A kormányok fellépést írnak elő a kvantum után; mit kell tenned vele?

(A Post-Quantum csapata) A kvantumszámítógépek jelentik a legnagyobb egzisztenciális fenyegetést a világ információbiztonságára. Amint megjelenik egy kellően erős gép, a digitális világot jelenleg védő nyilvános kulcsú kriptográfiai (PKC) szabványok egy pillanat alatt elavulnak, és mérhetetlen károkat okoznak egész iparágakban – a nemzetbiztonságtól a bankszektoron át a közműhálózatokig.

Bár a PKC felbomlásának pontos dátuma nem ismert, az a veszély, hogy az ellenfelek most adatokat gyűjtenek, hogy visszafejtsék azokat, amikor egy kellően erős gép jelenik meg (más néven Harvest Now, Decrypt Later), és ma is fennáll.

Tekintettel a kérdés azonnali voltára, a kormányok és a szabályozó testületek lépéseket tettek, különösen az Egyesült Államokban (USA). De mit jelentenek ezek a lépések a gyakorlatban, és milyen lépéseket tehetnek a leginkább veszélyeztetett szervezetek a továbbjutás érdekében?

A kormányok cselekvésre kötelezik

2022 jelentős mérföldkő volt a kvantum utáni biztonság jövőjében.

Több mint hat év mérlegelés után a Nemzeti Szabványügyi és Technológiai Intézet (NIST) júliusban ismertette ajánlásait az új kvantumrezisztens algoritmusok szabványosítására vonatkozóan. KRISTÁLYOK-Kyber általános titkosításra lett kiválasztva, és KRISTÁLYOK-Dilithium, SÓLYOMés SPHINCS+ digitális aláírásra választották ki.

A NIST további négy másik jelöltet is előirányzott további vizsgálatra, ezek közül az egyik a Classic McEliece, a Post-Quantum csapatunk közös beadványa. Németország nemzeti kiberbiztonsági testülete, az BSI, És a holland megfelelője, már azt javasolják a vállalatoknak, hogy használják és telepítsék a Classic McEliece-t páratlan biztonsági hitelesítő adatai miatt.

Ahogy az európai kormányok elkezdenek lépéseket tenni, az Egyesült Államok is. Májusban a Biden-adminisztráció kiadta a 10. nemzetbiztonsági memorandumot. A feljegyzés többek között meghatározta azt az irányt, amelyet az amerikai kormányhivataloknak meg kell tenniük a sérülékeny kriptográfiai rendszerek kvantumrezisztenssé történő migrálásához. kriptográfia.

Néhány hónappal később, a Quantum Computing Cybersecurity Preparedness Act 2022 áprilisi bevezetését követően elfogadta a Ház. A törvényjavaslat Biden feljegyzéséhez hasonlóan a végrehajtó ügynökségek információs rendszereinek a post-quantum cryptográfiára (PQC) való migrációját kívánja kezelni. Ez előírja, hogy a szövetségi ügynökségeknek leltárt kell készíteniük az új szabványokra való átálláshoz, és az OBM-nek (Office of Budget & Management) egy év áll rendelkezésére, hogy elkészítse a költségvetést és a stratégiát a jelenlegi kriptográfiai rendszerről való átálláshoz. szabványoknak. Az ügynökségeknek évente frissíteniük kellene ezeket a rendszereket, a Kongresszus pedig éves állapotfelmérést kapna.

Ezt követően a Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség (CISA) irányelveket tett közzé a kritikus infrastruktúrával foglalkozó szervezetek számára, amelyek célja a zökkenőmentes átállás. Bár a NIST végleges szabványát valószínűleg 2024 előtt nem fogják megerősíteni, a CISA kiadott egy dokumentumot –Kritikus infrastruktúra előkészítése a posztkvantum kriptográfiához– hangsúlyozva annak szükségességét, hogy a létfontosságú infrastruktúrák migrációja már most megkezdődjön a kvantumszámítástechnika és a HNDL-támadások kockázatának csökkentése érdekében.

Fontos, hogy a CISA nincs egyedül azzal az erőfeszítéssel, hogy hangsúlyozzák a most megkezdett migráció előnyeit. A Nemzetbiztonsági Minisztérium (DHS) közzétette saját „Poszt-kvantum kriptográfiai ütemterv' hangsúlyozva, hogy azonnal meg kell kezdeni az alapozást, és a Cloud Security Alliance (CSA) 2030 áprilisában tűzte ki a határidőt, ameddig minden vállalkozásnak be kell építenie a kvantum utáni infrastruktúrát.

Következő lépések a szövetségi ügynökségeknél és azon túl

Ahogy a kormányok és a szabályozó hatóságok cselekvést kezdenek követelni, különösen, ha nagy érdekeltségű kormányzati ügynökségek és iparágak migrációjáról van szó, a tétlenség ára nő.

De az ütemterveken és azon túl, hogy kezdetben egyértelműen fel kell mérni, hol használják a PKC-t ma, mit kell még fontolóra vennie?

• Részesítse előnyben a kripto-agilityt, az interoperabilitást és a visszafelé kompatibilitást

Amikor az átállásról gondolkodik, fontos, hogy tartsa szem előtt a következő három fogalmat, hogy egyensúlyba hozza a biztonságot az agilitással.

1. Interoperábilis megoldások használata: így biztonságos kommunikációt létesíthet a partnerekkel, függetlenül az általuk használt titkosítási algoritmusoktól.
2. Visszafelé kompatibilitás biztosítása: így a kvantumbiztos titkosítás zökkenőmentesen bevezethető meglévő IT-rendszereibe.
3. A kripto-agility gyakorlása: így a NIST posztkvantum algoritmusainak vagy a hagyományos titkosításnak bármilyen kombinációját használhatja

• Vezessen be olyan termékeket, amelyek tükrözik ezeket a koncepciókat a nagyobb rugalmasság elérése érdekében

A megoldásszállító kiválasztása után fontos mérlegelni, hogy az általuk kínált termékekben ezek a pillérek benne vannak-e a dizájnban.

Példa a kvantum-migráció bevezető lépésére egy kvantumbiztonságos virtuális magánhálózat (VPN) kiválasztása a nyilvános internetes hálózaton keresztüli adatkommunikációs áramlások biztonságossá tétele érdekében. Kvantum utániHibrid Post-Quantum VPNA NATO nemrégiben sikeresen kipróbálta, és új kvantumbiztonsági és hagyományos titkosítási algoritmusokat kombinált az interoperábilis rendszer fenntartása érdekében.

• Ne hanyagolja el az identitást – sőt, ezzel kell kezdenie

Biztosíthatja az összes többi titkosítását, de ha valaki hozzá tud férni az identitásrendszeréhez, akkor nem számít, mit tesz még – a rendszere azt fogja gondolni, hogy ő a megfelelő személy, így „jogos” hozzáférést kaphat a rendszereihez. és infrastruktúra.

Ez azt jelenti, hogy nincs értelme a teljes infrastruktúrát biztonságossá tenni, ha nem vette figyelembe az identitást is, és az információbiztonsági ökoszisztéma elejétől kezdve lehetővé teszi, hogy megbirkózzon a szervezet számára az egyik legnagyobb kihívást jelentő rendszerrel, amelyet frissíteni kell. vagy cserélje ki.

A jövőben szükségünk lesz minden digitális infrastruktúránkra, hogy kvantumbiztos legyen, de ha nem biztos abban, hogy hol kezdje, akkor most az identitás legyen a legfontosabb szempont, mivel ez a kastély kulcsa.

KIEMELT

A Post-Quantum a gyémánt szponzor a közeljövőben IQT Quantum Cybersecurity esemény NYC-ben, 25. október 27-2022.. Andersen Chang vezérigazgató tartja a nyitó vitaindítót.