Kryptografische Stückliste
Sie können nicht migrieren, was Sie nicht inventarisiert haben
Stella Ops analysiert kryptografische Assets, die in einer CycloneDX-CBOM deklariert sind – Algorithmen, Schlüssel, Zertifikate und Protokollkonfigurationen – und bewertet deren Bereitschaft für eine Post-Quantum-Migration.
Die Analyse umfasst deklarierte Assets. Was die CBOM nicht deklariert, wird von Stella nicht angenommen.
Was eine CBOM ist
Eine CBOM ist das kryptografische Gegenstück zu einer Software-Stückliste: ein strukturiertes Inventar der von Software verwendeten Algorithmen, Schlüsselgrößen, Zertifikate und Protokollversionen. CycloneDX erfasst sie in cryptoProperties für die Komponenten einer SBOM. CycloneDXEin offenes Standardformat für Software Bill of Materials (SBOM), das branchenweit eingesetzt wird SBOMSoftware Bill of Materials – eine vollständige Liste aller Pakete und Abhängigkeiten in Ihrer Software
Wenn eine gescannte SBOM cryptoProperties deklariert, führt der Scanner eine Kryptoanalysestufe aus und hängt den Bericht an den Scan-Nachweis an. Krypto-Befunde gelangen in dieselbe Nachweiskette wie Schwachstellenbefunde – aufgezeichnet, verknüpfbar und wiederholbar.
Was die Analyse abdeckt
Die deklarierten kryptografischen Assets werden fünf Prüfungen unterzogen. Jede erzeugt an konkrete Assets gebundene Befunde statt einer einzigen Bestanden-Bewertung.
Schwache und veraltete Algorithmen werden anhand eines gepflegten Katalogs erkannt: Kurzschlüssel, veraltete Hash-Funktionen, veraltete Protokollversionen.
Zeigt, welche Assets auf quantenanfälligen Grundelementen basieren und wo sich der Migrationsaufwand konzentriert, sodass ein Migrationsplan eher auf Beweisen als auf Schätzungen basiert.
Nur Beurteilung. Stella Ops führt keine Post-Quantum-Signierung durch.
Validiert deklarierte Vermögenswerte anhand der kryptografischen Richtlinien FIPS 140-2/3, PCI-DSS und NIST sowie regionaler Kryptoprofilprüfungen.
Es werden Validierungsergebnisse gemeldet; Konformität wird nicht zertifiziert. Nachweise werden im konservativen Nur-Nachweis-Modus erfasst, und der Betreiber bleibt stets der regulierte Entscheidungsträger.
Erstellt eine Bestandsaufnahme der kryptografischen Assets, die für das gescannte Artefakt deklariert wurden – das Basisdokument, von dem ein Migrationsprogramm ausgeht. Nicht deklarierte Vermögenswerte fehlen im Inventar und werden nicht abgeleitet.
X.509-Zertifikatsanalyse und TLS-Protokollversionsanalyse: Ablauf, schwache Signaturalgorithmen und veraltete Protokollversionen, pro Asset gemeldet.
Warum jetzt
Die Post-Quanten-Migration hat sich von Forschungsarbeiten zu Projektplänen verlagert. Die Fakten, ohne Alarm:
NIST veröffentlichte im August 2024 die ersten Post-Quantum-Kryptografiestandards (FIPS 203, 204 und 205). Die Zielalgorithmen sind damit kein bewegliches Ziel mehr.
Die Migrationsplanung erscheint jetzt in Sicherheits-Roadmaps und 2026-Budgets. Die Planungsfrage ist der Umfang: Welche Systeme nutzen quantenanfällige Kryptographie und wo.
Jedes Migrationsprogramm beginnt mit derselben Frage: Welche Kryptografie verwenden wir heute? Ein CBOM-Inventar beantwortet sie anhand von Scan-Nachweisen statt anhand einer Tabelle.
Einordnung in das Nachweis-Rückgrat
Wo die Beweise angebracht sind
- Quelle
- Build
- Scan
- Urteil
- Entscheidung
- Bereitstellung
- Watch
CBOM-Nachweise werden in der Scan-Stufe zusammen mit Schwachstellen- und SBOM-Nachweisen angehängt. Danach folgen sie demselben Pfad wie jeder andere Befund: Die Richtlinie kann Krypto-Befunde in Verdict auswerten, und die Release-Entscheidung führt die Krypto-Nachweise mit.
Gleiche Kette, gleiche Wiedergabe: Aus den aufgezeichneten Eingaben kann ein Kryptobefund deterministisch neu abgeleitet werden.
Verwandt
Wie die Plattform selbst Beweise signiert, verifiziert und speichert – anders als die Analyse der Kryptografie Ihrer Software.
Das Softwareinventar des CBOM erweitert: CycloneDX- und SPDX-Generierung, VEX-Anweisungen und wie beide Urteile einspeisen.
Wo Krypto-Ergebnisse im Nur-Beweis-Modus in die Beweissammlung für regulatorische Rahmenbedingungen einfließen können.