BSI zertfiziert erste quantensichere Smartcard

Algorithmen für Quantencomputer zum Brechen insbesondere von herkömmlicher Verschlüsselung machen Fortschritte, daher suchen Kryptologen nach Möglichkeiten, Kommunikation so zu verschlüsseln, dass die neue Computerklasse sich die Zähne daran ausbeißt. Das BSI hat nun die erste Smartcard zertifiziert, die quantensichere Verschlüsselung gewährleisten können soll.

Insbesondere, um Mitschnitte verschlüsselter Kommunikation nicht im Nachgang entschlüsseln zu können ("collect now, decrypt later"), entwickeln IT-Sicherheitsforscher konkrete Post-Quanten-kryptografische Algorithmen (PQC). Das US-amerikanische NIST hat erst im vergangenen August drei Verschlüsselungsstandards verabschiedet, die Angriffen durch Quantencomputern widerstehen sollen: FIPS203, FIPS204 und FIPS205. Die jetzt vom TÜV für das BSI zertifizierte Smartcard setzt auf einen Infineon-IC, der das PQC-Verfahren FIPS203, auch als ML-KEM bekannt, umsetzt.

Langfristige Absicherung von Daten

Es handelt sich laut BSI um das weltweit erste Common-Criteria-Sicherheitszertifikat für eine konkrete Implementierung von FIPS203. Damit verschlüsselte Daten sollen auch den potenziell mächtigen Angriffen mit Quantencomputern widerstehen. Die Smartcards lassen sich etwa für Personalausweise, Gesundheitskarten, Kreditkarten oder SIM-Karten einsetzen, nennt das BSI einige konkrete Beispiele.

Das BSI sieht dringenden Handlungsbedarf, Verschlüsselung auf quantenresistente Algorithmen zu migrieren. Klassische Kryptografie sehe sich einem stärker werdenden Bedrohungsszenario durch Quantenalgorithmen ausgesetzt, erklärt die IT-Sicherheitsbehörde. Zusammen mit 17 europäischen Partnern ruft das BSI zur "aktiven Umstellung auf quantenresistive Verfahren bis spätestens 2030" auf.

Common-Criteria-Zertifikat

Das BSI erklärt, dass die zertifizierte, Infineon-IC-basierte Smartcard den "Quasi-Industriestandard" für sichere IT-Produkte Common Criteria (ISO/IEC 15408) erfüllt. Mit solch einem CC-Zertfikat können Hersteller demnach nachweisen, dass ein Produkt tatsächlich den definierten Sicherheitsanforderungen entspreche. Die erfolgreiche Zertifizierung sage zudem aus, dass die Implementierung korrekt und sie resistent gegen Angriffe im Einsatzalltag der Produkte sei.

Das BSI weist zudem darauf hin, dass der Wechsel zur europäischen Zertifizierung mit EUCC unmittelbar bevorstehe und die CC-Zertifizierung auf europäischer Ebene harmonisiert und ausweitet.

(dmk)