Measuring Post-Quantum TLS Deployment Across UK Internet Sectors
Diese Untersuchung von 4.665 britischen Organisationen zeigt, dass die beobachtbare Implementierung von Post-Quanten-Kryptographie höchst ungleichmäßig und fragmentiert ist, was primär durch Entscheidungen der Infrastrukturanbieter als durch den Organisationssektor getrieben wird, mit einer signifikant höheren Einführung bei HTTPS im Vergleich zu SMTP und einem bemerkenswerten Fehlen von Post-Quanten-Zertifikatssignaturen.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet als eine riesige, belebte Stadt vor, in der jedes Gebäude eine Website, einen E-Mail-Server oder einen Cloud-Dienst ist. Um die Türen verschlossen und die Geheimnisse sicher zu halten, verwenden diese Gebäude spezielle digitale Schlüssel, die Kryptographie genannt werden. Jahrzehntelang waren diese Schlüssel unglaublich stark, aber Wissenschaftler sind besorgt über einen zukünftigen „Super-Schlüssel“, der sie alle knacken könnte. Dieser Super-Schlüssel stammt von einer neuen Art von Computer, einem Quantencomputer, der noch gebaut wird, aber voraussichtlich leistungsstark genug sein wird, um die heutigen Schlösser zu knacken. Um sich vorzubereiten, entwerfen Experten neue, quantensichere Schlösser, die Post-Quantum-Kryptographie (PQC) genannt werden. Die große Frage für Regierungen und Unternehmen lautet: „Installieren wir diese neuen Schlösser tatsächlich schon an unseren Türen, oder reden wir nur darüber?“ Dieses Papier ist wie eine massive, stadtweite Inspektion, um genau zu sehen, wie viele Gebäude im Vereinigten Königreich tatsächlich diese neuen, futuristischen Schlösser an ihren Haustüren installiert haben.
Die Autoren, Konstantinos Loizou und Essam Ghadafi von der Newcastle University, beschlossen, dieses Problem auf eine sehr spezifische und kluge Weise zu betrachten. Anstatt einfach nur die populärsten Websites zu scannen (als würde man nur die Wolkenkratzer im Stadtzentrum überprüfen), erstellten sie eine ausgewogene Karte von 4.665 verschiedenen Organisationen aus zehn verschiedenen Sektoren, von Banken und Krankenhäusern bis hin zu Universitäten und Regierungsbehörden. Sie überprüften zwei Haupttypen von „Türen“: das Web (HTTPS, welches das Schloss ist, das man sieht, wenn man eine Website besucht) und E-Mail (SMTP, welches das Schloss ist, das zum Senden und Empfangen von Nachrichten verwendet wird). Sie wollten sehen, ob diese Organisationen die neuen quantensicheren Schlüsselaustausch-Methoden tatsächlich verwenden.
Hier ist, was sie herausfanden, und es ist ein gemischtes Bild. Zuerst entdeckten sie, dass die neuen Schlösser auftauchen, aber hauptsächlich im Web. Etwa 44 % der von ihnen überprüften erreichbaren Websites hatten mindestens einen dieser neuen, quantensicheren Schlüssel installiert. Als sie jedoch die E-Mail-Server betrachteten, war das Bild viel düsterer: Nur etwa 6,4 % der E-Mail-Dienste verfügten über die neuen Schlüssel. Es stellt sich heraus, dass, wenn eine Organisation das neue Schloss an ihrer Website hat, sie etwa 17 Mal wahrscheinlicher auch das neue Schloss auf ihrem E-Mail-Server hat als wenn sie es nicht hätte, aber selbst dann verwenden die meisten E-Mail-Server noch die alten, potenziell knackbaren Schlösser.
Die überraschendste Wendung in der Geschichte ist, wer tatsächlich diese Schlösser anbringt. Man könnte denken, dass eine Bank ganz anders wäre als ein Technologieunternehmen in der Geschwindigkeit ihrer Upgrades, aber die Studie fand heraus, dass die Branche der Organisation nicht so wichtig war wie die Person, die das Gebäude verwaltet. Es ist, als würde man feststellen, dass es ganz vom Vermieter abhängt, ob ein Haus ein neues Sicherheitssystem hat, und nicht von der Familie, die darin lebt. Die Forscher fanden heraus, dass eine winzige Handvoll großer Infrastrukturanbieter (Unternehmen wie Cloudflare, Google und Amazon) für fast alle die neuen Schlösser verantwortlich waren, die sie sahen. Zum Beispiel hatten 95 % der von Cloudflare gehosteten Websites die neuen Schlüssel, während Microsoft-gehostete E-Mail-Server keine hatten. Tatsächlich war bei E-Mails Google der einzige große Anbieter mit den neuen Schlüsseln, der fast alle die von ihnen beobachteten Anpassungen ausmachte.
Das Papier überprüfte auch die „Signaturen“ auf den Zertifikaten (die digitalen Ausweise, die beweisen, dass ein Gebäude das ist, was es vorgibt zu sein). Sie fanden heraus, dass, während die Schlüssel für die Türen bereits quantensicher zu werden begannen, die Ausweise immer noch die alten, klassischen Signaturen verwendeten. Niemand war bisher zu den neuen, quantensicheren Ausweisen gewechselt. Dies deutet darauf hin, dass, während die Haustür stärker wird, die Art und Weise, wie wir verifizieren, wer dort steht, sich nicht geändert hat.
Kurz gesagt legt die Studie nahe, dass, wenn wir eine Website mit einem quantensicheren Schloss sehen, dies oft daran liegt, dass das große Technologieunternehmen, das sie hostet, das Upgrade beschlossen hat, und nicht, weil die spezifische Organisation, die die Website betreibt, einen speziellen Plan dafür gemacht hat. Das bedeutet, dass man nicht einfach nur eine Website betrachten und ein neues Schloss sehen sollte, um zu glauben, dass die gesamte Organisation bereit für die Quantenzukunft ist; es könnte einfach bedeuten, dass ihr Vermieter der Zeit voraus ist. Die Forscher kommen zu dem Schluss, dass wir vorsichtig sein müssen, diese sichtbaren Upgrades nicht mit einer vollständigen, organisationsweiten Migration zu verwechseln, da die E-Mail-Systeme und die digitalen Ausweise noch in den Startlöchern warten.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.