Modalidad de criptografía postcuántica versus modalidad híbrida

Key Protect da soporte a dos modalidades que protegen las claves durante una conexión TLS: la modalidad de criptografía postcuántica y la modalidad híbrida.

• Modo híbrido: El modo híbrido utiliza una combinación de un algoritmo cuántico seguro y algoritmos clásicos de intercambio de claves para proteger sus datos mientras están en tránsito. Cuando usted hace una solicitud usando este modo, se utilizarán el algoritmo elíptico clásico y el algoritmo cuántico seguro en un mecanismo de intercambio de claves para proteger criptográficamente sus datos mientras se dirigen al servicio Key Protect.

  La modalidad híbrida da soporte al algoritmo Kyber híbrido con los siguientes conjuntos de parámetros (tamaños de clave):

  • p256_kyber512: combina kyber512 con ECDH utilizando la curva p_256. Proporciona seguridad L1.
  • p384_kyber768: combina kyber768 con ECDH utilizando la curva p_384. Proporciona seguridad L3.
  • p521_kyber1024: combina kyber1024 con ECDH utilizando la curva p_521. Proporciona seguridad L5.

El algoritmo híbrido se utiliza según las instrucciones de la base comunidad de proyectos Open Quantum Safe (OQS) . Para más información sobre el algoritmo y sus tamaños de clave asociados asociados, consulte Prototipos de intercambio de claves post-cuántico e híbrido.

• Modo de seguridad cuántica: El modo de seguridad cuántica utiliza un algoritmo cuántico seguro para proteger sus datos mientras está en tránsito. Cuando realice una solicitud utilizando esta modalidad, se utilizará el algoritmo de seguridad cuántica en un mecanismo de intercambio de claves para proteger criptográficamente sus datos mientras se dirigen al servicio Key Protect.

  La modalidad de criptografía postcuántica da soporte al algoritmo Kyber con los siguientes conjuntos de parámetros (tamaños de clave):

  • kyber512
  • kyber768
  • kyber1024

El algoritmo de Kyber se utiliza en base a la recomendación de IBM Cloud. Para saber más sobre el algoritmo y sus tamaños de clave asociados, consulte CRYSTALS-Kyber.

Puntos finales habilitados para la criptografía postcuántica

IBM® Key Protect for IBM Cloud® tiene puntos finales habilitados para la criptografía postcuántica para 2 regiones; US-South y EU-GB. Consulte la tabla siguiente para determinar qué puntos finales habilitados para la criptografía postcuántica se deben utilizar al enviar solicitudes al servicio IBM® Key Protect for IBM Cloud®.

Los puntos finales de servicio Key Protect clásicos no están habilitados para la criptografía postcuántica.

Requisitos previos

Antes de configurar la aplicación para que funcione con el SDK, siga estos pasos:

1. Descargue el Open Quantum Safe Software Stack(OQSSA)script. Este script creará e instalará todas las dependencias necesarias (liboqs, openssl y libcurl) en la carpeta del directorio HOME ($HOME/opt/oqssa/).

2. Asegúrese de que se han instalado los paquetes dependientes necesarios para crear OQSSA. Necesitará los permisos sudo para instalar los paquetes de dependencias.

   • Dependencias de Debian (Ubuntu): libtool automake autoconf cmake (3.5 or above) make openssl libssl-dev build-essential git wget golang (1.14 or above) patch perl diffutils

   Si está utilizando una distribución Debian, copie el siguiente fragmento de código en un archivo y ejecútelo para verificar que se han instalado todos los paquetes necesarios:

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="libtool automake autoconf cmake make openssl libssl-dev git wget build-essential golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(dpkg-query -W --showformat='${Version},${Status}\n' $REQUIRED_PKG|grep "install ok installed")
       if [ "" = "$PKG_STATUS" ]
       then
         echo "$REQUIRED_PKG is NOT installed"
         #sudo apt-get -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   echo "Prerequisites verification completed"
   

   • Dependencias de RHEL (Centos/Fedora): libtool automake autoconf cmake (3.5 or above) make openssl ncurses-devel gcc-c++ glibc-locale-source glibc-langpack-enopenssl-devel git wget golang (1.14 or above) patch perl diffutils 'Developement Tools'

   Si está utilizando una distribución RHEL, copie el siguiente fragmento de código en un archivo y ejecútelo para verificar que se han instalado todos los paquetes necesarios:

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="git libtool automake autoconf cmake make openssl  ncurses-devel gcc-c++ openssl-devel wget glibc-locale-source glibc-langpack-en sudo golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(rpm -q --qf '%{VERSION},%{INSTALLTIME}\n' $REQUIRED_PKG)
       if [[ "$PKG_STATUS" == *"not installed"* ]];
       then
       echo "$REQUIRED_PKG is NOT installed"
       #sudo yum -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   PKG_STATUS=$(yum grouplist Dev* |grep "Development Tools")
   if [ "" = "$PKG_STATUS" ]
   then
       echo "Developement Tools is NOT installed"
   fi
   echo "Prerequisites verification completed"
   

3. Una vez instalados y verificados los paquetes de requisito previo, ejecute el script para crear e instalar OQSSA:

   bash build-oqssa.sh
   

4. Ejecute el mandato siguiente para establecer la vía de acceso de la biblioteca Quantum:

   export LD_LIBRARY_PATH=$HOME/opt/oqssa/lib:$LD_LIBRARY_PATH
   

Configuración del Key Protect SDK con la aplicación

Una vez que haya instalado los requisitos previos, siga estos pasos para configurar el SDK deKey Protect con la aplicación:

1. Vaya a la carpeta donde reside el cliente go ejecutando el mandato siguiente:

       cd $HOME/keyprotect-go-client
   

2. Establezca el algoritmo de Kyber en la inicialización del cliente de Key Protect en el código de aplicación. Si no especifica un algoritmo, la aplicación optará de forma predeterminada por utilizar el algoritmo p384_kyber768. Utilice el código siguiente como ejemplo de configuración de algoritmo:

   qscConfig := kp.ClientQSCConfig{
       AlgorithmID: kp.KP_QSC_ALGO_p384_KYBER768,
   }
   

3. Compile el Key Protect SDK ejecutando el mandato siguiente:

   LD_LIBRARY_PATH=$HOME/opt/oqssa/lib PKG_CONFIG_PATH=$HOME/opt/oqssa/lib/pkgconfig go build –-tags quantum
   

Requisitos previos

Antes de realizar una solicitud curl a un punto final de Key Protect habilitado con seguridad cuántica, siga estos pasos:

1. Descargue el Open Quantum Safe Software Stack(OQSSA)script. Este script creará e instalará todas las dependencias necesarias (liboqs, openssl y libcurl) en la carpeta del directorio HOME ($HOME/opt/oqssa/).

2. Asegúrese de que se han instalado los paquetes dependientes necesarios para crear OQSSA. Necesitará los permisos sudo para instalar los paquetes de dependencias.

   • Dependencias de Debian (Ubuntu): libtool automake autoconf cmake (3.5 or above) make openssl libssl-dev build-essential git wget golang (1.14 or above) patch perl diffutils

   Si está utilizando una distribución Debian, copie el siguiente fragmento de código en un archivo y ejecútelo para verificar que se han instalado todos los paquetes necesarios:

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="libtool automake autoconf cmake make openssl libssl-dev git wget build-essential golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(dpkg-query -W --showformat='${Version},${Status}\n' $REQUIRED_PKG|grep "install ok installed")
       if [ "" = "$PKG_STATUS" ]
       then
         echo "$REQUIRED_PKG is NOT installed"
         #sudo apt-get -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   echo "Prerequisites verification completed"
   

   • Dependencias de RHEL (Centos/Fedora): libtool automake autoconf cmake (3.5 or above) make openssl ncurses-devel gcc-c++ glibc-locale-source glibc-langpack-enopenssl-devel git wget golang (1.14 or above) patch perl diffutils 'Developement Tools''

   Si está utilizando una distribución RHEL, copie el siguiente fragmento de código en un archivo y ejecútelo para verificar que se han instalado todos los paquetes necesarios:

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="git libtool automake autoconf cmake make openssl  ncurses-devel gcc-c++ openssl-devel wget glibc-locale-source glibc-langpack-en sudo golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(rpm -q --qf '%{VERSION},%{INSTALLTIME}\n' $REQUIRED_PKG)
       if [[ "$PKG_STATUS" == *"not installed"* ]];
       then
       echo "$REQUIRED_PKG is NOT installed"
       #sudo yum -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   PKG_STATUS=$(yum grouplist Dev* |grep "Development Tools")
   if [ "" = "$PKG_STATUS" ]
   then
       echo "Developement Tools is NOT installed"
   fi
   echo "Prerequisites verification completed"
   

3. Una vez instalados y verificados los paquetes de requisito previo, ejecute el script para crear e instalar OQSSA:

   bash build-oqssa.sh
   

Hacer una solicitud CURL a un punto final habilitado para la criptografía postcuántica

Al realizar una llamada a un punto final habilitado con seguridad cuántica mediante una curl solicitud, tendrá que suse específica para asegurarse de que la solicitud se realice correctamente. La tabla siguiente contiene una lista de distintivos que son necesarios al realizar una solicitud de curl de criptografía postcuántica.

Puede utilizar la siguiente solicitud de ejemplo para recuperar una lista de claves para su instancia de Key Protect a través de un punto final habilitado para seguridad cuántica.

$ curl --tlsv1.3 --curves <qsc_algorithm> -X GET \
    "https://qsc.<region>.kms.cloud.ibm.com/api/v2/keys" \
    -H "accept: application/vnd.ibm.kms.key+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Sustituya las variables de la solicitud siguiendo la siguiente tabla.