耐量子モードとハイブリッド・モード

Key Protect は、TLS 接続時に鍵を保護するモードとして、耐量子モードとハイブリッド・モードの 2 つをサポートしています。

• ハイブリッド・モード: ハイブリッド・モードでは、転送中のデータを保護するために、耐量子アルゴリズムと従来の鍵交換アルゴリズムの組み合わせを使用します。 このモードを使用して要求を行うと、従来の楕円アルゴリズムと耐量子アルゴリズムが鍵交換メカニズムで使用され、データが以下に到達するときに暗号的に保護されるようになります。 Key Protect サービス。

  ハイブリッド・モードでは、以下のパラメーター・セット (鍵サイズ) のハイブリッド Kyber アルゴリズムがサポートされます。

  • p256_kyber512: p_256 曲線を使用した ECDH と kyber512 の組み合わせです。 これは L1 セキュリティーを提供します。
  • p384_kyber768: p_384 曲線を使用した ECDH と kyber768 の組み合わせです。 これは L3 セキュリティーを提供します。
  • p521_kyber1024: p_521 曲線を使用した ECDH と kyber1024 の組み合わせです。 これは L5 セキュリティーを提供します。

ハイブリッド・アルゴリズムは、Open Quantum Safe (OQS) プロジェクト・コミュニティーからのガイダンスに基づいて使用されます。 プロジェクト・コミュニティー。 アルゴリズムとそれに関連する 鍵のサイズについては ポスト量子鍵交換とハイブリッド鍵交換のプロトタイピング。

• 耐量子モード: 耐量子モードでは、転送中のデータを保護するために耐量子アルゴリズムが使用されます。 このモードを使用して要求を行うと、耐量子アルゴリズムが鍵交換メカニズムで使用され、データが以下に到達するときに暗号的に保護されるようになります。 Key Protect サービス。

  耐量子モードでは、以下のパラメーター・セット (鍵サイズ) の Kyber アルゴリズムがサポートされます。

  • kyber512
  • kyber768
  • kyber1024

Kyber アルゴリズムは、以下の推奨に基づいて使用されます。 IBM Cloud. アルゴリズムとそれに関連するキー・サイズの詳細については 関連するキー・サイズについては CRYSTALS-Kyberを参照。

耐量子対応エンドポイント

IBM® Key Protect for IBM Cloud® では、US-South と EU-GB の 2 つのリージョンに、耐量子対応エンドポイントが用意されています。 以下の表を参照して、IBM® Key Protect for IBM Cloud® サービスに要求を送信するときに使用すべき耐量子対応エンドポイントを確認してください。

従来の Key Protect サービス・エンドポイントは、耐量子に対応していません。

前提条件

SDK を使用できるようにアプリケーションをセットアップする前に、以下の手順を実行します。

1. ダウンロード Open Quantum Safe Software Stack(OQSSA)スクリプト。 このスクリプトは、必要なすべての依存関係 (liboqs、openssl、および libcurl) をビルドして HOME ディレクトリー・フォルダー ($HOME/opt/oqssa/) にインストールします。

2. OQSSA のビルドに必要な依存関係パッケージがインストールされたことを確認します。 依存関係パッケージをインストールするには、sudo 権限が必要です。

   • Debian (Ubuntu) 依存関係: libtool automake autoconf cmake (3.5 or above) make openssl libssl-dev build-essential git wget golang (1.14 or above) patch perl diffutils

   Debian ディストリビューションを使用している場合は、以下のコード・スニペットをファイルにコピーして実行することで、必要なすべてのパッケージがインストールされたことを確認してください。

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="libtool automake autoconf cmake make openssl libssl-dev git wget build-essential golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(dpkg-query -W --showformat='${Version},${Status}\n' $REQUIRED_PKG|grep "install ok installed")
       if [ "" = "$PKG_STATUS" ]
       then
         echo "$REQUIRED_PKG is NOT installed"
         #sudo apt-get -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   echo "Prerequisites verification completed"
   

   • RHEL (Centos/Fedora) 依存関係: libtool automake autoconf cmake (3.5 or above) make openssl ncurses-devel gcc-c++ glibc-locale-source glibc-langpack-enopenssl-devel git wget golang (1.14 or above) patch perl diffutils 'Developement Tools'

   RHEL ディストリビューションを使用している場合は、以下のコード・スニペットをファイルにコピーして実行することで、必要なすべてのパッケージがインストールされたことを確認してください。

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="git libtool automake autoconf cmake make openssl  ncurses-devel gcc-c++ openssl-devel wget glibc-locale-source glibc-langpack-en sudo golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(rpm -q --qf '%{VERSION},%{INSTALLTIME}\n' $REQUIRED_PKG)
       if [[ "$PKG_STATUS" == *"not installed"* ]];
       then
       echo "$REQUIRED_PKG is NOT installed"
       #sudo yum -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   PKG_STATUS=$(yum grouplist Dev* |grep "Development Tools")
   if [ "" = "$PKG_STATUS" ]
   then
       echo "Developement Tools is NOT installed"
   fi
   echo "Prerequisites verification completed"
   

3. 前提条件パッケージのインストールと確認が終了したら、スクリプトを実行して OQSSA のビルドおよびインストールを実行します。

   bash build-oqssa.sh
   

4. 以下のコマンドを実行して、Quantum ライブラリー・パスを設定します。

   export LD_LIBRARY_PATH=$HOME/opt/oqssa/lib:$LD_LIBRARY_PATH
   

アプリケーションでの Key Protect SDK の構成

前提条件がインストールされたら、以下の手順に従って、 アプリケーションでの Key Protect SDK:

1. 以下のコマンドを実行して、go クライアントが存在するフォルダーに移動します。

       cd $HOME/keyprotect-go-client
   

2. 以下の初期化で Kyber アルゴリズムを設定します。 アプリケーション・コード内の Key Protect クライアント。 アルゴリズムを指定しない場合、アプリケーションはデフォルトで p384_kyber768 アルゴリズムを使用します。 アルゴリズム構成の例として、以下のコードを使用してください。

   qscConfig := kp.ClientQSCConfig{
       AlgorithmID: kp.KP_QSC_ALGO_p384_KYBER768,
   }
   

3. 以下のコマンドを実行して、Key Protect SDK をコンパイルします。

   LD_LIBRARY_PATH=$HOME/opt/oqssa/lib PKG_CONFIG_PATH=$HOME/opt/oqssa/lib/pkgconfig go build –-tags quantum
   

前提条件

以下に curl 要求を送信する前に (Key Protect 耐量子対応エンドポイント)、次の手順に従ってください。

1. ダウンロード Open Quantum Safe Software Stack(OQSSA)スクリプト。 このスクリプトは、必要なすべての依存関係 (liboqs、openssl、および libcurl) をビルドして HOME ディレクトリー・フォルダー ($HOME/opt/oqssa/) にインストールします。

2. OQSSA のビルドに必要な依存関係パッケージがインストールされたことを確認します。 依存関係パッケージをインストールするには、sudo 権限が必要です。

   • Debian (Ubuntu) 依存関係: libtool automake autoconf cmake (3.5 or above) make openssl libssl-dev build-essential git wget golang (1.14 or above) patch perl diffutils

   Debian ディストリビューションを使用している場合は、以下のコード・スニペットをファイルにコピーして実行することで、必要なすべてのパッケージがインストールされたことを確認してください。

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="libtool automake autoconf cmake make openssl libssl-dev git wget build-essential golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(dpkg-query -W --showformat='${Version},${Status}\n' $REQUIRED_PKG|grep "install ok installed")
       if [ "" = "$PKG_STATUS" ]
       then
         echo "$REQUIRED_PKG is NOT installed"
         #sudo apt-get -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   echo "Prerequisites verification completed"
   

   • RHEL (Centos/Fedora) 依存関係: libtool automake autoconf cmake (3.5 or above) make openssl ncurses-devel gcc-c++ glibc-locale-source glibc-langpack-enopenssl-devel git wget golang (1.14 or above) patch perl diffutils 'Developement Tools''

   RHEL ディストリビューションを使用している場合は、以下のコード・スニペットをファイルにコピーして実行することで、必要なすべてのパッケージがインストールされたことを確認してください。

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="git libtool automake autoconf cmake make openssl  ncurses-devel gcc-c++ openssl-devel wget glibc-locale-source glibc-langpack-en sudo golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(rpm -q --qf '%{VERSION},%{INSTALLTIME}\n' $REQUIRED_PKG)
       if [[ "$PKG_STATUS" == *"not installed"* ]];
       then
       echo "$REQUIRED_PKG is NOT installed"
       #sudo yum -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   PKG_STATUS=$(yum grouplist Dev* |grep "Development Tools")
   if [ "" = "$PKG_STATUS" ]
   then
       echo "Developement Tools is NOT installed"
   fi
   echo "Prerequisites verification completed"
   

3. 前提条件パッケージのインストールと確認が終了したら、スクリプトを実行して OQSSA のビルドおよびインストールを実行します。

   bash build-oqssa.sh
   

耐量子対応エンドポイントへの CURL 要求の実行

耐量子対応エンドポイントへの呼び出しを行う場合 curl リクエストが正常に通過するように、特定のリクエストを使用する必要があります。 を使う必要があります。 以下の表に、耐量子 curl 要求を実行するときに必要なフラグをリストします。

以下の要求例を使用して、以下の鍵のリストを取得できます。 Key Protect インスタンス (耐量子対応エンドポイントを介して)。

$ curl --tlsv1.3 --curves <qsc_algorithm> -X GET \
    "https://qsc.<region>.kms.cloud.ibm.com/api/v2/keys" \
    -H "accept: application/vnd.ibm.kms.key+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

次の表に従って、要求内の変数を置き換えてください。