4 בנובמבר 2026
מפת הדרכים של authentik מ־3 בנובמבר מייעדת תמיכת ML-DSA בתעודות, בחתימות OIDC וב־WebAuthn לגרסה 2026.11. החלפת המפתחות ההיברידית X25519MLKEM768 ב־TLS כבר זמינה.
בבדיקה שלנו ב־4 בנובמבר, רשימת הגרסאות ב־GitHub עדיין סימנה את 2026.8.5, שפורסמה ב־21 באוקטובר, כגרסה העדכנית. יש להתייחס ליכולות החתימה כמתוכננות.
להפריד בין התפקידים הקריפטוגרפיים
תקן ML-DSA של NIST עוסק בחתימות: זיהוי שינויים במידע ואימות זהות החותם. להערכת NIST, הוא עמיד גם בפני מתקפות באמצעות מחשבים קוונטיים גדולים. החתימה עצמה אינה מצפינה את התוכן שעליו חותמים.
החלפת המפתחות דורשת בדיקה משלה. לפי תיעוד TLS ב־Go 1.24, X25519MLKEM768 מופעל כברירת מחדל, אך ההגדרות יכולות לשנות זאת. התיעוד מציין גם כשלי זמן קצוב מול שרתים שמטפלים לא נכון ברשומות גדולות יותר. המלצתנו: לבדוק מה סוכם בחיבור בפועל דרך שרשרת הפרוקסי שלכם, לרבות לקוחות ישנים.
התלויות שמאחורי כניסה מוצלחת
התעודות מיועדות לסביבה בשליטתכם: רכיבי outpost שמאמתים אותן צריכים להיות בגרסה 2026.11 ומעלה; רשויות אישור ציבוריות ודפדפנים עדיין אינם תומכים בתעודות האלה; מצב FIPS של authentik חוסם יצירת מפתחות ML-DSA עד לזמינות מודול מתוקף מתאים.
Yubico מציעה בטא לצורכי הערכה הכוללת מפתחות גישה מבוססי ML-DSA, ומבהירה שהיא אינה מיועדת לייצור.
בחירת האלגוריתם ב־WebAuthn תלויה בתמיכת הלקוח והמאמת. המסקנה שלנו: גם הקבלה המתוכננת בצד השרת של authentik דורשת שילוב תואם מקצה לקצה.
RFC 9881 מגדיר שימוש ב־ML-DSA בתעודות X.509 וברשימות ביטול תעודות. המסקנה שלנו ליישום: לתעד בנפרד תמיכה בפורמט, תמיכה באימות ושרשרת אמון מיועדת. הגדרה של פורמט לבדה אינה מוכיחה שלקוח מסוים יקבל את התעודה שלכם.
RFC 9964 מגדיר ייצוגים של ML-DSA עבור JOSE ו־COSE, כולל מזהי אלגוריתמים ומפתחות. המלצתנו היא למפות כל רכיב שמאמת טוקנים, את גרסת הספרייה שלו ואת האלגוריתמים שהוא מקבל. חתימת ML-DSA הקטנה ביותר תופסת 2,420 בתים לפני קידוד טקסטואלי. כללו בבדיקות את גודל הטוקן המלא ואת מגבלות הכותרות ברכיבי התיווך.
authentik דורשת ספריות JWT תואמות לפני החלפת חתימת הטוקנים.
תיעוד ספק הקריפטוגרפיה של OpenSSL מזהיר שלא כל גרסה כוללת ספק FIPS שעבר תיקוף. בסביבות עם דרישה כזאת, ודאו מה המודול ומה גרסתו; עצם התקינה של האלגוריתם אינה הוכחה לתיקוף המודול.
להתחיל בשינוי קטן שאפשר לבטל
ההמלצה התפעולית שלנו היא להכין תרגיל בסביבת בדיקות לפני שינוי הגדרות ההזדהות בסביבת הייצור:
- שרטטו את המסלול: דפדפן, פרוקסי קצה, שירות זהויות, רכיבי outpost ויישומים. הגדירו אחראי לכל חיבור ולכל צרכן טוקנים.
- קבעו תנאי הצלחה: כניסה תקינה, דחייה צפויה של טוקנים פסולים, החלפת מפתחות והליך מתועד לחזרה למצב הקודם.
- שמרו ראיות: תעדו גרסאות, הגדרות ותוצאות שנצפו. סמנו במפורש שילובים שלא נבדקו, במקום להשליך מבדיקה מוצלחת אחת על כל המערכות.