OpenStack Crypto-Agility Vulns: Missing PQC & TLS 1.3 Support

OpenStack 後量子時代暗号アジャイル（Crypto-Agility）脆弱性の要約 脆弱性概要 核心的問題：OpenStack における暗号化アルゴリズム（RSA、ECDSA P-256 等）と TLS プロトコルバージョンの制限が多数ハードコードされているため、システムが量子耐性暗号（PQC）アルゴリズムへ滑らかに移行できない状態にある。 主なリスク： - Barbican：RSA/ECDSA 鍵生成がハードコードされており、PQC をサポートしていない。 - Keystone：JWS 署名が ECDSA P-256 にハードコードされており、設定オプションがない。 - oslo.messaging：RabbitMQ の TLS 設定において が TLS 1.2 にハードコードされ、 が TLS 1.3 へのマッピング定数に対応しているため、TLS 1.3 を有効化できない。 - 証明書検証のバイパス：Go および Python コンポーネントで と が広く使用されており、重要なセキュリティ層が除去されている。 - Kubernetes のデフォルト暗号化：cert-manager はデフォルトで RSA-2048 を使用しており、PQC 混合鍵交換が設定されていない。 影響範囲 分析規模：27 個のチーム、90 以上のリポジトリ、572 件の調査結果。 高リスクコンポーネント： - Barbican：鍵生成と保管。 - Keystone：認証と署名。 - oslo.messaging：サービス間コミュニケーション。 - cert-manager：Kubernetes 証明書管理。 - OpenStack Operator：証明書テンプレートと設定。 影響：上記コンポーネントに依存するすべての OpenStack デプロイメントが影響を受ける。特に TLS 1.3 または PQC を有効にする場合。 修正策 Barbican： - 設定項目を新設し、EC、RSA、DSA および PQC（ML-KEM、ML-DSA 等）を対応。 - 内部の 関数を再構築し、PQC 鍵ペア生成をサポート。 Keystone： - 設定項目を新設し、管理者が許容する JWS 署名アルゴリズム（ES256、ES384、ES512、EdDSA 等）を指定可能にする。 - PQC 署名アルゴリズム（ML-KEM、ML-DSA 等）をサポート。 oslo.messaging： - のハードコードを除去し、 を設定可能に変更して TLS 1.3 をサポート。 - RabbitMQ ドライバーを更新し、PQC 混合鍵交換をサポート。 cert-manager： - を設定して TLS 1.3 を有効化。 - PQC 証明書と鍵交換をサポート。 OpenStack Operator： - 証明書テンプレートを更新し、PQC アルゴリズムをサポート。 - を設定して TLS 1.3 を有効化。 POC コード / 利用コード

目標達成 すべての支援者に感謝 — 100%達成しました！

OpenStack Crypto-Agility Vulns: Missing PQC & TLS 1.3 Support

目標達成すべての支援者に感謝 — 100%達成しました！