Μια ματιά στον οδικό χάρτη της μετα-κβαντικής κρυπτογραφίας της CISA

Στην πράξη, οι κβαντικοί υπολογιστές απέχουν ακόμη χρόνια, αλλά η Υπηρεσία Κυβερνοασφάλειας και Υποδομής των ΗΠΑ εξακολουθεί να συνιστά στους οργανισμούς να ξεκινήσουν τις προετοιμασίες για την μετάβαση στο μετα-κβαντικό κρυπτογραφικό πρότυπο.

Οι κβαντικοί υπολογιστές χρησιμοποιούν κβαντικά bit (qubits) για να προσφέρουν υψηλότερη υπολογιστική ισχύ και ταχύτητα και αναμένεται να είναι ικανοί να σπάσουν υπάρχοντες κρυπτογραφικούς αλγόριθμους, όπως η κρυπτογραφία RSA και ελλειπτικής καμπύλης. Αυτό θα επηρεάσει την ασφάλεια όλων των διαδικτυακών επικοινωνιών καθώς και την εμπιστευτικότητα και την ακεραιότητα των δεδομένων. Οι ειδικοί σε θέματα ασφάλειας έχουν προειδοποιήσει ότι οι πρακτικοί κβαντικοί υπολογιστές θα μπορούσαν να είναι δυνατοί σε λιγότερο από δέκα χρόνια.

Το Εθνικό Ινστιτούτο Προτύπων και Τεχνολογίας ανακοίνωσε τους τέσσερις πρώτους αλγόριθμους ανθεκτικούς στα κβαντικά που θα γίνει μέρος του μετα-κβαντικού-κρυπτογραφικού προτύπου τον Ιούλιο, αλλά το τελικό πρότυπο δεν αναμένεται μέχρι το 2024. Παρόλα αυτά, η CISA ενθαρρύνει τους φορείς εκμετάλλευσης κρίσιμων υποδομών να ξεκινήσουν τις προετοιμασίες τους εκ των προτέρων.

«Ενώ η τεχνολογία κβαντικών υπολογιστών ικανή να σπάσει αλγόριθμους κρυπτογράφησης δημόσιου κλειδιού στα τρέχοντα πρότυπα δεν υπάρχει ακόμη, οι κυβερνητικές οντότητες και οι οντότητες υποδομής ζωτικής σημασίας - συμπεριλαμβανομένων τόσο των δημόσιων όσο και των ιδιωτικών οργανισμών - πρέπει να συνεργαστούν για να προετοιμαστούν για ένα νέο μετα-κβαντικό κρυπτογραφικό πρότυπο για να αμυνθούν μελλοντικές απειλές», αναφέρει η CISA.

Για να βοηθήσουν τους οργανισμούς με τα σχέδιά τους, το NIST και το Υπουργείο Εσωτερικής Ασφάλειας ανέπτυξαν το Οδικός χάρτης μετά την κβαντική κρυπτογραφία. Το πρώτο βήμα θα πρέπει να είναι η δημιουργία ενός καταλόγου ευάλωτων συστημάτων υποδομής ζωτικής σημασίας, δήλωσε η CISA.

Οι οργανισμοί θα πρέπει να προσδιορίζουν πού και για ποιο σκοπό χρησιμοποιείται η κρυπτογραφία δημόσιου κλειδιού και να επισημαίνουν αυτά τα συστήματα ως κβαντικά ευάλωτα. Αυτό περιλαμβάνει τη δημιουργία ενός καταλόγου με τα πιο ευαίσθητα και κρίσιμα σύνολα δεδομένων που πρέπει να είναι ασφαλισμένα για μεγάλο χρονικό διάστημα και όλα τα συστήματα που χρησιμοποιούν κρυπτογραφικές τεχνολογίες. Έχοντας μια λίστα με όλα τα συστήματα θα διευκόλυνε τη μετάβαση όταν έρθει η ώρα να γίνει η αλλαγή.

Οι οργανισμοί θα πρέπει επίσης να αξιολογήσουν το επίπεδο προτεραιότητας για κάθε σύστημα. Χρησιμοποιώντας τις πληροφορίες απογραφής και ιεράρχησης προτεραιοτήτων, οι οργανισμοί μπορούν στη συνέχεια να αναπτύξουν ένα σχέδιο μετάβασης συστημάτων για τη δημοσίευση του νέου προτύπου.

Οι επαγγελματίες ασφάλειας ενθαρρύνονται επίσης να προσδιορίζουν πρότυπα απόκτησης, ασφάλειας στον κυβερνοχώρο και ασφάλειας δεδομένων που θα πρέπει να ενημερωθούν για να αντικατοπτρίζουν τις μετακβαντικές απαιτήσεις. Η CISA ενθαρρύνει την αυξανόμενη δέσμευση με οργανισμούς που αναπτύσσουν μετα-κβαντικά πρότυπα.

Η εστίαση του οργανισμού στο απόθεμα απηχεί τις συστάσεις που έγιναν από Wells Fargo στο συνέδριο RSA νωρίτερα φέτος. Σε μια συνεδρία που συζητούσε το κβαντικό ταξίδι του χρηματοπιστωτικού γίγαντα, ο Richard Toohey, τεχνολογικός αναλυτής στη Wells Fargo, πρότεινε στους οργανισμούς να ξεκινήσουν την απογραφή κρυπτονομισμάτων τους.

«Ανακαλύψτε πού έχετε περιπτώσεις συγκεκριμένων αλγορίθμων ή ορισμένων τύπων κρυπτογραφίας, επειδή πόσα άτομα ήταν χρησιμοποιώντας Log4j και δεν είχα ιδέα επειδή ήταν θαμμένο τόσο βαθιά;» είπε ο Toohey. «Αυτό είναι ένα μεγάλο ερώτημα, να γνωρίζετε κάθε τύπο κρυπτογραφίας που χρησιμοποιείται σε όλη την επιχείρησή σας με όλα τα τρίτα μέρη — αυτό δεν είναι ασήμαντο. Είναι πολλή δουλειά και αυτό θα πρέπει να ξεκινήσει τώρα».

Η Wells Fargo έχει έναν «πολύ επιθετικό στόχο» να είναι έτοιμος να εκτελέσει μετα-κβαντική κρυπτογραφία σε πέντε χρόνια, σύμφωνα με τον Dale Miller, τον επικεφαλής αρχιτέκτονα αρχιτεκτονικής ασφάλειας πληροφοριών στο Wells Fargo.

Η μετάβαση των συστημάτων βιομηχανικού ελέγχου (ICS) στη μετακβαντική κρυπτογραφία θα είναι μια σημαντική πρόκληση για τους χειριστές υποδομών ζωτικής σημασίας, κυρίως επειδή ο εξοπλισμός είναι συχνά γεωγραφικά διασκορπισμένος, ανέφερε η CISA στην προειδοποίηση. Ωστόσο, η CISA προέτρεψε τους οργανισμούς υποδομών ζωτικής σημασίας να συμπεριλάβουν στις στρατηγικές τους τις ενέργειες που απαιτούνται για την αντιμετώπιση των κινδύνων από τις δυνατότητες κβαντικών υπολογιστών.

Η CISA δεν είναι η μόνη που κρούει τον κώδωνα του κινδύνου για την έναρξη. Τον Μάρτιο, η Quantum-Safe Working Group της Cloud Security Alliance (CSA) έθεσε προθεσμία στις 14 Απριλίου 2030, έως την οποία οι εταιρείες θα πρέπει να έχουν εγκατεστημένη την μετα-κβαντική υποδομή τους.

«Μην περιμένετε μέχρι να χρησιμοποιηθούν οι κβαντικοί υπολογιστές από τους αντιπάλους μας για να δράσετε. Οι πρώιμες προετοιμασίες θα εξασφαλίσουν μια ομαλή μετάβαση στο μετα-κβαντικό πρότυπο κρυπτογραφίας μόλις είναι διαθέσιμο», δήλωσε η CISA.