VPN Post-Quantum
Proprietäre VPN mit hybrider Post-Quanten-Handshake. Voller Besitz und Kontrolle durch den Kunden. Keine Drittparteien im Schlüsselpfad. Architektur kompatibel mit HTTP/3 + MASQUE.
Hybrider PQ + klassischer Handshake
Der Handshake kombiniert ML-KEM-1024 (FIPS 203) mit X25519 über HKDF-SHA-512. Selbst wenn eine der beiden Primitiven in Zukunft gebrochen wird, bleiben die Sitzungen sicher. Schutz vor Harvest-Now-Decrypt-Later-Angriffen.
- ML-KEM-1024: 256-Bit-Sicherheit PQ
- X25519: 128-Bit-klassische Sicherheit als Fallback
- HKDF-SHA-512 Kombinierer für K_master
Kunde ist Eigentümer der Schlüssel
Die BCrypto VPN verwaltet niemals die Schlüssel des Kunden. Der souveräne KMS läuft in der Infrastruktur der Organisation. Vollständige Überprüfung des Schlüssel-Lebenszyklus, konfigurierbare Rotationsrichtlinie, ZK-Attestierung, dass die Schlüssel die Enklave nicht verlassen haben.
- Optionaler HSM- oder TPM-gebundener Schlüsselspeicher
- Programmierbare Rotation (stündlich → monatlich)
- Signiertes Audit-Protokoll jeder Schlüsseloperation
HTTP/3 + MASQUE Transport
Der Datenpfad verwendet HTTP/3 mit MASQUE (RFC 9298) für UDP-Proxying. Nicht unterscheidbar von normalem Web-Traffic, resistent gegen DPI und Zensur. Latenzoptimiert: 1-RTT-Handshake mit ML-KEM.
- QUIC native transport (kein TCP-Fallback erforderlich)
- MASQUE-on-HTTP/3 für UDP-Kapselung
- Verbindungen, die bei Netzwerkwechseln widerstandsfähig sind (Multipath)