Hallitukset velvoittavat toimimaan post-quantumissa; mitä sinun pitää tehdä asialle?

(Teijä Post-Quantum) Kvanttitietokoneet ovat suurin eksistentiaalinen uhka maailman tietoturvalle. Kun riittävän tehokas kone ilmaantuu, digitaalista maailmaa tällä hetkellä turvaavat julkisen avaimen salausstandardit (PKC) vanhenevat hetkessä ja aiheuttavat mittaamatonta vahinkoa kokonaisille teollisuudenaloille – kansallisesta turvallisuudesta pankkialaan ja sähköverkkoihin.

Vaikka tarkkaa päivämäärää, jolloin PKC katkaistaan, ei tiedetä, uhka, että viholliset keräävät tietoja nyt salauksen purkamiseksi, kun riittävän tehokas kone ilmaantuu (tunnetaan myös nimellä Harvest Now, Decrypt Later), on todellinen ja tapahtuu tänään.

Asian välittömyyden vuoksi hallitukset ja sääntelyelimet ovat alkaneet toimia erityisesti Yhdysvalloissa (USA). Mutta mitä nämä toimet tarkoittavat käytännössä, ja mitä toimenpiteitä riskialttiimmat organisaatiot voivat tehdä päästäkseen eteenpäin?

Hallitukset vaativat toimia

Vuosi 2022 on ollut merkittävä virstanpylväs post-quantum-turvallisuuden tulevaisuudessa.

Yli kuuden vuoden harkinnan jälkeen Kansallinen standardointi- ja teknologiainstituutti (NIST) julkisti suosituksensa uuden kvanttiresistentin algoritmin standardoimiseksi heinäkuussa. CRYSTALS-Kyber valittiin yleiseen salaukseen, ja KITEET-Dilithium, FALCONja SPHINCS + valittiin digitaalisiin allekirjoituksiin.

NIST on myös esittänyt neljä muuta ehdokasta lisätutkimukseen, joista yksi on Classic McEliece, Post-Quantumin tiimimme yhteinen ehdotus. Saksan kansallinen kyberturvallisuuselin, joka tunnetaan nimellä BSI, ja Vastaava hollantilainen, suosittelevat jo, että yritykset käyttävät ja ottavat käyttöön Classic McEliecen sen vertaansa vailla olevien suojaustietojen vuoksi.

Kun Euroopan hallitukset alkavat ryhtyä toimiin, myös Yhdysvallat on tehnyt toukokuussa Bidenin hallinto julkaisi National Security Memorandum 10:n. Muistiossa esitettiin muun muassa suunta, johon Yhdysvaltain hallituksen virastojen on ryhdyttävä siirtääkseen haavoittuvia salausjärjestelmiä kvanttiresistenteiksi. kryptografia.

Muutamaa kuukautta myöhemmin parlamentissa hyväksyttiin Quantum Computing Cybersecurity Preparedness Act -laki sen käyttöönoton jälkeen huhtikuussa 2022. Lakiehdotuksella pyritään Bidenin muistion tapaan käsittelemään toimeenpanovirastojen tietojärjestelmien siirtymistä post-quantum cryptografiaan (PQC). Siinä määrätään, että liittovaltion virastojen on laadittava luettelo kohteista siirtymistä varten uusiin standardeihin, ja OBM:lle (Office of Budget & Management) annettaisiin vuosi aikaa laatia budjetti ja strategia siirtyäkseen pois nykyisestä salaustekniikasta. standardit. Virastojen olisi myös päivitettävä nämä järjestelmät vuosittain, ja kongressi saisi vuosittaisen tilatiedotteen.

Tämän jälkeen Cybersecurity and Infrastructure Security Agency (CISA) julkaisi ohjeet kriittisen infrastruktuurin organisaatioille, joilla pyritään sujuvaan siirtymiseen. Vaikka NISTin lopullista standardia ei todennäköisesti vahvisteta ennen vuotta 2024, CISA julkaisi asiakirjan - "Kriittisen infrastruktuurin valmistelu post-kvanttisalausta varten– painotetaan kriittisen infrastruktuurin tarvetta aloittaa siirtyminen nyt kvanttilaskennan ja HNDL-hyökkäysten riskien vähentämiseksi.

Tärkeää on, että CISA ei ole yksin pyrkiessään korostamaan maahanmuuton nyt alkamisen etua. Department of Homeland Security (DHS) julkaisi oman "Post-Quantum Cryptography Roadmap' painottaen tarvetta aloittaa pohjatyön tekeminen välittömästi, ja Pilviturvallisuusliitto (CSA) on asettanut määräajaksi huhtikuuhun 2030, johon mennessä kaikkien yritysten tulee ottaa käyttöön postkvanttiinfrastruktuuri.

Seuraavat vaiheet liittovaltion virastoille ja muille

Kun hallitukset ja sääntelyviranomaiset alkavat vaatia toimia, etenkin kun on kyse suurten valtion virastojen ja toimialojen muuttamisesta, toimettomuuden kustannukset kasvavat.

Mutta etenemissuunnitelmien ja selkeän alustavan tarpeen arvioida, missä PKC:tä nykyään käytetään, mitä muuta sinun pitäisi harkita?

• Priorisoi krypto- ketteryys, yhteentoimivuus ja taaksepäin yhteensopivuus

Kun harkitset siirtymistä, on tärkeää pitää mielessä seuraavat kolme käsitettä varmistaaksesi, että tasapainotat turvallisuuden ja ketteryyden.

1. Yhteentoimivien ratkaisujen käyttö: joten voit luoda suojatun viestinnän kumppaneiden kanssa heidän käyttämistään salausalgoritmeista riippumatta.
2. Taaksepäin yhteensopivuuden varmistaminen: joten kvanttiturvallinen salaus voidaan ottaa käyttöön saumattomasti olemassa olevissa IT-järjestelmissäsi.
3. Kryptoagilityn harjoitteleminen: joten voit käyttää mitä tahansa NISTin post-kvanttialgoritmien tai perinteisen salauksen yhdistelmää

• Esittele tuotteita, jotka heijastavat näitä käsitteitä, jotta saat enemmän joustavuutta

Kun ratkaisutoimittaja on valittu, on tärkeää pohtia, onko heidän tarjoamiensa tuotteiden suunnittelussa näitä pilareita.

Esimerkki kvanttimigroinnin johdantovaiheesta on kvanttiturvallisen virtuaalisen yksityisverkon (VPN) valitseminen tietoliikennevirtojen turvaamiseksi julkisen Internet-verkon kautta. Post-quantum'sHybridi Post-Quantum VPNNato kokeili äskettäin menestyksekkäästi, ja se yhdisti uusia kvanttiturvallisia ja perinteisiä salausalgoritmeja yhteentoimivan järjestelmän ylläpitämiseksi.

• Älä unohda identiteettiä – itse asiassa sinun pitäisi aloittaa siitä

Voit suojata kaiken muun salauksesi, mutta jos joku pääsee käsiksi identiteettijärjestelmääsi, sillä ei ole väliä mitä muuta teet – järjestelmäsi luulevat olevansa oikea henkilö, jotta he voivat saada "laillisen" pääsyn järjestelmiisi. ja infrastruktuuri.

Toisin sanoen koko infrastruktuurin turvaamisessa ei ole mitään järkeä, ellet ole ottanut huomioon myös identiteettiä, ja tietoturvaekosysteemin etupäästä aloittaminen mahdollistaa myös yhden historiallisesti haastavimmista järjestelmistä organisaation päivitettäväksi. tai vaihda.

Tulevaisuudessa tarvitsemme kaiken digitaalisen infrastruktuurimme olevan kvanttivarma päästä päähän, mutta jos et ole varma mistä aloittaa, identiteetin pitäisi olla nyt tärkein näkökohta, koska se on linnan avain.

SPONSOROIDUT

Post-Quantum on tuleva timanttisponsori IQT Quantum Cybersecurity -tapahtuma NYC:ssä 25.-27. Toimitusjohtaja Andersen Chang pitää avauspuheenvuoron.