Quantensicherer Modus vs. Hybridmodus

Key Protect unterstützt zwei Modi, die Ihre Schlüssel während einer TLS-Verbindung schützen: Quantum Safe Mode-und Hybrid-Modus.

• Hybridmodus: Der Hybridmodus verwendet eine Kombination aus einem quantensicheren Algorithmus und klassischen Schlüsselaustauschalgorithmen, um Ihre Daten während der Übertragung zu schützen. Wenn Sie eine Anforderung mit diesem Modus stellen, werden der klassische elliptische Algorithmus und der quantensichere Algorithmus in einem Schlüsselaustauschmechanismus verwendet, um Ihre Daten auf kryptografische Weise zu schützen, wenn sich Ihre Daten auf dem Weg machen zum Key Protect-Service zu verifizieren.

  Der Hybridmodus unterstützt den Hybrid-Kyber-Algorithmus mit den folgenden Parametersätzen (Schlüsselgrößen):

  • p256_kyber512: kombiniert kyber512 mit ECDH unter Verwendung der p_256-Kurve. Es bietet L1-Sicherheit.
  • p384_kyber768: kombiniert kyber768 mit ECDH mit der Kurve p_384. Es bietet L3-Sicherheit.
  • p521_kyber1024: kombiniert kyber1024 mit ECDH mit der Kurve p_521. Es bietet L5-Sicherheit.

Der Hybrid-Algorithmus basiert auf der Anleitung des Open Quantum Safe (OQS) Projekt-Community. Für weitere Informationen über den Algorithmus und die damit verbundenen schlüsselgrößen, siehe Prototyping von Post-Quantum- und Hybrid-Schlüsselaustausch.

• Quantensicherer Modus: Der quantensichere Modus verwendet einen quantensicheren Algorithmus, um Ihre Daten während der Übertragung zu schützen. Wenn Sie eine Anforderung mit diesem Modus stellen, wird der quantensichere Algorithmus in einem Schlüsselaustauschmechanismus verwendet, um Ihre Daten auf dem Weg zum Key Protect-Service zu verifizieren.

  Der Quanten-Safe-Modus unterstützt den Kyber-Algorithmus mit den folgenden Parametersätzen (Schlüsselgrößen):

  • kyber512
  • kyber768
  • kyber1024

Der Kyber-Algorithmus wird verwendet basierend auf der Empfehlung von IBM Cloud. Weitere Informationen über den Algorithmus und seine zugehörigen Schlüsselgrößen, siehe CRYSTALS-Kyber.

Quantum Safe-aktivierte Endpunkte

IBM® Key Protect for IBM Cloud® verfügt über quantensichere Endpunkte für 2 Regionen, US-South und EU-GB. Anhand der folgenden Tabelle können Sie ermitteln, welche quantensicheren Endpunkte beim Senden von Anforderungen an den IBM® Key Protect for IBM Cloud® Service verwendet werden können.

Die klassischen Key Protect Serviceendpunkte sind nicht quantensicher aktiviert.

Voraussetzungen

Bevor Sie Ihre Anwendung für die Arbeit mit dem SDK einrichten, führen Sie die folgenden Schritte aus:

1. Laden Sie das Open Quantum Safe Software Stack(OQSSA)Skript. Dieses Script erstellt und installiert alle erforderlichen Abhängigkeiten (liboqs, opensslund libcurl) in Ihrem HOME-Verzeichnis-Ordner ($HOME/opt/oqssa/).

2. Stellen Sie sicher, dass die für die Erstellung von OQSSA erforderlichen abhängigen Pakete installiert sind. Sie benötigen sudo -Berechtigungen, um die Abhängigkeitspakete zu installieren.

   • Debian-Abhängigkeiten (Ubuntu): libtool automake autoconf cmake (3.5 or above) make openssl libssl-dev build-essential git wget golang (1.14 or above) patch perl diffutils

   Wenn Sie eine Debian-Distribution verwenden, kopieren Sie das folgende Code-Snippet in eine Datei und führen Sie es aus, um zu überprüfen, ob alle erforderlichen Pakete installiert wurden:

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="libtool automake autoconf cmake make openssl libssl-dev git wget build-essential golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(dpkg-query -W --showformat='${Version},${Status}\n' $REQUIRED_PKG|grep "install ok installed")
       if [ "" = "$PKG_STATUS" ]
       then
         echo "$REQUIRED_PKG is NOT installed"
         #sudo apt-get -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   echo "Prerequisites verification completed"
   

   • RHEL-Abhängigkeiten (Centos/Fedora): libtool automake autoconf cmake (3.5 or above) make openssl ncurses-devel gcc-c++ glibc-locale-source glibc-langpack-enopenssl-devel git wget golang (1.14 or above) patch perl diffutils 'Developement Tools'

   Wenn Sie eine RHEL-Distribution verwenden, kopieren Sie das folgende Code-Snippet in eine Datei und führen Sie es aus, um zu überprüfen, ob alle erforderlichen Pakete installiert wurden:

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="git libtool automake autoconf cmake make openssl  ncurses-devel gcc-c++ openssl-devel wget glibc-locale-source glibc-langpack-en sudo golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(rpm -q --qf '%{VERSION},%{INSTALLTIME}\n' $REQUIRED_PKG)
       if [[ "$PKG_STATUS" == *"not installed"* ]];
       then
       echo "$REQUIRED_PKG is NOT installed"
       #sudo yum -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   PKG_STATUS=$(yum grouplist Dev* |grep "Development Tools")
   if [ "" = "$PKG_STATUS" ]
   then
       echo "Developement Tools is NOT installed"
   fi
   echo "Prerequisites verification completed"
   

3. Wenn die vorausgesetzten Pakete installiert und verifiziert werden, führen Sie das Script zum Erstellen und Installieren von OQSSA aus:

   bash build-oqssa.sh
   

4. Führen Sie den folgenden Befehl aus, um den Quantum-Bibliothekspfad festzulegen:

   export LD_LIBRARY_PATH=$HOME/opt/oqssa/lib:$LD_LIBRARY_PATH
   

Key Protect SDK mit Ihrer Anwendung konfigurieren

Nachdem Sie die Voraussetzungen installiert haben, führen Sie die folgenden Schritte aus, um die Key Protect SDK mit Ihrer Anwendung:

1. Navigieren Sie zu dem Ordner, in dem sich der go-Client befindet, indem Sie den folgenden Befehl ausführen:

       cd $HOME/keyprotect-go-client
   

2. Legen Sie den Kyber-Algorithmus bei der Initialisierung des Key Protect-Clients in Ihrem Anwendungscode fest. Wenn Sie keinen Algorithmus angeben, wird Ihre Anwendung standardmäßig den Algorithmus p384_kyber768 verwenden. Verwenden Sie den folgenden Code als Beispiel für die Algorithmuskonfiguration:

   qscConfig := kp.ClientQSCConfig{
       AlgorithmID: kp.KP_QSC_ALGO_p384_KYBER768,
   }
   

3. Kompilieren Sie das Key Protect SDK, indem Sie den folgenden Befehl ausführen:

   LD_LIBRARY_PATH=$HOME/opt/oqssa/lib PKG_CONFIG_PATH=$HOME/opt/oqssa/lib/pkgconfig go build –-tags quantum
   

Voraussetzungen

Bevor Sie eine curl-Anforderung an einen quantensicher aktivierten Key Protect Endpunkt stellen, befolgen Sie diese Schritte:

1. Laden Sie das Open Quantum Safe Software Stack(OQSSA)Skript. Dieses Script erstellt und installiert alle erforderlichen Abhängigkeiten (liboqs, opensslund libcurl) in Ihrem HOME-Verzeichnis-Ordner ($HOME/opt/oqssa/).

2. Stellen Sie sicher, dass die für die Erstellung von OQSSA erforderlichen abhängigen Pakete installiert sind. Sie benötigen sudo -Berechtigungen, um die Abhängigkeitspakete zu installieren.

   • Debian-Abhängigkeiten (Ubuntu): libtool automake autoconf cmake (3.5 or above) make openssl libssl-dev build-essential git wget golang (1.14 or above) patch perl diffutils

   Wenn Sie eine Debian-Distribution verwenden, kopieren Sie das folgende Code-Snippet in eine Datei und führen Sie es aus, um zu überprüfen, ob alle erforderlichen Pakete installiert wurden:

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="libtool automake autoconf cmake make openssl libssl-dev git wget build-essential golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(dpkg-query -W --showformat='${Version},${Status}\n' $REQUIRED_PKG|grep "install ok installed")
       if [ "" = "$PKG_STATUS" ]
       then
         echo "$REQUIRED_PKG is NOT installed"
         #sudo apt-get -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   echo "Prerequisites verification completed"
   

   • RHEL-Abhängigkeiten (Centos/Fedora): libtool automake autoconf cmake (3.5 or above) make openssl ncurses-devel gcc-c++ glibc-locale-source glibc-langpack-enopenssl-devel git wget golang (1.14 or above) patch perl diffutils 'Developement Tools''

   Wenn Sie eine RHEL-Distribution verwenden, kopieren Sie das folgende Code-Snippet in eine Datei und führen Sie es aus, um zu überprüfen, ob alle erforderlichen Pakete installiert wurden:

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="git libtool automake autoconf cmake make openssl  ncurses-devel gcc-c++ openssl-devel wget glibc-locale-source glibc-langpack-en sudo golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(rpm -q --qf '%{VERSION},%{INSTALLTIME}\n' $REQUIRED_PKG)
       if [[ "$PKG_STATUS" == *"not installed"* ]];
       then
       echo "$REQUIRED_PKG is NOT installed"
       #sudo yum -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   PKG_STATUS=$(yum grouplist Dev* |grep "Development Tools")
   if [ "" = "$PKG_STATUS" ]
   then
       echo "Developement Tools is NOT installed"
   fi
   echo "Prerequisites verification completed"
   

3. Wenn die vorausgesetzten Pakete installiert und verifiziert werden, führen Sie das Script zum Erstellen und Installieren von OQSSA aus:

   bash build-oqssa.sh
   

Erstellen einer CURL-Anforderung an einen quantensicheren Endpunkt

Wenn Sie einen Aufruf an den quantensicher aktivierten Endpunkt über curl anfrage zu stellen, müssen Sie spezifische Maßnahmen ergreifen, um sicherzustellen, dass die Anfrage erfolgreich durchgeht. Die folgende Tabelle enthält eine Liste der Flags, die erforderlich sind, wenn eine quantensichere curl-Anforderung erstellt wird.

Sie können die folgende Beispielanforderung verwenden, um eine Liste der Schlüssel für Ihre Key Protect-Instanz über einen quantensicheren Endpunkt abzurufen.

$ curl --tlsv1.3 --curves <qsc_algorithm> -X GET \
    "https://qsc.<region>.kms.cloud.ibm.com/api/v2/keys" \
    -H "accept: application/vnd.ibm.kms.key+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Ersetzen Sie die Variablen in der Beispielanforderung wie in der folgenden Tabelle angegeben.