Zusammenfassung

  • RFC 10042 registriert drei SSH-Verfahren, die ML-KEM mit P-256, P-384 oder X25519 kombinieren und aus beiden Ergebnissen ein Geheimnis ableiten.
  • Softwareunterstützung ist kein Nutzungsnachweis; entscheidend sind das ausgehandelte Verfahren, Fehler und Authentisierung jeder Verbindung.

Zwei Algorithmen, ein ausgehandeltes Verfahren

RFC 10042 begegnet dem Risiko, verschlüsselten Verkehr heute zu sammeln und später zu entschlüsseln. Definiert werden mlkem768nistp256-sha256, mlkem1024nistp384-sha384 und mlkem768x25519-sha256. Jeder Name bezeichnet ein SSH-Verfahren, führt aber traditionellen ECDH-Austausch und ML-KEM-Kapselung gemeinsam aus.

Der Client sendet das verkettete postquanten- und klassische öffentliche Material. Der Server antwortet mit ML-KEM-Chiffretext, traditionellem öffentlichen Schlüssel, Hostschlüssel und Signatur. Beide Seiten müssen erwartete Längen prüfen; definierte Fehler brechen den Austausch ab. Die Geheimnisse werden mit festen Längen als K = HASH(K_PQ || K_CL) kombiniert.

Das sind normative Fakten. Operativ ist die Migration erst erreicht, wenn der hybride Name die Aushandlung gewinnt und der gesamte Austausch gelingt. Alte Prioritäten, Versionsunterschiede oder Rückfalleinstellungen können trotz vorhandenem Code weiterhin ein klassisches Verfahren wählen.

Hybrid ersetzt keine Authentisierung

Hostschlüssel und Signatur bleiben Teil des Transkripts. Der hybride Austausch behebt weder schwache Hostschlüsselverwaltung noch ungeprüfte Vertrauensentscheidungen oder kompromittierte Zugangsdaten. Die Veröffentlichung des RFC belegt auch keine Einführung bei einem bestimmten Hersteller oder Betreiber.

RFC 10042 verlangt pro Verbindung neue ephemere ECDH- und ML-KEM-Schlüsselpaare und verbietet die Wiederverwendung von Zufall für ML-KEM-Chiffretexte. Feste Geheimnisdarstellungen sollen längenabhängiges Verhalten und mögliche Timing-Lecks vermeiden. Implementierungs- und Zufallsqualität gehören damit zur Kontrollfläche.

Begrenzte Größe, reale Betriebskosten

Die drei Verfahren passen in die Mindestanforderungen für SSH-Pakete. Dennoch müssen Kompatibilität, CPU, Latenz, Kapazität, Fehlertelemetrie und Rückrollbedingungen gemessen werden. Die Quellen beziffern keine Kosten für eine konkrete Flotte.

Begünstigt werden Sitzungen, deren Vertraulichkeit die heutigen klassischen Annahmen überdauern muss. Die Kosten tragen Teams für Clients, Server, Bastionen, Automatisierung und Bibliotheken. Ein rein klassischer Austausch ist einfacher, enthält aber kein ML-KEM; ein rein postquantenbasiertes Verfahren würde die klassische Absicherung entfernen und ist nicht der Entwurf von RFC 10042.

Quellen