Microsoft begründet die beschleunigte Roadmap mit dem Tempo der technischen Entwicklung im Quantenbereich. Nach Angaben von Mark Russinovich, Chief Technology Officer von Microsoft Azure, haben Fortschritte in Forschung und Entwicklung den Zeithorizont für das Risiko verändert. Microsoft halte es für möglich, dass kryptografisch relevante Quantencomputer früher als bislang erwartet eintreffen könnten. Weil die Vorbereitung darauf aufwendig sei, sollten Unternehmen nicht abwarten.
Das Microsoft Quantum Safe Program soll deshalb schneller vorankommen. Ziel ist es, kritische Produkte und Dienste bis 2029 auf Post-Quantum-Kryptografie umzustellen. Zusätzlich plant Microsoft, entsprechende Anforderungen in die Secure Future Initiative einzubauen. Russinovich erklärte, damit werde die Bereitschaft für quantensichere Verfahren in denselben disziplinierten Engineering-Rahmen eingebettet, den Microsoft auch für andere kritische Sicherheitsziele nutze: mit klaren Zuständigkeiten, messbaren Meilensteinen und transparentem Fortschritt. Zugleich sollen diese Fähigkeiten in die Plattformen integriert werden, damit Kunden früher und mit mehr Sicherheit umsteigen können.
Zu den technischen Schwerpunkten zählt Microsoft die Modernisierung der Netzwerkkryptografie durch die Einführung von TLS 1.3. Hinzu kommt der Aufbau von Krypto-Agilität für gespeicherte Daten, damit kryptografische Verfahren gewechselt werden können, ohne die zugrunde liegenden Systeme neu entwerfen zu müssen. Außerdem soll die Umstellung auf PQC-Algorithmen Vertrauenskette absichern, darunter Code-Signierung, Zertifikatsausstellung, Schlüsselschutz und Update-Pipelines.
Microsoft betont, dass Krypto-Agilität für die Migration in die Post-Quantum-Welt zentral ist. Nach Darstellung des Unternehmens müssen fest einprogrammierte Annahmen über Algorithmen entfernt, genügend Informationen zum Rekonstruieren des kryptografischen Kontexts gespeichert und Systeme so gebaut werden, dass Algorithmus-Upgrades zu einer routinemäßigen Engineering-Aufgabe werden statt zu einer Notfall-Neuschreibung. Erforderlich seien dafür entweder selbstbeschreibende kryptografische Metadaten oder versionierte Formate für Chiffretexte, damit Implementierungen alte Daten weiter lesen können, während neue Daten bereits mit den neuesten zugelassenen Algorithmen geschrieben werden.
Die Ankündigung kommt kurz nachdem US-Präsident Donald Trump eine Verfügung unterzeichnet hat, die für Bundesbehörden feste Fristen setzt, um hochwertige Vermögenswerte und Systeme mit hoher Auswirkung auf Post-Quantum-Kryptografie umzustellen.
Auch andere große Anbieter haben zuletzt ähnliche Ziele ausgegeben. Google kündigte Anfang März ein neues Programm im Chrome-Browser an, um sicherzustellen, dass HTTPS-Zertifikate gegen das künftige Risiko durch Quantencomputer abgesichert sind. Im selben Monat sagte Google öffentlich zu, die eigene Infrastruktur bis 2029 quantensicher zu machen. Das Webinfrastruktur-Unternehmen Cloudflare verfolgt ebenfalls vergleichbare Pläne mit dem Zieljahr 2029.
Als zusätzliche Gefahr verweist der Bericht auf das Szenario „jetzt sammeln, später entschlüsseln“. Dabei sammeln Angreifer verschlüsselte Daten bereits heute in der Hoffnung, sie später zu entschlüsseln, sobald große Quantenmaschinen betriebsbereit sind.
Zudem haben Forscher von Google nach eigenen Angaben den Quantenalgorithmus zum Brechen elliptischer Kurvenkryptografie deutlich verbessert, konkret für den diskreten Logarithmus auf der 256-Bit-Elliptischen Kurve ECDLP-256, und dafür weniger Qubits und Gatter benötigt als bislang angenommen. Unabhängig davon demonstrierte eine Gruppe von Wissenschaftlern von Caltech und Oratomic einen neuen Ansatz zur Fehlerkorrektur, der Shors Algorithmus mit nur 10.000 rekonfigurierbaren Qubits praktikabel machen und damit potenziell RSA-2048 und P-256 brechen könnte.