Post-Quantum-Reisepässe könnten zu langsam sein

Post-Quanten-Pässe sind auf heutigen Sicherheitschips technisch grundsätzlich machbar – die eigentliche ingenieurtechnische Frage ist jedoch, ob sie die Geschwindigkeits- und Sicherheitsanforderungen von Grenzkontrollsystemen erfüllen können. In einem neuen Clip aus der Post-Quantum-Cryptography-Konferenz der Elektor Academy Pro erklärt Nouri Alnahawi, wissenschaftlicher Mitarbeiter und Doktorand an der Hochschule Darmstadt, warum die Umrüstung eines elektronischen Reisepasses nicht damit getan ist, einen Algorithmus durch einen anderen zu ersetzen.

Post-Quanten-Pässe auf heutigen Chips

Alnahawi zufolge ist Post-Quanten-Kryptografie auf aktueller Hardware für elektronische maschinenlesbare Reisedokumente (eMRTD) grundsätzlich realisierbar. Das Problem liegt in der Leistung. Eine kryptografische Operation, die derzeit etwa 250 ms dauert, kann mit einer Post-Quanten-Implementierung 1 bis 2 s in Anspruch nehmen. Das klingt nach einer geringfügigen Verzögerung, doch multipliziert über eine automatisierte Grenzanlage hinweg, wirkt sich das auf den Durchsatz, die Nutzerfreundlichkeit und die Zertifizierung durch Stellen wie das deutsche BSI und die Internationale Zivilluftfahrtorganisation (ICAO) aus, wie Alnahawi im folgenden Clip erläutert.

Geschwindigkeit ist auch eine Sicherheitseigenschaft

Die Leistungseinbuße ist nicht nur ein Komfortproblem. Alnahawi argumentiert, dass längere Ausführungszeiten das Beobachtungsfenster für Seitenkanalanalysen und Fehlerinjektionsangriffe vergrößern können. Passlesegeräte an automatisierten Grenzübergängen sind zwar häufig physisch abgeschirmt, was einige praktische Angriffsmöglichkeiten reduziert – doch eMRTDs kommen in weit mehr Situationen zum Einsatz als nur an Flughafenterminals. Eine langsame Implementierung kann daher eine größere Angriffsfläche auf Implementierungsebene schaffen.

Auch die Wahl des Algorithmus spielt eine Rolle. NISTstandard ML-KEM bietet eine vergleichsweise praxistaugliche Balance aus Sicherheit, Schlüsselgröße und Leistung, doch Alnahawi weist darauf hin, dass Saber in manchen ressourcenbeschränkten Implementierungen schneller sein kann. FrodoKEM, das auf die zusätzliche Struktur von Modul-Gitter-Verfahren verzichtet, erwies sich in den Entwicklungsboard-Tests des Teams als zu umfangreich. Im Bereich der eingebetteten Sicherheit muss mathematische Eleganz eben noch in den Speicher passen und abgeschlossen sein, bevor der Reisende ungeduldig wird.

Optimierte Hardware dürfte die Situation verbessern. Alnahawi verweist auf Halbleiterhersteller wie NXP, die sichere Bausteine mit erweiterter Post-Quanten-Unterstützung vorbereiten. NXP hat bereits auf die größeren Schlüssel und erhöhten Latenzen hingewiesen, die diese Algorithmen mit sich bringen können, sowie auf deren Auswirkungen auf bestehende Public-Key-Infrastrukturen.

Der fehlende PACE-Nachfolger

Digitale Signaturen sind nur ein Teil der Pass-Sicherheitskette. ML-DSA kann quantenresistente Signaturen für Zertifikate und Public-Key-Infrastrukturen bereitstellen, aber Chip und Lesegerät müssen dennoch eine geschützte Sitzung aufbauen. Aktuelle eMRTDs verwenden für diesen Schritt üblicherweise PACE – Password Authenticated Connection Establishment.

Alnahawis Bedenken gilt dem Umstand, dass es bisher kein vereinbartes Post-Quanten-Protokoll für passwortbasierte authentifizierte Schlüsselvereinbarung gibt, das das klassische PACE ersetzen oder erweitern könnte. Wenn der Sitzungsaufbau weiterhin auf klassischem Diffie-Hellman basiert, bleibt dieser Teil des Systems der künftigen Quantenbedrohung ausgesetzt – selbst wenn die Zertifikate bereits auf ML-DSA umgestellt wurden.

Es geht nicht darum, dass „Pässe kaputt sind", sondern vielmehr darum, dass Post-Quanten-Pässe zwar machbar erscheinen, Algorithmen, Protokolle, Hardwarebeschleunigung, Seitenkanalresistenz, Interoperabilität und Zertifizierung aber alle gemeinsam voranschreiten müssen. Standardisierung ist notwendig – von einem fertigen System ist man noch entfernt.