Post-Quanten-Kryptographie-Standardisierung des NIST
# Post-Quanten-Kryptographie-Standardisierung des NIST

Das National Institute of Standards and Technology (NIST) führt seit 2017 einen Auswahlprozess zur Standardisierung von Post-Quanten-Kryptographie (NISTPQC) durch, da Schätzungen zufolge zum Beispiel der verbreitete RSA-Algorithmus bis zum Jahr 2030 durch Quantenrechner gebrochen werden könnte. Der Standardisierungsprozess gilt als derzeit bedeutendste gemeinschaftliche Bemühung zur Entwicklung – und maßgeblich bei der Bewertung – von Algorithmen für quantensichere Kryptographie. In mehreren Runden, zu denen jeweils auch eine Konferenz gehört, werden jeweils einige Algorithmen eliminiert und andere eingehender untersucht.

Da die meisten symmetrischen Primitive relativ leicht angepasst werden können, um quantensicher zu werden, konzentrieren sich die Bemühungen auf asymmetrische Kryptosysteme, insbesondere digitale Signaturen und Schlüsselkapselungsverfahren.

Derzeit ist noch nicht entschieden, ob die künftigen Standards als Federal Information Processing Standard (FIPS) oder als NIST Special Publication (SP) veröffentlicht werden.

## Geschichte

Das bewährte offene, transparente Format der Veranstaltung folgt dem Vorbild der AES-Standardisierungsprozesses (1997–2000), der aus der Kryptologie-Gemeinde mit viel Lob bedacht worden war. Die akademische Forschung zu potenziellen Auswirkungen der Quanteninformatik reicht mindestens bis ins Jahr 2001 zurück. Im Jahr 2015 verkündeten US-Bundesbehörden Pläne, alle staatlichen Informationsverarbeitungssysteme mit Geheimhaltungsanforderungen auf quantenresistente Kryptographie umzustellen. Daher kündigte das NIST auf der PQCrypto 2016 die Standardisierung quantensicherer kryptografischer Primitive an. Im Dezember 2016 wurde mit einem Aufruf zur Einreichung von Vorschlägen der Standardisierungsprozess eingeleitet.

Bis zum Abgabeschluss Ende 2017 wurden 23 Signatursysteme und 59 Verschlüsselungs-/Schlüsselkapselungsverfahren eingereicht,. Davon wurden 69 als vollständig und geeignet für die Teilnahme an der ersten Runde akzeptiert. Der Wettbewerb befindet sich nun in der dritten von voraussichtlich vier Runden. Das NIST will die Standards bis 2024 veröffentlichen. Der Prozess könnte beschleunigt werden, wenn die Entwicklung von Quantenrechnern relevante Durchbrüche erreicht.

## Dritte Runde

Am 22. Juli 2020 gab das NIST sieben Finalisten, darunter drei Signaturverfahren sowie acht Alternativen bekannt. Die Hauptkandidaten sind Algorithmen, die am vielversprechendsten erscheinen für eine Standardisierung am Ende der dritten Runde. Ausweichkandidaten könnten nach Abschluss der dritten Runde weiter untersucht und später standardisiert werden. Das NIST erwartet, dass einige Reservekandidaten in einer vierten Runde berücksichtigt werden. Das NIST deutete auch an, in Zukunft möglicherweise weitere Vorschläge für Signatursysteme einholen zu wollen.

Vom 7. bis 9. Juni 2021 veranstaltete das NIST die dritte PQC-Standardisierungskonferenz im virtuellen Raum, auf der Anpassungen der Kandidaten und Diskussionen über Implementierungen, Leistung und Sicherheitsfragen behandelt wurden. In geringem Umfang wurden auch Fragen des geistigen Eigentums erörtert.

### Bedenken hinsichtlich geistigen Eigentums

Nachdem Google Inc. bereits im Juli 2016 für den Chrome-Browser die Implementierung des CECPQ1-Verfahrens ankündigte, erhob Jintai Ding Anspruch auf eine Vergütung, da eines seiner sechs Patente (US-Patent 9246675) das CECPQ1-Verfahren betreffe und bis 2033 gültig ist. Seine Forschungen hatte die NSA seit dem 24. Januar 2002 mit 60.567 US-Dollar gefördert. Vorsätzliche Patentverletzungen werden im Patentrecht der USA mit dreifachem Schadensersatz belegt.

Auch im Juni 2021 wurden Bedenken hinsichtlich geistigen Eigentums geäußert zu gitterbasierten Verfahren wie SABER und NewHope von Alkim, Ducas, Pöppelmann und Schwabe. Jintai Dings US-Patent 9246675 betrifft auch NewHope. Das NIST erhielt von den einreichenden Gruppen Verzichtserklärungen aller Beteiligten, doch besteht die Sorge, dass Dritte später Rechtsansprüche erheben. Das NIST will solche Überlegungen bei der Endauswahl berücksichtigen.

### Anpassungen

In dieser Runde wurden bei einigen Kandidaten Anfälligkeiten für bestimmte Angriffsstrategien gezeigt. Dies erzwingt Anpassungen:

**CRYSTALS-Kyber und SABER**


    können die verwendeten Verfahren für ihre verschachtelten Hashes ändern, um ihre Sicherheitsbehauptungen aufrechtzuerhalten.

**FALCON**


    Seitenkanalangriff über Laufzeitanalyse. Zusätzliche Maskierungsmaßnahmen ermöglichen Resistenz, wirken sich jedoch auf die Leistung aus, was bei der Standardisierung berücksichtigt werden sollte.

Die Finalisten Kyber, Saber und Dilithium waren durch das „Center of Encryption and Information Security“ (ein Teil der Armee Israels) mit Techniken zu schwächen, die vermutlich gegen weitere Algorithmen funktionieren.

