NIST-Standardisierung der Post-Quanten-Kryptographie

Die Standardisierung postquantenkryptographischer Verfahren ^{[ 1 ]} ist ein Programm und Wettbewerb des NIST zur Aktualisierung seiner Standards um postquantenkryptographische Verfahren . ^{[ 2 ]} Es wurde auf der PQCrypto 2016 angekündigt. ^{[ 3 ]} Bis zum ersten Einreichungstermin Ende 2017 wurden 23 Signaturverfahren und 59 Verschlüsselungs-/ KEM- Verfahren eingereicht. ^{[ 4 ]} Davon wurden 69 als vollständig und korrekt eingestuft und nahmen an der ersten Runde teil. Sieben dieser Verfahren, darunter drei Signaturverfahren, erreichten die dritte Runde, deren Ergebnisse im Juli 2020 bekannt gegeben wurden. ^{[ 5 ]}

Am 13. August 2024 veröffentlichte das NIST die endgültigen Versionen der ersten drei Post-Quantum-Kryptostandards: FIPS 203, FIPS 204 und FIPS 205. ^{[ 6 ]}

Die akademische Forschung zu den potenziellen Auswirkungen des Quantencomputings reicht mindestens bis ins Jahr 2001 zurück. ^{[ 7 ]} Ein im April 2016 veröffentlichter Bericht des NIST zitiert Experten, die die Möglichkeit einräumen, dass die Quantentechnologie den weit verbreiteten RSA- Algorithmus bis 2030 unsicher machen könnte. ^{[ 8 ]} Infolgedessen wurde die Notwendigkeit der Standardisierung quantensicherer kryptografischer Verfahren verfolgt. Da die meisten symmetrischen Verfahren relativ einfach so modifiziert werden können, dass sie quantenresistent sind, konzentrierten sich die Bemühungen auf die Public-Key-Kryptographie, insbesondere auf digitale Signaturen und Schlüsselkapselungsmechanismen . Im Dezember 2016 initiierte das NIST einen Standardisierungsprozess mit einer Ausschreibung. ^{[ 9 ]}

Zur Prüfung standen: ^{[ 10 ]} ( Durchgestrichen bedeutet, dass der Antrag zurückgezogen wurde)

• Rate nochmal von Lorenz Panny ^{[ 18 ]}
• RVB von Lorenz Panny ^{[ 19 ]}
• RaCoSS von Daniel J. Bernstein , Andreas Hülsing, Tanja Lange und Lorenz Panny ^{[ 20 ]}
• HK17 von Daniel J. Bernstein und Tanja Lange ^{[ 21 ]}
• SRTPI von Bo-Yin Yang ^{[ 22 ]}
• WalnutDSA
  • von Ward Beullens und Simon R. Blackburn ^{[ 23 ]}
  • von Matwej Kotow, Anton Menschow und Alexander Uschakow ^{[ 24 ]}
• DRS von Yang Yu und Léo Ducas ^{[ 25 ]}
• DAGS von Elise Barelli und Alain Couvreur ^{[ 26 ]}
• Edon-K von Matthieu Lequesne und Jean-Pierre Tillich ^{[ 27 ]}
• RLCE von Alain Couvreur, Matthieu Lequesne und Jean-Pierre Tillich ^{[ 28 ]}
• Hila5 von Daniel J. Bernstein, Leon Groot Bruinderink, Tanja Lange und Lorenz Panny ^{[ 29 ]}
• Giophantus von Ward Beullens, Wouter Castryck und Frederik Vercauteren ^{[ 30 ]}
• RankSign von Thomas Debris-Alazard und Jean-Pierre Tillich ^{[ 31 ]}
• McNie von Philippe Gaborit; ^{[ 32 ]} Terry Shue Chien Lau und Chik How Tan ^{[ 33 ]}

Die Kandidaten, die in die zweite Runde eingezogen sind, wurden am 30. Januar 2019 bekanntgegeben. Es handelt sich um: ^{[ 34 ]}

Am 22. Juli 2020 gab das NIST sieben Finalisten („erster Weg“) sowie acht alternative Algorithmen („zweiter Weg“) bekannt. Der erste Weg umfasst die vielversprechendsten Algorithmen und wird nach der dritten Runde für die Standardisierung berücksichtigt. Auch Algorithmen des zweiten Weges könnten nach Abschluss der dritten Runde noch in den Standard aufgenommen werden. ^{[ 54 ]} Das NIST geht davon aus, dass einige der alternativen Kandidaten in einer vierten Runde berücksichtigt werden. Das NIST deutet zudem an, dass es die Kategorie der Signaturverfahren zukünftig wieder für neue Vorschläge öffnen könnte. ^{[ 55 ]}

Vom 7. bis 9. Juni 2021 veranstaltete das NIST die dritte PQC-Standardisierungskonferenz virtuell. ^{[ 56 ]} Die Konferenz umfasste Präsentationen der Kandidaten sowie Diskussionen über Implementierungen, Leistungsmerkmale und Sicherheitsaspekte der Kandidaten. Fragen des geistigen Eigentums wurden nur am Rande behandelt.

Nach der Bekanntgabe der Finalisten und Alternativkandidaten durch das NIST wurden verschiedene Bedenken hinsichtlich des geistigen Eigentums geäußert, insbesondere im Zusammenhang mit gitterbasierten Verfahren wie Kyber und NewHope . Das NIST verfügt über unterzeichnete Erklärungen der einreichenden Gruppen, die jegliche Rechtsansprüche ausräumen. Dennoch besteht die Sorge, dass Dritte Ansprüche geltend machen könnten. Das NIST versichert, solche Aspekte bei der Auswahl der Gewinneralgorithmen zu berücksichtigen. ^{[ 57 ]}

• Rainbow: von Ward Beullens auf einem klassischen Computer ^{[ 58 ]}

Im Verlauf dieser Runde hat sich gezeigt, dass einige Kandidaten anfällig für bestimmte Angriffsmethoden sind. Dies zwingt die Kandidaten, sich entsprechend anzupassen:

CRYSTAL-Kyber und SABER

Sie könnten die in ihren Vorschlägen verwendeten verschachtelten Hashes ändern, damit ihre Sicherheitsversprechen Bestand haben. ^{[ 59 ]}

FALKE

Ein Seitenkanalangriff nutzt elektromagnetische Messungen, um die geheimen Signaturschlüssel zu extrahieren. Um dem Angriff zu widerstehen, kann eine Maskierung hinzugefügt werden. Diese Anpassung beeinträchtigt die Leistung und sollte bei der Standardisierung berücksichtigt werden. ^{[ 60 ]}

Am 5. Juli 2022 gab das NIST die ersten Gewinner seines sechsjährigen Wettbewerbs bekannt. ^{[ 61 ] [ 62 ]}

Am 5. Juli 2022 gab das NIST vier Kandidaten für die PQC-Standardisierungsrunde 4 bekannt. ^{[ 63 ]}

• SIKE: von Wouter Castryck und Thomas Decru auf einem klassischen Computer ^{[ 65 ] [ 66 ]}

Am 11. März 2025 gab das NIST die Auswahl eines Backup-Algorithmus für KEM bekannt. ^{[ 67 ]}

Am 13. August 2024 veröffentlichte das NIST die finalen Versionen seiner ersten drei Post-Quantum-Kryptostandards. ^{[ 6 ]} Laut der Veröffentlichungsankündigung:

Obwohl seit den Entwurfsfassungen keine wesentlichen Änderungen an den Standards vorgenommen wurden, hat das NIST die Namen der Algorithmen geändert, um die Versionen anzugeben, die in den drei endgültigen Standards enthalten sind:

• Der Federal Information Processing Standard (FIPS) 203 ist als primärer Standard für allgemeine Verschlüsselung gedacht. Zu seinen Vorteilen zählen vergleichsweise kleine Verschlüsselungsschlüssel, die von den beiden Parteien leicht ausgetauscht werden können, sowie seine hohe Verarbeitungsgeschwindigkeit. Der Standard basiert auf dem CRYSTALS-Kyber-Algorithmus, der in ML-KEM (Module-Lattice-Based Key-Encapsulation Mechanism) umbenannt wurde.
• FIPS 204 ist als primärer Standard für den Schutz digitaler Signaturen gedacht. Der Standard verwendet den CRYSTALS-Dilithium-Algorithmus, der in ML-DSA (Module-Lattice-Based Digital Signature Algorithm) umbenannt wurde.
• FIPS 205 wurde ebenfalls für digitale Signaturen entwickelt. Der Standard verwendet den SPHINCS+ -Algorithmus, der in SLH-DSA (Stateless Hash-Based Digital Signature Algorithm) umbenannt wurde. Er basiert auf einem anderen mathematischen Ansatz als ML-DSA und dient als Backup-Methode für den Fall, dass sich ML-DSA als unsicher erweist.
• Wenn der Entwurf des FIPS 206-Standards, der auf FALCON basiert, veröffentlicht wird, wird der Algorithmus analog dazu FN-DSA genannt, kurz für FFT (Fast-Fourier Transform) over NTRU-Lattice-Based Digital Signature Algorithm.

Am 11. März 2025 veröffentlichte das NIST Hamming Quasi-Cyclic ( HQC ) als fünften Algorithmus für postquantenasymmetrische Verschlüsselung zur Schlüsselkapselung und zum Schlüsselaustausch. ^{[ 67 ]} Der neue Algorithmus dient als Backup für ML-KEM, den Hauptalgorithmus für allgemeine Verschlüsselung. HQC ist ein codebasiertes Verfahren, das eine andere mathematische Grundlage als ML-KEM verwendet und somit mögliche Schwächen des gitterbasierten ML-KEM abmildert. ^{[ 66 ]} Der Entwurf des Standards, der den HQC-Algorithmus enthält, wird Anfang 2026 erwartet, die endgültige Fassung folgt 2027.

Das NIST erhielt 50 Einreichungen und bewertete 40 davon als vollständig und den Einreichungsanforderungen entsprechend. ^{[ 68 ]} Folgende Einreichungen werden derzeit geprüft: ^{[ 69 ]} ( Durchgestrichen bedeutet, dass die Einreichung zurückgezogen wurde)

• 3WISE von Daniel Smith-Tone ^{[ 87 ]}
• EagleSign von Mehdi Tibouchi ^{[ 101 ]}
• KAZ-SIGN von Daniel J. Bernstein; ^{[ 102 ]} Scott Fluhrer ^{[ 103 ]}
• Xifrat1-Sign.I von Lorenz Panny ^{[ 104 ]}
• eMLE-Sig 2.0 von Mehdi Tibouchi ^{[ 105 ]} (Implementierung von Lorenz Panny ^{[ 106 ]} )
• HPPC von Ward Beullens; ^{[ 107 ]} Pierre Briaud, Maxime Bros und Ray Perlner ^{[ 108 ]}
• ALTEQ von Markku-Juhani O. Saarinen ^{[ 109 ]} (nur Implementierung?)
• Keks von Charles Bouillaguet ^{[ 110 ]}
• MEDS von Markku-Juhani O. Saarinen und Ward Beullens ^{[ 111 ]} (nur Implementierung)
• FuLeeca von Felicitas Hörmann und Wessel van Woerden ^{[ 112 ]}
• LESS vom LESS-Team (nur Implementierung) ^{[ 113 ]}
• DME-Sign von Markku-Juhani O. Saarinen ^{[ 114 ]} (nur Implementierung?); Pierre Briaud, Maxime Bros, Ray Perlner und Daniel Smith-Tone ^{[ 89 ]}
• EHTv3 von Eamonn Postlethwaite und Wessel van Woerden; ^{[ 115 ]} Keegan Ryan und Adam Suhl ^{[ 116 ]}
• Erweitertes pqsigRM von Thomas Debris-Alazard, Pierre Loisel und Valentin Vasseur; ^{[ 117 ]} Pierre Briaud, Maxime Bros, Ray Perlner und Daniel Smith-Tone ^{[ 118 ]}
• HAETAE von Markku-Juhani O. Saarinen ^{[ 119 ]} (nur Implementierung?)
• HuFu von Markku-Juhani O. Saarinen ^{[ 120 ]}
• SDitH von Kevin Carrier und Jean-Pierre Tillich; ^{[ 121 ]} Kevin Carrier, Valérian Hatey und Jean-Pierre Tillich ^{[ 122 ]}
• VOX von Hiroki Furue und Yasuhiko Ikematsu ^{[ 123 ]}
• AIMer von Fukang Liu, Mohammad Mahzoun, Morten Øygarden, Willi Meier ^{[ 124 ]}
• SNOVA von Yasuhiko Ikematsu und Rika Akiyama ^{[ 125 ]}
• PROV von Ludovic Perret und River Moreira Ferreira ^{[ 126 ]} (nur Implementierung)

Das NIST entschied, dass 14 Einreichungen in die zweite Runde aufgenommen werden. ^{[ 127 ]}

Neun Kandidaten kamen von Runde Zwei in Runde Drei weiter ^{[ 130 ]} :

Das NIST hat darauf hingewiesen, dass zumindest die multivariaten Kandidaten wahrscheinlich einer weiteren Evaluierungsrunde bedürfen werden. ^{[ 130 ] : 7}

• Advanced Encryption Standard-Prozess
• CAESAR-Wettbewerb – Wettbewerb zur Entwicklung authentifizierter Verschlüsselungsverfahren
• Gitterbasierte Kryptographie
• NIST-Wettbewerb für Hashfunktionen

• Die offizielle Website des NIST zum Standardisierungsprozess
• Website zur Post-Quanten-Kryptographie von djb