Připravte svou síť na kvantově odolné šifrování v protokolu TLS
Přečtěte si o kvantově odolném šifrování v protokolu TLS a o tom, jak zkontrolovat, zda jsou webové servery vaší organizace připravené.
Tento článek je určen správcům firemních a školních sítí.
V systémech iOS 26, iPadOS 26, macOS Tahoe 26 a visionOS 26 budou připojení chráněná protokolem TLS automaticky uvádět podporu hybridní, kvantově odolné výměny klíčů v protokolu TLS 1.3. To umožňuje vyjednávání algoritmu kvantově odolné výměny klíčů se servery s protokolem TLS 1.3, které to podporují, a zároveň pomáhá zachovat kompatibilitu se servery, které tento nový algoritmus zatím nepodporují. Cílem použití kvantově odolného šifrování, označovaného také jako „postkvantové šifrování“, je zabránit útočníkovi zaznamenávat přenosy připojení přes TLS a později k dešifrování obsahu použít budoucí kvantový počítač.
Zpráva ClientHello ze zařízení se systémy iOS 26, iPadOS 26, macOS Tahoe 26 a visionOS 26 bude obsahovat X25519MLKEM768 v rozšíření supported_groups (viz registr) spolu s odpovídajícím sdíleným adresářem klíčů v rozšíření key_share. Servery můžou vybrat X25519MLKEM768, pokud tento algoritmus podporují, nebo použít jinou skupinu uvedenou ve zprávě ClientHello.
Kontrola, zda webový server podporuje kvantově odolné šifrování
Počínaje systémem macOS Tahoe 26 můžete pomocí následujícího příkazu zkontrolovat, zda váš server HTTPS podporuje algoritmus výměny klíčů X25519MLKEM768:
nscurl --tls-diagnostics https://test.example
Servery, které kvantově odolné šifrování podporují, vrátí následující hodnoty:
Vyjednaná verze TLS (kódový bod): 0x0304
Vyjednaná skupina pro výměnu klíčů TLS (název): X25519MLKEM768
Vyjednaná šifrovací sada TLS (kódový bod): 0x1302
Servery, které kvantově odolné šifrování nepodporují, vyberou během metody handshake TLS jiné podporované skupiny, aby umožnily připojení zařízení se systémem iOS 26, iPadOS 26, macOS Tahoe 26 a visionOS 26.
Řešení problémů s připojením
Zařízení se systémy iOS 26, iPadOS 26, macOS Tahoe 26 a visionOS 26 se nemusí připojit k některým starším serverům kvůli nesprávné implementaci protokolu TLS, která nedokáže číst velké zprávy ClientHello. Více informací o tomto problému se serverem naleznete zde.
Pokud potřebujete připojit zařízení s iOS 26, iPadOS 26, macOS Tahoe 26 a visionOS 26 k serveru nebo síťovému zařízení, kterého se tento problém týká, před jeho vyřešením, můžete dočasně zapnout režim kompatibility, který umožní opakované pokusy o připojení bez oznámení podpory kvantově odolného šifrování. Upozorňujeme, že se jedná o dočasný režim kompatibility, který nebude k dispozici v budoucích verzích iOS, iPadOS, macOS a visionOS.
K povolení tohoto režimu kompatibility v systému macOS Tahoe 26 použijte následující příkaz:
defaults write com.apple.network.tls AllowPQTLSFallback -bool true
Konfigurační profily pro povolení tohoto režimu kompatibility v systémech iOS 26, iPadOS 26, macOS Tahoe 26 a visionOS 26 pomocí služby správy zařízení jsou k dispozici na stránce zdrojů AppleSeed pro IT.