Introduzione alla crittografia quantistica sicura in TLS

Modalità Quantum Safe vs Hybrid Mode

Key Protect supporta due modalità che proteggono le tue chiavi durante una connessione TLS: Quantum Safe Mode e Hybrid mode.

• Modalità ibrida: La modalità ibrida utilizza una combinazione di un algoritmo quantistico sicuro e di algoritmi di scambio chiave classici per proteggere i dati durante il transito. Quando si effettua una richiesta utilizzando questa modalit ..., l'algoritmo ellittico classico e l'algoritmo di sicurezza quantistica verranno utilizzati in un meccanismo di scambio di chiavi per proteggere crittograficamente i dati mentre si fa strada verso il Servizio Key Protect.

  La modalità ibrida supporta l'algoritmo Kyber ibrido con le seguenti serie di parametri (dimensioni chiave):

  • p256_kyber512: combina kyber512 con ECDH utilizzando la curva p_256. Fornisce Sicurezza L1.
  • p384_kyber768: combina kyber768 con ECDH utilizzando la curva p_384. Fornisce Sicurezza L3.
  • p521_kyber1024: combina kyber1024 con ECDH utilizzando la curva p_521. Fornisce la sicurezza L5.

L'algoritmo ibrido viene utilizzato sulla base della guida dell'Open Quantum Safe (OQS) comunità di progetto. Per ulteriori informazioni sull'algoritmo e le relative dimensioni di chiave associate, consultare Prototipazione dello scambio di chiavi post - quantum e ibride.

• Modalità sicura quantistica: La modalità di sicurezza quantistica utilizza un algoritmo di sicurezza quantistica per proteggere i dati durante il transito. Quando si effettua una richiesta utilizzando questa modalit ..., l'algoritmo di sicurezza quantistica verr ... utilizzato in un meccanismo di scambio di chiavi per proteggere crittograficamente i dati mentre si fa strada Servizio Key Protect.

  La modalità Quantum Safe supporta l'algoritmo Kyber con le seguenti serie di parametri (dimensioni chiave):

  • kyber512
  • kyber768
  • kyber1024

L'algoritmo Kyber viene utilizzato in base alla raccomandazione di IBM Cloud. Per ulteriori informazioni sull'algoritmo e sulle dimensioni delle chiavi associate, consultare CRYSTALS-Kyber.

Endpoint abilitati Quantum Safe

IBM® Key Protect for IBM Cloud® ha endpoint abilitati con sicurezza quantistica per 2 regioni; US-South e EU-GB. Consulta la seguente tabella per determinare quali endpoint abilitati quantum safe utilizzare quando si inviano richieste al servizio IBM® Key Protect for IBM Cloud®.

Gli endpoint del servizio Key Protect classici non sono abilitati alla sicurezza quantistica.

Prerequisiti

Prima di configurare la tua applicazione per utilizzare l'SDK, attieniti alla seguente procedura:

1. Scarica il Script OQSSA(Open Quantum Safe Software Stack) Questo script creerà e installerà tutte le dipendenze necessarie (liboqs, openssl e libcurl) nella cartella della directory HOME ($HOME/opt/oqssa/).

2. Assicurarsi che i pacchetti dipendenti richiesti per la creazione di OQSSA siano installati. Saranno necessarie le autorizzazioni sudo per installare i pacchetti di dipendenza.

   • Dipendenze Debian (Ubuntu): libtool automake autoconf cmake (3.5 or above) make openssl libssl-dev build-essential git wget golang (1.14 or above) patch perl diffutils

   Se si sta utilizzando una distribuzione Debian, copiare il seguente frammento di codice in un file ed eseguirlo per verificare che tutti i pacchetti necessari siano stati installati:

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="libtool automake autoconf cmake make openssl libssl-dev git wget build-essential golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(dpkg-query -W --showformat='${Version},${Status}\n' $REQUIRED_PKG|grep "install ok installed")
       if [ "" = "$PKG_STATUS" ]
       then
         echo "$REQUIRED_PKG is NOT installed"
         #sudo apt-get -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   echo "Prerequisites verification completed"
   

   • Dipendenze RHEL (Centos/Fedora): libtool automake autoconf cmake (3.5 or above) make openssl ncurses-devel gcc-c++ glibc-locale-source glibc-langpack-enopenssl-devel git wget golang (1.14 or above) patch perl diffutils 'Developement Tools'

   Se si utilizza una distribuzione RHEL, copiare il seguente frammento di codice in un file ed eseguirlo per verificare che tutti i pacchetti necessari siano stati installati:

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="git libtool automake autoconf cmake make openssl  ncurses-devel gcc-c++ openssl-devel wget glibc-locale-source glibc-langpack-en sudo golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(rpm -q --qf '%{VERSION},%{INSTALLTIME}\n' $REQUIRED_PKG)
       if [[ "$PKG_STATUS" == *"not installed"* ]];
       then
       echo "$REQUIRED_PKG is NOT installed"
       #sudo yum -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   PKG_STATUS=$(yum grouplist Dev* |grep "Development Tools")
   if [ "" = "$PKG_STATUS" ]
   then
       echo "Developement Tools is NOT installed"
   fi
   echo "Prerequisites verification completed"
   

3. Una volta installati e verificati i pacchetti prerequisiti, eseguire lo script per creare e installare OQSSA:

   bash build-oqssa.sh
   

4. Eseguire il seguente comando per impostare il percorso della libreria Quantum:

   export LD_LIBRARY_PATH=$HOME/opt/oqssa/lib:$LD_LIBRARY_PATH
   

Configurazione dell'SDK Key Protect con la tua applicazione

Una volta installati i prerequisiti, attenersi alla seguente procedura per configurare SDKKey Protect con l'applicazione:

1. Passare alla cartella in cui si trova il client go eseguendo il comando riportato di seguito:

       cd $HOME/keyprotect-go-client
   

2. Impostare l'algoritmo Kyber nell'inizializzazione del Key Protect nel tuo codice dell'applicazione. Se non si specifica un algoritmo, per impostazione predefinita l'applicazione utilizzerà l'algoritmo p384_kyber768. Utilizzare il codice riportato di seguito come un esempio di configurazione degli algoritmi:

   qscConfig := kp.ClientQSCConfig{
       AlgorithmID: kp.KP_QSC_ALGO_p384_KYBER768,
   }
   

3. Compila l'SDK Key Protect immettendo il seguente comando:

   LD_LIBRARY_PATH=$HOME/opt/oqssa/lib PKG_CONFIG_PATH=$HOME/opt/oqssa/lib/pkgconfig go build –-tags quantum
   

Prerequisiti

Prima di effettuare una richiesta curl a un Key Protect endpoint abilitato quantum safe, attenersi alla seguente procedura:

1. Scarica il Script OQSSA(Open Quantum Safe Software Stack) Questo script creerà e installerà tutte le dipendenze necessarie (liboqs, openssl e libcurl) nella cartella della directory HOME ($HOME/opt/oqssa/).

2. Assicurarsi che i pacchetti dipendenti richiesti per la creazione di OQSSA siano installati. Saranno necessarie le autorizzazioni sudo per installare i pacchetti di dipendenza.

   • Dipendenze Debian (Ubuntu): libtool automake autoconf cmake (3.5 or above) make openssl libssl-dev build-essential git wget golang (1.14 or above) patch perl diffutils

   Se si sta utilizzando una distribuzione Debian, copiare il seguente frammento di codice in un file ed eseguirlo per verificare che tutti i pacchetti necessari siano stati installati:

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="libtool automake autoconf cmake make openssl libssl-dev git wget build-essential golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(dpkg-query -W --showformat='${Version},${Status}\n' $REQUIRED_PKG|grep "install ok installed")
       if [ "" = "$PKG_STATUS" ]
       then
         echo "$REQUIRED_PKG is NOT installed"
         #sudo apt-get -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   echo "Prerequisites verification completed"
   

   • Dipendenze RHEL (Centos/Fedora): libtool automake autoconf cmake (3.5 or above) make openssl ncurses-devel gcc-c++ glibc-locale-source glibc-langpack-enopenssl-devel git wget golang (1.14 or above) patch perl diffutils 'Developement Tools''

   Se si utilizza una distribuzione RHEL, copiare il seguente frammento di codice in un file ed eseguirlo per verificare che tutti i pacchetti necessari siano stati installati:

   echo "Starting prerequisites verification"
   CMAKE_VER_REQUIRED="3.*"
   packages="git libtool automake autoconf cmake make openssl  ncurses-devel gcc-c++ openssl-devel wget glibc-locale-source glibc-langpack-en sudo golang patch perl diffutils"
   for REQUIRED_PKG in $packages
   do
       PKG_STATUS=$(rpm -q --qf '%{VERSION},%{INSTALLTIME}\n' $REQUIRED_PKG)
       if [[ "$PKG_STATUS" == *"not installed"* ]];
       then
       echo "$REQUIRED_PKG is NOT installed"
       #sudo yum -y install $REQUIRED_PKG
       else
         PKG_VER=$(echo $PKG_STATUS| cut -d',' -f 1)
         if [ "cmake" == $REQUIRED_PKG ]  && ! [[ $PKG_VER =~ $CMAKE_VER_REQUIRED ]]
         then
           echo "$REQUIRED_PKG Version is: $PKG_VER. OQSSA requires cmake 3.5 and above."
         fi
       fi
   done
   PKG_STATUS=$(yum grouplist Dev* |grep "Development Tools")
   if [ "" = "$PKG_STATUS" ]
   then
       echo "Developement Tools is NOT installed"
   fi
   echo "Prerequisites verification completed"
   

3. Una volta installati e verificati i pacchetti prerequisiti, eseguire lo script per creare e installare OQSSA:

   bash build-oqssa.sh
   

Esecuzione di una richiesta CURL a un endpoint abilitato quantum safe

Quando si effettua una chiamata a un endpoint abilitato per la sicurezza quantistica tramite curl , sarà necessario utilizzare una specifica per garantire che la richiesta venga eseguita correttamente. La seguente tabella contiene un elenco di indicatori richiesti quando si effettua una richiesta Quantum Safe curl.

Puoi utilizzare la seguente richiesta di esempio per richiamare un elenco di chiavi per il tuo Istanza Key Protect tramite un endpoint abilitato a sicurezza quantistica.

$ curl --tlsv1.3 --curves <qsc_algorithm> -X GET \
    "https://qsc.<region>.kms.cloud.ibm.com/api/v2/keys" \
    -H "accept: application/vnd.ibm.kms.key+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Sostituire le variabili nella richiesta in base alla seguente tabella.