Wie man ein Post-Quanten-Informationssystem entwirft

Jean-Louis Olié, Alain Fernando-Santana; November 2022

Dieser Artikel stellt das Konzept der Post-Quantum-Informationssysteme (PQIS) vor, ein neues Konzept, das darauf abzielt, Informationssysteme zu definieren, die so konzipiert sind, dass sie jedem Angriff widerstehen, sei es von klassischen oder Quantencomputern. In diesem Artikel schlägt CyferAll eine Definition für PQIS und seinen Ansatz vor, um solche Systeme zu entwerfen und die wesentlichen Bausteine ​​zu identifizieren.

Hintergrund

In unserem vorherigen Artikel haben wir erörtert, warum und wie Informationssysteme und die sie durchlaufenden digitalen Daten trotz der derzeit zum Schutz digitaler Daten eingesetzten Kryptosysteme weiterhin Cyberkriminalität ausgesetzt sind. Wir haben auch die neuen Bedrohungen untersucht, die Quantencomputing erzeugen wird, wenn die Technologie ausgereift ist, und warum diese neuen Bedrohungen eine unmittelbare Bedrohung darstellen, die Regierungen und Unternehmen dazu zwingt, ihre derzeitigen Kryptosysteme zu ersetzen . Aber wie können wir Informationssysteme so gestalten, dass sie gegen Quantencomputer-Bedrohungen resistent sind und digitale Daten mit einem Schutzniveau versehen, das der „perfekten Geheimhaltung“ ähnelt, einem Konzept, das ursprünglich 1949 von Claude Shannon definiert wurde? [1]Das Ziel dieses Artikels ist es, verschiedene Wege vorzuschlagen, deren Verfolgung uns Shannons Vision näher bringen und gleichzeitig die vorläufigen Bausteine ​​für ein Post-Quanten-Informationssystem bereitstellen kann .

Definition eines Post-Quanten-Informationssystems

Für die Zwecke dieses Artikels wird ein Post-Quanten-Informationssystem als ein Informationssystem auf Anwendungsebene definiert, das auf einem oder mehreren Computern ausgeführt wird, die durch ein Netzwerk verbunden sind, und von dem erwartet wird, dass es den Systembenutzern einen vollständigen Schutz bietet :

(i) verarbeiteter digitaler Daten in allen möglichen Zuständen: „in Gebrauch“, „im Ruhezustand“ und „unterwegs“ , von der Erstellung bis zur Wiederherstellung, gegen jede Bedrohung, sei es durch klassische oder Quantencomputer;

(ii) vor Viren und Malware , die sich auf den Computern befinden könnten, die die digitalen Daten verarbeiten; und

(iii) während des Benutzer -Onboardings und der vom System unterstützten Benutzer-Login- Dienste.

Totaler Datenschutz

Lassen Sie uns zunächst klären, was „umfassender Datenschutz“ wirklich bedeutet und wo die realen Grenzen des Schutzes liegen, den ein Informationssystem für digitale Daten bieten kann. Tatsächlich kann ein Informationssystem aus verschiedenen Gründen niemals einen „totalen“ Schutz als solches bieten, da es praktische Realitäten gibt, die dies unmöglich machen. Zum Beispiel:

Benutzerverhalten

Benutzer sind natürliche Personen und als solche die letztendlichen Inhaber der eigentlichen Informationen oder des Zugriffs auf die zu schützenden Informationen. Diese Personen haben jedoch immer die Möglichkeit, die Informationen offenzulegen , sei es vorsätzlich (mit oder ohne Genehmigung) oder unabsichtlich durch einfache oder grobe Fahrlässigkeit. Unabhängig davon, wie ausgefeilt das Informationssystem ist, kann es niemals die unbefugte vorsätzliche oder fahrlässige unbeabsichtigte Offenlegung von Daten oder Zugangsdaten durch einen Benutzer verhindern. Dies kann durch Sicherheitsüberprüfungsverfahren , die Aufteilung von Informationen mit „Need-to-know“ -Kriterien sowie Personalschulungen zur Sensibilisierung für Sicherheit gemildert werden .

Darüber hinaus werden die jedem Informationssystem zugrunde liegenden Softwareanweisungen von Personen codiert, die möglicherweise Hintergedanken haben. Eine während der Lösungsentwicklung von einem Programmierer absichtlich platzierte Hintertür, die dann zu Zero-Day-Angriffen führt, kann nicht im Voraus identifiziert und durch ein Informationssystem davor geschützt werden. Dies kann durch Code-Reviews und externe Zertifizierungsverfahren abgemildert werden .

Einrichtungsbasierte Überwachung

Darüber hinaus befinden sich Benutzer und Peripheriegeräte in physischen Einrichtungen (einem Unternehmen oder Heimbüro), und diese Einrichtungen könnten Gegenstand nicht autorisierter Überwachungsgeräte sein, die in der Lage sind, Zugangsdaten / ausgetauschte Daten zu erfassen, und ein Informationssystem kann vor einem solchen Szenario nicht schützen. Dies kann durch Systeme gemildert werden, die das Vorhandensein unerwünschter Geräte erkennen.

Daher versteht man unter der Definition von „Total Protection“ Maßnahmen, die in den technologischen Bereich eines Informationssystems und seiner Verwaltung digitaler Daten fallen .

Erste Überlegungen zu einem Post-Quanten-Informationssystem (PQIS)

Ausstattung/Firmware

Idealerweise sollte ein PQIS leicht zugänglich sein und als solches nicht die Verwendung spezieller, maßgeschneiderter oder angepasster Computerhardware erfordern. Darüber hinaus:

ich. die Komponenten innerhalb der Computerhardware und ihrer Firmware dürfen nicht kompromittiert werden, und ein Prozess zur Sicherstellung dieses „sauberen“ Zustands muss ihrer Verbindung mit dem PQIS vorausgehen;

ii. Prozessor, CPU-Platine und RAM müssen sicher funktionieren; und

iii. Die Erfassungs-/Wiedergabe-Peripheriegeräte müssen sicher sein und dürfen keinen heimlichen Zugriff auf oder das Durchsickern von Daten an unbefugte Empfänger ermöglichen.

Betriebssysteme

Das Betriebssystem spielt eine grundlegende Rolle beim Betrieb eines Computers, es ist jedoch eine Softwarekomponente und kann daher möglicherweise durch Viren oder Malware verändert werden . Ein Betriebssystem weniger anfällig für Viren und Malware zu machen, ist von grundlegender Bedeutung für die Erstellung eines sicheren PQIS. Eine Möglichkeit, das Betriebssystem zu schützen, besteht darin, es als virtuelle Maschine auszuführen und vollständig im RAM zu speichern, um es vor böswilligen Änderungen zu schützen.

Zugangsrechte

Vinton G. Cerf, einer der Designer der Schlüsselblöcke des Internets, sagte, dass „wir uns bei der Schaffung des neuen Netzwerks nicht darauf konzentriert haben, wie man das System absichtlich zerstören könnte“. Das ist bis heute die Herausforderung. Informationssysteme gewähren zugelassenen Benutzern Zugriffsrechte und zweifeln dann nicht mehr an ihren Absichten. Diese Logik hat sich als grundlegend fehlerhaft erwiesen, da es anscheinend so viele Benutzer mit schlechten Absichten außerhalb wie innerhalb eines privaten Netzwerks gibt. Das amerikanische National Institute of Standards and Technology (NIST) hat diese Bedenken in seiner Sonderveröffentlichung von 2020 [2] zu Modellen für Zero-Trust-Informationssysteme angesprochen. In einem solchen Modell werden die Rechte zum Zugriff auf unverschlüsselte Daten nur Computern gewährt, deren Benutzer nachweislich vertrauenswürdig sind, um auf die Daten zuzugreifen. Bis diese Voraussetzung erfüllt ist, wird dem Computer nicht vertraut, und eine Richtliniendurchsetzungskomponente des Systems verhindert, dass Daten unverschlüsselt für den Benutzer des Computers bereitgestellt werden. Die Policy-Enforcement-Komponente agiert unter der Kontrolle eines Policy-Entscheidungspunkts und verwaltet die Zugriffsrechte aller Benutzer auf jede Datenkategorie. Dieses Modell muss jedoch weiter verfeinert werden. Tatsächlich kann ein Computer, wie wir gesehen haben, als Ganzes betrachtet nicht als vertrauenswürdig angesehen werden, da er mit Viren oder Malware infiziert sein könnte oder die Zugangsdaten des Benutzers mit den weiter oben in diesem Artikel beschriebenen Techniken gestohlen worden sein könnten. Um sich vor einem Computer zu schützen, der mit einem Virus oder Malware infiziert wurde, muss die Implementierung des Zero-Trust-Modells eine ununterbrechbare Kette der Datenaufbewahrung zwischen geschützten Enklaven schaffen . In einem solchen Modell wird die Ende-zu-Ende-Verschlüsselung tatsächlich als sichere Enklave zu sicherer Enklave implementiert , mit viel besseren Schutzgarantien nicht nur für Daten „bei der Übertragung“, sondern auch für Daten „in Gebrauch“ und Daten „im Ruhezustand“.

Zum Schutz vor einem Benutzer, dessen Zugangsdaten gestohlen wurden, kann das Informationssystem regelmäßig biometrische oder andere Identitätsüberprüfungen vornehmen , je nach Analyse des Benutzerverhaltens durch das Informationssystem, vorheriger Zugriff auf dieselben Informationen, Tageszeit, Ort, von dem aus die Zugriffsanfrage gestellt wird usw. usw. Es sollte nicht länger davon ausgegangen werden, dass der Benutzer irgendein Recht hat, im Netzwerk zu sein, und noch viel weniger auf die angeforderten Informationen zugreifen.

Die Rolle des Browsers

Wie der Name vermuten lässt, wurde der Internetbrowser erfunden, um das Navigieren im Internet und das Abrufen von Informationen von Websites oder anderen Internetstandorten zu erleichtern. Der Browser ist auch das Programm, das Videokonferenzverbindungen, Internet-Sprachverbindungen, Webmail und Chat in bestimmten Webanwendungen aufbaut. Die meisten Informationen, die durch den Browser übertragen werden, sind im Klartext, da dieser Browser der Endpunkt der „End-to-End-Verschlüsselung“ ist.in diesen Web-Anwendungen. Obwohl das TLS-Protokoll die symmetrische Verschlüsselung von Daten und den asymmetrischen Schlüsselaustausch mit Authentifizierung vorsieht, kann es Quantenangriffen nicht widerstehen. Darüber hinaus schützt das TLS-Protokoll Daten nur während des Transports zwischen Browsern. Vor der Verschlüsselung und nach der Entschlüsselung befinden sich die Daten „im Klartext“ im Cache des Browsers und können von Viren und Malware durch Data-Mining oder kompromittiert werden. Das Aufkommen von Cookies und ihre Fähigkeit, die Daten, die sich aus der Browsing-Aktivität eines Benutzers ergeben (Data Mining), zu verfolgen, zu sammeln und zu speichern, schuf eine Einnahmemöglichkeit von solchem ​​Ausmaß, dass der Browser sowohl zu einem Überwachungstool als auch zu einem Vermittler des Internetsurfens/Internetdienstes wurde . Aber um Data-Mining-Aktivitäten für die Informationen durchzuführen, die durch den Browser übertragen werden, diese Informationen müssen eindeutig sein. Da Browser das Herzstück aller Internet-Browsing- und Benutzerkommunikationsaktivitäten sind und der Hauptfokus ihres Browser-Herausgebers auf Data Mining und Datenmonetarisierung liegt, in einem PQIS, wo die Offenlegung / Kompromittierung von Daten unbedingt vermieden werden muss, kann der Browser datenschutzrechtlich keine Rolle spielen . In einem PQIS sollten die Komponenten des Computers überprüft werden, um geschützte Enklaven zu identifizierendie Daten im Klartext schützen können, und es sind diese Enklaven, die direkt von der Policy-Durchsetzungskomponente verwaltet werden sollten. Nur in diesen Enklaven können Daten unverschlüsselt sein und Änderungen im Datenzustand können sicher auftreten, wenn die Authentifizierung des Benutzers während eines Übergangs von einem der drei Zustände „in Gebrauch“, „im Ruhezustand“ durchgeführt wird. oder „auf der Durchreise“ in einen anderen dieser drei Staaten. Diese geschützten Enklaven sind auch die Orte, an denen Hardware-Peripheriegeräte, die zum Erstellen oder Wiedergeben von Informationen erforderlich sind, wie beispielsweise eine Tastatur, ein Mikrofon, eine Kamera, ein Lautsprecher oder eine Bildschirmanzeige, Daten erfassen und wiedergeben sollten.

Die geschützten Enklaven

In allen modernen Computern sind die drei möglichen Orte zum Speichern von Daten ohne spezifische Hardwarekomponente die Register der Prozessoren, der flüchtige Direktzugriffsspeicher, auch Hauptspeicher genannt, und die Massenspeichergeräte [3] . Die Register der Prozessoren haben eine sehr begrenzte Kapazität und können nur verarbeitete Daten speichern. Auf die Massenspeichergeräte kann von jeder Anwendung zugegriffen werden, die auf dem Computer ausgeführt wird, und eine Anwendung kann eine Malware sein, daher dürfen sensible Daten nicht auf Massenspeichergeräten offengelegt werden. Letztendlich ist der flüchtige Direktzugriffsspeicher (RAM) der einzige Ort, an dem geschützte Enklaven erstellt werden können .

Tatsächlich werden RAM-Slices jedem laufenden Prozess auf exklusive Weise vom Prozessor zugewiesen. Wenn einer Anwendung ein Speichersegment zugewiesen wird, kann keiner der anderen gleichzeitig laufenden Prozesse, einschließlich Viren und Malware, auf die in dem zugewiesenen Segment gespeicherten Daten zugreifen.

Die oben beschriebene RAM-basierte Softwarearchitektur hilft, die Schwächen der Anwendungsschicht der meisten aktuellen Informationssysteme anzugehen , ohne dass eine bestimmte Hardwarekomponente erforderlich ist, aber das Kryptosystem, auf das sie sich verlassen muss, muss noch diskutiert werden.

Das Kryptosystem

Wie zuvor gesehen, ist die erste Komponente, die dieses Kryptosystem enthalten muss, ein symmetrischer Verschlüsselungsalgorithmus zum Verschlüsseln/Entschlüsseln von Daten, die innerhalb der oben definierten sicheren Enklaven geschützt werden müssen. Wie im vorherigen Artikel gezeigt, benötigt dieser Algorithmus einen 512-Bit-Schlüssel , um Quantencomputerangriffen zu widerstehen, aber er muss auch: (i) Seitenkanalangriffen widerstehen , (ii) eine Integritätsprüfung bieten, ohne Schwachstellen oder betriebliche Einschränkungen bei seiner Verwendung zu schaffen und (iii) da Daten direkt im RAM verarbeitet werden , muss der Algorithmus einen sehr hohen Durchsatz und eine extrem niedrige Latenz haben. Diese Latenz ist definiert als die Anzahl von Taktzyklen, die zum Verschlüsseln, Entschlüsseln und Verifizieren der Integrität jedes Datenbytes erforderlich sind. Um den höchsten Standard in Bezug auf die Resistenz gegen Kryptoanalyse zu erreichen, muss der symmetrische Verschlüsselungsalgorithmus unter adaptativ gewähltem Cipher-Angriff (IND-CCA2) [4] nicht unterscheidbar sein.. Ein Verschlüsselungsalgorithmus hat eine solche Eigenschaft, wenn ein Angreifer, der zwei Klartexte und den Chiffretext eines dieser beiden Klartexte erhält, mit einer Wahrscheinlichkeit größer als ½ nicht feststellen kann, welcher der Klartexte dem Chiffretext entspricht. Darüber hinaus muss diese Eigenschaft festgestellt werden, wenn der Angreifer auch Zugriff auf ein Entschlüsselungsorakel hat, das eine beliebige Anzahl von entschlüsselten Formen verschlüsselter Nachrichten liefern kann, die vom Angreifer ausgewählt werden, mit Ausnahme natürlich der verschlüsselten Nachricht selbst. Darüber hinaus müssen alle diese Anforderungen von dem symmetrischen Verschlüsselungsalgorithmus erfüllt werden, ohne dass eine bestimmte Hardwarekomponente erforderlich ist.

Die zweite Komponente des Kryptosystems ist ein asymmetrischer Verschlüsselungsalgorithmus , der den Austausch des oben beschriebenen symmetrischen Verschlüsselungsalgorithmusschlüssels zwischen zwei entfernten Benutzern des PQIS ermöglicht, wenn diese Benutzer von einem Policy Decision Point zum Austausch von Nachrichten oder Echtzeitströmen freigegeben wurden von Daten, die mit diesem symmetrischen Algorithmus verschlüsselt wurden. Der asymmetrische Algorithmus muss Post-Quantum sein, genauer gesagt, in der Lage sein, dem Quantencomputing mit einem Sicherheitsniveau von mindestens 256 Bit zu widerstehen. Im Juli 2022 [5] gab das NIST bekannt, dass es sich nach einem fünfjährigen Auswahlverfahren dafür entschieden hat, den Crystals-Kyber-Algorithmus zu standardisieren . Dieser Algorithmus ist IND-CCA2 und hat eine Version mit einem Sicherheitsniveau von 256 Bit.

Die letzte vom Kryptosystem benötigte Komponente ist ein weiterer asymmetrischer Post-Quanten-Algorithmus. Dieser asymmetrische Algorithmus ermöglicht die Authentifizierung von Benutzern beim Austausch von Schlüsseln, die mit dem ersten asymmetrischen Algorithmus verschlüsselt wurden, indem diesen Benutzern die Möglichkeit gegeben wird, diesen Austausch zu signieren und die Signatur ihrer Gegenstücke zu überprüfen. In ihrer Ankündigung vom Juli 2022 gab das NIST auch eine Liste mit drei zu standardisierenden digitalen Signaturalgorithmen heraus: Crystals-Dilithium, Falcon und Sphincs+.

Der Proof-of-Concept

Ein Post-Quanten-Informationssystem, das auf solchen Prinzipien aufgebaut ist, mit einer Softwarearchitektur, die auf einem Zero-Trust-Modell mit RAM-zu-RAM- Verschlüsselung [6] basiert, und einem Kryptosystem, das die oben skizzierte symmetrische und asymmetrische Verschlüsselung umfasst, wird in der Lage sein, Benutzer bereitzustellen mit „totalem Schutz“ digitaler Daten. Um die Machbarkeit des Konzepts zu beweisen, implementierte CyferAll, ein in Frankreich ansässiges Start-up, das Konzept in seiner SaaS-Plattform, die eine breite Palette von Verschlüsselungs-, Messaging- und Kommunikationsdiensten unterstützt. Die RAM-zu-RAM-Softwarearchitektur und die symmetrischen Verschlüsselungsalgorithmen waren Gegenstand von zwei Patentanmeldungen. Die Softwarearchitektur folgt den Privacy-By-Design-Prinzipienum die Einhaltung der DSGVO / HIPPA sicherzustellen. Die CyferAll-Plattform entspricht auch den französischen und europäischen Vorschriften, die darauf abzielen , die Nutzung kryptografischer Mittel für böswillige Absichten und Terroranschläge zu verhindern . Die erste Neuerung betrifft die Softwarearchitektur und die zugehörigen Protokolle für das Onboarding und die Anmeldung von Benutzern, die es ermöglichen, das RAM-zu-RAM-Softwarekonzept sicher zu unterstützen und gleichzeitig die regulatorischen Einschränkungen einzuhalten.

Die zweite Neuerung betrifft die Definition eines symmetrischen Verschlüsselungsalgorithmus, der alle in unserem vorherigen Artikel aufgeführten Schwachstellen in Bezug auf unzureichende Schlüssellänge und indirekte Angriffe adressiert. Der symmetrische Verschlüsselungsalgorithmus leitet sich vom „One Time Pad“ (OTP) -Algorithmus ab, der von einem amerikanischen Ingenieur, Joseph Mauborgne, als verbesserte Version der 1917 von Gilbert Vernam erfundenen Vernam-Chiffre [7] vorgeschlagen wurde.

Dieser Algorithmus gilt als semantisch sicher, da er die interessante, mathematisch bewiesene Eigenschaft hat , unabhängig von der verwendeten Rechenleistung absolut unknackbar zu sein. Leider erfordert es einen Schlüssel, der dieselbe Länge wie die zu verschlüsselnden Daten hat, und erfordert, dass dieser Schlüssel für jede Datenübertragung unterschiedlich ist. Dies machte den Algorithmus für die praktische Verwendung in modernen Informationssystemen unmöglich, da die Schlüssel, jedes Mal anders, genauso schwierig auszutauschen sind wie die Nachrichten selbst, aber dieser OTP-Algorithmus ist IND-CCA2 mit einem unendlichen Sicherheitsniveau. Es ist auch resistent gegen Seitenkanalangriffe, da es keinen festen Schlüssel gibt, der durch statistische Analyse abgerufen werden muss, und es hat bei weitem die niedrigste Verschlüsselungslatenz aller bestehenden Verschlüsselungsalgorithmen. Innerhalb der Kryptosystemtechnologie von CyferAll wurde dieser Algorithmus so transformiert, dass er in der Lage ist, Ströme zufälliger Pads beliebiger Länge und für jede Nachricht unterschiedlich aus einem festen Schlüssel mit einer Länge von 512 Bit zu erzeugen, und er verfügt auch über eine Integritätsprüfungsfunktion . Es kann nachgewiesen werden, dass es IND-CCA2 bleibt, jedoch mit einem auf 512 Bit reduzierten Sicherheitsniveau, was ausreicht, um Quantencomputing zu widerstehen. Diese Transformation des Algorithmus soll auch seine Widerstandsfähigkeit gegenüber Seitenkanalangriffen bewahren . Die Funktion zur Integritätsprüfung erhöht die Latenz, aber die Leistung bleibt viel besser als bei jedem anderen bestehenden Standardalgorithmus . Als diese Entwicklung abgeschlossen war, hatte NIST die Liste der für die Standardisierung ausgewählten asymmetrischen Post-Quanten-Algorithmen noch nicht veröffentlicht, daher waren die im CyferAll-Proof-of-Concept verwendeten Post-Quanten-Algorithmen RLCE [8] und XMSS-MT [9] .

Die Ergebnisse

Ein Vergleich von Technologien für symmetrische Verschlüsselungsalgorithmen wird unten bereitgestellt.

Sicherheit

Leistung

Diese Ergebnisse bestätigen, dass der vorgeschlagene symmetrische Verschlüsselungsalgorithmus mit deutlich geringerer Latenz das erforderliche 512-Bit-Sicherheitsniveau mit Integritätsprüfung und Widerstandsfähigkeit gegen Seitenkanalangriffe bieten kann

Zusammenfassend lässt sich sagen, dass es möglich ist, Post-Quantum-Informationssysteme zu bauen, die das bieten, was wir als „totalen Schutz“ definiert haben, ein Schutzniveau, das der perfekten Geheimhaltung so nahe wie möglich kommt, während gleichzeitig die Notwendigkeit berücksichtigt wird, eine hervorragende Anwendungsleistung sicherzustellen

[1] Shannon, Claude, Communication Theory of Secrecy Systems , Bell System Technical Journal, 28(4): 656–715, 1949

[2] Rose Scott, Borchert Oliver, Mitchell Stu und Connelly Sean Zero Trust Architecture , NIST Special Publication 800–207, 2020

[3] John L. Hennessy und David Patterson (2006). Computerarchitektur: Ein quantitativer Ansatz (4. Aufl.). Morgan Kaufmann. ISBN 978–0–12–370490–0

[4] Bellare, Mihir; Rogaway, Phillip (11. Mai 2005 ). Einführung in die moderne Kryptographie, Kapitel 5: Symmetrische Verschlüsselung

[5] https://csrc.nist.gov/News/2022/pqc-candidates-to-be-standardized-and-round-4

[6] CyferAll registrierte die Marke RAM2RAM, um seine Softwarearchitektur zu beschreiben

[7] Vernam, Gilbert S., Secret Signalling System Patent, Google.com , Archiviert vom Original am 11. März 2016

[8] Yongee Wang, Quantum Resistant Random Linear Code Based Public Key Encryption Scheme RLCE, Eprint arXiv:1512.08454, 2016

[9] A. Huelsing, D. Butin, S. Gazdag, J. Rijneveld, A. Mohaisen. XMSS : erweitertes Merkle-Signaturschema ,https://datatracker.ietf.org/doc/html/rfc8391