IKEv2 Post-quantum Preshared Keys (PPK)

Quantencomputer stellen eine mögliche Herausforderung für aktuelle kryptografische Algorithmen dar, wie sie beispielsweise im IKEv2 VPN verwendet werden. Aktuelle Algorithmen gelten nach heutigem Stand als sehr robust, aber es besteht die Herausforderung, dass ein Angreifer heute verschlüsselte Daten aufzeichnen kann und diese mit Quantencomputern in der Zukunft entschlüsseln könnte.

Das RFC 8784 "Mixing Preshared Keys in the Internet Key Exchange Protocol Version 2 (IKEv2) for Post-quantum Security" bietet eine Möglichkeit, resistent gegen Quantencomputer zu sein, wenn Passwörter (PSKs) verwendet werden. Die Erweiterung besteht darin, dass in das standardmäßig verwendete IKEv2 Passwort-Verfahren (PSK) ein weiterer Schlüssel in Form eines Post-quantum Preshared Key (PPK) "gemixt" wird, um die Resistenz zu erhöhen.

Bestehende IKEv2-PSK-Tunnel können einfach um PPKs ergänzt werden. Der PPK ist unabhängig vom bereits vorhandenen PSK.

LCOS unterstützt die manuelle Konfiguration von PPKs. Automatische Verfahren zur Änderung bzw. Wechsel von PPKs werden nicht unterstützt.

Tabelle VPN > IKEv2/IPSec > Authentifizierung

PPK-ID: Geben Sie hier den Namen der PPK-ID (Post-quantum Preshared Keys nach RFC 8784) aus der Tabelle der PPKs ein.

Tabelle VPN > IKEv2/IPSec > Erweiterte Einstellungen > Authentifizierung > Identitäten

PPK-ID: Geben Sie hier den Namen der PPK-ID (Post-quantum Preshared Keys nach RFC 8784) ein aus der Tabelle der PPKs.

Tabelle VPN > IKEv2/IPSec > Erweiterte Einstellungen > Authentifizierung > PPKs

PPK-ID: Vergeben Sie einen eindeutigen Namen für diesen Eintrag. Eingabeformat ist möglich als Zeichenkette oder Hexadezimalzahl (identifiziert durch ein führendes 0x).
PPK: Vergeben Sie hier den Post-quantum Preshared Key als Zeichenkette oder Hexadezimalzahl (identifiziert durch ein führendes 0x).
Erforderlich: Wird die Verwendung von PPKs als erforderlich konfiguriert, so wird die entsprechende VPN-Verbindung abgelehnt, falls die Gegenseite kein PPK unterstützt oder konfiguriert hat. Wird die Verwendung von PPKs als optional konfiguriert, so werden sowohl Verbindungen mit PPK als auch ohne PPK akzeptiert.

RADIUS-Attribute

Analog dazu werden auch entsprechende RADIUS-Attribute unterstützt:

ID	Bezeichnung	Bedeutung
LANCOM 33	LCS-IKEv2-PPK	Gibt den Post-quantum Preshared Key als Zeichenkette oder Hexadezimalzahl (identifiziert durch ein führendes 0x) an.
LANCOM 34	LCS-IKEv2-PPK-MANDATORY	Gibt an, ob die Verwendung des übergebenen Post-quantum Preshared Key (PPK) gefordert wird. Falls ja, dann wird die entsprechende VPN-Verbindung abgelehnt, falls die Gegenseite kein PPK unterstützt oder konfiguriert hat. Wird die Verwendung von PPKs als optional konfiguriert, so werden sowohl Verbindungen mit PPK als auch ohne PPK akzeptiert.