Mode Quantum Safe et mode hybride

Key Protect prend en charge deux modes de protection de vos clés lors d'une connexion TLS : le mode Quantum Safe et le mode hybride.

• Mode hybride : Le mode hybride utilise une combinaison d'un algorithme post-quantique et d'algorithmes classiques d'échange de clés pour protéger vos données pendant le transit. Lorsque vous émettez une demande à l'aide de ce mode, l'algorithme elliptique classique et l'algorithme de sécurité post-quantique sont utilisés dans un mécanisme d'échange de clés pour protéger vos données par cryptographie lors de leur transmission vers le du service Key Protect.

  Le mode hybride prend en charge l'algorithme hybride Kyber avec les ensembles de paramètres suivants (taille des clés) :

  • p256_kyber512 : combine kyber512 avec ECDH à l'aide de la courbe p_256. Fournit la sécurité L1.
  • p384_kyber768 : combine kyber768 avec ECDH à l'aide de la courbe p_384. Fournit la sécurité L3.
  • p521_kyber1024 : combine kyber1024 avec ECDH à l'aide de la courbe p_521. Fournit la sécurité L5.

L'algorithme hybride est utilisé conformément aux directives de la communauté de projet Open Quantum Safe (OQS). Pour plus d'informations sur l'algorithme et les tailles de clés associées, voir tailles de clés associées, voir Prototypage de l'échange de clés post-quantique et hybride.

• **Mode post-quantique (Quantum Safe) **: Le mode de sécurité post-quantique utilise un algorithme post-quantique pour protéger vos données en transit. Lorsque vous émettez une demande à l'aide de ce mode, l'algorithme post-quantique est utilisé dans un mécanisme d'échange de clés pour protéger vos données par cryptographie lors de leur transmission vers le du service Key Protect.

  Le mode Quantum Safe prend en charge l'algorithme Kyber avec les ensembles de paramètres suivants (taille des clés) :

  • kyber512
  • kyber768
  • kyber1024

L'algorithme Kyber est utilisé conformément aux directives de IBM Cloud. Pour en savoir plus sur l'algorithme et ses tailles de clés associées, voir CRYSTAUX-Kyber.

Nœuds finaux compatibles Quantum Safe

IBM® Key Protect for IBM Cloud® comportent des nœuds finaux compatibles avec Quantum Safe pour 2 régions : US-South et EU-GB. Consultez le tableau suivant pour déterminer quels nœuds finaux compatibles Quantum Safe utiliser lors de l'envoi de demandes au service IBM® Key Protect for IBM Cloud®.

Les nœuds finaux de service Key Protect classiques ne sont pas compatibles avec Quantum Safe.

Prérequis

Avant de configurer votre application pour utiliser le SDK, procédez comme suit :

1. Télécharger le script Le script Open Quantum Safe Software Stack(OQSSA). Ce script va générer et installer toutes les dépendances nécessaires (liboqs, opensslet libcurl) dans votre dossier de répertoire HOME ($HOME/opt/oqssa/).

2. Assurez-vous que les packages dépendants requis pour la génération d'OQSSA sont installés. Vous devez disposer des droits sudo pour installer les packages de dépendance.

   • Dépendances Debian (Ubuntu) : libtool automake autoconf cmake (3.5 or above) make openssl libssl-dev build-essential git wget golang (1.14 or above) patch perl diffutils

   Si vous utilisez une distribution Debian, copiez le fragment de code suivant dans un fichier et exécutez-le pour vérifier que tous les packages nécessaires ont été installés :

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="libtool automake autoconf cmake make openssl libssl-dev git wget build-essential golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(dpkg-query -W --showformat='${Version},${Status}\n' $REQUIRED_PKG|grep "install ok installed")
       if [ "" = "$PKG_STATUS" ]
       then
         echo "$REQUIRED_PKG is NOT installed"
         #sudo apt-get -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   echo "Prerequisites verification completed"
   

   • Dépendances RHEL (Centos/Fedora) : libtool automake autoconf cmake (3.5 or above) make openssl ncurses-devel gcc-c++ glibc-locale-source glibc-langpack-enopenssl-devel git wget golang (1.14 or above) patch perl diffutils 'Developement Tools'

   Si vous utilisez une distribution RHEL, copiez le fragment de code suivant dans un fichier et exécutez-le pour vérifier que tous les packages nécessaires ont été installés :

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="git libtool automake autoconf cmake make openssl  ncurses-devel gcc-c++ openssl-devel wget glibc-locale-source glibc-langpack-en sudo golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(rpm -q --qf '%{VERSION},%{INSTALLTIME}\n' $REQUIRED_PKG)
       if [[ "$PKG_STATUS" == *"not installed"* ]];
       then
       echo "$REQUIRED_PKG is NOT installed"
       #sudo yum -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   PKG_STATUS=$(yum grouplist Dev* |grep "Development Tools")
   if [ "" = "$PKG_STATUS" ]
   then
       echo "Developement Tools is NOT installed"
   fi
   echo "Prerequisites verification completed"
   

3. Une fois les packages prérequis installés et vérifiés, exécutez le script pour générer et installer OQSSA :

   bash build-oqssa.sh
   

4. Exécutez la commande suivante pour définir le chemin de la bibliothèque Quantum :

   export LD_LIBRARY_PATH=$HOME/opt/oqssa/lib:$LD_LIBRARY_PATH
   

Configuration du SDK Key Protect avec votre application

Une fois les prérequis installés, procédez comme suit pour configurer le SDKKey Protect avec votre application:

1. Accédez au dossier dans lequel réside le client go en exécutant la commande suivante :

       cd $HOME/keyprotect-go-client
   

2. Définissez l'algorithme Kyber lors de l'initialisation de Client Key Protect dans votre code d'application. Si vous n'indiquez pas d'algorithme, votre application utilise par défaut l'algorithme p384_kyber768. Utilisez le code suivant comme exemple de configuration d'algorithme :

   qscConfig := kp.ClientQSCConfig{
       AlgorithmID: kp.KP_QSC_ALGO_p384_KYBER768,
   }
   

3. Compilez le SDK Key Protect en exécutant la commande suivante :

   LD_LIBRARY_PATH=$HOME/opt/oqssa/lib PKG_CONFIG_PATH=$HOME/opt/oqssa/lib/pkgconfig go build –-tags quantum
   

Prérequis

Avant d'envoyer une demande curl à un nœud final post-quantique Key Protect, procédez comme suit :

1. Télécharger le script Le script Open Quantum Safe Software Stack(OQSSA). Ce script va générer et installer toutes les dépendances nécessaires (liboqs, opensslet libcurl) dans votre dossier de répertoire HOME ($HOME/opt/oqssa/).

2. Assurez-vous que les packages dépendants requis pour la génération d'OQSSA sont installés. Vous devez disposer des droits sudo pour installer les packages de dépendance.

   • Dépendances Debian (Ubuntu) : libtool automake autoconf cmake (3.5 or above) make openssl libssl-dev build-essential git wget golang (1.14 or above) patch perl diffutils

   Si vous utilisez une distribution Debian, copiez le fragment de code suivant dans un fichier et exécutez-le pour vérifier que tous les packages nécessaires ont été installés :

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="libtool automake autoconf cmake make openssl libssl-dev git wget build-essential golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(dpkg-query -W --showformat='${Version},${Status}\n' $REQUIRED_PKG|grep "install ok installed")
       if [ "" = "$PKG_STATUS" ]
       then
         echo "$REQUIRED_PKG is NOT installed"
         #sudo apt-get -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   echo "Prerequisites verification completed"
   

   • Dépendances RHEL (Centos/Fedora) : libtool automake autoconf cmake (3.5 or above) make openssl ncurses-devel gcc-c++ glibc-locale-source glibc-langpack-enopenssl-devel git wget golang (1.14 or above) patch perl diffutils 'Developement Tools''

   Si vous utilisez une distribution RHEL, copiez le fragment de code suivant dans un fichier et exécutez-le pour vérifier que tous les packages nécessaires ont été installés :

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="git libtool automake autoconf cmake make openssl  ncurses-devel gcc-c++ openssl-devel wget glibc-locale-source glibc-langpack-en sudo golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(rpm -q --qf '%{VERSION},%{INSTALLTIME}\n' $REQUIRED_PKG)
       if [[ "$PKG_STATUS" == *"not installed"* ]];
       then
       echo "$REQUIRED_PKG is NOT installed"
       #sudo yum -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   PKG_STATUS=$(yum grouplist Dev* |grep "Development Tools")
   if [ "" = "$PKG_STATUS" ]
   then
       echo "Developement Tools is NOT installed"
   fi
   echo "Prerequisites verification completed"
   

3. Une fois les packages prérequis installés et vérifiés, exécutez le script pour générer et installer OQSSA :

   bash build-oqssa.sh
   

Demande CURL à un nœud final compatible Quantum Safe

Lors d'un appel vers le nœud final post-quantique via curl vous devrez utiliser des méthodes spécifiques pour vous assurer que la demande est traitée avec succès soit traitée avec succès. Le tableau suivant contient la liste des indicateurs requis pour effectuer une demande curl Quantum Safe.

Vous pouvez utiliser l'exemple de demande suivant pour extraire une liste de clés pour votre instance Key Protect via un nœud final post-quantique.

$ curl --tlsv1.3 --curves <qsc_algorithm> -X GET \
    "https://qsc.<region>.kms.cloud.ibm.com/api/v2/keys" \
    -H "accept: application/vnd.ibm.kms.key+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Remplacez les variables de votre demande conformément au tableau suivant :