EUCC-utkast om kryptografi rör sig mot postkvantmekanismer

ENISA:s utkast till version 3 av Agreed Cryptographic Mechanisms är fortfarande föremål för offentligt samråd, medan version 2.0 fortfarande är tillämplig. Förslaget lyfter fram utvalda postkvantmekanismer och förfinar kategoriseringen av accepterad kryptografi.

Den aktuella situationen

ENISA publicerade arbetsutkastet till version 3 av Agreed Cryptographic Mechanisms, eller ACM, för offentligt samråd den 2 juni 2026. Samrådet pågick till slutet av juli 2026. Den 16 september 2026 presenterar ENISA fortfarande version 3 som ett utkast för offentligt samråd och anger ACM version 2.0 som den tillämpliga versionen.

Denna skillnad är viktig. De föreslagna klassificeringarna och datumen i version 3 bör vägleda planering och teknisk granskning, men de är ännu inte tillämpliga ACM-krav. Team bör fortsätta att bedöma EUCC-arbete mot de aktuella dokumenten för certifieringssystemet och den tillämpliga vägledningen i version 2.0.

Vad ACM gör

ACM är kryptografivägledning som tas fram av undergruppen för kryptografi inom Europeiska gruppen för cybersäkerhetscertifiering. Den är främst avsedd för utvecklare och utvärderare i EUCC-sammanhang och identifierar kryptografiska mekanismer som nationella myndigheter för cybersäkerhetscertifiering förväntas godta.

EUCC är det europeiska systemet för cybersäkerhetscertifiering av IKT-produkter, baserat på Common Criteria, och inrättades genom kommissionens genomförandeförordning (EU) 2024/482. Förordningen är bindande, medan ACM ger aktuell kryptografisk vägledning inom certifieringsramen.

En föreslagen modell med rekommenderade och tillåtna mekanismer

Ett centralt förslag i version 3 är att ersätta den befintliga beteckningen legacy med admissible. I utkastet gäller följande:

• Recommended-mekanismer återspeglar aktuell teknisk nivå.
• Admissible-mekanismer fortsätter att godtas enligt utkastets villkor och giltighetsbehandling.

Detta är inte ett förslag om att förbjuda klassisk kryptografi över en natt. Utkastet fortsätter att ange specificerade RSA-mekanismer, mekanismer för signaturer och nyckeletablering över ändliga kroppar och elliptiska kurvor som tillåtna, med anmärkningar om kvanthotet.

Utkastet inför också giltighetsnotation för tillåtna mekanismer:

Den föreslagna standardgiltigheten för tillåtna mekanismer är A[2033+]. Dessa notationer avser föreslaget godtagande inom ACM. De fastställer inte i sig en produkts marknadslivslängd, ett certifikats utgångsdatum eller en supportperiod.

Postkvantmekanismer hamnar i fokus

Utkastet till version 3 klassificerar flera postkvantmekanismer som rekommenderade:

• ML-KEM och FrodoKEM för nyckeletablering eller inkapsling.
• ML-DSA, XMSS, LMS och SLH-DSA för digitala signaturer.

Detta skulle placera dessa mekanismer bland utkastets rekommenderade val, med förbehåll för parameter- och implementeringsvägledningen i dokumentet. Det innebär inte att varje parameteruppsättning, implementering eller driftsättningsmönster automatiskt godtas.

Förändringen är särskilt betydelsefull för nya konstruktioner som behöver skydda konfidentialitet under en lång period. Kvanthotet påverkar hur team väger risken att krypterad information som samlas in nu senare kan bli läsbar om tillräckligt kraftfull kvantdatorteknik blir tillgänglig.

Hybrid nyckeletablering kräver separat konstruktionsgranskning

För MLWE-baserad nyckeletablering anger utkastet att postkvantmekanismen bör kombineras med en klassisk mekanism. Det anger också följande rekommenderade TLS 1.3-grupper:

• SecP256r1MLKEM768
• X25519MLKEM768
• SecP384r1MLKEM1024

Dessa föreslagna ACM-poster är användbara signaler för planering, men de utgör inte ett fullständigt beslut om protokolldriftssättning. Team behöver fortfarande verifiera relevant TLS-profil, produktarkitektur, bibliotekstöd, implementeringsbegränsningar och tillämpliga standarder.

ENISA:s rapport om hybridisering från april 2026 kartlägger läget för standardiseringsarbetet, men fastställer uttryckligen inte en rekommendation från ENISA eller ECCG. Den är därför användbar som bakgrund, men ersätter inte kontroll av tillämplig ACM och protokollstandarder.

Andra föreslagna tillägg och förtydliganden

Utkastet föreslår också flera förändringar utöver postkvantnyckeletablering och signaturer.

Argon2-id läggs till som en rekommenderad mekanism för lösenordshashning, medan PBKDF2 förblir tillåten. EdDSA anges som tillåten. Klassificeringarna bör stödja teknisk granskning, inte ersätta bedömning av parametrar, implementering och användningsfall.

Funktioner med utökningsbar utdata, inklusive SHAKE och cSHAKE, förekommer som en separat föreslagen kategori. Detta återspeglar deras användning i mekanismer som ML-KEM och ML-DSA.

För AES förtydligar utkastet att AES-128 förblir en överenskommen mekanism. När kvantsäkerhet eftersträvas rekommenderas AES-192 eller AES-256. Det kräver inte att all användning av AES-128 ersätts eller att varje symmetrisk nyckellängd fördubblas.

En föreslagen uppdateringsprocess

Den nya bilagan C beskriver en föreslagen process för att uppdatera ACM. Den omfattar inlämning, fullständighetsgranskning, analys och uppdateringssteg. Enligt utkastet får större uppdateringar två månaders offentligt samråd, medan undergruppen kan anta mindre redaktionella ändringar direkt.

Detta är en föreslagen process för dokumentunderhåll, inte en lagstadgad överklagandeväg eller certifieringsprocess.

En praktisk granskningslista för produktteam

Utkastet är en användbar uppmaning att organisera underlag och alternativ innan dess status förändras. En proportionerlig granskning bör omfatta:

• Inventera de kryptografiska mekanismer som används i produkter, tjänster och stödjande komponenter.
• Koppla varje mekanism till dess parametrar, nyckellängder, protokollprofiler och implementeringsberoenden.
• Dokumentera den aktuella klassificeringen i version 2.0 tillsammans med den föreslagna klassificeringen i version 3.
• Identifiera information med långvariga konfidentialitetskrav och bedöm var hybrid nyckeletablering kan behöva utredas.
• Skjut upp slutliga implementeringsbeslut tills den tillämpliga ACM-versionen och relevanta protokollstandarder har bekräftats.

Vad som bör bevakas härnäst

Den avgörande statusen är oförändrad på åtkomstdatumet: version 3 presenteras fortfarande av ENISA som ett utkast för offentligt samråd, och version 2.0 är fortfarande tillämplig. Team bör bevaka om ENISA publicerar en antagen version, om klassificeringar eller giltighetsbehandlingar ändras och hur slutdokumentet stämmer överens med relevanta protokoll- och implementeringsstandarder.

Arbetsutkastet till version 3 ger ändå en tydlig indikation på den riktning som övervägs: större framträdande plats för utvalda postkvantmekanismer, fortsatt villkorat godtagande av många klassiska mekanismer och närmare uppmärksamhet på val vid hybriddriftssättning.