Die NSA-Pressemitteilung zum Start des Post-Quantum Cryptography Resource Hub wiederholt zwei Termine, die seit der in NSAs CNSA-2.0-FAQ vom Dezember 2024 beschriebenen Aktualisierung in CNSSP 15 stehen: Neue kommerzielle National Security Systems müssen ab 2027 quantenresistente Algorithmen unterstützen, und Altsysteme, die das nicht können, sind bis 2030 außer Betrieb zu nehmen. Die Mitteilung führt außerdem einen Begriff ein, der in den Richtliniendokumenten nicht vorkam. Neben "harvest now, decrypt later" benennt sie eine zweite Bedrohung: "trust now, exploit later".
Zwei Bedrohungen, zwei Zeitpläne
Harvest now, decrypt later ist eine Bedrohung der Vertraulichkeit. Sie zielt auf die Schlüsseletablierung und ist heute aktiv, weil aufgezeichneter Verkehr beliebig lange gespeichert werden kann. Trust now, exploit later ist eine Bedrohung der Authentifizierung. Ein Zertifikat oder ein Code-Signing-Schlüssel, der heute als gültig akzeptiert wird, wird zum Fälschungswerkzeug, sobald der zugehörige private Schlüssel rekonstruiert werden kann. Die Ausnutzung erfordert einen Quantencomputer. Das Sammeln der öffentlichen Schlüssel und signierten Artefakte ist heute möglich. Die Nutzenliste der Mitteilung trennt beides, mit "protect sensitive data" als einem Punkt und "secure authentication" als einem anderen.
Die Herstellerliteratur verwendet für diese Bedrohung seit Mitte 2025 den Begriff "trust now, forge later". Die NSA verwendet "exploit", und das ist der zutreffende Begriff. Ein rekonstruierter Signaturschlüssel fälscht mehr als Dokumente. Er stellt Firmware aus, die ein Gerät installiert, und Zertifikate, die ein Server akzeptiert.
Beide Zeitpläne standen bereits in der US-Politik. EO 14412 setzt für Bundessysteme mit hohem Schutzbedarf die Schlüsseletablierung auf Ende 2030 und Signaturen auf Ende 2031. CNSA 2.0 legt Software- und Firmware-Signaturen auf den frühesten Kategorietermin, ausschließliche Nutzung bis 2030, weil signierter Code von allen Kategorien der Tabelle die längste Vertrauensdauer trägt. Die drei Bedrohungskategorien laufen auf drei Zeitplänen, und die Authentifizierungskategorie hat jetzt eine offizielle NSA-Bezeichnung.
Die Mitteilung nennt zwei der fünf CNSA-2.0-Termine
Der CNSA-2.0-Zeitplan lautet: nach CNSSP 15 1. Januar 2027, neue NSS-Beschaffungen müssen CNSA-2.0-konform sein; 31. Dezember 2030, Geräte und Dienste, die CNSA 2.0 nicht unterstützen können, werden außer Betrieb genommen; 31. Dezember 2031, CNSA-2.0-Algorithmen sind vorgeschrieben, soweit keine Ausnahme gilt; nach dem Advisory von 2022 2033, ausschließliche Nutzung für Webbrowser und -server, Cloud-Dienste, Betriebssysteme und Spezialgeräte; nach NSM-10 2035, Umstellung abgeschlossen. Die vollständige Tabelle steht auf der Seite [PQ]time. Pressemitteilung und Hub nennen 2027 und 2030.
Ein Auftragnehmer, der nur mit der Mitteilung arbeitet, sieht keinen Termin 2033. Die Kategorietabelle lässt 2033 für Server und Cloud-Dienste weiterhin zu; die Mitteilung stellt 2030 voran. Auftragnehmer sollten auf 2030 planen, den Termin, den die NSA veröffentlicht hat und auf den sich Beschaffungsprüfungen beziehen werden.
Der Hub enthält drei Erklärtexte, eine Bekräftigung mit Stand Juni 2026, dass die NSA Quantenschlüsselverteilung nicht empfiehlt, und eine Liste von Diensten für die Defense Industrial Base: Angriffsflächenmanagement, kontinuierliche autonome Penetrationstests, Protective DNS und Bedrohungsinformationen. Eine kryptographische Inventarisierung fehlt in dieser Liste. Unter EO 14412 kommen die Mindestelemente für eine CBOM von CISA und NIST, fällig 270 Tage nach der Verordnung vom Juni, also im März 2027, nachdem das Beschaffungstor vom Januar bereits geöffnet ist.
Die Defense Industrial Base ist im Geltungsbereich
Morgan Stern, Effort Lead for Quantum Resistance bei der NSA, schließt die Mitteilung mit der Feststellung, dass das Gesamtsystem nur so stark ist wie sein schwächstes Glied, und die Mitteilung erstreckt die PQC-Arbeit der NSA ausdrücklich auf die Defense Industrial Base. Die DIB besteht aus Tausenden von Unterauftragnehmern, deren kryptographischer Status das ist, was ihre Hosting- und VPN-Anbieter in ihrem Namen aushandeln. In unserer europäischen Kohorte entfielen mindestens 64,5 % der gemessenen Post-Quanten-Ergebnisse auf eine CDN-Edge und nicht auf die gemessene Organisation. Eine DIB-Erhebung aus derselben Außensicht hätte denselben falschen Boden: Die Edge meldet hybriden Schlüsselaustausch, der Origin dahinter meldet keinen, und die Signaturkette ist auf beiden klassisch. Die von der NSA aufgeführten Dienste messen, was exponiert ist. Keiner von ihnen meldet, was der Handshake ausgehandelt hat oder was das Zertifikat signiert hat.
Berichterstattung gegen beide Termine
Ein Statusbericht, der "Post-Quanten: ja oder nein" beantwortet, fasst die beiden von der NSA benannten Bedrohungen zu einer zusammen. Ein Host kann für den Termin der Schlüsseletablierung im Plan liegen und für den Signaturtermin keinen Plan haben, und unter den beiden Bezeichnungen sind das getrennte Expositionen mit getrennten Eintrittszeitpunkten. [PQ]probe bewertet den Post-Quanten-Schlüsselaustausch gegen 2030 und erfasst den Signaturalgorithmus jedes gesehenen Zertifikats, und das hält die beiden Expositionen, die die Mitteilung benennt, in getrennten Feldern; ein Bericht, der mit Ja oder Nein antwortet, hat keines davon.
Das Beschaffungstor 2027 liegt fünfzehn Monate entfernt. In unseren Zertifikatsdaten signiert RSA weiterhin rund vier von fünf Endzertifikaten. Jedes davon ist ein Artefakt, das die Mitteilung jetzt als Exposition vom Typ trust now, exploit later einordnet.