Leitlinien
Das Migrationsmodell.
Jede veröffentlichte Methodik läuft auf dieselben sechs Phasen hinaus, wie auch immer sie sie nennt. Was die Beschreibungen unterscheidet, sind nicht die Phasen, sondern vor welchem Fehler jede warnt.
Zu jeder Phase unten: was passiert, dann wo es schiefgeht.
-
Ihr Programm
01 Vorbereitung
Owner, Mandat, Budget
Als Kryptografie-Projekt geführt
-
Post Quantum Leap
02 Inventarisierung
Zertifikate, Schlüssel, Protokolle finden
CMDB inventarisiert, nicht das Netz
-
03 Priorisierung
Nach Kritikalität und Vorlaufzeit ordnen
Nur nach Aufwand geordnet
-
Ihr Programm
04 Migration
Ersetzen oder kapseln, nach Abhängigkeit
Drop-in-Ersatz angenommen
-
Post Quantum Leap
05 Verifikation
Auf der Leitung, nicht in der Config
Dem Change-Ticket vertraut
-
06 Monitoring
Regressionen und Neuzugänge beobachten
Projekt abgeschlossen
Wie das Diagramm zu lesen ist
- Die letzte Phase führt zurück zum Inventar statt zum Abschluss. Ein Inventar, das nicht gepflegt wird, hört auf, eines zu sein.
- Die Spur am unteren Rand ist keine Zweiteilung. Ihr eigenes Programm erteilt das Mandat und setzt die Änderung um; die messenden Phasen davor und danach sind unsere.
Die Phasen im Detail
Jede Phase, und wo sie typischerweise schiefgeht.
01 Vorbereitung
Was es ist
Festlegen, wer die Migration verantwortet, woran sie gemessen wird und wofür sie finanziert ist.
Wo es schiefgeht
Die Migration als Kryptografie-Projekt zu behandeln. Sie ist ein Projekt zur Kartierung von Abhängigkeiten, das in Kryptografie endet.
02 Inventarisierung
Was es ist
Jedes Zertifikat, jeden Schlüssel, jedes Protokoll und jede Bibliothek im Einsatz finden, auch die, die niemand dokumentiert hat.
Wo es schiefgeht
Zu inventarisieren, was laut CMDB existiert, statt was im Netz antwortet. Die Lücke dazwischen ist der Befund.
03 Priorisierung
Was es ist
Ordnen danach, wie lange die Daten vertraulich bleiben müssen, wie kritisch das System ist und wie lange seine eigene Migration dauert. Die Arbeiten mit langer Vorlaufzeit und hoher Kritikalität zuerst, die Quick Wins parallel dazu statt an ihrer Stelle.
Wo es schiefgeht
Nur nach Aufwand zu ordnen. Einfache Systeme sind schnell erledigt und sehen im Bericht gut aus. Bei den kritischen Systemen mit langer Vorlaufzeit aber, und bei jenen, die Harvest-now-decrypt-later am stärksten ausgesetzt sind, lässt sich ein später Start nicht mehr aufholen.
04 Migration
Was es ist
Die Algorithmen ersetzen oder kapseln, in Abhängigkeits-Reihenfolge, meist zuerst hybrid.
Wo es schiefgeht
Von einem Drop-in-Ersatz auszugehen. Post-Quantum-Signaturen sind eine Grössenordnung grösser, und das bricht Protokolle, Puffer und Hardware, bevor irgendetwas Kryptografisches bricht.
05 Verifikation
Was es ist
Nachweisen, dass die Änderung auf der Leitung wirkt, nicht nur in der Konfiguration.
Wo es schiefgeht
Dem Deployment-Protokoll zu vertrauen. Eine Konfiguration, die ML-KEM sagt, und ein Handshake, der X25519 aushandelt, sehen vom Change-Ticket aus identisch aus.
06 Monitoring
Was es ist
Auf Regressionen achten, auf neue Systeme, die unmigriert dazukommen, und auf Algorithmen-Leitlinien, die sich unterdessen weiter verändern.
Wo es schiefgeht
Das Projekt abzuschliessen. Die Leitlinien haben sich schon zweimal bewegt, während die meisten Organisationen noch bei der Inventarisierung waren.
Die Fallen sind unsere eigene Beobachtung aus Discovery-Läufen in realen Umgebungen, kein Zitat aus den Quellen dieser Seiten.
Die Phasen sind ein Kreis, keine Linie
Die Leitlinien haben sich bereits mehrfach geändert, während die meisten Organisationen noch bei der Inventarisierung waren: Parametersätze wurden zurückgezogen, Fristen vorverlegt, und eine Behörde beendet die Zulassung klassischer asymmetrischer Kryptografie inzwischen fünf Jahre vor allen anderen. Eine Migration, die als Projekt mit Abschluss geplant ist, wird neu geplant werden. Am wenigsten geben die Organisationen aus, die das Inventar einmal aufbauen und dann aktuell halten.
Wo Post Quantum Leap ansetzt
Die im Diagramm oben mit Post Quantum Leap markierten Phasen sind unsere. Wir finden jedes Zertifikat, jedes Protokoll und jede Cipher Suite in Ihrer Umgebung, bewerten sie anhand Ihrer Policy, priorisieren, was zuerst umzustellen ist, und weisen auf der Leitung nach, dass die Umstellung erfolgt ist. Der Rest liegt bei Ihnen: Das Mandat zu erteilen und die Umstellung umzusetzen sind Governance- und Engineering-Entscheidungen, die kein Scanner für Sie trifft.