Statistiken zur asymmetrischen Post-Quanten-Kryptografie (PQC) ansehen

Auf dieser Seite wird beschrieben, wie Sie das Diagramm Post-Quanten-Kryptografie-Statistiken (PQC) in der Schlüsselverwaltung von Cloud KMS in derGoogle Cloud Console verwenden, um Ihren Bestand an asymmetrischen Schlüsseln zu bewerten und sich auf die zukünftige kryptografische Modernisierung vorzubereiten.

Das Aufkommen von Quantencomputern stellt eine potenzielle Bedrohung für weit verbreitete Public-Key-Kryptografie-Algorithmen dar. Das Diagramm PQC-Erkenntnisse hilft Ihnen, klassische asymmetrische Schlüssel zu identifizieren und zu inventarisieren. So erhalten Sie die nötige Transparenz, um die zukünftige Modernisierung zu planen und langfristige Resilienz zu gewährleisten.

Symmetrische Schlüssel (z. B. die für ENCRYPT_DECRYPT verwendeten Schlüssel) gelten im Allgemeinen als resistent gegen Angriffe durch Quantencomputer und sind nicht in diesem Dashboard enthalten. Weitere Informationen zu den von Cloud KMS unterstützten Algorithmen finden Sie unter Schlüsselzwecke und Algorithmen.

Wiz, jetzt Teil von Google Cloud, bietet ein kryptografisches Inventar und eine Risikobewertung, mit denen Sie Ihre kryptografische Bereitschaft besser einschätzen und die Migration zu Post-Quanten-Algorithmen planen können. Diese Funktionen sind Teil der Cloud- und KI-Sicherheitsplattform von Wiz und ergänzen die Schlüsselverwaltungsfunktionen von Cloud KMS.

Hinweis

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Cloud KMS-Betrachter (roles/cloudkms.viewer) für das Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Aufrufen von PQC-Statistiken benötigen.

PQC-Statistiken ansehen

Das Diagramm PQC-Statistiken (asymmetrisch) bietet eine allgemeine visuelle Aufschlüsselung Ihrer asymmetrischen Schlüssel basierend auf der Kategorisierung der verwendeten Algorithmen.

  1. Rufen Sie in der Google Cloud Console die Seite Schlüsselverwaltung auf.

    Key Management aufrufen

  2. Klicken Sie auf den Tab Übersicht und rufen Sie das Diagramm PQC-Statistiken (asymmetrisch) auf.

  3. Optional: Klicken Sie auf ein Segment des Diagramms, um die Anzahl der Schlüssel zu sehen, die es darstellt. Sie können auch für ein Segment auf Ansehen klicken, um eine Tabelle mit PQC-Statistikdetails (asymmetrisch) aufzurufen.

In diesem Diagramm werden Schlüssel in zwei Hauptgruppen unterteilt:

  • Post-Quanten: Schlüssel, die kryptografische Algorithmen verwenden, die speziell dafür entwickelt wurden, Angriffen durch zukünftige Quantencomputer standzuhalten.
  • Klassisch: Schlüssel, die klassische asymmetrische Algorithmen (z. B. RSA oder ECC) verwenden, die Schutz vor klassischen Angriffen bieten, aber anfällig für Angriffe durch künftige Quantencomputer sind.

Im Diagramm werden diese Schlüssel weiter nach ihrem kryptografischen Zweck und Kryptografietyp segmentiert.

Tabelle mit Details

In der Tabelle auf dieser Seite sind Ihre asymmetrischen Schlüssel im aktuellen Projekt aufgeführt. Sie enthält die folgenden Informationen:

  • Schlüsselname: Der Name des Schlüssels. Klicken Sie auf den Namen, um die Seite Schlüsseldetails für diesen Schlüssel aufzurufen.
  • Speicherort:Der Speicherort des Schlüssels.
  • Schutzniveau: Das Schutzniveau des Schlüssels.
  • Zweck: Der kryptografische Zweck des Schlüssels, z. B. ASYMMETRIC_SIGN.
  • Kryptografietyp: Gibt an, ob für den Schlüssel ein PQC- oder ein klassischer Algorithmus verwendet wird.

Mit der Filterleiste über der Tabelle können Sie die Liste der Schlüssel anhand dieser Attribute eingrenzen.

Klassische Schlüssel für zukünftige Modernisierung bewerten

Sie sollten Ihre vorhandenen asymmetrischen Schlüssel auf klassische asymmetrische Algorithmen prüfen, die auf Post-Quanten-Alternativen umgestellt werden könnten. Diese Schlüssel bieten weiterhin umfassenden Schutz vor klassischen Angriffen. Die Einführung von Post-Quanten-Algorithmen trägt jedoch dazu bei, langfristig vor potenziellen zukünftigen Quantenbedrohungen geschützt zu sein. In der folgenden Tabelle sind die wichtigsten Verwendungszwecke und Algorithmen aufgeführt und es wird angegeben, ob sie als postquantensicher gelten.

Zweck Algorithmen Kryptografietyp Post-Quanten-Alternative
ASYMMETRIC_SIGN EC_SIGN_* Klassisch ASYMMETRIC_SIGN mit PQ_SIGN_*-Algorithmen
ASYMMETRIC_SIGN RSA_SIGN_* Klassisch ASYMMETRIC_SIGN mit PQ_SIGN_*-Algorithmen
ASYMMETRIC_SIGN PQ_SIGN_* PQC Post-Quanten-sicher
ASYMMETRIC_DECRYPT RSA_DECRYPT_* Klassisch KEY_ENCAPSULATION-Algorithmen
KEY_ENCAPSULATION Alle PQC Post-Quanten-sicher

Die Einführung von PQC-Standards bietet folgende Vorteile:

  • Wenn Sie ASYMMETRIC_DECRYPT-Schlüssel durch KEY_ENCAPSULATION-Schlüssel ersetzen, können Sie Ihre verschlüsselten Daten besser vor SNDL-Angriffen („store now, decrypt later“) schützen. Bei solchen Angriffen fängt ein Angreifer Ihren Chiffretext ab, ohne ihn entschlüsseln zu können, speichert ihn aber in der Hoffnung, die Verschlüsselung eines Tages zu knacken.
  • Wenn Sie ASYMMETRIC_SIGN-Schlüssel, die EC_SIGN_*- oder RSA_SIGN_*-Algorithmen verwenden, durch einen PQ_SIGN_*-Algorithmus ersetzen, wird die Nichtabstreitbarkeit Ihrer Signaturen langfristig gewährleistet.

Schlüssel mit Cloud Asset Inventory identifizieren

Mit Cloud Asset Inventory können Sie Ihre Cloud KMS-Assets programmatisch nach Algorithmustyp auflisten und filtern.

In einer Organisation suchen

  1. Führen Sie den folgenden Befehl aus, um Schlüssel aufzulisten, die Post-Quanten-Algorithmen wie PQ_SIGN_*, ML_KEM_* oder KEM_XWING verwenden:

    gcloud asset list \
  --organization=ORGANIZATION_ID \
  --asset-types="cloudkms.googleapis.com/CryptoKey" \
  --content-type=resource \
  --filter='(resource.data.purpose = "ASYMMETRIC_SIGN" OR resource.data.purpose = "ASYMMETRIC_DECRYPT" OR resource.data.purpose = "KEY_ENCAPSULATION") AND (resource.data.versionTemplate.algorithm:PQ_SIGN* OR resource.data.versionTemplate.algorithm:ML_KEM* OR resource.data.versionTemplate.algorithm = "KEM_XWING")' \
  --format='table(name.segment(1):label=PROJECT, name.segment(-3):label=KEY_RING, name.segment(-1):label=CRYPTO_KEY, resource.data.purpose:label=PURPOSE, resource.data.versionTemplate.algorithm:label=ALGORITHM)'

  2. Führen Sie den folgenden Befehl aus, um asymmetrische Schlüssel aufzulisten, die keine Post-Quanten-Algorithmen verwenden, also asymmetrische Schlüssel, die klassische Algorithmen verwenden:

    gcloud asset list \
  --organization=ORGANIZATION_ID \
  --asset-types="cloudkms.googleapis.com/CryptoKey" \
  --content-type=resource \
  --filter='(resource.data.purpose = "ASYMMETRIC_SIGN" OR resource.data.purpose = "ASYMMETRIC_DECRYPT" OR resource.data.purpose = "KEY_ENCAPSULATION") AND NOT (resource.data.versionTemplate.algorithm:PQ_SIGN* OR resource.data.versionTemplate.algorithm:ML_KEM* OR resource.data.versionTemplate.algorithm = "KEM_XWING")' \
  --format='table(name.segment(1):label=PROJECT, name.segment(-3):label=KEY_RING, name.segment(-1):label=CRYPTO_KEY, resource.data.purpose:label=PURPOSE, resource.data.versionTemplate.algorithm:label=ALGORITHM)'

In einem Projekt suchen

  1. Achten Sie darauf, dass die Google Cloud CLI auf das richtige Projekt ausgerichtet ist:

    gcloud config set project PROJECT_ID

  2. Führen Sie den folgenden Befehl aus, um Schlüssel aufzulisten, die Post-Quanten-Algorithmen wie PQ_SIGN_*, ML_KEM_* oder KEM_XWING verwenden:

    gcloud asset list \
  --project="$(gcloud config get-value project)" \
  --asset-types="cloudkms.googleapis.com/CryptoKey" \
  --content-type=resource \
  --filter='(resource.data.purpose = "ASYMMETRIC_SIGN" OR resource.data.purpose = "ASYMMETRIC_DECRYPT" OR resource.data.purpose = "KEY_ENCAPSULATION") AND (resource.data.versionTemplate.algorithm:PQ_SIGN* OR resource.data.versionTemplate.algorithm:ML_KEM* OR resource.data.versionTemplate.algorithm = "KEM_XWING")' \
  --format='table(name.segment(-3):label=KEY_RING, name.segment(-1):label=CRYPTO_KEY, resource.data.purpose:label=PURPOSE, resource.data.versionTemplate.algorithm:label=ALGORITHM)'

  3. Führen Sie den folgenden Befehl aus, um asymmetrische Schlüssel aufzulisten, die keine Post-Quanten-Algorithmen verwenden, also asymmetrische Schlüssel, die klassische Algorithmen verwenden:

    gcloud asset list \
  --project="$(gcloud config get-value project)" \
  --asset-types="cloudkms.googleapis.com/CryptoKey" \
  --content-type=resource \
  --filter='(resource.data.purpose = "ASYMMETRIC_SIGN" OR resource.data.purpose = "ASYMMETRIC_DECRYPT" OR resource.data.purpose = "KEY_ENCAPSULATION") AND NOT (resource.data.versionTemplate.algorithm:PQ_SIGN* OR resource.data.versionTemplate.algorithm:ML_KEM* OR resource.data.versionTemplate.algorithm = "KEM_XWING")' \
  --format='table(name.segment(-3):label=KEY_RING, name.segment(-1):label=CRYPTO_KEY, resource.data.purpose:label=PURPOSE, resource.data.versionTemplate.algorithm:label=ALGORITHM)'

Um Risiken durch Quantenangriffe zu minimieren, sollten Sie keine asymmetrischen Schlüssel mehr verwenden, die klassische Algorithmen nutzen.

  • Für asymmetrische Entschlüsselungsschlüssel: Bei Schlüsseln, die für die asymmetrische Entschlüsselung verwendet werden, können Sie Ihr Inventar modernisieren, indem Sie die asymmetrische Verschlüsselung durch die Hybrid-Public-Key-Verschlüsselung (HPKE) ersetzen. In HPKE verwenden Sie Schlüssel mit dem Zweck KEY_ENCAPSULATION, die einen Post-Quanten-Algorithmus wie ML_KEM_768 verwenden, um ein Secret zu teilen. Weitere Informationen finden Sie unter Key Encapsulation Mechanisms.
  • Für asymmetrische Signaturschlüssel: Für digitale Signaturen können Sie Ihren Bestand modernisieren, indem Sie neue Schlüssel mit dem Zweck ASYMMETRIC_SIGN erstellen, die einen Post-Quanten-Algorithmus wie PQ_SIGN_ML_DSA_65 verwenden.

Post-Quanten-Resilienz symmetrischer Schlüssel

Im Gegensatz zu den asymmetrischen Schlüsseln, die im Diagramm PQC-Statistiken (asymmetrisch) im Fokus stehen, gelten symmetrische Schlüssel im Allgemeinen als resistent gegen Angriffe durch Quantencomputer. Die einzige Ausnahme sind MAC-Schlüssel, die den HMAC-SHA1-Algorithmus verwenden. Weitere Informationen zu den verschiedenen Algorithmen finden Sie unter Schlüsselzwecke und Algorithmen.

Nächste Schritte