Cloudflare hat die experimentelle Unterstützung für einen neuen Mechanismus angekündigt, der IPsec-Tunnel vor Angriffen schützt, bei denen die Verschlüsselung auf klassische Algorithmen herabgestuft wird. Diese Angriffskategorie könnte es einem Angreifer mit einem Quantencomputer ermöglichen, die Verbindung zwischen zwei Punkten zu entschlüsseln, die ursprünglich beide eine Post-Quanten-Verschlüsselung unterstützen. Das Unternehmen entwickelte den Mechanismus gemeinsam mit dem IPSECME-Team der IETF, als Vorbereitung auf seine Umwandlung in einen RFC-Standard.
Der Schutz zielt auf eine Erweiterung des IKEv2-Protokolls mit dem Namen IKE_SA_INIT_FULL_TRANSCRIPT_AUTH. Die Erweiterung behebt einen Fehler im IPsec-Design, der es jeder Seite erlaubt, nur ihre ausgehenden Nachrichten zu signieren, anstatt das vollständige Protokoll des Handshakes zu signieren. Dadurch kann ein Angreifer, der den Kommunikationspfad kontrolliert, eine Art „zwei getrennte Ansichten“ des Gesprächs erzeugen: eine, die der Client sieht, und eine andere, die die Gegenstelle sieht.
Wie entsteht das Downgrade-Risiko?
IKEv2 ermöglicht die Aushandlung eines Post-Quanten-Schlüsselaustauschs wie ML-KEM, während die Unterstützung klassischer Verschlüsselung für die Kompatibilität mit noch nicht aktualisierten Geräten erhalten bleibt. Ein Man-in-the-Middle-Angreifer kann die Aushandlungsnachrichten so verändern, dass eine der beiden Seiten den Eindruck erhält, die andere Seite unterstütze keine Post-Quanten-Verschlüsselung. Dadurch wird ein klassischer Diffie-Hellman-Austausch ausgewählt.
Im Quanten-Szenario kann der Angreifer seine Fähigkeit nutzen, den Diffie-Hellman-Austausch zu brechen, um den Verschlüsselungsschlüssel für die nachfolgenden Handshake-Nachrichten wiederherzustellen. Die Quelle beschreibt den Angriff als relativ schwierig, da die Quantenberechnung während des Handshakes und nicht offline wie bei „Jetzt sammeln, später entschlüsseln“-Angriffen durchgeführt werden muss. Dennoch ist Cloudflare der Ansicht, dass die schneller steigenden Schätzungen der für Quantenangriffe erforderlichen Ressourcen eine frühzeitige Vorbereitung rechtfertigen. Diese Bedenken veranlassten das Unternehmen, den Zeitpunkt seines Übergangs auf das Jahr 2029 vorzuziehen.
Was ändert die Erweiterung?
Die Erweiterung fügt eine Authentifizierung des vollständigen Handshake-Protokolls hinzu. Beide Seiten geben ihre Unterstützung über eine Benachrichtigungsnachricht bekannt, die während des ersten Austauschs bedingungslos gesendet wird. Wenn eine Seite die Unterstützungsbenachrichtigung sieht, wechselt sie zur neuen Authentifizierungslogik und erwartet, dass die andere Seite dasselbe Protokoll signiert.
Das bedingungslose Senden der Benachrichtigung verhindert bestimmte Versuche, sie unterwegs zu entfernen. Entfernt der Angreifer die Benachrichtigung nur auf einer Seite, verwenden die beiden Seiten unterschiedliche Signaturlogiken, was zum Fehlschlagen der Authentifizierung führt. Entfernt er die Benachrichtigung auf beiden Seiten, kehren beide Seiten zur alten Logik zurück. Für einen erfolgreichen Angriff müsste der Angreifer dann jedoch die Signaturen beider Seiten fälschen, nicht nur die Signatur einer Seite.
Verfügbarkeit und praktische Einschränkungen
Cloudflare hat die experimentelle Unterstützung in Cloudflare WAN und Magic Transit implementiert. Kunden können ihre Aktivierung über ihre Account-Management-Teams unter Verwendung des Flags ipsec_downgrade_protection beantragen. In einer späteren Beschreibung des Aktivierungsmechanismus weist das Unternehmen darauf hin, dass die Funktion einem kontospezifischen Flag unterliegt und nach Abschluss der Tests auf alle Kunden ausgeweitet werden soll.
Die Erweiterung erfordert Unterstützung auf beiden Seiten, damit sie wirksam ist. Cloudflare hat die Aktivierung daher optional gehalten, da möglicherweise Kunden oder IKEv2-Implementierungen existieren, die die neue Protokollbenachrichtigung nicht korrekt verarbeiten. Die Ankündigung stellt deshalb keine sofortige Lösung für alle IPsec-Tunnel dar, sondern einen Übergangsschritt, der von der Übernahme der Erweiterung durch das übrige IPsec-Ökosystem und dem weiteren Verlauf innerhalb der IETF abhängt.
Warum ist diese Nachricht wichtig?
Die Entwicklung zeigt, dass der Übergang zur Post-Quanten-Verschlüsselung nicht nur das Hinzufügen neuer Algorithmen wie ML-KEM oder ML-DSA umfasst. Auch die Aushandlungs- und Authentifizierungsmechanismen selbst können einen Weg zur Umgehung dieses Schutzes eröffnen, wenn die Parteien nicht nachweisen, dass sie denselben Handshake gesehen haben. Für Organisationen, die IPsec zur Netzwerkverbindung oder zum Schutz von Infrastrukturen einsetzen, wird die Beobachtung der Unterstützung der Erweiterung durch Dienstanbieter und Endgeräte zu einem Bestandteil der Planung des Übergangs zur Post-Quanten-Sicherheit. Der Zeitpunkt, zu dem ein tatsächlicher Quantenangriff praktisch durchführbar sein wird, bleibt jedoch ungeklärt.