Die Ausarbeitung eines Plans für die Cybersicherheit in der noch in weiter Ferne liegenden Ära von Quantencomputern steht für viele Unternehmen derzeit vielleicht ganz unten auf der To-Do-Liste, doch die Bundesbehörden ergreifen bereits einige entscheidende Maßnahmen, um den Übergang zu bewältigen und die vorgeschriebenen Meldepflichten zu erfüllen.
Das Problem ist, dass diese ersten Schritte in Richtung quantenresistenter Sicherheit im Allgemeinen recht wackelig waren und dass eine große Menge verschlüsselter Daten auf dem Spiel steht – wie beispielsweise Finanzdaten , Regierungsgeheimnisse, sowie personenbezogene Daten der Bürger.
Stephen Harper, Leiter des Bereichs Quanteninformationswissenschaft und -technik bei Accenture Federal Services, ist bereit für den „Q-Day“ – einen Begriff, den Quantenforscher für den Zeitpunkt geprägt haben, an dem ein Quantencomputer in der Lage sein wird, die derzeitigen Standardverschlüsselungsverfahren von Computernetzwerken zu knacken. Er unterstützt Bundesbehörden beim Übergang zur Post-Quanten-Kryptografie – und er bemüht sich darum, diesen Prozess zu beschleunigen.
Accenture Federal Services – ein Geschäftsbereich des weltweit tätigen IT-Beratungsunternehmens Accenture – arbeitet mit Behörden der US-Bundesregierung ( ) zusammen und unterstützt diese bei der Einführung neuer Technologien, darunter Cloud-, KI und Cybersicherheitssysteme. Harper, ein erfahrener Sicherheitsexperte, verfügt über einen Master-Abschluss in Cybersicherheit von der Johns Hopkins Whiting School of Engineering und ist ein begeisterter Anhänger der Quantencomputertechnik.
US-Bundesbehörden mussten im Jahr 2023 damit beginnen, potenzielle Systemschwachstellen an das Office of Management and Budget (OMB) zu melden, und bislang haben sie dies größtenteils manuell und nicht besonders genau erledigt, so Harper.
Hier ist seine Sichtweise dazu, wie wir diesen Prozess beschleunigen und verbessern können. Und mit „wir“ meint er uns alle. Unternehmen des öffentlichen Sektors müssen sich mit Fragen der Einhaltung der „ “-Vorschriften auseinandersetzen – und er hat einige Tipps dazu, was Behörden derzeit unternehmen sollten . Sein Rat gilt jedoch ebenso für die Privatwirtschaft. Denn die Bedrohung durch Quantencomputer ist real und betrifft alle Organisationen, ob groß oder klein.
(Das folgende Interview ist eine Bearbeitung eines Gesprächs zwischen Harper und der Podcast-Moderatorin Chelsea Nelson auf , im Tanium-Podcast sowie auf , produziert von Tanium, dem Herausgeber dieses Magazins.) (Der Text wurde aus Platzgründen und zur besseren Verständlichkeit gekürzt.)
Welche Auswirkungen hat die Weiterentwicklung von Quantencomputern sowohl auf den privaten als auch auf den öffentlichen Sektor? Wo liegt dort die Gefahr?
Anfang 1990s veröffentlichte Professor Peter Shor [ein Mathematiker, der damals bei Bell Labs in New Jersey tätig war] eine Abhandlung, in der er einen Algorithmus für einen Quantencomputer beschrieb, der zur Faktorisierung von … Halbprimzahlen dienen sollte. Das bedeutet, dass unsere derzeitigen Kryptosysteme mit öffentlichen Schlüsseln [die dazu dienen, Daten in Computernetzwerken zu schützen] mit diesem Algorithmus geknackt werden können, sofern ein ausreichend leistungsfähiger Quantencomputer zur Verfügung steht. Wir verfügen noch nicht über einen solchen Quantencomputer, aber sie befinden sich derzeit in der Entwicklung.
„Wir haben jetzt Zeit, damit zu beginnen, auf nicht anfällige Algorithmen umzustellen, aber wir müssen damit anfangen.“
Wir wissen, dass es [wahrscheinlich] irgendwann in 10 bis 20 Jahren soweit sein wird … Wir haben also jetzt Zeit, damit zu beginnen, auf nicht angreifbare Algorithmen umzustellen, aber wir müssen damit anfangen. Und genau hier setzen die Rechtsvorschriften und Vermerke des „ “ der Exekutive an, mit denen die Bundesbehörden dazu aufgefordert werden, diesen Übergang einzuleiten. Das erste war das National Security Memorandum (NSM-8), und danach folgte das NSM-10.
Und dann gibt es noch das Memorandum M-23-02 des OMB. Was verlangen diese Vermerke von den Bundesbehörden?
Um es kurz zu machen: Die Behörden werden aufgefordert, den Einsatz anfälliger asymmetrischer Kryptografie in ihren besonders kritischen Anwendungen zu erfassen und dies jährlich an das OMB zu melden, um einen Überblick darüber zu gewinnen, wie der Übergang gestaltet werden muss. In dem Vermerk ist in einer eigenen Tabelle aufgeführt, welche Algorithmen anfällig sind und gemeldet werden müssen – und diese Angaben müssen in den nächsten 10 Jahren jedes Jahr vorgelegt werden.
„Wir haben ein kleines Problem mit der Begriffswahl, wenn wir über Post-Quanten-Kryptografie sprechen, da dies viel komplizierter klingt, als es tatsächlich ist.“
Und nach unseren Beobachtungen erledigen die meisten Agenturen all dies – zumindest in den ersten ein oder zwei Jahren – manuell, was, ehrlich gesagt, sehr, sehr zeitaufwendig und ziemlich ungenau ist.
Die Automatisierung dieser Art von Arbeit dürfte zur Einhaltung der Vorschriften beitragen. Wie sieht die Zeitersparnis aus?
Die Anfangsinvestition [in die Einrichtung von Tools zur Automatisierung und Verbesserung der Datenerfassung] ist etwas zeitaufwendig. Es ist schwierig, sich darüber ein genaues Bild zu machen, da dies davon abhängt, wie groß die Systemumgebungen sind und wie viele davon vorhanden sind.
[Lesen Sie auch: Wie KI zur Automatisierung die heutigen IT-Arbeitsabläufe revolutionieren wird]
Sobald jedoch alles implementiert ist, werden wir die Daten nicht nur möglicherweise bereits an einem Nachmittag erhalten können – sofern bereits alles eingerichtet ist –, sondern diese sollten auch wesentlich genauer sein, sofern die Berichte und Dashboards korrekt konzipiert wurden.
Was ist ein weit verbreitetes Missverständnis in Bezug auf die Quantenphysik?
Wenn wir über Post-Quanten-Kryptografie sprechen, haben wir ein kleines Problem mit der Begriffswahl, da es aufgrund des Wortes „Quanten“ viel komplizierter klingt, als es tatsächlich ist.
Richtig.
Im Grunde geht es hier lediglich um neue Verschlüsselungsalgorithmen, die auf Ihren handelsüblichen Computern laufen. Daran ist nichts Quantenphysikalisches.
„Wir erhalten nicht alle Daten, die wir benötigen, und diese werden nicht korrekt gemeldet, sodass wir weder das tatsächliche Ausmaß der Bedrohung noch die vorhandene Angriffsfläche kennen.“
Wir schützen lediglich vor Quantencomputern. Das ist für uns wichtig zu vermitteln, denn wir haben bereits mit Behörden zusammengearbeitet, bei denen wir den Kontakt zu den verschiedenen Systembetreibern und den für diese Systeme zuständigen Gruppen aufnehmen und fragen: „Teilen Sie uns bitte mit, welche der in dieser Liste aufgeführten anfälligen Algorithmen Sie verwenden.“ Und wir erhalten Antworten wie: „Wir nutzen Windows; so etwas machen wir nicht.“ Und das ist technisch gesehen wohl richtig, aber damit wird der Kern der Sache irgendwie verfehlt.
Wir erhalten nicht alle Daten, die wir benötigen, und diese werden nicht korrekt gemeldet, sodass wir weder das tatsächliche Ausmaß der Bedrohung noch die vorhandene Angriffsfläche kennen.
Außerdem verfügen wir im Vorfeld künftiger Migrationsmaßnahmen nicht über ein genaues Bild der Lage, um zu wissen, was zu tun ist. Das bedeutet also, dass sich auf den Budgetumfang und den Personalbedarf auswirken wird, damit all dies umgesetzt werden kann.
Was sollten die Bundesbehörden derzeit unternehmen?
Hoffentlich haben sie alle daran gearbeitet, ihren Prozess der Datenerhebung zu verbessern. Entscheidend für sie ist es, in den nächsten ein bis zwei Jahren sicherzustellen, dass dieser Prozess so präzise wie möglich und so weit wie möglich automatisiert ist , damit wir ihnen künftig dabei helfen können, alles auf diese neuen Verschlüsselungsalgorithmen umzustellen und sicherzustellen, dass wir nichts übersehen.
Wie groß ist unser Problem mit der Aufschieberitis, wenn es um die Quantenphysik geht?
Man fragt mich immer wieder: „Nun, wir haben 10 bis 20 Jahre Zeit …, um alles auf diese neuen Algorithmen umzustellen.“ Ist das nicht reichlich Zeit?
Die CISA [die US-Behörde für Cybersicherheit und Infrastruktursicherheit] hat [im vergangenen Jahr] tatsächlich ein Dokument veröffentlicht, in dem sie Behörden des öffentlichen Sektors, insbesondere im öffentlichen Dienst, eindringlich dazu aufforderte, ihre Funkgeräte zu überprüfen – viele von ihnen verwenden für diese Gespräche nach wie vor die DES-Verschlüsselung [den veralteten „Data Encryption Standard“], die bereits seit fast 20 Jahren als veraltet gilt. Die Umstellung von der symmetrischen DES-Verschlüsselung auf die AES-Verschlüsselung [den aktualisierten und sichereren „Advanced Encryption Standard“] ist wesentlich, wesentlich einfacher als die Umstellung all unserer … asymmetrischen Verschlüsselungssysteme.
Es klingt also so, als hätten wir viel Zeit, aber … ehe wir uns versehen, sitzen wir da mit einer ganzen Reihe anfälliger Systeme und fragen uns, was eigentlich passiert ist.
WEITERE INFORMATIONEN:
Lesen Sie das gesamte Interview mit Harper unter dem unten stehenden Link, in dem er die neuesten NIST-Standards zur Quantenkryptografie erörtert und ausführlich darauf eingeht, wie Behörden Daten aus digitalen Zertifikaten und anderen Netzwerkkomponenten effizienter und genauer erfassen können, um die Compliance-Anforderungen zu erfüllen.
