- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Algorithmen in einer Post-Quantum-Welt


Gefahren für die IT-Sicherheit die von Quantencomputern ausgehen
2019, das Quantum-Jahr? Das nicht, aber das Jahr um sich darauf vorzubereiten

- Anzeigen -





Von Duncan Jones, Head of Research, Thales eSecurity

Die National Academies of Sciences, Engineering and Medicine veröffentlichte einen neuen Bericht, in dem sie Fortschritte und Perspektiven - oder deren Fehlen - rund um das Thema Quantencomputer - untersucht hat. Der Report skizziert verschiedene technische und finanzielle Probleme, die es zu überwinden gilt, bevor man einen funktionsfähigen Quantencomputer bauen kann. Selbst für Prognosen für die zeitliche Entwicklung der Technologie ist es nach Ansicht der Wissenschaftler noch zu früh. Auch wenn das für einige überraschend klingen mag: die Art der Fortschritte auf diesem Gebiet und das technologische Wachstum haben sich im Laufe der Jahre so dramatisch verändert, dass einige Experten davon ausgehen, dass wir möglicherweise nie eine groß angelegte Implementierung sehen werden.

Doch auch wenn es noch ein weiter Weg zu sein scheint, sollte man die Möglichkeit eines plötzlichen Durchbruchs nicht ausschließen. Eine umfassende Vorbereitung ist ebenso notwendig wie ein gutes Verständnis der Technologie. Letzteres ist der Schlüssel diese neueste wissenschaftliche Möglichkeit überhaupt zu nutzen. Wer als Unternehmen rechtzeitig in den Startlöchern stehen will, kommt nicht umhin 2019 in Post-Quantum zu investieren.

Neue Technologien = neue Risiken
Groß angelegte Anwendungen von Quantencomputing versprechen erhebliche Fortschritte. Und das in verschiedenen Bereichen. Bestimmte Probleme sind einfacher zu lösen, und es besteht die Chance Innovationen auf den Weg zu bringen. So erwägt beispielsweise die NASA, Quanteninformatik nicht nur zur Analyse der enormen Datenmengen einzusetzen, die sie über das Universum sammelt, sondern auch zur Erforschung sichererer Methoden der Raumfahrt.

Aber neue Technologien haben neue Risiken im Gepäck. Dazu gehören vor allem Gefahren für die IT-Sicherheit die von Quantencomputern ausgehen. Unsere Informationssysteme sind nur deshalb sicher, weil moderne Computer bestimmte mathematische Probleme nicht lösen können. Das ändert sich mit der Ankunft von Quantencomputern, und einige der bestehenden Verteidigungsstrategien werden nutzlos.

Im Gegensatz zu ihren klassischen Pendants werden Quantencomputer in der Lage sein solche mathematischen Probleme mit ungeheurer Geschwindigkeit zu lösen. Die Algorithmen, die wir heute für digitale Signaturen und den Schlüsselaustausch verwenden, werden nicht mehr ausreichend stark sein um Daten vertraulich zu halten, sobald ein ausreichend leistungsfähiger Quantencomputer gebaut ist. Das bedeutet, dass kryptographische Kerntechnologien, auf die wir uns derzeit verlassen, wie RSA und elliptische Kurvenkryptographie, unsicher werden. Diese asymmetrischen Algorithmen bilden heute die Grundlage für die meisten Sicherheitssysteme, einschließlich Web Browsing und Finanztransaktionen.

Die Zeit nutzen
Niemand kann mit Bestimmtheit sagen wann ein ausreichend leistungsfähiger Quantencomputer existieren wird. Also müssen alle Sicherheitssysteme vor diesem ungewissen Zeitpunkt mit Algorithmen aktualisiert werden, die stark genug sind, Angriffe abzuwehren, die entweder von klassischen Computern oder von Quantencomputern ausgehen.

Die Sicherheits-Community befindet noch immer darüber, welche Algorithmen in einer Post-Quantum-Welt eingesetzt werden sollen. Bis zur endgültigen Entscheidung sollten sich Unternehmen darauf konzentrieren "kryptoagil" zu sein oder zu werden. Das heißt, Produkte so zu entwerfen (oder zu rekonstruieren), dass sie problemlos zwischen verschiedenen Algorithmen wechseln können. Das gewährleistet ausreichend vorbereitete Systeme, wenn es nötig ist auf sicherere Technologien umzustellen.

Ich bin was die Zukunft der Post-Quantum-Kryptographie angeht optimistisch. Unternehmen sollten das auch sein. Und vor allem die verbleibende Zeit nutzen, um ihren Ansatz zu perfektionieren, die Technologie zukunftssicher zu machen und Best Practices für Computer der nächsten Generation einzuführen.
(Thales eSecurity: ra)

eingetragen: 24.02.19
Newsletterlauf: 08.04.19

Thales: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Sicherheit & Schutz der Privatsphäre

    Patientendaten sind extrem vertrauliche Informationen. Sie besonders zu schützen ist nur konsequent, und die Institutionen im Gesundheitswesen sind sich der Tragweite bewusst. Die hier anfallenden Daten, die sogenannten PHI-Daten, Personal Health Information, sind so sensibel wie begehrt. Das führt schon seit einigen Jahren dazu, dass Institutionen im Gesundheitswesen kontinuierlich mit Angriffen von Innentätern als auch von externen Cyberkriminellen zu kämpfen haben. Die Beispiele erfolgreicher Attacken sind Legion. Auch hierzulande hat es bereits spektakuläre Vorfälle mit schwerwiegenden Folgen gegeben. PII-Daten gehören zu den Daten, die sich besonders gut verkaufen lassen, und die finanzielle Motivation spielt bei externen Angreifern eine entscheidende Rolle. Es verwundert also nicht, dass die Zahl der Angriffe steigt und die verwendeten Vektoren zunehmend ausgefeilter werden. Ziel ist es, illegitim auf alle Arten von medizinischen Daten und Patienteninformationen zuzugreifen und dabei möglichst lange unentdeckt zu Werke zu gehen. Gleichzeitig gehört die Gesundheitsbranche zu den besonders stark regulierten Industriezweigen. Regulatorischer Druck und mögliche Strafen, stellen die Verantwortlichen vor nicht zu unterschätzende Herausforderungen.

  • Die ersten 90 Tage

    Sicherheit in einem wachstumsstarken Unternehmen auf- und ausbauen ist die zentrale Aufgabe eines designierten IT-Sicherheitschefs. Mit großer Wahrscheinlichkeit hat das Unternehmen bereits eine Reihe grundlegender Sicherheitsverfahren und Technologien implementiert, wie etwa Scan-Tools oder einen jährlichen Penetrationstest. Worin aber besteht das beste Fundament für maßgeschneiderte Sicherheitskonzepte? Welche Schritte sind geeignet Sicherheitsmaßnahmen einzuziehen, die mit dem Unternehmen wachsen? Neue und laufende Projekte, konkurrierende Prioritäten, Upgrades, potenzielle Sicherheitsschwachstellen und die 5-Jahresplanung. Mangelnde Betätigung und zu wenig Herausforderungen sind vermutlich das letzte über das sich ein Sicherheitsexperte beklagen muss. Angesichts der Fülle an Aufgaben mag es paradox anmuten: Trotzdem sollte man die Anfangsphase nutzen um sich zunächst gründlich zu orientieren. Nehmen Sie sich die Zeit, den aktuellen Status des Unternehmens gut zu verstehen. Dieses Verständnis trägt entscheidend dazu bei, präzise zu definieren wie der Status in Zukunft sein soll.

  • Wird Bluekeep zu WannaCry 2.0?

    Vor kurzem entdeckte Microsoft die Sicherheitslücke Bluekeep, die die schlimmsten Cyberangriffe seit der berüchtigten Ransomware-Attacke WannaCry aus 2017 ermöglichen könnte. WannaCry konnte sich nur deshalb so weit ausbreiten und solch immense Schäden verursachen, weil Tausende von Systemen nicht gepatcht waren. Microsoft hatte zwar einen Patch bereitgestellt, der vor WannaCry geschützt hätte, aber dieser Patch war bei vielen Systemen nicht aufgespielt worden. So blieben diese Systeme verwundbar. Mit Bluekeep droht sich die Geschichte zu wiederholen: Einige Wochen nach der Entdeckung von Bluekeep und Bereitstellung des Patches durch Microsoft sind immer noch fast eine Millionen Systeme mit extern exponiertem RDP ungepatcht.

  • Der primäre Anwendungsfall unserer Zeit

    Es scheint ein Widerspruch zu sein: Obwohl die meisten Unternehmen viele ihrer Anwendungen in die Cloud migrieren, erfreut sich das klassische Rechenzentrum nach wie vor großer Beliebtheit. Seit nun mehr als einem Jahrzehnt virtualisieren Unternehmen ihre Rechenzentren und führen Cloud-Technologien ein. Und sagten einige Experten vor gut zehn Jahren voraus, dass das Rechenzentrum der Zukunft vollständig in der Cloud betrieben würde, sehen wir heute, dass dies nicht eingetreten ist. Stattdessen führten Unternehmen Hybrid- und Multi-Cloud-Umgebungen ein, die ihnen die Wahl geben, ihren Anwendungen und Daten das ideale Zuhause zu geben.

  • Modulare Malware: Bösartige Multitalente

    Modulare Malware bietet Cyberkriminellen eine Architektur, die robuster, flexibler und gefährlicher ist als klassische dokumentenbasierte oder webbasierte Malware. Denn die Schadware beinhaltet verschiedene Nutzlasten und Funktionen und kann diese selektiv starten, je nach Ziel und Funktion des Angriffs. Mit dem Aufkommen von Botnetzen, die Befehle von Cyberkriminellen ausführen, und Malware, die für eine umfangreiche Verbreitung geschrieben wurde, ist Modularität zur neuen Norm geworden. Malware-Autoren organisieren sich zunehmend professionell und übernehmen und implementieren Praktiken der Softwareindustrie, einschließlich Qualitätssicherung und Tests, um den Erfolg von Angriffen zu optimieren. Als Reaktion auf die Anforderung, mehrere Fähigkeiten mit einer Malware-Datei zu erfüllen, hat sich modulare Malware zu einer funktionsreichen und flexiblen Angriffslösung für Cyberkriminelle entwickelt.