By Wiadomości IQT wysłano 12 października 2022 r
(Przez Zespół Post-Quantum) Komputery kwantowe są największym egzystencjalnym zagrożeniem dla bezpieczeństwa informacyjnego świata. Gdy pojawi się wystarczająco potężna maszyna, standardy kryptografii klucza publicznego (PKC), które obecnie chronią cyfrowy świat, staną się przestarzałe w jednej chwili, przynosząc niezmierzone szkody całym branżom – od bezpieczeństwa narodowego, przez bankowość, po sieci użyteczności publicznej.
Chociaż dokładna data złamania PKC nie jest znana, zagrożenie ze strony przeciwników gromadzących dane teraz w celu ich odszyfrowania, gdy pojawi się wystarczająco potężna maszyna (znana również jako Harvest Now, Decrypt Later), jest realne i dzieje się już dzisiaj.
Biorąc pod uwagę natychmiastowość problemu, rządy i organy regulacyjne zaczęły działać, szczególnie w Stanach Zjednoczonych (USA). Ale co te działania oznaczają w praktyce i jakie kroki mogą podjąć organizacje najbardziej zagrożone, aby osiągnąć przewagę?
Rządy nakazują działania
Rok 2022 był kamieniem milowym w przyszłości bezpieczeństwa postkwantowego.
Po ponad sześciu latach obrad, Narodowy Instytut Norm i Technologii (NIST) przedstawił swoje zalecenia dotyczące standaryzacji nowego algorytmu odpornego na kwant w lipcu. KRYSZTAŁY-Kyber został wybrany do ogólnego szyfrowania i KRYSZTAŁY-Dilithium, FALCON, SPHINCS + zostały wybrane do podpisów cyfrowych.
NIST wysunął również czterech innych kandydatów do dodatkowej analizy, z których jednym jest Classic McEliece, wspólne zgłoszenie naszego zespołu w Post-Quantum. Niemiecki krajowy organ ds. bezpieczeństwa cybernetycznego, znany jako BSIi Holenderski odpowiednik, już teraz zalecają przedsiębiorstwom używanie i wdrażanie Classic McEliece ze względu na niezrównane poświadczenia bezpieczeństwa.
Gdy rządy europejskie zaczynają podejmować działania, podobnie jak Stany Zjednoczone. W maju administracja Bidena wydała memorandum dotyczące bezpieczeństwa narodowego nr 10. W notatce określono między innymi kierunek, w jakim agencje rządowe USA muszą obrać, aby przeprowadzić migrację wrażliwych systemów kryptograficznych do odpornych na kwant kryptografia.
Kilka miesięcy później ustawa Quantum Computing Cybersecurity Preparedness Act przeszła w Izbie po jej wprowadzeniu w kwietniu 2022 r. Podobnie jak notatka Bidena, ustawa ma na celu rozwiązanie problemu migracji systemów informatycznych agencji wykonawczych do kryptografii postkwantowej (PQC). Zobowiązuje agencje federalne do przygotowania spisu pozycji do przejścia na nowe standardy, a OBM (Biuro Budżetu i Zarządzania) otrzyma rok na przygotowanie budżetu i strategii przejścia z obecnego systemu kryptograficznego standardy. Agencje byłyby również zobowiązane do corocznej aktualizacji tych systemów, a Kongres otrzymywałby coroczną informację o stanie.
Następnie Agencja Bezpieczeństwa Cybernetycznego i Infrastruktury (CISA) opublikowała zestaw wytycznych dla organizacji zajmujących się infrastrukturą krytyczną, które chcą płynnie przejść. Chociaż jest mało prawdopodobne, aby ostateczny standard NIST został potwierdzony przed 2024 r., CISA opublikowała dokument – „Przygotowanie infrastruktury krytycznej dla kryptografii postkwantowej– podkreślając potrzebę natychmiastowego rozpoczęcia migracji infrastruktury krytycznej w celu złagodzenia ryzyka związanego z obliczeniami kwantowymi i atakami HNDL.
Co ważne, CISA nie jest osamotniona w staraniach podkreślania zalet rozpoczęcia migracji już teraz. Departament Bezpieczeństwa Wewnętrznego (DHS) opublikował własne „Mapa drogowa kryptografii postkwantowejpodkreślając potrzebę natychmiastowego rozpoczęcia kładzenia fundamentów, oraz Sojusz na rzecz bezpieczeństwa w chmurze (CSA) wyznaczyła termin na kwiecień 2030 r., do którego wszystkie przedsiębiorstwa powinny wdrożyć infrastrukturę postkwantową.
Kolejne kroki dla agencji federalnych i nie tylko
Ponieważ rządy i organy regulacyjne zaczynają domagać się działań, zwłaszcza jeśli chodzi o migrację agencji rządowych i branż o wysokiej stawce, koszt braku działania rośnie.
Ale poza planami działania i wyraźną początkową potrzebą podsumowania, gdzie PKC jest obecnie używany, co jeszcze należy wziąć pod uwagę?
- Priorytetowo traktuj elastyczność kryptograficzną, interoperacyjność i kompatybilność wsteczną
Myśląc o przejściu, należy pamiętać o następujących trzech koncepcjach, aby zapewnić równowagę między bezpieczeństwem a elastycznością.
- Korzystanie z interoperacyjnych rozwiązań: dzięki czemu możesz ustanowić bezpieczną komunikację z partnerami niezależnie od używanych przez nich algorytmów szyfrowania.
- Zapewnienie kompatybilności wstecznej: więc bezpieczne szyfrowanie kwantowe można bezproblemowo wprowadzić w istniejących systemach IT.
- Praktykowanie krypto-zwinności: więc możesz użyć dowolnej kombinacji algorytmów postkwantowych NIST lub tradycyjnego szyfrowania
- Wprowadź produkty, które odzwierciedlają te koncepcje, aby uzyskać większy poziom elastyczności
Po wybraniu dostawcy rozwiązań należy zastanowić się, czy oferowane przez niego produkty mają te filary wbudowane w projekt.
Przykładem wstępnego kroku migracji postkwantowej jest wybranie bezpiecznej kwantowo wirtualnej sieci prywatnej (VPN) w celu zabezpieczenia przepływu danych przez publiczną sieć internetową. Post-kwantowe”Hybrydowy post-kwantowy VPNzostał niedawno pomyślnie przetestowany przez NATO i połączył nowe, bezpieczne kwantowo i tradycyjne algorytmy szyfrowania w celu utrzymania interoperacyjnego systemu.
- Nie zaniedbuj tożsamości – właściwie od niej powinieneś zacząć
Możesz zabezpieczyć wszystkie pozostałe szyfrowania, ale jeśli ktoś może uzyskać dostęp do twojego systemu tożsamości, nie ma znaczenia, co jeszcze zrobisz – twoje systemy będą myśleć, że to właściwa osoba, więc mogą uzyskać „legalny” dostęp do twoich systemów i infrastruktury.
Oznacza to, że zabezpieczanie całej infrastruktury nie ma sensu, jeśli nie uwzględniono również tożsamości, a rozpoczęcie od front-endu ekosystemu bezpieczeństwa informacji pozwoli również uporać się z jednym z najtrudniejszych historycznie systemów do aktualizacji dla organizacji lub wymienić.
W przyszłości cała nasza infrastruktura cyfrowa będzie musiała być kompleksowo odporna na kwant, ale jeśli nie masz pewności, od czego zacząć, tożsamość powinna być teraz najważniejsza, ponieważ jest kluczem do zamku.
SPONSOROWANE
Post-Quantum jest Diamentowym Sponsorem nadchodzących wydarzeń Wydarzenie IQT Quantum Cybersecurity w Nowym Jorku, 25-27 października 2022 r. Dyrektor generalny Andersen Chang wygłosi przemówienie otwierające.
