Zusammenfassung

  • Der am 28. September eingereichte individuelle Entwurf schlägt vor, zu langfristig aufbewahrten Agentendelegationen auch die Bindung des Signaturschlüssels an einen Vertrauensanker und einen unabhängigen Zeitnachweis zu sichern.
  • Seine Post-Quanten-Forderungen sind keine verabschiedeten IETF-Regeln. Der Text dokumentiert weder einen Quantenangriff noch einen Ausfall der gegenwärtigen OAuth-Prüfung.

Eine Agentenanwendung legt heute eine signierte Delegation vor. Der empfangende Dienst lädt den öffentlichen Schlüssel des Ausstellers über einen TLS-geschützten Endpunkt, prüft die Signatur und entscheidet nach seiner Zugriffspolitik. An diesem Tag kann alles korrekt laufen. Bewahrt der Dienst aber nur Token und Schlüssel auf, fehlt einem Prüfer im Jahr 2040 möglicherweise die Grundlage für eine andere Frage: Über welche Zertifikatskette war der damalige Schlüsseldownload authentisiert? Welche Verfahren schützten diese Kette bis zum akzeptierten Anker?

Eine gültige Signatur beantwortet nicht automatisch, woher der Schlüssel im historischen Moment stammte.

V. K. Uppalapati macht diesen Unterschied im Entwurf Post-Quantum Requirements for Software and AI Agent Identity, Version -00 vom 28. September, zum Ausgangspunkt. Im Datatracker steht I-D Exists. Der Text ist eine individuelle Einreichung mit beabsichtigtem Informational-Status, weder eine Übernahme durch die WIMSE-Arbeitsgruppe noch ein RFC. Nach Einschätzung des Autors verlangen bestehende Agentendelegationsmechanismen im Allgemeinen nicht, die Bindung eines per TLS bezogenen OAuth-Schlüssels an seinen Vertrauensanker mit dem Beweisstück zu archivieren. Das ist eine Aussage seiner Untersuchung, keine Messung aller vorhandenen Installationen.

Die Schwachstelle liegt gerade nicht zwingend in der Sitzung, die noch läuft. TLS kann dem anfragenden Client die Herkunft eines Schlüsselsatzes zu diesem Zeitpunkt bestätigen. Nach Schließung der Verbindung ist diese Erfahrung aber nicht ohne Weiteres ein Objekt, das ein anderer Prüfer unabhängig verifizieren kann. Der Archivhalter könnte Schlüsselsatz und Zertifikate gemeinsam aufbewahren. Ein Dritter müsste ihm dann dennoch glauben, dass beides zu genau dieser Sitzung gehörte. Ein separat signierter und überprüfbarer Schlüsselbezug hätte eine andere Beweiskraft.

Die Selbstbehauptung des Ausstellers über seinen Schlüssel kann die Bindung nicht unabhängig belegen, weil sie bereits Vertrauen in sie voraussetzt.

Hinzu kommt die Zeit. Eine digitale Signatur kann unter einer bestimmten Prüfkette den verwendeten Schlüssel identifizieren; sie sagt für sich allein nicht verlässlich, wann unterschrieben wurde. RFC 3161 beschreibt signierte Zeitstempel für die Existenz eines Datenabdrucks vor einem Zeitpunkt. RFC 4998 regelt die Erneuerung von Langzeitbeweisen, bevor Algorithmen oder Zertifikate als Schutzgrundlage ungeeignet werden. Ein Zeitstempel ist allerdings selbst signiert. Der neue Entwurf fordert daher frühe Verankerung, ab einem noch festzulegenden Übergangsdatum eine post-quantenfeste Grundlage und anschließende Erneuerung.

Er sagt nicht, dass ein kryptanalytisch relevanter Quantencomputer bereits existiert, und setzt kein verbindliches Datum fest.

Auch die neueste Signatur ist nur eine Station auf dem Vertrauensweg. Wenn ein post-quantenfähiges Endzertifikat unter einem klassischen Stamm geprüft wird, ist die ganze Kette deshalb nicht post-quantenfest. Bei der Verteilung eines OAuth-Schlüssels über klassische Web-PKI taucht eine entsprechende Frage auf. Der Austausch des Endschlüssels kann Migration vorbereiten; die nie aufgezeichnete frühere TLS-Kette oder einen fehlenden Zeitnachweis ersetzt er nicht. Sichtbarkeit aller verwendeten Algorithmen und ihre Aufbewahrung mit dem Beweis gehören zu den Vorschlägen des Autors. Ob daraus ein einheitlicher Standard wird, ist offen.

Schließlich ist eine Ausstellersignatur nicht dasselbe wie die Zustimmung eines bestimmten Menschen zu einer bestimmten Aktion. Der Aussteller bestätigt eine Behauptung; der Auftraggeber erteilt oder verweigert Autorität, und der empfangende Dienst trifft eine eigene Zulassungsentscheidung. Schlüsselherkunft und Nachweiszeit bilden weitere Ebenen. Der neue Entwurf lenkt die Aufmerksamkeit auf die Ebene, die bei einer erfolgreichen Online-Prüfung leicht als erledigt gilt und trotzdem für spätere Dritte verloren sein kann.

Quellen