OpenSSH'nin post-kantum şifrelemesi

• OpenSSH kuantum bilgisayar saldırılarına karşı post-kantum şifreleme algoritmalarını destekliyor
• 9.0 sürümünden sonra varsayılan olarak sntrup761x25519-sha512 algoritmasını kullanıyor; 10.0'dan itibaren ise mlkem768x25519-sha256'ı varsayılan bağlantı yöntemi olarak benimser
• 10.1 sürümünden itibaren, post-kantum olmayan bir anahtar değişimi kullanıldığında bir uyarı mesajı gösterilir
• RSA, ECDSA vb. mevcut çoğu imza algoritmasına da ileride ek destek eklenecek
• Mevcut trafiği güvenli tutmak için hem sunucu hem istemcinin post-kantum algoritmalarını uygulaması gerekiyor

---

OpenSSH'de post-kantum şifrelemenin devreye alınması

OpenSSH, kuantum bilgisayar saldırılarına karşı güvenli olan çeşitli anahtar anlaşma algoritmalarını destekler
Tüm SSH bağlantılarında bu algoritmaların kullanılmasını önerir

OpenSSH 9.0 (2022) sürümünden itibaren, sntrup761x25519-sha512 ile varsayılan post-kantum anahtar anlaşması (KexAlgorithms) sunuyor ve 9.9 sürümünden itibaren mlkem768x25519-sha256 ekleniyor
mlkem768x25519-sha256, OpenSSH 10.0'dan itibaren varsayılan şifreleme yöntemi olarak belirleniyor

Post-kantum algoritmalarının benimsenmesi için OpenSSH 10.1'den itibaren, kuantum dirençli bir anahtar anlaşımı kullanılmadığında aşağıdaki uyarı görüntülenir

** WARNING: connection is not using a post-quantum kex exchange algorithm. **
This session may be vulnerable to "store now, decrypt later" attacks.
The server may need to be upgraded. See https://openssh.com/pq.html

Bu uyarı varsayılan olarak görünür, ancak ssh_config(5)'teki WarnWeakCrypto seçeneğiyle devre dışı bırakılabilir

Arka Plan

Kuantum bilgisayar, bilgiyi kuantum durumu olarak kodlayarak hesaplama yapan bir cihazdır
Klasik bir bilgisayarın mümkün kılmadığı bazı belirli matematiksel problemleri hızlıca çözebilir

Birçok kriptografi algoritmasının matematik temeli, kuantum bilgisayar tarafından kolayca çözülebilen problemlere dayanır
Kast edilen güvenlik seviyesinde yeterince güçlü bir kuantum bilgisayar ortaya çıkarsa, bu kriptografi sistemlerinin kırılma riski vardır
Özellikle anahtar anlaşımı ve dijital imza için kullanılan algoritmalar en çok etkilenenlerdir

Bu tür kuantum bilgisayarlar henüz gerçekleşmemiş olsa da uzmanlar 5-20 yıl içinde veya 2030'ların ortalarında ortaya çıkacağına inanıyor

SSH bağlantısının gizlilik güvenliği anahtar anlaşımı şifrelemeye dayanır
Saldırgan, anahtar anlaşımı algoritmasını kırarsa oturumun tüm içeriğini deşifre edebilir
Ayrıca gerçek zamanlı olması gerekmeksizin, şifreli oturum saklanıp daha sonra kuantum bilgisayar çıktığında çözülerek 'store now, decrypt later' saldırısı uygulanabilir

OpenSSH, bu saldırıyı karşılamak için post-kantum şifreleme desteğini sağlamlaştırıyor

SSS

S: SSH'de uyarı aldığınızı görürseniz ne yapmalısınız?

• OpenSSH 10.1 ve üzeri sürümlerde, kuantum açısından güvenli olmayan bir şifreleme kullanıldığında kullanıcıya uyarı gösterilir
• Bu, bağlı olunan sunucunun post-kantum anahtar değişim algoritmalarını (mlkem768x25519-sha256, sntrup761x25519-sha512) sunmadığı anlamına gelir
• En iyi çözüm, sunucuyu OpenSSH 9.0+ (ikincisi için 9.9+) sürümüne yükseltmek ve KexAlgorithms içinde ilgili algoritmaların devre dışı bırakılmadığını doğrulamaktır
• Sunucuyu güncellemek mümkün değilse veya riski almak isterseniz, ssh_config(5)'te WarnWeakCrypto seçeneğiyle yalnızca uyarıyı gizlemek de mümkündür
• Gerekirse, buna yalnızca belirli bir ana makine için müdahale edin

  Match host unsafe.example.com
      WarnWeakCrypto no
  

S: Henüz kuantum bilgisayar yokken neden şimdiden hazırlanmalıyız?

• Yukarıda bahsedilen 'store now, decrypt later' saldırısından dolayı
• Bugün gönderdiğiniz trafik bile, daha sonra çözülebilir; bu nedenle şimdiden post-kantum güvenli bağlantı önerilir

S: İmza algoritmaları da riskli deniyor, bu neden bir sorun değil?

• Bugün kullanılan çoğu imza algoritması (RSA, ECDSA vb.) da kuantum bilgisayarlarla etkisiz hale getirilebilir
• Ancak burada mevcut trafik depolanıp daha sonra çözülemiyor
• İmza algoritmalarında acil konu, kuantum bilgisayarlar yaklaşınca mevcut imza anahtarlarının emekli edilmesidir
• OpenSSH, ileride post-kantum imza algoritmalarını da desteklemeyi planlıyor

S: Kuantum bilgisayarın imkansız olacağını sanıyorum, bu niye önemli?

• Bazıları kuantum bilgisayarın asla gerçekleşmeyeceğini düşünüyor, ancak bugün aşılması gereken teknik engeller temel fizikten değil, mühendislikten kaynaklanıyor
• Kuantum bilgisayar mümkün olursa, bugün alınan önlemler yüz milyonlarca kullanıcının verisini koruyabilir
• Eğer gereksiz bir hazırlık gibi görünse bile, bu yalnızca matematiksel olarak daha güçlü kriptografiye geçişten ibarettir

S: Post-kantum algoritmaları da zayıf olabilir mi?

• OpenSSH de bu konuda dikkatli ilerliyor
• Son yıllarda yoğun şekilde incelenmiş algoritmalar seçildi, ancak yeni saldırı tekniklerinin ortaya çıkma ihtimali her zaman vardır
• Bu nedenle yalnızca güvenlik payı yüksek olan algoritmalar seçildi, böylece beklenenden daha zayıf olmalarına rağmen pratik düzeyde güvenlik sağlama olasılıkları korunur
• Ayrıca OpenSSH'nin post-kantum algoritmalarının tamamı "hibrit" yaklaşımdadır
  • Örnek: mlkem768x25519-sha256, ML-KEM (post-kantum) ve klasik bir ECDH/x25519 algoritmasının birleşimidir
  • Bu sayede post-kantum algoritması gelecekte kırılırsa bile en azından önceki güvenlik seviyesinin korunması hedeflenir