owasp/quantum-security-projectAnbieterneutrales OWASP-Projekt, das Sicherheitsrisiken des Quantenzeitalters mit einer Top-10-Risikoliste, Abhilfemaßnahmen und Bedrohungsmodellen für die Migration zur Post-Quanten-Kryptografie und die Sicherheit von Quantenplattformen abbildet.
<div align="center"> <picture> <source media="(prefers-color-scheme: dark)" srcset="assets/logo-white.png"> <img src="https://assets.kitploit.com/production/public/readmes/39558/4b56c07450ac027434004c0e624321f737359cc6471b0fb6248bbe5ac0ae241e.png" alt="OWASP Quantum Security Project logo" width="160"> </picture> # OWASP Quantum Security Project **Bereite dich heute vor. Schütze morgen.** </div> Ein offizielles OWASP-Community-Projekt, das die Sicherheitsrisiken der Quantenära praktisch, herstellerneutral und risikobasiert kartiert – das Gegenmittel zu Hype und Angst. > **Status:** Bootstrap-Phase. Die OWASP Top 10 für Quanten-Sicherheitsrisiken befindet sich im > Entwurfsstadium **v0.1** und ist offen für Community-Input. Sie ist unser Ausgangspunkt, nicht die > endgültige Liste. --- ## Über das Projekt NIST, das britische NCSC und EU-Institutionen haben alle konkrete Leitlinien zu Post-Quanten-Kryptografie, Krypto-Agilität und Harvest-Now-Decrypt-Later- Abschwächung herausgegeben – während sich Quantensysteme selbst von der Forschung in Cloud- und Unternehmensumgebungen bewegen. Dennoch stehen Sicherheitsteams weiterhin vor drei Lücken: 1. **Keine prägnante, priorisierte Sicht** auf Quanten-Sicherheitsrisiken. 2. **Kein breit akzeptiertes Bedrohungsmodell** für Quantenplattformen. 3. **Organisatorische Bereitschaft und Plattformsicherheit werden getrennt behandelt.** Dieses Projekt schließt diese Lücken mit Arbeit, die: - **Praktisch und unmittelbar** ist – hilft Verteidigern, heute auf Quantenrisiken zu reagieren, nicht erst in einem Jahrzehnt. - **Systematisch und risikobasiert** ist – kartiert die Landschaft strukturiert und priorisiert. - **Handlungsorientiert und fundiert** ist – verknüpft mit anerkannten Leitlinien von NIST, NCSC und der EU. - **Eine Community** ist – verbindet Forschung, Industrie und Praktiker in einer gemeinsamen Anstrengung. ### Zwei Spuren | Spur | Fokus | Wichtigste Ergebnisse | |-------|-------|------------------| | **Spur 1** (primär, erstes Jahr) | Quanten-Sicherheitsrisiken & Bereitschaft | OWASP Top 10 für Quanten-Sicherheitsrisiken, Abschwächungsleitlinien und ein Quantum Readiness Assessment Assistant | | **Spur 2** (parallel) | Bedrohungsmodellierung für Quantenplattformen | Bedrohungsmodelle, Referenzarchitekturen, Angriffsflächen-Kartierung und Leitlinien für sicheres Design von Quantenplattformen | --- ## Projektleiter - **John Sotiropoulos** - **Roy Barkay** Das Projekt läuft expertenunterstützt und communitygetrieben, mit offenem und transparentem Peer-Review und Freigabe durch die Projektleiter. Weitere Arbeitsgruppen- und Einstiegsleiter werden onboardet, während das Projekt reift. Siehe die [Projektcharta](https://github.com/owasp/quantum-security-project/blob/main/charter.md) für Mission, Umfang, Governance und Arbeitsweisen. --- ## Die OWASP Top 10 für Quanten-Sicherheitsrisiken Entwurf v0.1. Jeder Eintrag befindet sich unter [`quantum-top-10/`](https://github.com/owasp/quantum-security-project/blob/main/quantum-top-10). Der Weg vom v0.1-Entwurf zu einem community-validierten v1 ist im [Sprint-Plan und Projektzeitplan](https://github.com/owasp/quantum-security-project/blob/main/plans/sprint-plan-quantum-top10-2026.md) dargelegt. QS01-QS07 adressieren die **Migrationsfläche** – Risiken für Organisationen, deren bestehende klassische Kryptografie durch Post-Quanten-Äquivalente ersetzt werden muss. QS08-QS10 adressieren die **Plattformfläche** – Risiken für Organisationen, die Workloads auf Quantencomputing-Plattformen ausführen. | ID | Risiko | Primärer Anker | |----|------|----------------| | [QS01](https://github.com/owasp/quantum-security-project/blob/main/quantum-top-10/QS01_Harvest-Now-Decrypt-Later-Exposure.md) | Harvest-Now-Decrypt-Later-Exposition | EU-Fahrplan Ende 2030; NCSC 2031; NSM-10 | | [QS02](https://github.com/owasp/quantum-security-project/blob/main/quantum-top-10/QS02_Long-Lived-Sensitive-Data.md) | Langlebige sensible Daten | Moscas Ungleichung; EU-Fahrplan Ende 2030 | | [QS03](https://github.com/owasp/quantum-security-project/blob/main/quantum-top-10/QS03_Vulnerable-Signatures-and-Code-Signing.md) | Verwundbare Signaturen und Code-Signing | NSA CNSA 2.0 bis 2030; CRA Anhang I | | [QS04](https://github.com/owasp/quantum-security-project/blob/main/quantum-top-10/QS04_Absent-Cryptographic-Inventory-and-CBOM.md) | Fehlendes kryptografisches Inventar und CBOM | NCSC 2028; EU-Fahrplan Ende 2026 | | [QS05](https://github.com/owasp/quantum-security-project/blob/main/quantum-top-10/QS05_Crypto-Agility-Failures.md) | Krypto-Agilitäts-Fehler | NIS2 Artikel 21(2)(h); IETF PQUIP/TLS WG | | [QS06](https://github.com/owasp/quantum-security-project/blob/main/quantum-top-10/QS06_Insecure-Migration-and-Hybrid-Misuse.md) | Unsichere Migration und Hybrid-Fehlgebrauch | EU-Fahrplan Ende 2030 Verbot von Standalone-Klassik | | [QS07](https://github.com/owasp/quantum-security-project/blob/main/quantum-top-10/QS07_Hardware-Roots-of-Trust.md) | Hardware-Vertrauensanker | NCSC 2028-Meilenstein; CRA Anhang IV | | [QS08](https://github.com/owasp/quantum-security-project/blob/main/quantum-top-10/QS08_QPU-Tenant-Isolation-Failures.md) | QPU-Mandantenisolations-Fehler | Li et al. NDSS 2025; Xu et al. CCS 2023 | | [QS09](https://github.com/owasp/quantum-security-project/blob/main/quantum-top-10/QS09_Toolchain-and-Compiler-Compromise.md) | Toolchain- und Compiler-Kompromittierung | Suresh et al. HASP 2021; Chu et al. ICASSP 2023 | | [QS10](https://github.com/owasp/quantum-security-project/blob/main/quantum-top-10/QS10_Side-Channel-and-Control-Plane-Exposure.md) | Seitenkanal- und Kontrollebenen-Exposition | Mi et al. CCS 2022; Xu et al. CCS 2023 | Jeder Eintrag folgt einer gemeinsamen [Vorlage](https://github.com/owasp/quantum-security-project/blob/main/quantum-top-10/_template.md): Beschreibung, häufige Beispiele, Prävention, Beispiel-Angriffsszenarien, Referenzen und eine Standards- und Regulierungs-Zuordnung. --- ## Community-Calls Das Projekt führt einen zweiwöchentlichen Community-Call durch (Montags 17:30-18:30 London, Beginn 3. August 2026 – siehe [Community und Kontakt](#community-und-kontakt) für die Zoom- und Kalenderdetails), mit zusätzlichen Calls bei Bedarf, während die Arbeit voranschreitet. Folien für jeden Call werden in [`calls/`](https://github.com/owasp/quantum-security-project/blob/main/calls) veröffentlicht, beginnend mit dem Projekt- Kick-off-Deck; Folien für nachfolgende Calls werden dort hinzugefügt, sobald sie stattfinden. --- ## So kannst du beitragen Feedback und Beiträge sind willkommen – dies ist ein Community-Projekt und die Top 10 ist ausdrücklich ein Entwurf zur Diskussion. **1. Klone das Repository** ```bash git clone https://github.com/OWASP/quantum-security-project.git cd quantum-security-project ``` **2. Schlage eine Änderung mit einem Pull Request vor** ```bash git checkout -b my-contribution # bearbeite oder füge Einträge unter quantum-top-10/ hinzu (beginne mit _template.md für neue Risiken) git commit -am "Beschreibe deine Änderung" git push -u origin my-contribution ``` Öffne dann einen Pull Request gegen `main`. Bitte fundiere neue oder überarbeitete Inhalte in veröffentlichten Standards, Regulierungen oder peer-reviewter Forschung und halte das Projekt herstellerneutral. **3. Oder teile Feedback über GitHub Issues** Ziehst du es vor, zu diskutieren, bevor du eine Änderung schreibst? [Öffne ein Issue](https://github.com/OWASP/quantum-security-project/issues), um ein Kandidatenrisiko vorzuschlagen, einen Fehler zu melden, die Auswahl oder Reihenfolge zu hinterfragen oder ein Gespräch zu starten. Issues sind der beste Ort für Feedback, das noch keine konkrete Änderung ist. **Schnell-Einreichungsformulare** Während der Bootstrap-Phase kannst du auch über diese Formulare beitragen, ohne GitHub zu verwenden: - [Top 10 für Quantensicherheit – Kandidatenrisiken & Feedback](https://forms.gle/8NbEEX6mmiKdUXxXA) - [Arbeitsbereiche & Vorschläge – schlage ein Thema oder einen Arbeitsbereich vor](https://forms.gle/n7BicJJpQJFQ8eRz7) --- ## Community und Kontakt - **Homepage:** [quantum-owasp.org](https://quantum-owasp.org) - **GitHub:** [github.com/OWASP/quantum-security-project](https://github.com/OWASP/quantum-security-project) - **OWASP Slack:** `#project-quantum-security` – [dem OWASP Slack beitreten](https://owasp.org/slack/invite) - **Zweiwöchentlicher Community-Call:** Montags 17:30-18:30 (London / Europe/London), alle zwei Wochen ab **3. August 2026**, auf Zoom – [beitreten](https://deepcyberx.zoom.us/j/87321791672?pwd=pDq33o7cwIca0h32amjpOb4vQkSQFk.1) (Meeting-ID `873 2179 1672`, Passcode `701551`). Zum Kalender hinzufügen: [ICS-Einladung](https://github.com/owasp/quantum-security-project/blob/main/calls/OWASPQuantumBiweeklyCall.ics). - **E-Mail:** [email protected] Das Projekt folgt den standardmäßigen OWASP-Dokumentations- und Beitragspraktiken, einschließlich des OWASP-Verhaltenskodex und der Herstellerneutralität. --- ## Lizenz Inhalte werden unter der **Creative Commons Attribution-ShareAlike 4.0** (CC BY-SA 4.0)-Lizenz veröffentlicht.
