Zusammenfassung

  • Das IAB verlängerte die Einreichungsfrist für seinen Workshop zur Einführung von Post-Quanten-Authentifizierung auf den 11. September 2026.
  • Gesucht werden Betriebsmessungen und Erfahrungen; der Workshop soll keinen Ansatz vergleichen, empfehlen, auswählen oder standardisieren.
  • Öffentliche und zurückgehaltene Beiträge, nicht zuordenbare Aussagen, bereinigte Notizen, IAB-Bericht, spätere Standardsarbeit und Produktion benötigen eigene Belege.

Die Frist hat bereits eine kleine Herkunftskette. Der IETF-Beitrag nennt jetzt den 11. September. Die Meldung vom 4. September bezeichnet die Frist als verlängert. Der ursprüngliche IAB-Aufruf und die Datatracker-Seite zeigen weiterhin den 4. September.

Der alte Eintrag dokumentiert den Plan, der neue dessen Änderung. Beide zusammen erklären, welche Regel heute gilt. Genau diese Verbindung darf bei den eingereichten Messungen nicht verloren gehen.

Zwischen Algorithmus und Dienst fehlt Betriebswissen

FIPS 204 standardisiert ML-DSA, FIPS 205 SLH-DSA. Damit sind Algorithmen definiert. Nicht gemessen sind die Größe einer konkreten Zertifikatskette im Protokoll, die Schlüsseloperationen eines HSM, der Speicher eines eingebetteten Prüfers oder der Zeitplan eines Trust Stores.

Der für den 11. und 12. Oktober in Prag geplante Workshop sucht kurze, konkrete Berichte über Größen, Laufzeiten, Durchsatz, Speicher, Zertifikate, Token, Software- und Firmware-Signaturen, Schlüsselverwahrung, eingeschränkte Geräte und Offline-Prüfung.

Die genannten Entwürfe verteilen Kosten unterschiedlich. Composite Signatures verbinden Komponenten und vergrößern Objekt und Prüfung. Merkle Tree Certificates verschieben Aufwand in Protokolle, Nachweise und Aktualität. KEM-basierte Authentifizierung verändert den interaktiven Ablauf. Ihre Erwähnung ist keine Auswahl.

Offenlegung ist Teil des Datensatzes

Die Veranstaltung ist persönlich und nur auf Einladung. Eine Interessenerklärung ist möglich, ein Positionspapier beeinflusst die Agenda stärker; direkte Einladungen sind ebenfalls vorgesehen. Einreichung, Annahme, Einladung, Teilnahme und Vortrag sind daher nicht identisch.

Relevante angenommene Papiere werden normalerweise veröffentlicht. Autoren können Nichtveröffentlichung oder fehlende Zuordnung bestimmter Informationen verlangen. Für Diskussionen kann die Chatham House Rule gelten. Öffentliche Aufzeichnungen und Protokolle sind nicht vorgesehen; gemeinsame Notizen sollen außerhalb geschützter Teile öffentlich bleiben.

So können Betreiber sensible, aber wichtige Erfahrungen teilen. Außenstehende können geschützte Methoden jedoch nicht reproduzieren. Ein öffentliches PDF beweist die Veröffentlichung, nicht die Wiederholung des Experiments. Ein vertraulicher Beitrag kann eine Zusammenfassung prägen, aber keine namentliche Behauptung belegen. Eine nicht zuordenbare Aussage kann eine Einschränkung beschreiben, nicht ihren Betreiber identifizieren.

Der Bericht ist eine Karte, kein Standardsbeschluss

Als Ergebnis ist ein IAB-Stream-Bericht vorgesehen. RFC 4845 trennt treue Berichterstattung von Verantwortung für jede technische Aussage. Bei Workshops mit externen Teilnehmern kann die Zustimmung des IAB lediglich bestätigen, dass der Bericht die Veranstaltung getreu wiedergibt und das Thema relevant ist. IAB-Dokumente sind gewöhnlich Informational.

RFC 8980 zeigt an einem früheren Workshop zu Entwurfserwartung und Einsatzrealität, wie Beiträge, Diskussion, Schlüsse und mögliche Maßnahmen getrennt archiviert werden. Er enthält keine aktuellen PQ-Authentifizierungsdaten.

Spätere Kurzfassungen gefährden diese Trennung. „Das IAB stellte fest“ kann öffentliche Messungen, vertrauliche Einwände und redaktionelle Synthese vermischen. „Die Branche ist blockiert“ kann eine alte Firmware-Version überleben. „Konsens“ kann Auswahl und Offenlegungsgrenzen der Teilnehmer verschweigen.

Heng Lus Reality Layers halten Messung, Papier, Sitzung, Bericht, Spezifikation, laufenden Code und Dienstwirkung auseinander. Running-Code Primacy lässt dem IAB seine Koordinationsrolle, aber dem Betreiber den letzten Tatsachennachweis.

Ein portabler Herkunftsnachweis

Jedes Ergebnis sollte Komponente, Version, Kryptoprovider, Algorithmus, Parametersatz, Objektform, Last, Hardware, Topologie, Basislinie, Stichprobe, Einheit und Fehlerklasse nennen. Das eingereichte PDF braucht Datum und Hash. Sein Zustand lautet öffentlich, teilweise öffentlich, zurückgehalten oder nicht zuordenbar.

Ändert die Diskussion die Deutung, muss der Bericht Autorenbehauptung und Workshop-Synthese trennen. WG-Übernahme, Produktimplementierung, Betreibertest und Nutzerergebnis sind weitere Ereignisse. Heng Lus Minimum Initial Specification verlangt nur die gemeinsamen Felder für lokale Prüfung, nicht eine zentrale Einsatzentscheidung.

Die zusätzliche Woche kann die Evidenz verbreitern. Sie bescheinigt weder Repräsentativität noch Reife. Nur die Frist ist verlängert, nicht die Reichweite eines Messwerts.

Quellen

  1. IETF-Blog
  2. Fristverlängerung
  3. IAB-Aufruf
  4. Datatracker
  5. RFC 4845
  6. RFC 8980
  7. FIPS 204
  8. FIPS 205
  9. Composite Signatures
  10. Merkle Tree Certificates
  11. KEM-Authentifizierung
  12. Running-Code Primacy
  13. Minimum Initial Specification
  14. Reality Layers