Post-Quantum Cryptography: Detours, delays, and disasters

[Translated by Timo Broström
(KYBS2004 course assignment at JYU.FI)]

musiikkia

Tervetuloa kaikki tähän kaaoottiseen
vuoteen sekä tapahtumaan

olen Karra ja tulen olemaan teidän tiedottaja

on ilo pystyä kuuluttamaan puhe

kvantti-jälkeinen kryptografia:
kiertotiet, viivästykset ja katastrofit

jonka pitävät Tanja Lange
ja D.J. Bernstein

Tanja Lange on kryptograafikko ja matemaatikko
joka erikoistuu kantti-jälkeiseen krytografiaan

joka on korvaamassa kryptografiaa
jota käytämme nykypäivänä

sellaisilla versiolla jotka ovat turvassa
kvanttitietokoneilla toteutetuilta hyökkäyksiltä

hän on professori Einhovenin
teknillisessä yliopistossa

ja hänellä on ylpeilee useilla
eri julkaisuilla ja erityksillä

hän oli myös PQ crypton koordinaattori

joka on yleiseurooppalainen liitto

kvantti-jälkeisen kryptografian
käyttöönottamiseksi

D. J. B. on professori Illinoisin
yliopistossa Chicagossa

sekä professori Bochumin yliopistossa.
hän työskentelee kryptografian parissa ja

hän on kehittänyt
salakirjoitusjärjestelmiä joita käytetään

avoimen lähdekoodin kryptografiassa,
mahdollisesti käytät jotain

sellaista salakirjoitusjärjestelmää
katsoessasi tätä puhetta juuri nyt

yhdessä he kehittivät vaikuttavan
määrän projekteja

aina turvallisen kryptografian
käyttöönoton yksinkertaistamisesta

turvallisien kvantti-jälkeisten
tietotyyppien rakentamiseen

molemmat heistä ovat
aktivisteja jotka taistelevat

läpinäkyvämmän kryptografian
standardisointiprosessin puolesta

nyt kaikki laittakaa räpylänne yhteen

laittakaa kätenne yhteen
Tanja Longelle ja D.J.B:lle!

selvä, kiitos kivasta esipuheesta

sukelletaan heti asiaan
aloitetaan HTTPS:llä

kun menet HTTPS-sivulle
tai suojatulle sivulle

käytät TLS:ä, kuljetuskerroksen turvaa
turvataksesi kommunikaatiosi

TLS käyttää kahdenlaista
kryptografiaa muutamista eri syistä

ensinnäkin, se turvautuu
julkisen avaimen kryptografiaan

se tekee kahta asiaa
ensiksi, se tarjoaa allekirjoituksia

julkisen avaimen allekirjoituksia
se varmistaa että hyökkääjä ei pysty

korvaamaan palvelimen
dataa hyökkääjän datalla

ja teeskennellä olevansa palvelin

lisäksi TLS käyttää
julkisen avaimen salausta

esimerkiksi NIST P-256,
RSA-4096 on allekirjoittajajärjestelmä

NIST P-256:ta voidaan käyttää salaukseen
ja tämä salaa datasi niin ettei hyökkääjä

voi ymmärtää sitä

suoritustehoon liityvistä syistä
kryptografia on monimutkaisempi kuin

vain tämä julkisen avaimen kryptografia
se sisältää myös symmetrisen kryptografian

joskus sitä nimitetään
salaisen avaimen kryptografiaksi

kun kokoat kaiken yhteen TLS:n
saat kolme peruspalikkaa

on julkisen avaimen salaus

joka sen sijaan että
se salaisi datasi niin

etteivät hyökkääjät voi ymmärtää sitä
se salaa vain avaimen

se lähettää avaimen
turvallisesti ja salassa

päästä toiseen

ja julkisen avaimen allekirjoituksia
käytetään sen varmistamiseksi

ettei hyökkääjä pysty korvaamaan
toista avainta

ja lopuksi avainta käytetään

datasi suojaamiseen
symmetrisen kryptografian avulla

kaikista muistakin
protokollista joita käytät

olisi mahdollista tehdä
tämän tyyppiset diat

kuten SSH:sta mutta ne kaikki toimivat
varsin samalla tavalla

korostan nyt kaksi osaa tästä diasta

RSA-4096
tyypillinen allekirjoitusjärjestelmä

ja tyypillinen salausjärjestelmä
NIST P-256

koska nämä kaksi tullaan murtamaan
kvanttitietokoneiden takia

ilman kvanttitietokoneita
mitään tiedossa olevia

uhkia ei olisi mutta

kunhan hyökkääjällä on
iso kvanttitietokone

mikä luultavasti tapahtuu

se ei ole varmaa
ehkä panostukset kvanttitietokoneisiin

epäonnistuvat jostain syystä

mutta näyttää siltä
että kvanttitietokoneet

ovat yhä menestyvämpiä

ja kunhan kvanttitietokoneet
ovat tarpeeksi isoja

ehkä kymmenen vuoden päästä

sen jälkeen hyökkääjät
voivat ajaa hyökkäysalgoritmin

jota kutsutaan Shorin algoritmiksi
joka löytää salaiset RSA-avaimesi ja

salaiset NIST P-256 avaimesi
ja tässä vaiheessa hyökkääjät voivat

tarkastella tietoja
joita he tallentavat nyt

se ei ole uhka vain tulevaisuuden datalle
vaan se on myös uhka

nykyhetken tietojesi
luottamuksellisuudelle

koska hyökkääjät tallentavat jo
nyt kaiken minkä he voivat Internetissä

ja sitten kun heillä on
iso kvanttitietokone

he voivat takautuvasti purkaa salaukset
koska he voivat murtaa RSA-4096:n

ja NIST P-256:n
nimenomaan NIST P-256 tarjoaa salauksen

ja he voivat palata ajassa taaksepäin
ja murtaa salauksen jota käytät tänään

mitä me teemme tälle?

Norminmukainen lähestymistapa
on mitä me kutsumme

kvantti-jälkeiseksi kryptografiaksi
kuulit sen jo aiemmin se oli meidän

otsikossamme se on korvaava kryptografia
joka on suunniteltu se mielessä pitäen

että hyökkääjällä on
käytössä kvanttitietokone

joten eli kuten airue
jo aiemmin mainitsikin

olin koordinaattorina PQCRYPTO projektissa
ja se tarkoittaa että olen nipistellyt

ympäri maailmaa ja pitänyt puheita
kvantti-jälkeisestä kryptografiasta

tässä on kuvankaappaus puheesta jonka
pidin kuusi ja puoli vuotta sitten

missä korostin kuten Dan teki tänään
kvantti-jälkeisen kryptogragian tärkeyttä

ja korostin
että on tärkeää tehdä suositukset

jotka kertovat mitä algoritmeja meidän
pitäisi käyttää korvataksemme RSA:n ja

NIST P-256:n jotka
näitte edellisillä dioilla

ja sitten käsittelin kysymystä pitäisikö
meidän standardisoida nyt vai myöhemmin

argumentteja löytyy molemmilta puolilta
ja, no, jos stardardisoitaisiin nyt,

kuusi vuotta sitten tuntui että vielä on
niin paljon tehtävää ja meillä on paljon

parempi järjestelmä
jos odotamme vähän pidempään

toistaalta on huoli virastojen ja muiden
pimeyden voimien keräämästä datasta

ja mitä myöhempään se julkaistaan
sitä enemmän dataa ja turvallisuutta

menetetään joten olisi tärkeää saada
asioita eteenpäin ja ratkaisumme silloin

mitä olin mainostamassa vuonna 2016 oli
vuonna 2015 julkaistut suositukset jossa

sanottiin että
keskittäminen vie paljon aikaa

me emme ole siinä vaiheessa vielä
mutta jos joku haluaa suojella itseään

tässä mitä me,
no tässä on aikamoinen määrä

tutkijoita jotka ilmoittautuivat tähän
lausuntoon osana PQCRYPTO projektia

mitä me suosittelemme?
meidän suosittelumme olivat mitä kutsumme

varovaiseksi kryptografiassa

se ei tarkoita
poliittisesti konservatiivinen

vaan se tarkoittaa tylsää se tarkoittaa
että jokin on ollut jo pitkään ilmoilla

monet ihmiset ovat analysoineet sen
ja emme odota mitään muutoksia siihen

symmetrisen avaimen puolella, kuten Dan
oli jo sanonut, niihin kvanttitietokoneet

eivät vaikuta joten jos käytät tarpeeksi
suuria kokoja

256-bittisten avainten kanssa
niin AES tai Salsa20 ovat riittäviä

myös todentamisessa, kun saat avaimen,
siihen ei voi vaikuttaa

julkisen avaimen salauksen ja
allekirjoituksen RSA-4096:n ja

ECC NIST P-256:n me juodumme korvaamaan
niitä varten meillä on korvikkeet ja tässä

me annoimme
korkean luottamuksen suosituksen

eli käytä
McEliecen järjestelmää minkä nimi

saattaa näkyä hieman myöhemmin

ja käytä
tiivistepohjaisia allekirjoituksia

ja SPHINCS:n haluat tutusta myöhemmin
me myös julkistimme joitain arvioinnin

alaisena olevia kohteina mikä tarkoittaa
että niitä ei kannata käyttää juuri nyt

mutta tulevaisuudessa ne voivat olla ok
ja meille tämä oli ok, me iskemme seipään

maahan, me sanomme
että nämä ovat turvallisia

ja ihmisten tulisi toimia niin ja kaikki
elävät onnelisina elämän loppuun asti

ja me olemme valmiita puheemme kanssa

vai elivätkö sittenkään
kaikki onnellisesti

elämänsä loppuun asti?

Katsotaan mitä oikeasti
tapahtui tämän jälkeen

järjestely, no,
asiat jotka pitäisi julkistaa

itse asiassa oli eräs kokeilu
jota Google piti käynnissä

joka sanoi että vuonna 2016 Google Chrome
lisäsi kvantti-jälkeisen vaihtoehdon

nyt, se ei tarkoita että jokainen

verkkopalvelin tuki sitä
se oli vain kokeilu

missä Google laittoi sen päälle joillain

heidän palvelimillaan
ja sanoi ok katsotaan

miten hyvin tämä toimii ja kuulostivat
todella innostuineilta heidän blogissaan

jossa he julkistivat sen että he auttavat
käyttäjiä suojautumaan

kvanttitietokoneilta
katsotaan toimiiko tämä

järjestelmä jota he käyttivät kutsuttiin
nimellä New Hope (NH)

he eivät pelkästään salanneet NH:lla,
NH on kvantti-jälkeinen salausjärjestelmä

he myöskin salasivat kvanttia-edeltävällä
salauksella, elliptisten käyrien

salausmenetelmällä, ECC
kuten Tanja aikaisemmin

mainitsi NIST P-256
on esimerkki ECC:stä, x25519 on toinen

esimerkki ECC:stä, tämä on jotain mitä
käytät tänä päivänä salataksesi datasi

ja mitä Google teki, se salasi NH:lla
kvantti-jälkeisen turvallisuuden

takaamiseksi ja salasi myös
x25519:lla kuten he tekevät

normaalisti myös tänä päivänä
asian ydin on että jos jotain menee

pahasti pieleen NH:n kanssa niin meillä
silti on kvanttia-edeltävä turvallisuus

joten ainakaan välitöntä turvallisuusuhkaa
ei ole, he eivät ole pahentamassa asioita

tietysti jos NH on rikki niin he eivät ole
myöskään parantamassa

asioita mutta pääasia
oli yrittää saada asioita paremmaksi ja

varmistaa samalla ettei asiat mene
pahemmaksi salaamalla molemmilla sekä

kvanttia-edeltävällä
että kvantti-jälkseisellä

asioilla ja varasuunnitelma on todella
tärkeää olla olemassa koska NH on uusi

salausjärjestelmä, no, oli vuonna 2016
pääpalat NH:n suunnittelussa tulivat

vuosilta 2010, 2014 ja 2015 ja se ei ole
paljon aikaa asioiden läpikäymiseen ja

kryptografiassa asiat voivat välillä olla
maisemissa vuosia ennen kuin niistä

löydetään turvallisuusongelmia
on todella tärkeää että uusille

salausjärjestelmille annetaan aikaa kypsyä
toinen ongelma uusien salausjärjestelmien

kanssa on että joskus ne patentoidaan
patenit säilyvät 20 vuotta ja tämä tapahtui

NH:lle, patentin haltija otti yhteyttä
Googleen ja sanoi että haluan rahaa teidän

NH kokeilusta. Google ei koskaan
antanut julkista lausuntoa tästä patentti-

uhkasta, mutta jostain syystä
marraskuussa 2016 he poistivat NH

mahdollisuuden Chromesta ja palvelimiltaan
muitakin asioita tapahtui vuonna 2016

Yhdysvaltain hallinnolla on virasto, NIST,
jolla on pitkä historia yhteistyöstä

kansallisen turvallisuusviraston (NSA)
kanssa ja NIST sanoi että vuoden päästä

loppuvuodesta 2017 he haluaisivat
kryptograafikkojen toimittavan ehdotuksia

kvantti-jälkeiselle salausjärjestelmälle,
salausjärjestelmät ja allekirjoitusjärjestelmät

joka standardisoitaisiin aikanaan
yksi mielenkiintoinen asia jonka he sanoivat

pyynnössään oli että et saa toimittaa
sekamuotoja, eli salata molemmilla

kvantti järjestelmillä ja ECC:llä tai
allekirjoittaa jollain mitä käytät nyt ja

jollain kvantti-jälkeisellä ratkaisulla
he sanoivat että algoritmit eivät saa

sisältää ECC:tä tai mitään muuta joka
voidaan murtaa kvanttitietokoneilla

sovelluskehittäjän näkökulmasta on hyvä
olla ECC kerros erillään kaikesta muusta

ja sanoa että mitä tahansa teetkään
kvantti-jälkeisellä järjestelmällä se

yhdistetään x25519 kanssa esimerkiksi.
Mutta he eivät sanoneet että sinun täytyisi

yhdistää kaikki ECC:n kanssa, esimerkiksi
x25519 erillisenä kerroksena, he sanoivat

älä toimita mitään mikä on
yhdistetty ECC:n kanssa

järjestämällä tämän kilpailun kvantti-
jälkeisille järjestelmille NIST viestititti

yrityksille että odottakaa, älkää ottako
käyttöön kvantti-jälkeisiä salauksia

ja tässä oli sekä keppi että porkkana,
keppi oli patentit, Google joutui juuri

ongelmiin ottamalla jotain käyttöön
ja hupsista sillä olikin patentti

mikä muu on patentoitu? ja NIST sanoi että
meillä on prosessi joka johtaa

kryptografisiin standardeihin jotka voi
vapaasti toteuttaa eli patentit eivät estä

sinua ottamasta käyttöön asioita ja he myös
sanoivat että he aikovat valita jotain

mikä on tarpeeksi vahva, turvallisuus on
kaikkein tärkein tekijä arvioinnissa

joten toimialat katsovat tätä ja sanoivat
ok odotetaan NIST:ä ja muut

standardisointi organisaatiot odottavat
myös. IETF:llä on oma tutkimusorganisaatio

IRTF asettaa Internetin standardeja ja
kryptoryhmä IRTF:ssä pohti että me

standardisoimme ne jotka ovat jo meidän
pöydällämme, kuten tiivistejärjestelmiä

mutta kaiken muun osalta me odotamme
NIST:ä. ISO sanoi myös että he odottavat

NIST:ä. Ihan kaikki organisaatiot eivät
sanoneet näin, esimerkiksi Kiinan hallitus

sanoi että he järjestävät heidän oman
kilpailunsa mutta, no, ketä kiinnostaa?

Joten takaisin NIST kilpailuun, tässä on
kaikki ehdotukset, joten loppuvuodesta 2017

oli 69 ehdotusta 260 eri kryptograafikolta
en aio lukea kaikki nimiä mutta tämä oli

aikamoinen työkuorma kryptografian
analyytikoille.

me pidettiin hauskaa alkuvuodesta 2017, he
jotka näkivät meidät lavalla vuonna 2018

tietävät että pidimme puheita siitä kuinka
hauskaa meillä oli rikkoa näitä ehdotuksia

mutta se oli aikamoinen taakka. Katsotaan
mitä NIST teki kilpailulla.

vuonna 2019 eli kaksi vuotta myöhemmin, no
vuosi ja vähän myöhemmin he olivat

rajaamassa ehdotuksia 26 ehdokkaaseen
ja vuonna 2020 heinäkuussa he rajasivat

ehdokkaita lisää, he ottivat 15 ehdokasta
26:sta. Tarkoitus oli keskittyä johonkin

missä on järkeä ja he priorisoivat
vahvimpia ehdokkaita paitsi silloin jos

sovellus todella tarvitsee jotain
tehokkaampaa

itse asiassa ei, he eivät ollenkaan
tehneet näin. Jos luet raportin ja katsot

mitkä ehdokkaat he valitsivat, milloin
tahansa kun heillä oli vaihtoehto

nopeuden ja turvallisuuden välillä,
tarkoitat he totta kai karsivat pois asiat

jotka olivat todella rikki ja karsivat
asiat jotka olivat todella tehottomia

mutta ottakaapa esimerkiksi SPHINCS jonka
Tanja mainitsi aikaisemmin, todella

varovainen kaikki ovat samaa mieltä että
tämä on turvallisin allekirjoitusjärjestelmä

no, NIST ei sanonut että käytä SPHINCS:iä
vaan että me odotetaan SPHINCS+:n

standardisoimista ellei niin moni asia
ole rikki että meidän pitää käyttää SPHINCS:ä

Niin ja tämän vuoden heinäkuussa NIST
sanoi että he valitsevat neljä standardia

yksi oli SPHINCS+ ja neljää muuta ehdotusta
tutkittiin yhä. Tämä vaikuttaa siltä

että ehkä heidän itseluottamuksensa horjui
Joten mitä tapahtui?

Kuva 69 ehdotuksesta muuttuu kun menemme
ajassa viisi ja puoli vuotta eteenpäin

tässä on värikoodaus. Siniset ovat edelleen
mukana NIST:n kilpailussa, eli neljä

standardisoitavaa järjestelmää ja neljä
neljännen kierroksen ehdokasta

harmaat eivät päässeet eteenpäin ja
tarkoittaa ettei niitä ole murrettu mutta

ne putosivat niin aikaisin ettei ketään
enää kiinnostanut niiden murtaminen

ruskea väri tarkoittaa vähemmänen
turvallinen kuin väitetty, punainen

tarkoittaa todella murrettua ja punainen
joka on alleviivattu tarkoittaa

todella todella murrettua.
Mitä voit nähdä tässä on se että murrettuja

järjestelmiä on paljon. On myös
mielenkiintoinen violetti oikeassa alakulmassa

Jos muistat vesivärit niin violetti on
punaisen ja sinisen sekoitus. SIKE valittiin

heinäkuussa sekä murrettiin heinäkuussa
viiden vuoden analyysin jälkeen hyökkäyksellä

joka voidaan ajaa sekunneissa joten SIKE
on tapaus jossa jotain meni todella väärin

ja voidaan sanoa että useat pienet asiat
horjuttivat vähän itseluottamusta

jonka jälkeen NIST valitsi sentään edes
SPHINCS:n, tämä ei johtanut muiden

varovaisten vaihtoehtojen valitsemiseen
jotkut niistä ovat edelleen hautumassa

mutta tämä ei olekaan kypsä ala.

Mitäs tapahtui sillä välin käyttöönoton
puolella? Muistakaa, on kaksi osaa Tanjan

dioista vuodelta 2016. Hän sanoi että
olisi hyvä ottaa käyttöön jotain nyt

suojellaksesi käyttäjiä koska meillä on
turvallisuusongelma nyt, hyökkääjät

tallentavat asioita nyt ja meidän pitää
yrittää suojautua siltä ja meidän pitää

pystyä tekemään se nopeammin kuin
standardisaatioprosessi joka Google oli

aloittamassa vuonna 2016 mutta pelästyivät
patenttiongelmaa. Vuoteen 2019 mennessä

toimialat ja useat avoimen lähdekoodin
projektit katsoivat tätä ja pohtivat että

ehkä olisi hyvä aika ottaa käyttöön asioita
sillä jotain meni väärin vuonna 2016

mutta tässä vaiheessa NIST on kerännyt
lausuntoja kaikilta ehdokkailta tässä

kilpailussa todeten mitkä ehdotukset ovat
patentoituja ja se antaa meille paljon

tietoa kun 260 kryptograafikkoa kertoo
mitkä ovat patentoituja

ja vuonna 2019 oli yhä selkeämpää että
kvanttitietokoneet ovat tulossa

joten esimerkkejä siitä mitä tapahtui
vuonna 2019

OpenSSH version 8, kopioiden TinySSH:ta
kertoi että he lisäävät sekamuodon joka

koostuu elliptisten käyrien
salausmenetelmästä sekä yhdestä

kvantti-jälkeisestä ehotuksesta. Sitä ei
käytetä oletuksena mutta jos lisäät rivin

palvelimen sekä asiakasohjelman
konfiguraatioon niin se käyttää kvantti-

jälkeistä salausta, ja jos kvantti-jälkeinen
osa murretaan niin siellä on silti vielä ECC

Heinäkuussa 2019 Google ja Cloudflare
kokeilivat kvantti-jälkeistä salausta

kaksiosaisessa kokeessa. Jotkin käyttäjät
salasivat toisella versiolla, ntruhrss:lla

ja ECC:llä totta kai, käytä aina
sekamuotoja. Ja toinen versio oli

salaaminen sikep:llä ja ECC:llä. Joo
Tanja sanoi hups. Tämä on esimerkki siitä

miten tärkeää on varmistaa että yhdistät
kaiken ECC:n kanssa jotta et kadota

turvallisuutta verrattuna tähän päivään
jossa kaikki käytämme ECC:tä. Kokeile

kvantti-jälkeisiä järjestelmiä sekä ECC:tä
samaan aikaan jotta pahimmassa tapauksessa

hukkaat vain aikaa mutta toivottavasti
jokin paranee ja ainakin sikep käyttäjillä

on ECC turva. Myös vuonna 2019 lokakuussa
Google väitti omaavansa kvanttiylemmyyden

tarkoittaen että heillä oli kvanttitietokone
tekemässä jotain nopeammin kuin mikään

tavallinen supertietokone. Se ei ole
hyödyllinen laskenta ja menee silti vuosia

ennen kuin meillä on hyödyllisiä laskelmia
pyörimässä kvanttitietokoneilla nopeammin

kuin tavallisilla tietokoneilla mutta silti
pelkästään nimi kvanttiylemmyys on

harhaanjohtava mutta se silti
mielenkiintoinen askel eteenpäin kvantti-

laskennassa ja nimi varmaankin herätti
huomiota sekä huolta

vuonna 2021 ja 2022 OpenSSH, OpenBSD ja Google
kaikki päivittivät yhtäkkiä

no, openSSH versio 9.0 tarjoaa sntrup:n ja
ECC:n oletuksena joten jos sinulla on

OpenSSH 9 asennettuna palvelimellesi sekä
siihen palvelimeen mihin otat yhteyttä

sekä asiakasohjelmaasi niin se käyttää
automaattisesti kvantti-jälkeistä vaihtoehtoa

ja itse asiassa OpenSSH versiot aina 8.5 asti
tukevat täysin samaa asiaa, mutta silloin

sinun täytyy ottaa se käyttöön manuaalisesti
jotta palvelin ja asiakasohjelma käyttäisivät

sitä mutta OpenSSH 9:ssä se tapahtuu
oletuksena ja sama juttu Googlen suhteen

he ovat marraskuusta, eli viime kuusta
lähtien salanneet heidän sisäisen

kommunikaationsa ntruhrss:llä ja ECC:llä
joten toivottavasti ntruhrss toimii ja se

on turvallinen kvanttitietokoneita vastaan
tulevaisuudessa

Tämä on myös hienosti linjassa
puhdistamiskoodin sanoman kanssa

kuten jo sanottu puhdistamiskoodit eivät
ole vielä stardardisoituja kryptografisiin

järjestelmiin itsessään mutta he kannustavat
ihmisiä tutkimaan asioita ja totuttelemaan

siihen, esimerkiksi US ANSI joka on pankki-
standardi NTX9, totesivat että he siirtyvät

aikanaan kvantti-jälkeisiin stardardeihin
joten he odottavat klassisen kryptografian

jota kutsutaan kvanttia edeltäväksi
kryptografiaksi ja kvantti-jälkeinen

kryptografian samanaikaista käyttöä
joten he ajattelevat että yksi asia on

standardisoitu ja auditoitu ja toinen on
silti vielä vähän uusi ja epämukava mutta

me tarvitsemme sitä pitkän ajan
turvallisuutta varten ja ehkä se vaativat

tätä sekamuoto yhdistelmää pitkässä
juoksussa. Sitten, Yhdysvalloista Ranskaan

eli ANSI:sta ANSSI:n, joka on Ranskan
turvallisuusvirasto. He sanovat myös että

älkää käyttäkö kvantti-jälkeisiä järjestelmiä
yksinään koska ne ovat vielä kypsymättömiä

mutta, kypsymättömyys ei tarvitse olla syy
ensimmäisten käyttöönottojen viivyttämiselle

joten ANSSI kannustaa ihmisiä ottamaan
sekamuodot käyttöön käyttäen jotain hyvää

kvanttia edeltävää ratkaisua yhdessä
kvantti-jälkseisen ratkaisun kanssa

Noniin kiva eli kaikki etenee hienosti
niiden linjausten mukaan mitkä olivat Tanjan

dioissa vuonna 2016. Standardisaatio
etenee hitaasti mutta saman aikaan

olemme ottamassa käyttöön kvantti-jälkeistä
salausta yhdessä ECC:n kanssa siltä varalta

jos jokin menee pieleen ja saada käyttäjät
suojatuksi niin nopeasti kuin mahdollista

Mitä Yhdysvaltojen hallinto sanoi tästä?
Vuodesta 2021 lähtien Yhdysvaltojen hallinto

teki erittäin selväksi että se haluaa sinun
nyt saatat miettiä että he haluavat sinun

suojatuvan kvanttitietokoneita vastaan mutta
eijei ei, he eivät halua että suojaudut

kvanttitietokoneita vastaan. Esimerkiksi,
tässä on sitaatti NIST:n

kyberturvallisuusosaston päälliköltä
informaatioteknologian laboratoriosta

joka käynnisti kvantti-jälkeisen krypto-
järjestelmien kilpailutuksen.

Heinäkuussa 2021, pian OpenBSD:n projektien
ja OpenSSH:n käyttöönottojen jälkeen

hän sanoi, älkää antako ihmisten ostaa ja
jalkauttaa epästandardisoituja kvantti-

jälkeisiä kryptografioita. Ja sitten, toinen
esimerkki, NSA, joka toimii läheisesti

NIST:n kanssa sanoi, älä toteuta tai käytä
epästandardisoituja kvantti-jälkeisiä krypto-

grafioita. Ja siltä varalta ettei ihmiset
tajunneet viestiä, turvallisuusvirasto,

luuletko että nämä virastot keskustelevat
keskenään?

turvallisuusvirasto sanoi, älä käytä kvantti-
jälkeisiä kryptografiatuotteita ennen kuin

korvattavien ohjelmien standardisaatio,
toteutus ja testaus hyväksytyillä

algoritmeilla on tehty NIST:n toimesta.

Tässä jo hieman huonoja uutisia. Toinen
juttu mikä on outoa tässä on että he sanovat

että jos olet ottamassa käyttöön kvantti-
jälkeistä kryptografiaa, niin sinun ei tule

käyttää sekamuotoja, ja saatat ehkä ajatella
ymmärsinkö väärin ein kyllänä tai jotain

tässä oli NSA:n kaveri konferenssissa ja
tämä dia on Markku Saarisen kuvankaappaus

mutta olin tilaisuudessa ja voin vahvistaa
että hän totesi että sinun ei tulisi käyttää

sekamuotoja. Hän myös toisti useasti että
älä käytä mitään tällä hetkellä. He eivät

myöskään odottaneet kvantti-jälkeisten
algoritmien hyväksymistä minkään

"varmuuden vuoksi yhdistä algoritmit"
ohjeiden pohjalta.

Myöhemmin he julkaisivat lisää ohjeita jossa
sanottiin että se tulee olemaan kahdenkeskinen

korvike, ECC ja RSA irti, kvantti-
jälkeinen kryptografia sisään.

ja heidän argumenttinsa oli että ECC:ssä
voi olla ohjelmointivirheitä joten sammuta

ECC. Ei hyvä idea. Ellet ole hyökkääjä
silloin se on huippuidea.

nyt ehkä ajattelet että totta kai me käytämme
sekamuotoja vaikka NSA kannustaa ihmisiä

olemaan käyttämättä niitä, ja sitten tämä
lause, älä käytä jotain epästandardisoitua

se lykkäys on nyt korjattu, vai mitä? NIST
kertoi heinäkuussa Kyberin standardisoinnista

ja se tarkoittaa, ota Kyber käyttöön.
noh, ei, oikeastaan he eivät sano niin

Tarkastellaanpa yksityiskohtia. Ensinnäkin
muistatteko Googlen patenttiongelman NH:n

kanssa? No, NH:n poika on nimeltään Kyber.
He kai sekoittivat Star Trekin

ja Tähtien Sodan keskenään joten
sisäisesti heidän huhuttiin nimeävän

Kyberin New Hope the Next Generation
mutta sitten he keksivät paremman nimen

sille myöhemmin. mutta joka tapauksessa
Kyber muistuttaa paljon NH:ta sillä sillä

on patenttiongelmia ja tämä on ainoa
salausjärjestelmä, NIST valitsi SPHINCS+:n

ja valitsi kaksi muuta
allekirjoitusmahdollisuutta ja valitsi yhden

salausmenetelän, Kyberin. Se on ainoa tapa
datasi turvaamiseksi NIST:n valitsemien

standardien mukaan. Kyber in NH:n tavoin
keskellä seitsemän eri patentin miinakenttää

Se ei tarkoita että kaikki seitsemän pätevät
se on varsin monimutkainen asia. Kun

tarkastelet patenttia sinun täytyy ymmärtää
miten patenttilaki toimii ja analysoida mitä

patentti tarkoittaa tärkeysjärjestyksen ja
laajentamisen näkökulmasta. Se on monimutkaista

Yksi helppo tapa päästä eroon patenteista
on ostaa ne ja antaa ne jakoon ilmaiseksi

Niinpä NIST sanoi heinäkuussa neuvottelevansa
useiden kolmansien osapuolten kanssa

heidän mukaan liittymisestä useisiin
sopimuksiin jotta mahdolliset haasteet

liityen patentteihin voitaisiin välttää.
Ok, hyvä, nyt voidaan käyttää Kyberiä

Paitsi että, yritykset katsovat tätä ja
sanovat että hei voitteko näyttää sopimukset

jotta me tiedämme mitä kaikkea
allekirjoititte. Esimerkiksi Scott Fluhrer

Ciscolta sanoi, Cisco ei voi käyttää Kyberiä
ennen kuin me saamme lisenssien tekstit

No, sittenpä kävi ilmi että NIST ei ollut
allekirjoittanut mitään heinäkuussa mutta

he sanoivat että he aikovat ja marraskuussa
he viimein sanoivat, kyllä, me olemme

allekirjoittaneet kaksi lisenssisopimusta
ja tässä hieman tekstiä niistä lisensseistä

Mutta jos katsot katsot tekstiä, niin
lisenssit ovat NIST:n kuvaamalle standardille

ja minkäänlaisten muokkausten käyttö tai
minkään muun kuin NIST:n standardisoitujen

asioiden käyttö Kyberissä ei ole sallittua
tämän lisenssin mukaan

Nyt ehkä ajattelet että no he valitsivat
Kyberin, he standardisoivat sen heinäkuussa

mutta ei, he eivät tehneet niin. Mitä he
sanoivat heinäkuussa oli että he

suunnittelevat Kyberin standardisoimista
mikä ei ole sama asia kuin että Kyber olisi

standardisoitu. He suunnittelevat Kyberin
standardoinnin olevan valmis vuonna 2024

Ja tilannetta pahentaa se että me emme tiedä
minkälainen Kyber tulee olemaan vuonna 2024

koska he vieläkin ehdottavat muutoksia siihen
Eli, yhteenvetona, vuonna 2024, jos he

tuolloin julkistavat standardin, niin
lisenssi antaa sinun käyttää Kyberiä

ja ehkä vuonna 2023 he vakiintavat Kyberin
ja ehkä ne viisi muuta patenttia eivät

vaikuta Kyberiin. On olemassa tapauksia
joissa ihmiset ovat kävelleet miinakentän

läpi räjähtämättä.

Tämä tuo meidät puuhemme loppuun, me selitimme
tarpeeksi viivästyksistä ja kiertoteistä

mutta, mitä tarkoitamme katastrofilla?
Totta kai jos jokin menee rikki joka on

otettu käyttöön Googlen ja Cloudflaren
kokeilussa, niin kyllähän se on katastrofi

mutta he käyttivät varasuunnitelmaa, he
käyttivät sekamuotoa joten se on ok

Mikä oikeasti on katastrofi on se että
olemme täällä vuonna 2022 ja meillä

ei vieläkään ole käytössä kvantti-jälkeistä
kryptografiaa puhelimissa tai tietokoneissa

se ei ole vieläkään laajasti käyttöön otettua
Voimme ilomielin osoittaa esimerkkejä joissa

sitä käytetään mutta sitä ei käytetä laajasti
Datasi on edelleen kvanttia edeltävillä

algoritmeilla salattua ja siksi mahdollista
purkaa kvanttitietokoneella. Se on se oikea

katastrofi. Kiitos huomiostanne!

Kiitos, kiitos

Epäselvää

tai teknologia mitä käytän taustalla
käyttävät kvantti-jälkeistä kryptografiaa

luulen että minun SSH yhteys käyttää
vähintään, joten on se varmaan jotain

voimme aina luottaa OpenBSD:n.
Ehdottomasti.

Tarkistetaan onko kysymyksiä. Yksi kysymys
Kehittäjänä, joka kehittää jotain

sovellusta, ei välttämättä kryptografista,
varmistanko että käyttämäni salaus on

turvallinen kvantti-jälkeiseen aikaan
käyttämällä sekamuotoa nyt?

Hei, sinullahan on dia juuri tätä varten!
Näytä dia!

Me ennustimme joitain kysymyksiä kuten, no
tämä oli aika masentava mitä voimme tehdä

nyt joten meillä on dia valmiina ratkaisu-
keinoista joita voit käyttää nyt ja kyllä

meidän ehdotus on että käyttäkää sekamuotoja
Tunnen kuin tämä olisi takautuma vuoteen 2016

milloin sanoin hei voit tehdä jotain juuri
nyt tässä ovat meidän ehdotuksemme

jotka ovat mielestämme todella turvallisia
ja silti täällä olen joulukuussa vuonna 2022

sanomassa että McEliecen on todella varovainen
järjestelmä ja meillä ei ole samaa patentti

ongelmaa jota Kyber menee tällä hetkellä
läpi. Mitä sekamuoto tarkoittaa?

Se tarkoittaa kvanttia edeltävän ja kvantti-
jälkeisen järjestelmän yhdistämistä

Salauksessa haluat niiden yhdessä luovan
avaimen ja julkisen avaimen allekirjoituksessa

haluat tietysti varmistaa että molemmat
allekirjoitukset yksinään ovat päteviä

jotta sekamuotoinen allekirjoitus toimii
On olemassa useita eri ohjelmistokirjastoja

joita voit tarkastella ja saada siten
laajempaa kuvaa eri järjestelmistä

joita voit yrittää ottaa käyttöön. Kun
katsot kirjastoja niin sovelluksien laatu

ei ole niin huono kuin se oli pari vuotta
sitten kvantti-jälkeisille sovelluksille

Ihmiset käyttävät paljon aikaa näiden
parantamiseen. Siellä on silti paljon riskejä

mutta riski verrattuna siihen ettei tee mitään
ja siten varmistamalla että data on

tulevaisuudessa suojaton tulevaisuuden
hyökkääjiä vastaan jotka käyttävät

kvanttitietokoneita ja jotka tallentavat
dataa juuri nyt niin haluat todellakin

kokeilla eri asioita. Esimerkiksi yksi kirjasto
joka on toteuttanut pari eri järjestelmää

on nimeltään Quantum safe oqs. On olemassa
muita kirjastoja jotka käyttävät tiettyjä

salausjärjestelmiä joten useimmilla
järjestelmäsuunnittelijoilla on jonkinlainen

sovellus mutta jälleen kerran sinun täytyy
miettiä kuinka hyvä sovelluksen laatu on

Uusi kirjasto on tulossa nimeltään lib.js
jolla on useita verifikaatteja, joten sanoisin

että se on hyvänlaatuinen mutta valitettavasti
ainoa kvantti-jälkeinen salausjärjestelmä

jota se tarjoaa tällä hetkellä on Kyber,
joka on no, jos suunnittelet eteenpäin

vuoteen 2024 jolloin se tulee käyttöön mutta
juuri nyt se ei ole käyttökelpoinen

Joten jos haluat jotain joka on nopea,
niin jos katsot mitä OpenSSH tai Google

tekevät ntruhrss:lla joten se sovellus
on ainakin jotenkin testattu

joten voit kokeilla sitä mutta muista
aina käyttää sekamuotoja ECC:n kanssa

varmuuden vuoksi jos jokin sattuukin
menemään pahasti pieleen kvantti-jälkeisen

osan kanssa.

Eikö ole kuitenkin aika hankalaa luoda oma
yhdistäjä? Minulla pitää silti olla oikea tapa

yhdistää kaksi järjestelmää, kvanttia
edeltävä ja kvantti-jälkeinen

Kyllä ja se on mahdollista, joten jopa niin
yksinkertainen juttu kuin allekirjoita

tällä järjestelmällä, allekirjoita toisella
järjestelmällä, tarkista molemmat

allekirjoitukset. Me olemme nähneet
sovelluksia joissa tämä on mennyt väärin

On todella tärkeää käydä se läpi
varovaisesti. Salaamiseen sinulla yleensä

on ECC joka vaihtaa avaimen ja sitten sinun
kvantti-jälkeinen järjestelmä vaihtaa avaimen

ja tiivistät molemmat avaimet yhteen suosikki-
tiivistefunktiollasi. Standardisoitu

tiivistefunktio on hyvä. Mutta jälleen kerran,
mainitsit yhdistämisen, on olemassa useita

tutkimuksia

epäselvää

Anteeksi, sanotko uudestaan?

Standardi tarkoittaa kryptografista tiiviste-
funktiota. Älä käytä jotain XX-tiivistettä

vaan käytä jotain joka on kryptografista.

Kyllä, eli esimerkiksi SHA-512 joka on
NSA:n suunnittelema mutta ihmiset ovat

lyöneet sitä jo pitkän aikaa rikkomatta
sitä. Jotain mikä on käynyt läpi julkista

arviota, on SHA-3 järjestelmät ja yleensä
se ei ole suorituskykyongelma tiivistää

kaksi 32 tavuista merkkijonoa yhteen,
ketjuta ja tiivistä ne ja sinulla on

uusi merkkijono joka on sinun symmetrisen
kryptografian avain

On olemassa ehdotuksia miten tehdä tämä
esimerkiksi IRTF:n tai tarkemmin CFRG:n RFC

sitten on jotain NIST:n stardardeissa
liittyen sekamuotojen käyttöön

lopuksi hieman itsemainontaa, meillä on
yksi dia jonka julkaisemme ja siellä on

joitain alustavia tutkimuksia joissa käymme
läpi yksityiskohtaisemmin sekamuotojen

käyttöönottoa ja yhdistämistä. Eli miten voit
turvallisesti tehdä tämän. Tieysti on

asentamisen valinta, eli valitset sinun oman
järjestelmäsi, ja kuten näet niin on huolia

mallitilanteen suhteen, lisäksi mainitsen
kokeilututkimuksia varten voit käyttää Skypeä

se on vain ongelma silloin jos haluat
ottaa sen käyttöön

yleinen varoitus on mutta jos olet vain
harrastelija tai haluat tökkiä sitä tai

haluat kirjoittaa tutkimuksen aiheesta
niin se ei ole ongelma

mutta yleisesti sinulla on valinta tehokkaiden
järjestelmien kuten mitä Google on tehnyt

kokeilemalla jotain uutta ja katsomalla
räjähtääkö se meidän tietokoneillamme

onneksemme se ei räjähtänyt, joten Google
pystyi jatkamaan sen käyttöä yhdistämällä

NH:n tai myöhemmin NTRU:n ja ECC:n
tai sitten voit sanoa että tärkeintä on se

että järjestelmä pysyy turvassa, ja olemme
valmiita uhraamaan hieman nopeutta ja kaistaa

joten ottamalla kaikkein varovaisimmat
kvantti-jälkeiset järjestelmät ja yhdistamällä

ne ECC:n tai RSA:n kanssa. Se on myös
valinta jonka joudut tekemään

jos haluat ottaa sen käyttöön

Eli olisiko ok ottaa käyttöön salakirjoitus-
järjestelmä joka on vielä mukana kilpailussa

joka ei ole vielä tai jota ei tulla
standardisoimaan NIST:n toimesta?

Vaikka ei olisi tiedossa olevia hyökkäyksiä?
No, yleisesti, kun katsot tällaista kuvaa

jossa on niin paljon punaista niin sinä
mahdat ajatella ettemme me kryptograafikot

tiedä mitä me teemme. Miten meillä voi olla
niin moni asia rikki? Se on todella todella

vaarallista. Sanoisin että sillä onko jokin
NIST:n valitsema vai ei ei lisää paljoa

informaatiota tässä. Ok haluat kommentoida
tähän.

Haluan mainita että asiat jotka pudotettiin
ensimmäisellä kierroksella eivät saaneet

paljoa huomiota. Ihmiset menettivät
kiinnostuksensa. Asiat jotka selvisivät

kolmannelle kierrokselle ja sitten eivät
selvinneet neljännelle kierrokselle

esimerkiksi kaksi Android muunnelmaa,
NTRU Prime ja NTRU-HRSS-KEM jotka ovat

mainittuina tässä, ne pääsivät kolmannelle
kierrokselle mutta eivät voittaneet kauneus-

kilpailua jota NIST pyöritti. Luulen että
ne ovat aivan yhtä hyviä kuin ne jotka

ovat tässä kuvassa sinisellä.

Yleisesti kaikki tässä ovat pelottavia.
Eli NTRU ja NTRU-HRSS ovat Googlen

käyttöönottamia ja OpenSSH mutta todella
harva näistä 69:stä ehdotuksesta omaa

samaa turvallisuustasoa nyt tiedettyjä
hyökkäyksiä vastaan kuin mitä niillä oli

viisi vuotta sitten kun ne ensin toimitettiin
Turvallisuutta ollaan aina menetetty koska

hyökkäykset ovat kehittyneet paremmiksi
jollain oli turvallisuusmarginaalia niistä

selviytymiseen. Tehdäksesi turvallisen
päätöksen sinun valitettavasti täytyy

tutustua näiden historiaan ja kysyä kuinka
hyvin nämä ovat kestäneet kuinka hyvin

näitä on tutkittu. Mitä Tanja korosti oli
se että joitain näistä on tutkittu todella

vähän ja joitain hieman enemmän, ja se
kuinka hyvin nämä järjestelmät kestivät

tutkimuksen aikana määrittelee sen kuinka
vaarallisia ne ovat loppujen lopuksi

Esimerkiksi Three Bears on kaunis
järjestelmä mutta se pudotettiin toisen

kierroksen jälkeen ja sen jälkeen ihmiset
lopettivat sen tutkimisen eikä se saanut

paljoa analyysia. Tuntuu siltä että se on
hyvä mutta sitä ei ole toisaalta tutkittu

melkein yhtään. Mutta jos tarkastelet
kolmannen kierroksen valikoimaa jotka ovat

mustia tai harmaita tässä sanoisin että
ne ovat suurimmaksi osaksi ok.

Ja tietysti siniset.

Ok eli valitse se joka on joko sininen tai
musta dialla. Luulen että ne ovat varsin

tiettyjä asioita. Nopea viimeinen kysymys
jos olen tinapaperihattu, voinko tehdä

jotain oman kommunikaationi suojaamiseksi?

Käytä kaikki OpenSSH:n läpi, se on hyvä
alku. Tilanne on se että tietysti tarvitset

asiakasohjelman sekä palvelimen
jotka tukevat asioita ja on olemassa

useita kokeiluja mutta vain vähäistä
käyttöönottoa

on olemassa VPN:n käyttöönottoa esimerkiksi
Joo on olemassa kvantti-jälkeistä VPN:ä

Movadilla on kvantti-jälkeinen vaihtoehto,
he käyttävät McElieceä, he käyttävät

WireGuardia VPN:ä varten ja WireGuardilla
on vaihtoehto ylimääräisen avaimen

syöttämiseksi, ennalta jaettu avain jota
movad käyttää McEliecen kanssa eli lataat

sen McEliecen läpi kvantti-jälkeisen
turvan saamiseksi movadiin

Tämä on siis VPN jossa et mene päästä
toiseen, haluat yleensä mennä koko tien

siihen sivustoon johon otat yhteyttä, ja
jos sinulla on päästä päähän turva käytössä

se tarkoittaa että asiakasohjelmiston ja
palvelimen pitää tukea kvantti-jälkeistä

kryptografiaa ja kun se on nyt viivästynyt
niin se ei ole niin yleisesti käytössä kuin

olisin kuvitellut sen olevan vuosia sitten
kun sitä kohtaan tuntui olevan paljon

innostusta

epäselvää

Ok Tanja haluaa että kerron PQ Connectista,
tulossa pian joka toivottavasti helpottaa

kvantti-jälkeisen kryptografian
käyttöönottoa yhteytesi turvaamiseksi

päästä päähän mutta sitä ei ole julkaistu
vielä joten en voi sanoa paljoa siitä

odotan innolla PQ Connectia. Luulisin että
tämä oli tässä, kiitos että olitte täällä

ja jaoitte tietojanne jaoitte päivityksiä
liityen kvantti-jälkeiseen kryptografiaan

Kiitos todella paljon Tanja Lange
ja D.J.B!

Kiitos!

[Translated by Timo Broström
(KYBS2004 course assignment at JYU.FI)]