[Translated by Timo Broström (KYBS2004 course assignment at JYU.FI)] musiikkia Tervetuloa kaikki tähän kaaoottiseen vuoteen sekä tapahtumaan olen Karra ja tulen olemaan teidän tiedottaja on ilo pystyä kuuluttamaan puhe kvantti-jälkeinen kryptografia: kiertotiet, viivästykset ja katastrofit jonka pitävät Tanja Lange ja D.J. Bernstein Tanja Lange on kryptograafikko ja matemaatikko joka erikoistuu kantti-jälkeiseen krytografiaan joka on korvaamassa kryptografiaa jota käytämme nykypäivänä sellaisilla versiolla jotka ovat turvassa kvanttitietokoneilla toteutetuilta hyökkäyksiltä hän on professori Einhovenin teknillisessä yliopistossa ja hänellä on ylpeilee useilla eri julkaisuilla ja erityksillä hän oli myös PQ crypton koordinaattori joka on yleiseurooppalainen liitto kvantti-jälkeisen kryptografian käyttöönottamiseksi D. J. B. on professori Illinoisin yliopistossa Chicagossa sekä professori Bochumin yliopistossa. hän työskentelee kryptografian parissa ja hän on kehittänyt salakirjoitusjärjestelmiä joita käytetään avoimen lähdekoodin kryptografiassa, mahdollisesti käytät jotain sellaista salakirjoitusjärjestelmää katsoessasi tätä puhetta juuri nyt yhdessä he kehittivät vaikuttavan määrän projekteja aina turvallisen kryptografian käyttöönoton yksinkertaistamisesta turvallisien kvantti-jälkeisten tietotyyppien rakentamiseen molemmat heistä ovat aktivisteja jotka taistelevat läpinäkyvämmän kryptografian standardisointiprosessin puolesta nyt kaikki laittakaa räpylänne yhteen laittakaa kätenne yhteen Tanja Longelle ja D.J.B:lle! selvä, kiitos kivasta esipuheesta sukelletaan heti asiaan aloitetaan HTTPS:llä kun menet HTTPS-sivulle tai suojatulle sivulle käytät TLS:ä, kuljetuskerroksen turvaa turvataksesi kommunikaatiosi TLS käyttää kahdenlaista kryptografiaa muutamista eri syistä ensinnäkin, se turvautuu julkisen avaimen kryptografiaan se tekee kahta asiaa ensiksi, se tarjoaa allekirjoituksia julkisen avaimen allekirjoituksia se varmistaa että hyökkääjä ei pysty korvaamaan palvelimen dataa hyökkääjän datalla ja teeskennellä olevansa palvelin lisäksi TLS käyttää julkisen avaimen salausta esimerkiksi NIST P-256, RSA-4096 on allekirjoittajajärjestelmä NIST P-256:ta voidaan käyttää salaukseen ja tämä salaa datasi niin ettei hyökkääjä voi ymmärtää sitä suoritustehoon liityvistä syistä kryptografia on monimutkaisempi kuin vain tämä julkisen avaimen kryptografia se sisältää myös symmetrisen kryptografian joskus sitä nimitetään salaisen avaimen kryptografiaksi kun kokoat kaiken yhteen TLS:n saat kolme peruspalikkaa on julkisen avaimen salaus joka sen sijaan että se salaisi datasi niin etteivät hyökkääjät voi ymmärtää sitä se salaa vain avaimen se lähettää avaimen turvallisesti ja salassa päästä toiseen ja julkisen avaimen allekirjoituksia käytetään sen varmistamiseksi ettei hyökkääjä pysty korvaamaan toista avainta ja lopuksi avainta käytetään datasi suojaamiseen symmetrisen kryptografian avulla kaikista muistakin protokollista joita käytät olisi mahdollista tehdä tämän tyyppiset diat kuten SSH:sta mutta ne kaikki toimivat varsin samalla tavalla korostan nyt kaksi osaa tästä diasta RSA-4096 tyypillinen allekirjoitusjärjestelmä ja tyypillinen salausjärjestelmä NIST P-256 koska nämä kaksi tullaan murtamaan kvanttitietokoneiden takia ilman kvanttitietokoneita mitään tiedossa olevia uhkia ei olisi mutta kunhan hyökkääjällä on iso kvanttitietokone mikä luultavasti tapahtuu se ei ole varmaa ehkä panostukset kvanttitietokoneisiin epäonnistuvat jostain syystä mutta näyttää siltä että kvanttitietokoneet ovat yhä menestyvämpiä ja kunhan kvanttitietokoneet ovat tarpeeksi isoja ehkä kymmenen vuoden päästä sen jälkeen hyökkääjät voivat ajaa hyökkäysalgoritmin jota kutsutaan Shorin algoritmiksi joka löytää salaiset RSA-avaimesi ja salaiset NIST P-256 avaimesi ja tässä vaiheessa hyökkääjät voivat tarkastella tietoja joita he tallentavat nyt se ei ole uhka vain tulevaisuuden datalle vaan se on myös uhka nykyhetken tietojesi luottamuksellisuudelle koska hyökkääjät tallentavat jo nyt kaiken minkä he voivat Internetissä ja sitten kun heillä on iso kvanttitietokone he voivat takautuvasti purkaa salaukset koska he voivat murtaa RSA-4096:n ja NIST P-256:n nimenomaan NIST P-256 tarjoaa salauksen ja he voivat palata ajassa taaksepäin ja murtaa salauksen jota käytät tänään mitä me teemme tälle? Norminmukainen lähestymistapa on mitä me kutsumme kvantti-jälkeiseksi kryptografiaksi kuulit sen jo aiemmin se oli meidän otsikossamme se on korvaava kryptografia joka on suunniteltu se mielessä pitäen että hyökkääjällä on käytössä kvanttitietokone joten eli kuten airue jo aiemmin mainitsikin olin koordinaattorina PQCRYPTO projektissa ja se tarkoittaa että olen nipistellyt ympäri maailmaa ja pitänyt puheita kvantti-jälkeisestä kryptografiasta tässä on kuvankaappaus puheesta jonka pidin kuusi ja puoli vuotta sitten missä korostin kuten Dan teki tänään kvantti-jälkeisen kryptogragian tärkeyttä ja korostin että on tärkeää tehdä suositukset jotka kertovat mitä algoritmeja meidän pitäisi käyttää korvataksemme RSA:n ja NIST P-256:n jotka näitte edellisillä dioilla ja sitten käsittelin kysymystä pitäisikö meidän standardisoida nyt vai myöhemmin argumentteja löytyy molemmilta puolilta ja, no, jos stardardisoitaisiin nyt, kuusi vuotta sitten tuntui että vielä on niin paljon tehtävää ja meillä on paljon parempi järjestelmä jos odotamme vähän pidempään toistaalta on huoli virastojen ja muiden pimeyden voimien keräämästä datasta ja mitä myöhempään se julkaistaan sitä enemmän dataa ja turvallisuutta menetetään joten olisi tärkeää saada asioita eteenpäin ja ratkaisumme silloin mitä olin mainostamassa vuonna 2016 oli vuonna 2015 julkaistut suositukset jossa sanottiin että keskittäminen vie paljon aikaa me emme ole siinä vaiheessa vielä mutta jos joku haluaa suojella itseään tässä mitä me, no tässä on aikamoinen määrä tutkijoita jotka ilmoittautuivat tähän lausuntoon osana PQCRYPTO projektia mitä me suosittelemme? meidän suosittelumme olivat mitä kutsumme varovaiseksi kryptografiassa se ei tarkoita poliittisesti konservatiivinen vaan se tarkoittaa tylsää se tarkoittaa että jokin on ollut jo pitkään ilmoilla monet ihmiset ovat analysoineet sen ja emme odota mitään muutoksia siihen symmetrisen avaimen puolella, kuten Dan oli jo sanonut, niihin kvanttitietokoneet eivät vaikuta joten jos käytät tarpeeksi suuria kokoja 256-bittisten avainten kanssa niin AES tai Salsa20 ovat riittäviä myös todentamisessa, kun saat avaimen, siihen ei voi vaikuttaa julkisen avaimen salauksen ja allekirjoituksen RSA-4096:n ja ECC NIST P-256:n me juodumme korvaamaan niitä varten meillä on korvikkeet ja tässä me annoimme korkean luottamuksen suosituksen eli käytä McEliecen järjestelmää minkä nimi saattaa näkyä hieman myöhemmin ja käytä tiivistepohjaisia allekirjoituksia ja SPHINCS:n haluat tutusta myöhemmin me myös julkistimme joitain arvioinnin alaisena olevia kohteina mikä tarkoittaa että niitä ei kannata käyttää juuri nyt mutta tulevaisuudessa ne voivat olla ok ja meille tämä oli ok, me iskemme seipään maahan, me sanomme että nämä ovat turvallisia ja ihmisten tulisi toimia niin ja kaikki elävät onnelisina elämän loppuun asti ja me olemme valmiita puheemme kanssa vai elivätkö sittenkään kaikki onnellisesti elämänsä loppuun asti? Katsotaan mitä oikeasti tapahtui tämän jälkeen järjestely, no, asiat jotka pitäisi julkistaa itse asiassa oli eräs kokeilu jota Google piti käynnissä joka sanoi että vuonna 2016 Google Chrome lisäsi kvantti-jälkeisen vaihtoehdon nyt, se ei tarkoita että jokainen verkkopalvelin tuki sitä se oli vain kokeilu missä Google laittoi sen päälle joillain heidän palvelimillaan ja sanoi ok katsotaan miten hyvin tämä toimii ja kuulostivat todella innostuineilta heidän blogissaan jossa he julkistivat sen että he auttavat käyttäjiä suojautumaan kvanttitietokoneilta katsotaan toimiiko tämä järjestelmä jota he käyttivät kutsuttiin nimellä New Hope (NH) he eivät pelkästään salanneet NH:lla, NH on kvantti-jälkeinen salausjärjestelmä he myöskin salasivat kvanttia-edeltävällä salauksella, elliptisten käyrien salausmenetelmällä, ECC kuten Tanja aikaisemmin mainitsi NIST P-256 on esimerkki ECC:stä, x25519 on toinen esimerkki ECC:stä, tämä on jotain mitä käytät tänä päivänä salataksesi datasi ja mitä Google teki, se salasi NH:lla kvantti-jälkeisen turvallisuuden takaamiseksi ja salasi myös x25519:lla kuten he tekevät normaalisti myös tänä päivänä asian ydin on että jos jotain menee pahasti pieleen NH:n kanssa niin meillä silti on kvanttia-edeltävä turvallisuus joten ainakaan välitöntä turvallisuusuhkaa ei ole, he eivät ole pahentamassa asioita tietysti jos NH on rikki niin he eivät ole myöskään parantamassa asioita mutta pääasia oli yrittää saada asioita paremmaksi ja varmistaa samalla ettei asiat mene pahemmaksi salaamalla molemmilla sekä kvanttia-edeltävällä että kvantti-jälkseisellä asioilla ja varasuunnitelma on todella tärkeää olla olemassa koska NH on uusi salausjärjestelmä, no, oli vuonna 2016 pääpalat NH:n suunnittelussa tulivat vuosilta 2010, 2014 ja 2015 ja se ei ole paljon aikaa asioiden läpikäymiseen ja kryptografiassa asiat voivat välillä olla maisemissa vuosia ennen kuin niistä löydetään turvallisuusongelmia on todella tärkeää että uusille salausjärjestelmille annetaan aikaa kypsyä toinen ongelma uusien salausjärjestelmien kanssa on että joskus ne patentoidaan patenit säilyvät 20 vuotta ja tämä tapahtui NH:lle, patentin haltija otti yhteyttä Googleen ja sanoi että haluan rahaa teidän NH kokeilusta. Google ei koskaan antanut julkista lausuntoa tästä patentti- uhkasta, mutta jostain syystä marraskuussa 2016 he poistivat NH mahdollisuuden Chromesta ja palvelimiltaan muitakin asioita tapahtui vuonna 2016 Yhdysvaltain hallinnolla on virasto, NIST, jolla on pitkä historia yhteistyöstä kansallisen turvallisuusviraston (NSA) kanssa ja NIST sanoi että vuoden päästä loppuvuodesta 2017 he haluaisivat kryptograafikkojen toimittavan ehdotuksia kvantti-jälkeiselle salausjärjestelmälle, salausjärjestelmät ja allekirjoitusjärjestelmät joka standardisoitaisiin aikanaan yksi mielenkiintoinen asia jonka he sanoivat pyynnössään oli että et saa toimittaa sekamuotoja, eli salata molemmilla kvantti järjestelmillä ja ECC:llä tai allekirjoittaa jollain mitä käytät nyt ja jollain kvantti-jälkeisellä ratkaisulla he sanoivat että algoritmit eivät saa sisältää ECC:tä tai mitään muuta joka voidaan murtaa kvanttitietokoneilla sovelluskehittäjän näkökulmasta on hyvä olla ECC kerros erillään kaikesta muusta ja sanoa että mitä tahansa teetkään kvantti-jälkeisellä järjestelmällä se yhdistetään x25519 kanssa esimerkiksi. Mutta he eivät sanoneet että sinun täytyisi yhdistää kaikki ECC:n kanssa, esimerkiksi x25519 erillisenä kerroksena, he sanoivat älä toimita mitään mikä on yhdistetty ECC:n kanssa järjestämällä tämän kilpailun kvantti- jälkeisille järjestelmille NIST viestititti yrityksille että odottakaa, älkää ottako käyttöön kvantti-jälkeisiä salauksia ja tässä oli sekä keppi että porkkana, keppi oli patentit, Google joutui juuri ongelmiin ottamalla jotain käyttöön ja hupsista sillä olikin patentti mikä muu on patentoitu? ja NIST sanoi että meillä on prosessi joka johtaa kryptografisiin standardeihin jotka voi vapaasti toteuttaa eli patentit eivät estä sinua ottamasta käyttöön asioita ja he myös sanoivat että he aikovat valita jotain mikä on tarpeeksi vahva, turvallisuus on kaikkein tärkein tekijä arvioinnissa joten toimialat katsovat tätä ja sanoivat ok odotetaan NIST:ä ja muut standardisointi organisaatiot odottavat myös. IETF:llä on oma tutkimusorganisaatio IRTF asettaa Internetin standardeja ja kryptoryhmä IRTF:ssä pohti että me standardisoimme ne jotka ovat jo meidän pöydällämme, kuten tiivistejärjestelmiä mutta kaiken muun osalta me odotamme NIST:ä. ISO sanoi myös että he odottavat NIST:ä. Ihan kaikki organisaatiot eivät sanoneet näin, esimerkiksi Kiinan hallitus sanoi että he järjestävät heidän oman kilpailunsa mutta, no, ketä kiinnostaa? Joten takaisin NIST kilpailuun, tässä on kaikki ehdotukset, joten loppuvuodesta 2017 oli 69 ehdotusta 260 eri kryptograafikolta en aio lukea kaikki nimiä mutta tämä oli aikamoinen työkuorma kryptografian analyytikoille. me pidettiin hauskaa alkuvuodesta 2017, he jotka näkivät meidät lavalla vuonna 2018 tietävät että pidimme puheita siitä kuinka hauskaa meillä oli rikkoa näitä ehdotuksia mutta se oli aikamoinen taakka. Katsotaan mitä NIST teki kilpailulla. vuonna 2019 eli kaksi vuotta myöhemmin, no vuosi ja vähän myöhemmin he olivat rajaamassa ehdotuksia 26 ehdokkaaseen ja vuonna 2020 heinäkuussa he rajasivat ehdokkaita lisää, he ottivat 15 ehdokasta 26:sta. Tarkoitus oli keskittyä johonkin missä on järkeä ja he priorisoivat vahvimpia ehdokkaita paitsi silloin jos sovellus todella tarvitsee jotain tehokkaampaa itse asiassa ei, he eivät ollenkaan tehneet näin. Jos luet raportin ja katsot mitkä ehdokkaat he valitsivat, milloin tahansa kun heillä oli vaihtoehto nopeuden ja turvallisuuden välillä, tarkoitat he totta kai karsivat pois asiat jotka olivat todella rikki ja karsivat asiat jotka olivat todella tehottomia mutta ottakaapa esimerkiksi SPHINCS jonka Tanja mainitsi aikaisemmin, todella varovainen kaikki ovat samaa mieltä että tämä on turvallisin allekirjoitusjärjestelmä no, NIST ei sanonut että käytä SPHINCS:iä vaan että me odotetaan SPHINCS+:n standardisoimista ellei niin moni asia ole rikki että meidän pitää käyttää SPHINCS:ä Niin ja tämän vuoden heinäkuussa NIST sanoi että he valitsevat neljä standardia yksi oli SPHINCS+ ja neljää muuta ehdotusta tutkittiin yhä. Tämä vaikuttaa siltä että ehkä heidän itseluottamuksensa horjui Joten mitä tapahtui? Kuva 69 ehdotuksesta muuttuu kun menemme ajassa viisi ja puoli vuotta eteenpäin tässä on värikoodaus. Siniset ovat edelleen mukana NIST:n kilpailussa, eli neljä standardisoitavaa järjestelmää ja neljä neljännen kierroksen ehdokasta harmaat eivät päässeet eteenpäin ja tarkoittaa ettei niitä ole murrettu mutta ne putosivat niin aikaisin ettei ketään enää kiinnostanut niiden murtaminen ruskea väri tarkoittaa vähemmänen turvallinen kuin väitetty, punainen tarkoittaa todella murrettua ja punainen joka on alleviivattu tarkoittaa todella todella murrettua. Mitä voit nähdä tässä on se että murrettuja järjestelmiä on paljon. On myös mielenkiintoinen violetti oikeassa alakulmassa Jos muistat vesivärit niin violetti on punaisen ja sinisen sekoitus. SIKE valittiin heinäkuussa sekä murrettiin heinäkuussa viiden vuoden analyysin jälkeen hyökkäyksellä joka voidaan ajaa sekunneissa joten SIKE on tapaus jossa jotain meni todella väärin ja voidaan sanoa että useat pienet asiat horjuttivat vähän itseluottamusta jonka jälkeen NIST valitsi sentään edes SPHINCS:n, tämä ei johtanut muiden varovaisten vaihtoehtojen valitsemiseen jotkut niistä ovat edelleen hautumassa mutta tämä ei olekaan kypsä ala. Mitäs tapahtui sillä välin käyttöönoton puolella? Muistakaa, on kaksi osaa Tanjan dioista vuodelta 2016. Hän sanoi että olisi hyvä ottaa käyttöön jotain nyt suojellaksesi käyttäjiä koska meillä on turvallisuusongelma nyt, hyökkääjät tallentavat asioita nyt ja meidän pitää yrittää suojautua siltä ja meidän pitää pystyä tekemään se nopeammin kuin standardisaatioprosessi joka Google oli aloittamassa vuonna 2016 mutta pelästyivät patenttiongelmaa. Vuoteen 2019 mennessä toimialat ja useat avoimen lähdekoodin projektit katsoivat tätä ja pohtivat että ehkä olisi hyvä aika ottaa käyttöön asioita sillä jotain meni väärin vuonna 2016 mutta tässä vaiheessa NIST on kerännyt lausuntoja kaikilta ehdokkailta tässä kilpailussa todeten mitkä ehdotukset ovat patentoituja ja se antaa meille paljon tietoa kun 260 kryptograafikkoa kertoo mitkä ovat patentoituja ja vuonna 2019 oli yhä selkeämpää että kvanttitietokoneet ovat tulossa joten esimerkkejä siitä mitä tapahtui vuonna 2019 OpenSSH version 8, kopioiden TinySSH:ta kertoi että he lisäävät sekamuodon joka koostuu elliptisten käyrien salausmenetelmästä sekä yhdestä kvantti-jälkeisestä ehotuksesta. Sitä ei käytetä oletuksena mutta jos lisäät rivin palvelimen sekä asiakasohjelman konfiguraatioon niin se käyttää kvantti- jälkeistä salausta, ja jos kvantti-jälkeinen osa murretaan niin siellä on silti vielä ECC Heinäkuussa 2019 Google ja Cloudflare kokeilivat kvantti-jälkeistä salausta kaksiosaisessa kokeessa. Jotkin käyttäjät salasivat toisella versiolla, ntruhrss:lla ja ECC:llä totta kai, käytä aina sekamuotoja. Ja toinen versio oli salaaminen sikep:llä ja ECC:llä. Joo Tanja sanoi hups. Tämä on esimerkki siitä miten tärkeää on varmistaa että yhdistät kaiken ECC:n kanssa jotta et kadota turvallisuutta verrattuna tähän päivään jossa kaikki käytämme ECC:tä. Kokeile kvantti-jälkeisiä järjestelmiä sekä ECC:tä samaan aikaan jotta pahimmassa tapauksessa hukkaat vain aikaa mutta toivottavasti jokin paranee ja ainakin sikep käyttäjillä on ECC turva. Myös vuonna 2019 lokakuussa Google väitti omaavansa kvanttiylemmyyden tarkoittaen että heillä oli kvanttitietokone tekemässä jotain nopeammin kuin mikään tavallinen supertietokone. Se ei ole hyödyllinen laskenta ja menee silti vuosia ennen kuin meillä on hyödyllisiä laskelmia pyörimässä kvanttitietokoneilla nopeammin kuin tavallisilla tietokoneilla mutta silti pelkästään nimi kvanttiylemmyys on harhaanjohtava mutta se silti mielenkiintoinen askel eteenpäin kvantti- laskennassa ja nimi varmaankin herätti huomiota sekä huolta vuonna 2021 ja 2022 OpenSSH, OpenBSD ja Google kaikki päivittivät yhtäkkiä no, openSSH versio 9.0 tarjoaa sntrup:n ja ECC:n oletuksena joten jos sinulla on OpenSSH 9 asennettuna palvelimellesi sekä siihen palvelimeen mihin otat yhteyttä sekä asiakasohjelmaasi niin se käyttää automaattisesti kvantti-jälkeistä vaihtoehtoa ja itse asiassa OpenSSH versiot aina 8.5 asti tukevat täysin samaa asiaa, mutta silloin sinun täytyy ottaa se käyttöön manuaalisesti jotta palvelin ja asiakasohjelma käyttäisivät sitä mutta OpenSSH 9:ssä se tapahtuu oletuksena ja sama juttu Googlen suhteen he ovat marraskuusta, eli viime kuusta lähtien salanneet heidän sisäisen kommunikaationsa ntruhrss:llä ja ECC:llä joten toivottavasti ntruhrss toimii ja se on turvallinen kvanttitietokoneita vastaan tulevaisuudessa Tämä on myös hienosti linjassa puhdistamiskoodin sanoman kanssa kuten jo sanottu puhdistamiskoodit eivät ole vielä stardardisoituja kryptografisiin järjestelmiin itsessään mutta he kannustavat ihmisiä tutkimaan asioita ja totuttelemaan siihen, esimerkiksi US ANSI joka on pankki- standardi NTX9, totesivat että he siirtyvät aikanaan kvantti-jälkeisiin stardardeihin joten he odottavat klassisen kryptografian jota kutsutaan kvanttia edeltäväksi kryptografiaksi ja kvantti-jälkeinen kryptografian samanaikaista käyttöä joten he ajattelevat että yksi asia on standardisoitu ja auditoitu ja toinen on silti vielä vähän uusi ja epämukava mutta me tarvitsemme sitä pitkän ajan turvallisuutta varten ja ehkä se vaativat tätä sekamuoto yhdistelmää pitkässä juoksussa. Sitten, Yhdysvalloista Ranskaan eli ANSI:sta ANSSI:n, joka on Ranskan turvallisuusvirasto. He sanovat myös että älkää käyttäkö kvantti-jälkeisiä järjestelmiä yksinään koska ne ovat vielä kypsymättömiä mutta, kypsymättömyys ei tarvitse olla syy ensimmäisten käyttöönottojen viivyttämiselle joten ANSSI kannustaa ihmisiä ottamaan sekamuodot käyttöön käyttäen jotain hyvää kvanttia edeltävää ratkaisua yhdessä kvantti-jälkseisen ratkaisun kanssa Noniin kiva eli kaikki etenee hienosti niiden linjausten mukaan mitkä olivat Tanjan dioissa vuonna 2016. Standardisaatio etenee hitaasti mutta saman aikaan olemme ottamassa käyttöön kvantti-jälkeistä salausta yhdessä ECC:n kanssa siltä varalta jos jokin menee pieleen ja saada käyttäjät suojatuksi niin nopeasti kuin mahdollista Mitä Yhdysvaltojen hallinto sanoi tästä? Vuodesta 2021 lähtien Yhdysvaltojen hallinto teki erittäin selväksi että se haluaa sinun nyt saatat miettiä että he haluavat sinun suojatuvan kvanttitietokoneita vastaan mutta eijei ei, he eivät halua että suojaudut kvanttitietokoneita vastaan. Esimerkiksi, tässä on sitaatti NIST:n kyberturvallisuusosaston päälliköltä informaatioteknologian laboratoriosta joka käynnisti kvantti-jälkeisen krypto- järjestelmien kilpailutuksen. Heinäkuussa 2021, pian OpenBSD:n projektien ja OpenSSH:n käyttöönottojen jälkeen hän sanoi, älkää antako ihmisten ostaa ja jalkauttaa epästandardisoituja kvantti- jälkeisiä kryptografioita. Ja sitten, toinen esimerkki, NSA, joka toimii läheisesti NIST:n kanssa sanoi, älä toteuta tai käytä epästandardisoituja kvantti-jälkeisiä krypto- grafioita. Ja siltä varalta ettei ihmiset tajunneet viestiä, turvallisuusvirasto, luuletko että nämä virastot keskustelevat keskenään? turvallisuusvirasto sanoi, älä käytä kvantti- jälkeisiä kryptografiatuotteita ennen kuin korvattavien ohjelmien standardisaatio, toteutus ja testaus hyväksytyillä algoritmeilla on tehty NIST:n toimesta. Tässä jo hieman huonoja uutisia. Toinen juttu mikä on outoa tässä on että he sanovat että jos olet ottamassa käyttöön kvantti- jälkeistä kryptografiaa, niin sinun ei tule käyttää sekamuotoja, ja saatat ehkä ajatella ymmärsinkö väärin ein kyllänä tai jotain tässä oli NSA:n kaveri konferenssissa ja tämä dia on Markku Saarisen kuvankaappaus mutta olin tilaisuudessa ja voin vahvistaa että hän totesi että sinun ei tulisi käyttää sekamuotoja. Hän myös toisti useasti että älä käytä mitään tällä hetkellä. He eivät myöskään odottaneet kvantti-jälkeisten algoritmien hyväksymistä minkään "varmuuden vuoksi yhdistä algoritmit" ohjeiden pohjalta. Myöhemmin he julkaisivat lisää ohjeita jossa sanottiin että se tulee olemaan kahdenkeskinen korvike, ECC ja RSA irti, kvantti- jälkeinen kryptografia sisään. ja heidän argumenttinsa oli että ECC:ssä voi olla ohjelmointivirheitä joten sammuta ECC. Ei hyvä idea. Ellet ole hyökkääjä silloin se on huippuidea. nyt ehkä ajattelet että totta kai me käytämme sekamuotoja vaikka NSA kannustaa ihmisiä olemaan käyttämättä niitä, ja sitten tämä lause, älä käytä jotain epästandardisoitua se lykkäys on nyt korjattu, vai mitä? NIST kertoi heinäkuussa Kyberin standardisoinnista ja se tarkoittaa, ota Kyber käyttöön. noh, ei, oikeastaan he eivät sano niin Tarkastellaanpa yksityiskohtia. Ensinnäkin muistatteko Googlen patenttiongelman NH:n kanssa? No, NH:n poika on nimeltään Kyber. He kai sekoittivat Star Trekin ja Tähtien Sodan keskenään joten sisäisesti heidän huhuttiin nimeävän Kyberin New Hope the Next Generation mutta sitten he keksivät paremman nimen sille myöhemmin. mutta joka tapauksessa Kyber muistuttaa paljon NH:ta sillä sillä on patenttiongelmia ja tämä on ainoa salausjärjestelmä, NIST valitsi SPHINCS+:n ja valitsi kaksi muuta allekirjoitusmahdollisuutta ja valitsi yhden salausmenetelän, Kyberin. Se on ainoa tapa datasi turvaamiseksi NIST:n valitsemien standardien mukaan. Kyber in NH:n tavoin keskellä seitsemän eri patentin miinakenttää Se ei tarkoita että kaikki seitsemän pätevät se on varsin monimutkainen asia. Kun tarkastelet patenttia sinun täytyy ymmärtää miten patenttilaki toimii ja analysoida mitä patentti tarkoittaa tärkeysjärjestyksen ja laajentamisen näkökulmasta. Se on monimutkaista Yksi helppo tapa päästä eroon patenteista on ostaa ne ja antaa ne jakoon ilmaiseksi Niinpä NIST sanoi heinäkuussa neuvottelevansa useiden kolmansien osapuolten kanssa heidän mukaan liittymisestä useisiin sopimuksiin jotta mahdolliset haasteet liityen patentteihin voitaisiin välttää. Ok, hyvä, nyt voidaan käyttää Kyberiä Paitsi että, yritykset katsovat tätä ja sanovat että hei voitteko näyttää sopimukset jotta me tiedämme mitä kaikkea allekirjoititte. Esimerkiksi Scott Fluhrer Ciscolta sanoi, Cisco ei voi käyttää Kyberiä ennen kuin me saamme lisenssien tekstit No, sittenpä kävi ilmi että NIST ei ollut allekirjoittanut mitään heinäkuussa mutta he sanoivat että he aikovat ja marraskuussa he viimein sanoivat, kyllä, me olemme allekirjoittaneet kaksi lisenssisopimusta ja tässä hieman tekstiä niistä lisensseistä Mutta jos katsot katsot tekstiä, niin lisenssit ovat NIST:n kuvaamalle standardille ja minkäänlaisten muokkausten käyttö tai minkään muun kuin NIST:n standardisoitujen asioiden käyttö Kyberissä ei ole sallittua tämän lisenssin mukaan Nyt ehkä ajattelet että no he valitsivat Kyberin, he standardisoivat sen heinäkuussa mutta ei, he eivät tehneet niin. Mitä he sanoivat heinäkuussa oli että he suunnittelevat Kyberin standardisoimista mikä ei ole sama asia kuin että Kyber olisi standardisoitu. He suunnittelevat Kyberin standardoinnin olevan valmis vuonna 2024 Ja tilannetta pahentaa se että me emme tiedä minkälainen Kyber tulee olemaan vuonna 2024 koska he vieläkin ehdottavat muutoksia siihen Eli, yhteenvetona, vuonna 2024, jos he tuolloin julkistavat standardin, niin lisenssi antaa sinun käyttää Kyberiä ja ehkä vuonna 2023 he vakiintavat Kyberin ja ehkä ne viisi muuta patenttia eivät vaikuta Kyberiin. On olemassa tapauksia joissa ihmiset ovat kävelleet miinakentän läpi räjähtämättä. Tämä tuo meidät puuhemme loppuun, me selitimme tarpeeksi viivästyksistä ja kiertoteistä mutta, mitä tarkoitamme katastrofilla? Totta kai jos jokin menee rikki joka on otettu käyttöön Googlen ja Cloudflaren kokeilussa, niin kyllähän se on katastrofi mutta he käyttivät varasuunnitelmaa, he käyttivät sekamuotoa joten se on ok Mikä oikeasti on katastrofi on se että olemme täällä vuonna 2022 ja meillä ei vieläkään ole käytössä kvantti-jälkeistä kryptografiaa puhelimissa tai tietokoneissa se ei ole vieläkään laajasti käyttöön otettua Voimme ilomielin osoittaa esimerkkejä joissa sitä käytetään mutta sitä ei käytetä laajasti Datasi on edelleen kvanttia edeltävillä algoritmeilla salattua ja siksi mahdollista purkaa kvanttitietokoneella. Se on se oikea katastrofi. Kiitos huomiostanne! Kiitos, kiitos Epäselvää tai teknologia mitä käytän taustalla käyttävät kvantti-jälkeistä kryptografiaa luulen että minun SSH yhteys käyttää vähintään, joten on se varmaan jotain voimme aina luottaa OpenBSD:n. Ehdottomasti. Tarkistetaan onko kysymyksiä. Yksi kysymys Kehittäjänä, joka kehittää jotain sovellusta, ei välttämättä kryptografista, varmistanko että käyttämäni salaus on turvallinen kvantti-jälkeiseen aikaan käyttämällä sekamuotoa nyt? Hei, sinullahan on dia juuri tätä varten! Näytä dia! Me ennustimme joitain kysymyksiä kuten, no tämä oli aika masentava mitä voimme tehdä nyt joten meillä on dia valmiina ratkaisu- keinoista joita voit käyttää nyt ja kyllä meidän ehdotus on että käyttäkää sekamuotoja Tunnen kuin tämä olisi takautuma vuoteen 2016 milloin sanoin hei voit tehdä jotain juuri nyt tässä ovat meidän ehdotuksemme jotka ovat mielestämme todella turvallisia ja silti täällä olen joulukuussa vuonna 2022 sanomassa että McEliecen on todella varovainen järjestelmä ja meillä ei ole samaa patentti ongelmaa jota Kyber menee tällä hetkellä läpi. Mitä sekamuoto tarkoittaa? Se tarkoittaa kvanttia edeltävän ja kvantti- jälkeisen järjestelmän yhdistämistä Salauksessa haluat niiden yhdessä luovan avaimen ja julkisen avaimen allekirjoituksessa haluat tietysti varmistaa että molemmat allekirjoitukset yksinään ovat päteviä jotta sekamuotoinen allekirjoitus toimii On olemassa useita eri ohjelmistokirjastoja joita voit tarkastella ja saada siten laajempaa kuvaa eri järjestelmistä joita voit yrittää ottaa käyttöön. Kun katsot kirjastoja niin sovelluksien laatu ei ole niin huono kuin se oli pari vuotta sitten kvantti-jälkeisille sovelluksille Ihmiset käyttävät paljon aikaa näiden parantamiseen. Siellä on silti paljon riskejä mutta riski verrattuna siihen ettei tee mitään ja siten varmistamalla että data on tulevaisuudessa suojaton tulevaisuuden hyökkääjiä vastaan jotka käyttävät kvanttitietokoneita ja jotka tallentavat dataa juuri nyt niin haluat todellakin kokeilla eri asioita. Esimerkiksi yksi kirjasto joka on toteuttanut pari eri järjestelmää on nimeltään Quantum safe oqs. On olemassa muita kirjastoja jotka käyttävät tiettyjä salausjärjestelmiä joten useimmilla järjestelmäsuunnittelijoilla on jonkinlainen sovellus mutta jälleen kerran sinun täytyy miettiä kuinka hyvä sovelluksen laatu on Uusi kirjasto on tulossa nimeltään lib.js jolla on useita verifikaatteja, joten sanoisin että se on hyvänlaatuinen mutta valitettavasti ainoa kvantti-jälkeinen salausjärjestelmä jota se tarjoaa tällä hetkellä on Kyber, joka on no, jos suunnittelet eteenpäin vuoteen 2024 jolloin se tulee käyttöön mutta juuri nyt se ei ole käyttökelpoinen Joten jos haluat jotain joka on nopea, niin jos katsot mitä OpenSSH tai Google tekevät ntruhrss:lla joten se sovellus on ainakin jotenkin testattu joten voit kokeilla sitä mutta muista aina käyttää sekamuotoja ECC:n kanssa varmuuden vuoksi jos jokin sattuukin menemään pahasti pieleen kvantti-jälkeisen osan kanssa. Eikö ole kuitenkin aika hankalaa luoda oma yhdistäjä? Minulla pitää silti olla oikea tapa yhdistää kaksi järjestelmää, kvanttia edeltävä ja kvantti-jälkeinen Kyllä ja se on mahdollista, joten jopa niin yksinkertainen juttu kuin allekirjoita tällä järjestelmällä, allekirjoita toisella järjestelmällä, tarkista molemmat allekirjoitukset. Me olemme nähneet sovelluksia joissa tämä on mennyt väärin On todella tärkeää käydä se läpi varovaisesti. Salaamiseen sinulla yleensä on ECC joka vaihtaa avaimen ja sitten sinun kvantti-jälkeinen järjestelmä vaihtaa avaimen ja tiivistät molemmat avaimet yhteen suosikki- tiivistefunktiollasi. Standardisoitu tiivistefunktio on hyvä. Mutta jälleen kerran, mainitsit yhdistämisen, on olemassa useita tutkimuksia epäselvää Anteeksi, sanotko uudestaan? Standardi tarkoittaa kryptografista tiiviste- funktiota. Älä käytä jotain XX-tiivistettä vaan käytä jotain joka on kryptografista. Kyllä, eli esimerkiksi SHA-512 joka on NSA:n suunnittelema mutta ihmiset ovat lyöneet sitä jo pitkän aikaa rikkomatta sitä. Jotain mikä on käynyt läpi julkista arviota, on SHA-3 järjestelmät ja yleensä se ei ole suorituskykyongelma tiivistää kaksi 32 tavuista merkkijonoa yhteen, ketjuta ja tiivistä ne ja sinulla on uusi merkkijono joka on sinun symmetrisen kryptografian avain On olemassa ehdotuksia miten tehdä tämä esimerkiksi IRTF:n tai tarkemmin CFRG:n RFC sitten on jotain NIST:n stardardeissa liittyen sekamuotojen käyttöön lopuksi hieman itsemainontaa, meillä on yksi dia jonka julkaisemme ja siellä on joitain alustavia tutkimuksia joissa käymme läpi yksityiskohtaisemmin sekamuotojen käyttöönottoa ja yhdistämistä. Eli miten voit turvallisesti tehdä tämän. Tieysti on asentamisen valinta, eli valitset sinun oman järjestelmäsi, ja kuten näet niin on huolia mallitilanteen suhteen, lisäksi mainitsen kokeilututkimuksia varten voit käyttää Skypeä se on vain ongelma silloin jos haluat ottaa sen käyttöön yleinen varoitus on mutta jos olet vain harrastelija tai haluat tökkiä sitä tai haluat kirjoittaa tutkimuksen aiheesta niin se ei ole ongelma mutta yleisesti sinulla on valinta tehokkaiden järjestelmien kuten mitä Google on tehnyt kokeilemalla jotain uutta ja katsomalla räjähtääkö se meidän tietokoneillamme onneksemme se ei räjähtänyt, joten Google pystyi jatkamaan sen käyttöä yhdistämällä NH:n tai myöhemmin NTRU:n ja ECC:n tai sitten voit sanoa että tärkeintä on se että järjestelmä pysyy turvassa, ja olemme valmiita uhraamaan hieman nopeutta ja kaistaa joten ottamalla kaikkein varovaisimmat kvantti-jälkeiset järjestelmät ja yhdistamällä ne ECC:n tai RSA:n kanssa. Se on myös valinta jonka joudut tekemään jos haluat ottaa sen käyttöön Eli olisiko ok ottaa käyttöön salakirjoitus- järjestelmä joka on vielä mukana kilpailussa joka ei ole vielä tai jota ei tulla standardisoimaan NIST:n toimesta? Vaikka ei olisi tiedossa olevia hyökkäyksiä? No, yleisesti, kun katsot tällaista kuvaa jossa on niin paljon punaista niin sinä mahdat ajatella ettemme me kryptograafikot tiedä mitä me teemme. Miten meillä voi olla niin moni asia rikki? Se on todella todella vaarallista. Sanoisin että sillä onko jokin NIST:n valitsema vai ei ei lisää paljoa informaatiota tässä. Ok haluat kommentoida tähän. Haluan mainita että asiat jotka pudotettiin ensimmäisellä kierroksella eivät saaneet paljoa huomiota. Ihmiset menettivät kiinnostuksensa. Asiat jotka selvisivät kolmannelle kierrokselle ja sitten eivät selvinneet neljännelle kierrokselle esimerkiksi kaksi Android muunnelmaa, NTRU Prime ja NTRU-HRSS-KEM jotka ovat mainittuina tässä, ne pääsivät kolmannelle kierrokselle mutta eivät voittaneet kauneus- kilpailua jota NIST pyöritti. Luulen että ne ovat aivan yhtä hyviä kuin ne jotka ovat tässä kuvassa sinisellä. Yleisesti kaikki tässä ovat pelottavia. Eli NTRU ja NTRU-HRSS ovat Googlen käyttöönottamia ja OpenSSH mutta todella harva näistä 69:stä ehdotuksesta omaa samaa turvallisuustasoa nyt tiedettyjä hyökkäyksiä vastaan kuin mitä niillä oli viisi vuotta sitten kun ne ensin toimitettiin Turvallisuutta ollaan aina menetetty koska hyökkäykset ovat kehittyneet paremmiksi jollain oli turvallisuusmarginaalia niistä selviytymiseen. Tehdäksesi turvallisen päätöksen sinun valitettavasti täytyy tutustua näiden historiaan ja kysyä kuinka hyvin nämä ovat kestäneet kuinka hyvin näitä on tutkittu. Mitä Tanja korosti oli se että joitain näistä on tutkittu todella vähän ja joitain hieman enemmän, ja se kuinka hyvin nämä järjestelmät kestivät tutkimuksen aikana määrittelee sen kuinka vaarallisia ne ovat loppujen lopuksi Esimerkiksi Three Bears on kaunis järjestelmä mutta se pudotettiin toisen kierroksen jälkeen ja sen jälkeen ihmiset lopettivat sen tutkimisen eikä se saanut paljoa analyysia. Tuntuu siltä että se on hyvä mutta sitä ei ole toisaalta tutkittu melkein yhtään. Mutta jos tarkastelet kolmannen kierroksen valikoimaa jotka ovat mustia tai harmaita tässä sanoisin että ne ovat suurimmaksi osaksi ok. Ja tietysti siniset. Ok eli valitse se joka on joko sininen tai musta dialla. Luulen että ne ovat varsin tiettyjä asioita. Nopea viimeinen kysymys jos olen tinapaperihattu, voinko tehdä jotain oman kommunikaationi suojaamiseksi? Käytä kaikki OpenSSH:n läpi, se on hyvä alku. Tilanne on se että tietysti tarvitset asiakasohjelman sekä palvelimen jotka tukevat asioita ja on olemassa useita kokeiluja mutta vain vähäistä käyttöönottoa on olemassa VPN:n käyttöönottoa esimerkiksi Joo on olemassa kvantti-jälkeistä VPN:ä Movadilla on kvantti-jälkeinen vaihtoehto, he käyttävät McElieceä, he käyttävät WireGuardia VPN:ä varten ja WireGuardilla on vaihtoehto ylimääräisen avaimen syöttämiseksi, ennalta jaettu avain jota movad käyttää McEliecen kanssa eli lataat sen McEliecen läpi kvantti-jälkeisen turvan saamiseksi movadiin Tämä on siis VPN jossa et mene päästä toiseen, haluat yleensä mennä koko tien siihen sivustoon johon otat yhteyttä, ja jos sinulla on päästä päähän turva käytössä se tarkoittaa että asiakasohjelmiston ja palvelimen pitää tukea kvantti-jälkeistä kryptografiaa ja kun se on nyt viivästynyt niin se ei ole niin yleisesti käytössä kuin olisin kuvitellut sen olevan vuosia sitten kun sitä kohtaan tuntui olevan paljon innostusta epäselvää Ok Tanja haluaa että kerron PQ Connectista, tulossa pian joka toivottavasti helpottaa kvantti-jälkeisen kryptografian käyttöönottoa yhteytesi turvaamiseksi päästä päähän mutta sitä ei ole julkaistu vielä joten en voi sanoa paljoa siitä odotan innolla PQ Connectia. Luulisin että tämä oli tässä, kiitos että olitte täällä ja jaoitte tietojanne jaoitte päivityksiä liityen kvantti-jälkeiseen kryptografiaan Kiitos todella paljon Tanja Lange ja D.J.B! Kiitos! [Translated by Timo Broström (KYBS2004 course assignment at JYU.FI)]