양자 내성 모드 대 하이브리드 모드

Key Protect에서는 TLS 연결 중에 키를 보호하는 두 가지 모드(양자 내성 모드와 하이브리드 모드)를 지원합니다.

• 하이브리드 모드: 하이브리드 모드는 전송 중에 데이터를 보호하기 위해 양자 내성 알고리즘과 기존의 키 교환 알고리즘의 조합을 사용합니다. 이 모드를 사용하여 요청을 작성하면 기존의 타원 알고리즘과 양자 내성 알고리즘이 키 교환 메커니즘에 사용되어 데이터가 Key Protect 서비스.

  하이브리드 모드는 다음 매개변수 세트(키 크기)를 사용하여 하이브리드 Kyber 알고리즘을 지원합니다.

  • p256_kyber512: p_256 곡선을 사용하여 kyber512와 ECDH를 결합합니다. L1 보안을 제공합니다.
  • p384_kyber768: p_384 곡선을 사용하여 kyber768과 ECDH를 결합합니다. L3 보안을 제공합니다.
  • p521_kyber1024: p_521 곡선을 사용하여 kyber1024와 ECDH를 결합합니다. L5 보안을 제공합니다.

하이브리드 알고리즘은 OQS(Open Quantum Safe) 프로젝트 커뮤니티의 안내에 따라 사용됩니다. 알고리즘 및 관련 키 크기에 대한 자세한 내용은 키 크기에 대한 자세한 내용은 다음을 참조하세요 포스트-퀀텀 및 하이브리드 키 교환 프로토타이핑을 참조하세요.

• 양자 내성 모드: 양자 내성 모드는 전송 중에 데이터를 보호하기 위해 양자 내성 알고리즘을 사용합니다. 이 모드를 사용하여 요청을 작성하면, 양자 내성 알고리즘이 키 교환 메커니즘에 사용되어 데이터가 Key Protect 서비스.

  양자 내성 모드에서는 다음 매개변수 세트(키 크기)를 사용하여 Kyber 알고리즘을 지원합니다.

  • kyber512
  • kyber768
  • kyber1024

Kyber 알고리즘은 다음의 권장사항을 기반으로 사용됩니다. IBM Cloud. 알고리즘과 관련 키 크기에 대해 자세히 알아보려면 관련 키 크기에 대한 자세한 내용은 CRYSTALS-Kyber.

양자 내성 지원 엔드포인트

IBM® Key Protect for IBM Cloud®에는 2개 지역(US-South 및 EU-GB)의 양자 내성 지원 엔드포인트가 있습니다. IBM® Key Protect for IBM Cloud® 서비스에 요청을 전송할 때 사용할 양자 내성 지원 엔드포인트를 판별하려면 다음 표를 참조하십시오.

기존 Key Protect 서비스 엔드포인트는 양자 내성이 지원되지 않습니다.

전제조건

SDK 관련 작업을 수행하도록 애플리케이션을 설정하기 전에 다음 단계를 따르십시오.

1. 다운로드 오픈 퀀텀 세이프 소프트웨어 스택(OQSSA)스크립트를 다운로드하세요. 이 스크립트는 필요한 모든 종속 항목(liboqs, openssl 및 libcurl)을 빌드하여 HOME 디렉토리 폴더($HOME/opt/oqssa/)에 설치합니다.

2. OQSSA 빌드에 필요한 종속 패키지가 설치되어 있는지 확인하십시오. 종속 항목 패키지를 설치하려면 sudo 권한이 필요합니다.

   • Debian(Ubuntu) 종속 항목: libtool automake autoconf cmake (3.5 or above) make openssl libssl-dev build-essential git wget golang (1.14 or above) patch perl diffutils

   Debian 배포판을 사용하는 경우 다음 코드 스니펫을 파일에 복사하고 실행하여 필요한 모든 패키지가 설치되었는지 확인합니다.

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="libtool automake autoconf cmake make openssl libssl-dev git wget build-essential golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(dpkg-query -W --showformat='${Version},${Status}\n' $REQUIRED_PKG|grep "install ok installed")
       if [ "" = "$PKG_STATUS" ]
       then
         echo "$REQUIRED_PKG is NOT installed"
         #sudo apt-get -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   echo "Prerequisites verification completed"
   

   • RHEL(Centos/Fedora) 종속 항목: libtool automake autoconf cmake (3.5 or above) make openssl ncurses-devel gcc-c++ glibc-locale-source glibc-langpack-enopenssl-devel git wget golang (1.14 or above) patch perl diffutils 'Developement Tools'

   RHEL 배포판을 사용 중인 경우 다음 코드 스니펫을 파일에 복사하고 실행하여 필요한 모든 패키지가 설치되었는지 확인하십시오.

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="git libtool automake autoconf cmake make openssl  ncurses-devel gcc-c++ openssl-devel wget glibc-locale-source glibc-langpack-en sudo golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(rpm -q --qf '%{VERSION},%{INSTALLTIME}\n' $REQUIRED_PKG)
       if [[ "$PKG_STATUS" == *"not installed"* ]];
       then
       echo "$REQUIRED_PKG is NOT installed"
       #sudo yum -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   PKG_STATUS=$(yum grouplist Dev* |grep "Development Tools")
   if [ "" = "$PKG_STATUS" ]
   then
       echo "Developement Tools is NOT installed"
   fi
   echo "Prerequisites verification completed"
   

3. 전제조건 패키지가 설치되고 확인되면 OQSSA를 빌드하고 설치하는 스크립트를 실행하십시오.

   bash build-oqssa.sh
   

4. 다음 명령을 실행하여 Quantum 라이브러리 경로를 설정하십시오.

   export LD_LIBRARY_PATH=$HOME/opt/oqssa/lib:$LD_LIBRARY_PATH
   

애플리케이션을 사용하여 Key Protect SDK 구성

필수 소프트웨어를 설치하고 나면 다음 단계를 수행하여 애플리케이션이 있는 Key Protect SDK:

1. 다음 명령을 실행하여 이동 클라이언트가 있는 폴더로 이동하십시오.

       cd $HOME/keyprotect-go-client
   

2. Kyber 알고리즘을 애플리케이션 코드의 Key Protect 클라이언트 초기화에서 설정하십시오. 알고리즘을 지정하지 않으면 애플리케이션이 기본값으로 p384_kyber768 알고리즘을 사용합니다. 다음 코드를 알고리즘 구성의 예로 사용하십시오.

   qscConfig := kp.ClientQSCConfig{
       AlgorithmID: kp.KP_QSC_ALGO_p384_KYBER768,
   }
   

3. 다음 명령을 실행하여 Key Protect SDK를 컴파일하십시오.

   LD_LIBRARY_PATH=$HOME/opt/oqssa/lib PKG_CONFIG_PATH=$HOME/opt/oqssa/lib/pkgconfig go build –-tags quantum
   

전제조건

curl 요청을 Key Protect 양자 내성 지원 엔드포인트에 대해 작성하기 전에 다음 단계를 수행하십시오.

1. 다운로드 오픈 퀀텀 세이프 소프트웨어 스택(OQSSA)스크립트를 다운로드하세요. 이 스크립트는 필요한 모든 종속 항목(liboqs, openssl 및 libcurl)을 빌드하여 HOME 디렉토리 폴더($HOME/opt/oqssa/)에 설치합니다.

2. OQSSA 빌드에 필요한 종속 패키지가 설치되어 있는지 확인하십시오. 종속 항목 패키지를 설치하려면 sudo 권한이 필요합니다.

   • Debian(Ubuntu) 종속 항목: libtool automake autoconf cmake (3.5 or above) make openssl libssl-dev build-essential git wget golang (1.14 or above) patch perl diffutils

   Debian 배포판을 사용하는 경우 다음 코드 스니펫을 파일에 복사하고 실행하여 필요한 모든 패키지가 설치되었는지 확인합니다.

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="libtool automake autoconf cmake make openssl libssl-dev git wget build-essential golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(dpkg-query -W --showformat='${Version},${Status}\n' $REQUIRED_PKG|grep "install ok installed")
       if [ "" = "$PKG_STATUS" ]
       then
         echo "$REQUIRED_PKG is NOT installed"
         #sudo apt-get -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   echo "Prerequisites verification completed"
   

   • RHEL(Centos/Fedora) 종속 항목: libtool automake autoconf cmake (3.5 or above) make openssl ncurses-devel gcc-c++ glibc-locale-source glibc-langpack-enopenssl-devel git wget golang (1.14 or above) patch perl diffutils 'Developement Tools''

   RHEL 배포판을 사용 중인 경우 다음 코드 스니펫을 파일에 복사하고 실행하여 필요한 모든 패키지가 설치되었는지 확인하십시오.

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="git libtool automake autoconf cmake make openssl  ncurses-devel gcc-c++ openssl-devel wget glibc-locale-source glibc-langpack-en sudo golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(rpm -q --qf '%{VERSION},%{INSTALLTIME}\n' $REQUIRED_PKG)
       if [[ "$PKG_STATUS" == *"not installed"* ]];
       then
       echo "$REQUIRED_PKG is NOT installed"
       #sudo yum -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   PKG_STATUS=$(yum grouplist Dev* |grep "Development Tools")
   if [ "" = "$PKG_STATUS" ]
   then
       echo "Developement Tools is NOT installed"
   fi
   echo "Prerequisites verification completed"
   

3. 전제조건 패키지가 설치되고 확인되면 OQSSA를 빌드하고 설치하는 스크립트를 실행하십시오.

   bash build-oqssa.sh
   

양자 내성 지원 엔드포인트에 CURL 요청

양자 내성 지원 엔드포인트에 대한 호출을 curl 요청을 보내려면 요청을 성공적으로 통과하려면 요청이 성공적으로 처리되도록 해야 합니다. 다음 표에는 양자 내성 curl 요청을 수행할 때 필요한 플래그 목록이 포함되어 있습니다.

다음 예제 요청을 사용하여 양자 내성 지원 엔드포인트를 통해 Key Protect 인스턴스에 대한 키 목록을 검색할 수 있습니다.

$ curl --tlsv1.3 --curves <qsc_algorithm> -X GET \
    "https://qsc.<region>.kms.cloud.ibm.com/api/v2/keys" \
    -H "accept: application/vnd.ibm.kms.key+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

다음 표에 따라 요청의 변수를 대체하십시오.