RFC 10073: Die IETF normiert hybride Post-Quanten-Signaturen
· Redaktion BehindLines
Die IETF hat soeben die RFC 10073 veröffentlicht, einen vorgeschlagenen Standard (Proposed Standard), der beschreibt, wie sich eine Post-Quanten-Signatur und eine klassische Signatur in X.509-Zertifikaten kombinieren lassen. Laut der Website des RFC-Herausgebers und der Seite des Datatracker stammt der Text aus der Arbeitsgruppe LAMPS und hieß zuvor draft-ietf-lamps-pq-composite-sigs. Seine Autoren sind S. Fluhrer (Cisco), J. Klaußner (Bundesdruckerei), M. Pala (OpenCA Labs) sowie M. Ounsworth und J. Gray (Entrust). Die Seite nennt November 2026, mit einer letzten Aktualisierung am 6. November.
Das Prinzip: Zwei Signaturen sind besser als eine
Das Dokument verbindet den Post-Quanten-Algorithmus ML-DSA mit einem der traditionellen Algorithmen: Ed25519, Ed448, ECDSA, RSASSA-PSS oder RSASSA-PKCS1-v1_5. Laut dem Datatracker sollen diese Kombinationen unter anderem bestimmten regionalen regulatorischen Anforderungen genügen. Die Idee ist, Anwendungen vor einem Bruch oder einem schwerwiegenden Fehler von ML-DSA zu schützen und dabei in der bestehenden Zertifikatsinfrastruktur nutzbar zu bleiben.
Was der Standard konkret festlegt
Laut der Seite des RFC-Herausgebers sind achtzehn Algorithmenkennungen registriert, die ML-DSA-44, ML-DSA-65 und ML-DSA-87 in Verbindung mit verschiedenen klassischen Varianten abdecken. Die zusammengesetzten Schlüssel werden direkt in die üblichen Felder eines Zertifikats eingesetzt. Ist die Erweiterung zur Schlüsselverwendung vorhanden, muss sie mindestens eine der Signatur- oder Zertifizierungsfunktionen enthalten und darf kein Bit für Verschlüsselung oder Schlüsselvereinbarung enthalten: Ein zusammengesetzter Schlüssel kann also nicht für zwei Verwendungen zugleich dienen. Die ihn bildenden Schlüssel dürfen nicht in einem eigenständigen Schlüssel oder in einem anderen zusammengesetzten Schlüssel wiederverwendet werden, und die Zertifizierungsstellen sind aufgefordert, bei den Sperrprüfungen auch jede Komponente zu kontrollieren.
Eine bewusst gesetzte Grenze
Der Text präzisiert, dass die Konstruktion die Sicherheit EUF-CMA bietet, aber nicht SUF-CMA, und dass sie sich nicht für Verwendungen eignet, bei denen EUF-CMA als unzureichend gilt. Er rät daher davon ab, sie in Anwendungen einzusetzen, in denen die Eigenschaft SUF-CMA entscheidend ist.
Ein Kontext des Übergangs
Die Veröffentlichung erfolgt in der Woche, in der die CISA, die NSA und das australische Cybersicherheitszentrum ASD am 5. November einen Leitfaden mit dem Titel „Post-Quantum Questions to Ask Your Vendors“ verbreitet haben. Laut der CISA enthält er neutrale Fragen, um zu beurteilen, ob ein Anbieter die Quantenrisiken versteht, bei seinen kryptografischen Implementierungen transparent bleibt und einen rechtzeitigen Übergang begleiten kann. Die RFC 10073 ist eines der technischen Elemente dieser Migration, ohne deren Zeitplan festzulegen.