Auf Mastodon ansehen
Uns erreichen viele Pressemitteilungen. Die meisten davon landen in der Rundablage, doch manche halten wir für die Community für relevant und interessant. GNU/Linux.ch ist ein unabhängiges und nicht gewinnorientiertes Magazin. Die Firma Tutao GmbH ist kein Sponsor von GNU/Linux.ch. Auch wenn sie es wäre, würden wir ihre Pressemitteilung nicht bevorzugen. Wir fühlen uns nur der Community gegenüber verpflichtet. Vorgestern schrieb uns Hanna Bozakov, Geschäftsführerin der Tutao GmbH, diesen Text:
Eine Studie der Universität Wuppertal liefert den wissenschaftlichen Nachweis für die Sicherheit der hybriden, postquantenresistenten Verschlüsselung von Tuta. Das Thema ist aktueller denn je, da Google in diesem Frühjahr angekündigt hat, bis 2029 quantenresistent zu werden. Darüber hinaus haben die Vereinigten Staaten im Juni die „Executive Order 14412“ erlassen, die einen schnelleren Weg zur Umstellung auf postquantensichere Verschlüsselung vorsieht, um „die Nation vor hochentwickelten kryptografischen Angriffen“ zu schützen. Sowohl die Ankündigung von Google als auch die der US-Regierung erfolgen kurz nach bedeutenden Fortschritten hinsichtlich der Anzahl der (physikalischen) Qubits, die für Angriffe auf die Public-Key-Kryptografie benötigt werden.
„Diese Ereignisse machen deutlich, dass eine Post-Quanten-Welt nun näher ist, als noch vor fünf Jahren erwartet wurde“, erklärt Hanna Bozakov, Geschäftsführerin von Tuta. „Um Daten in einer Post-Quanten-Welt sicher zu schützen, brauchen wir Apps und Tools, die Post-Quanten-Verschlüsselung bieten, wie beispielsweise Tuta Mail. Wir müssen aber auch sicherstellen, dass die von uns verwendete Verschlüsselung einem Angriff tatsächlich standhalten kann. Genau das hat die Universität Wuppertal nun für das TutaCrypt-Protokoll nachgewiesen, was für uns bei Tuta natürlich eine spannende Neuigkeit ist.“
Im August dieses Jahres wurde die wissenschaftliche Studie mit dem Titel „Migrating to Hybrid Cryptography in Practice: The TutaCrypt Protocol and Its Security“ in der Fachzeitschrift IACR Communications in Cryptology veröffentlicht. Diese neue Forschungsarbeit von Christian Holler, Tibor Jager und Tom Neuschulten liefert eine fundierte Sicherheitsanalyse von TutaCrypt, dem hybriden Verschlüsselungsprotokoll, das von mehr als zehn Millionen Nutzern in Tuta Mail, Tuta Calendar und Tuta Drive verwendet wird.
TutaCrypt kombiniert klassische und Post-Quanten-Verschlüsselungsalgorithmen in einem Hybridprotokoll, um Tuta sowohl vor klassischen Angriffen als auch vor „Harvest now, decrypt later“-Angriffen zu schützen. Die nun veröffentlichte Studie untersucht, ob dies tatsächlich der Fall ist, und liefert Beweise für die Sicherheit von TutaCrypt.
Die Autoren der Studie kommen zu dem Schluss, dass „solche zukünftigen Quantenangriffe durch unseren Beweis der schwachen OPKE-Sicherheit ausgeschlossen sind, vorausgesetzt, dass das zugrunde liegende KEM weiterhin gegen Quantenangriffe sicher bleibt.“
Anstatt die Post-Quanten-Migration als ein Problem der Zukunft zu betrachten, zeigt die Forschung, dass hybride Kryptografie entwickelt, eingesetzt und wissenschaftlich analysiert werden kann. Das hybride Verschlüsselungsprotokoll in Tuta Mail wird bereits von mehr als zehn Millionen Nutzern verwendet. Dies unterstreicht, dass es sich um eine praktische Anwendung handelt und nicht nur um ein theoretisches Forschungsthema.
„Wir bei Tuta freuen uns sehr über die Veröffentlichung dieses Artikels und die Ergebnisse“, wie Geschäftsführerin Hanna Bozakov erklärt. „Es ist großartig zu sehen, wie Unternehmen und Hochschulen zusammenarbeiten können, um die bestmögliche Sicherheit für Endnutzer zu erreichen. Heutzutage ist es wichtiger denn je, die eigene Kommunikation zu sichern, und wir bei Tuta sind froh, dass wir ein Kommunikationstool anbieten können, das Benutzerfreundlichkeit mit sicherer Verschlüsselung kombiniert. Wir danken den Forschern der Universität Wuppertal für ihre Arbeit und für den wissenschaftlichen Nachweis der Sicherheit von TutaCrypt. In einer Zeit, in der Massenüberwachung im Internet zur neuen Norm wird, gewinnen sichere Alternativen wie Tuta immer mehr an Bedeutung.“
Titelbild und Quelle: https://tuta.com/de/blog/post-quantum-cryptography
Die Amerikaner, allen voran die NSA und deren Gefolgschaft versuchen gerade den RFC entgegen dem Willen der Community so zu manipulieren, daß eine hybride Verschlüsselung nicht standardisiert wird. Nachtigall ich hör Dir trapsen!
Mir ist dabei immer wieder unbegreiflich, weshalb eine Verkettung von sehr guter konventioneller Verschlüsselung (Kaskade mit z.B. 4 bis 6 nacheinander durchgeführte Verschlüsselungsschritte mit unterschiedlichen Algorithmen) und zwischendrin noch eine willkürliche, nicht standardisierte Zufallsverschlüsselung, die natürlich beim Anwender bekannt und hinterlegt sein muss, nicht vor der Entschlüsselung durch einen Quanten-Computer schützen soll?
Erstens wird der Aufwand für die Entschlüsslung enorm groß und viel höher. Zweitens kennt der Q-PC nicht die richtige Reihenfolge der verwendeten Algorithmen. Der Q-PC kann auch nicht einfach erraten, ob ich in einem auschschließlich nur mir bekannten Zwischenschritt z. B. alle Werte mit 10, 23 oder 42 multipliziert habe, er weiß noch nicht einmal in welchem Schritt der Kaskade es passiert. Zudem ist mir völlig unklar, wie ein Q-PC in Erfahrung bringt oder wissen kann, ob ihm da jetzt noch 2, 3, 6 oder N-Zwischenschritte fehlen um die Verschlüsselung zu knacken?
Ein paar sehr gute Punkte. Da es noch keine Q-PCs gibt, sind alle Verfahren, auch die willkürlich verhnüpften Verfahrenskaskaden, solche mit koventionellen Techniken. Anders würden sie auf heutiger Hardware nicht laufen. Also reicht der heutige Stand der Technik offensichtlich aus um die Q-PCs bei dieser Aufgabe scheitern zu lassen. So weit ich das verstanden habe, handelt es sich bei diesen quantensicheren kryptografischen Verfahren um mathematische Probleme, die mit Q-Bit-Verfahren nicht oder nicht besser gelöst werden können als mit den Normal-Bit-Verfahren. Es reichen demnach schon 2 Verschlüsselungsebenen aus, eine aus jedem Problembereich. Was ich nicht weiß, ist, ob die quantensicheren Verfahren nicht für Normaltechnik eher trivial sind und man die Ebenen so angreifbar sind. Wenn Zeit und Aufwand keine Rolle spielen ...
Quantencomputer können sehr gut die heute verwendeten Public-Key-Verfahren zur Signierung und Schlüsselaustausch angreifen (basierend auf Primfaktorzerlegung und diskretem Logarithmus in endlichen Gruppen - der Shor-Algorithmus kann beide Probleme in polynomieller Zeit auf Quantencomputern lösen). Bei symmetrischen Verfahren (wie AES) haben Quantencomputer praktisch keine Chance.
Da die Public-Key-Verfahren heute allerdings sehr viel verwendet werden (bei TLS werden z.B. Schlüsselaustausch und Signierung benötigt), müssen für beide Verfahren Alternativen gefunden werden, die nicht von Quantencomputern angegriffen werden können. Alternativen gibt es teilweise schon seit langer Zeit, sie haben jedoch alle das Problem, das sie in mindestens einer Eigenschaft (Grösse öffentlicher Schlüssel, Grösse geheimer Schlüssel, Geschwindigkeit Operationen) wesentlich schlechter sind als die aktuell verwendeten Verfahren.
Die post-quantum-Algorithmen sind übrigens auch auf konventionellen Computern sicher (zumindest sollten sie das sein, was sich wie so oft erst mit der Zeit wirklich zeigen wird, so wie bei allen Verschlüsselungsalgorithmen). Wenn man genügend Zeit hat, ist eigentlich alles knackbar. Genügend Zeit heisst dann aber teilweise wesentlich mehr Zeit, als das Universum bereits existiert und es noch bis zum Protonenzerfall existieren wird. Also in anderen Worten, praktisch nicht relevant ;)
Hört sich alles ganz toll an. Vor allem wenn Universitäten und "die Wissenschaft" daran beteiligt sind. Was mich allerdings stutzig macht ist, das die Tuta Forschung im Hinblick auf die Quantenverschlüsselung von der Bundesrepublik mit einem Millionen Betrag "gefördert" wurde. Keine Regierung "fördert" ohne Absicht. Ich kann mir auch nicht vorstellen, dass gerade unsere Regierung etwas fördert, das sich ihrer Kontrolle entziehen soll. Ein Schelm, wer Böses dabei denkt...
> Keine Regierung "fördert" ohne Absicht. Ich kann mir auch nicht vorstellen, dass gerade unsere Regierung etwas fördert, > das sich ihrer Kontrolle entziehen soll. Ein Schelm, wer Böses dabei denkt...
Nunja, wenn es kommt beherrschen es die Amis und nicht die Bundesregierung. Die Bundesregierung ist zwar von Transatlantikern durchsetzt, alle Geheimnisse auf einmal den Amis auf dem Silbertablett servieren tut sie trotzdem nicht, weil das würde ja den eigenen Wert mindern.
Grüße arce
Warum brauche ich das als einfacher Bürger? Ich hinterlasse doch heute schon genug Spuren überall im Netz um transparent zu sein. Welches Problem löst die quantensichere Forward Security für mich, das die normale Verschlüsselung nicht schon leisten kann? Sobald ich anfange Daten mit anderen zu teilen, ist das alles doch ausgehebelt. Ich habe keine Kontrolle darüber, wie meine Kommunikationspartner das handhaben. Und sie bei mir auch nicht.
Ich finde, mit diesem Beitrag hat sich GNULinux.ch keinen Gefallen getan und daran hätte sich auch nicht viel geändert, wenn der Artikel ohne die Einleitung als Werbung gekennzeichnet gewesen wäre.
Inhaltlich möchte ich dazu drei Dinge anmerken:
Wir haben längst Post-Quanten-Verschlüsselungsalgorithmen. Das gilt auch für die Kombination von PQ- und klassischen Verschlüsselungsalgorithmen, beispielsweise mlkem768x25519-sha256 (-> OpenSSH), zum dem auch ein Internet-Draft der Internet Engineering Task Force (IETF) existiert (https://datatracker.ietf.org/doc/draft-ietf-sshm-mlkem-hybrid-kex/), an dem seit Jahren aktiv und offen gearbeitet wird.
Diese Studie ist doch für eine wissenschaftliche Analyse arg von Zusammenarbeit mit dem kommerziellen Entwickler des Verfahrens (Tuta) geprägt ("... as the Tuta team for explaining and discussing the TutaCrypt protocol and its design"). Das ist in meinen Augen eine reine Auftragsarbeit.
In der Studie geht es "nur" um die Theorie. Die Implementierung wurde nicht untersucht.
Zu 1: Die im Draft definierten Protokolle sind Online-Schlüsselaustauschprotokolle (genauer: für Verwendung in TLS-Verbindungen), d.h. Sender und Empfänger müssen aktiv miteinander Daten austauschen, um einen gemeinsamen Schlüssel für ein symmetrisches Verfahren festzulegen. Das TutaCrypt-Verfahren ist für E-Mail-Ende-zu-Ende-Verschlüsselung gedacht, d.h. es geht darum, als Sender nur mit Wissen der Schlüssel des Empfängers das Mail zu verschlüsseln. Das TutaCrypt-Protokoll hat also einen anderen Anwendungsfall. Es ist (ohne das Paper gelesen zu haben) vermutlich eher mit den post-quantum-OpenPGP-Verfahren vergleichbar.
Weiterhin: das Sicherheitsniveau von TutaCrypt ist höher als das, was der IETF-Draft und ein OpenPGP-Draft (den ich spontan beim Suchen gefunden haben) festlegen: sie kombinieren Ed25519 mit ML-KEM-768, währen TutaCrypt Ed25519 mit ML-KEM-1024 kombiniert. Ob das jetzt eine gute Idee ist, ist diskussionssache (und es wird sehr verschiedene Meinungen dazu geben).
Warum allerdings ein eigenes Protokoll entwickelt wurde und nicht ein post-quantum-Verfahren für OpenPGP verwendet wurde, ist eine sehr gute Frage, die ich nicht beantworten kann. Allerdings: der Tuta-Blog-Beitrag (https://tuta.com/de/blog/post-quantum-cryptography) ist möglicherweise schon älter, da es dort ein "Update August 2025" gibt. Falls das nicht 2026 heissen sollte, ist es möglich, dass das Protokoll aus einer Zeit stammt, wo noch nichts anderes bereits nutzbares fertig spezifiziert war. In dem Fall ist es sehr gut, dass sie das Verfahren jetzt haben untersuchen lassen (und es sich als theoretisch sicher herausgestellt hat).
Zu 2: Nur weil eine Studie eine Auftragsarbeit ist, heisst das noch nicht, dass sie ignoriert werden kann. Die Autoren (insb. Prof. Jager) haben schliesslich einen Ruf, den sie zu verlieren haben. Und im Gegensatz zu Gutachten im Bereich Gesundheit lässt sich bei kryptografischen Untersuchungen nicht so einfach schummeln / etwas ganz anders darstellen.
Zu 3: Das stimmt. Aber dass das Verfahren zumindest theoretisch sicher ist, ist trotzdem schonmal ein gutes Zeichen. Vor allem da es möglicherweise (wenn das mit August 2025 stimmt) schon länger ausgerollt wurde.
Insgesamt ist der wichtigste Teil vom Artikel der Satz direkt unter der Überschrift:
> Wer sich vor „Harvest now, decrypt later“-Angriffen schützen möchte, sollte rechtzeitig auf Post-Quanten-Verschlüsselungsalgorithmen setzen.
Falls ihr das bei euren Servern noch nicht habt, sorgt dafür dass ihr OpenSSL 3.5+ (oder vergleichbares) verwendet und X25519MLKEM768 als Schlüsselaustauschverfahren aktiviert - insbsondere bei Webservern, Mailservern (Email-Login-Passwörter werden häufig unverschlüsselt übertragen), und VPN-Servern (da geht möglicherweise auch unverschlüsselter Traffic durch).