnungen auf allen Zuständen gleichzeitig wird es diesen leistungsstarken Computern ermöglichen, bisher sichere Verschlüsselungen zu knacken.

Warum wir Verschlüsselung brauchen

Die Verschlüsselung ist allgegenwärtig, wenn wir das Internet nutzen. Sie ist ein integraler Bestandteil jedes digitalen Prozesses, der vertraulich behandelt werden muss: Kommunikation, Finanzen, Handel, kritische Infrastrukturen, Gesundheitsfürsorge und viele andere Bereiche unseres täglichen Lebens werden durch starke Verschlüsselung geschützt. Wenn die in diesen Prozessen verwendeten kryptografischen Algorithmen durch die Entwicklung von universellen Quantencomputern in großem Maßstab unbrauchbar werden, können Angreifer mit Zugang zu solchen Computern viele Aspekte unseres täglichen Lebens bedrohen.

Das Internet, wie wir es kennen, funktioniert nur mit sicherer Verschlüsselung. Jetzt ist es an der Zeit, dafür zu sorgen, dass die Verschlüsselung, die wir heute verwenden, auch in Zukunft sicher bleibt.

Entwicklung der Post-Quantum-Kryptografie

Die Post-Quantum-Kryptografie beschreibt kryptografische Algorithmen, die auf konventionellen Computern laufen (im Gegensatz zur Quantenkryptografie, die auf einem Quantencomputer läuft), aber auf mathematischen Problemen beruhen, die für konventionelle und Quantencomputer als schwierig gelten. Solange es keinen effizienten Quantenalgorithmus gibt, der genau diese Probleme effizienter löst, können wir davon ausgehen, dass sie von Quantencomputern nicht gebrochen werden können.

Im Jahr 2016 hat das US-amerikanische National Institute for Standards and Technology (NIST) einen Prozess zur Standardisierung solcher quantencomputerresistenten Algorithmen eingeleitet. Der Prozess befindet sich derzeit in der vierten Phase der Bewertung von Standardalgorithmen für die sichere Post-Quanten-Verschlüsselung, wobei die ersten vier quantenresistenten kryptografischen Algorithmen - CRYSTALS-Kyber für die Verschlüsselung und CRYSTALS-Dilithium, FALCON und SPHINCS+ für digitale Signaturen - bereits angekündigt wurden.

Vorbereitung auf die Revolution der Quanteninformatik

Die Entwicklung und der Einsatz der Post-Quanten-Kryptografie sind dringend erforderlich. Auch wenn Quantencomputer, die in der Lage sind, die von uns heute verwendeten Kryptosysteme zu knacken, vielleicht nicht kurzfristig Realität werden, hat uns die Erfahrung gezeigt, dass die Einführung neuer kryptografischer Standards viel Zeit in Anspruch nimmt. Neue Algorithmen müssen sorgfältig evaluiert werden, ihre Sicherheit muss durch intensive Kryptoanalyse bewiesen werden und es müssen effiziente Implementierungen gefunden werden. Obwohl beispielsweise die Elliptische Kurven-Kryptographie bereits Ende der 1980er Jahre vorgeschlagen wurde, ist sie erst vor einigen Jahren für den Massengebrauch angepasst worden.

Die Post-Quantum-Kryptografie sollte so bald wie möglich eingeführt werden - nicht nur, um vorbereitet zu sein, wenn universelle Quantencomputer in großem Maßstab Realität werden, sondern auch, um die derzeit mit Standardalgorithmen verschlüsselten Daten vor einer künftigen Entschlüsselung zu schützen.

Viele verschiedene Unternehmen haben bereits damit begonnen, mit Post-Quanten-Kryptografie in ihren Anwendungen zu experimentieren. Wir bei Tutanota leisten Pionierarbeit, indem wir quantensichere Algorithmen zusammen mit herkömmlichen Algorithmen für unsere verschlüsselten E-Mails und Kalender verwenden.

Wie der Kryptographie-Experte Lyubashevsky sagt: "Wenn Sie wirklich sensible Daten haben, dann migrieren Sie jetzt."

Entwicklung der quantenresistenten Kryptografie

Da quantenresistente Algorithmen relativ neu sind und ihre Sicherheit noch nicht ausreichend bewiesen wurde, können wir unsere derzeitigen kryptografischen Algorithmen nicht einfach durch sie ersetzen. Es könnte immer noch passieren, dass jemand einen Angriff entwickelt, der auf einem herkömmlichen oder einem Quantencomputer läuft und den von uns gewählten Algorithmus bricht. Daher müssen Post-Quantum- und konventionelle Algorithmen in einem hybriden Ansatz kombiniert werden. Dies ist eine besondere Herausforderung, da Tutanota auch auf mobilen Geräten mit geringerer Rechenleistung effizient laufen muss.

Aus diesem Grund hat Tutanota ein Forschungsprojekt mit dem Namen PQMail abgeschlossen, um Post-Quantum-Kryptoalgorithmen in die verschlüsselte E-Mail- und Kalenderanwendung Tutanota zu implementieren. Dieses Projekt hat zur Veröffentlichung eines Prototyps geführt, der die Finalisten der dritten NIST-Runde nutzt. Jetzt wird dieses Verschlüsselungsprotokoll zu Tutanota hinzugefügt, so dass bald 10 Millionen Tutanota-Nutzer automatisch postquantensicher verschlüsseln können. Sie werden dann in der Lage sein, post-quantensicher verschlüsselte E-Mails zu senden und zu empfangen - ohne ihren Arbeitsablauf ändern zu müssen.

Die Welt der Verschlüsselung ändert sich schneller als je zuvor, und es war noch nie so wichtig für alle, die auf diese Verschlüsselung angewiesen sind, sicherzustellen, dass wir in diesem Wettlauf immer einen Schritt voraus sind!