Правительства санкционируют действия в отношении постквантов; что вам нужно сделать по этому поводу?

(Команда Post-Quantum) Квантовые компьютеры представляют собой величайшую экзистенциальную угрозу мировой информационной безопасности. Как только появится достаточно мощная машина, стандарты криптографии с открытым ключом (PKC), которые в настоящее время защищают цифровой мир, мгновенно устареют, нанося неизмеримый ущерб целым отраслям – от национальной безопасности до банковского дела и коммунальных сетей.

Хотя точная дата взлома PKC неизвестна, угроза сбора злоумышленниками данных сейчас с целью их расшифровки, когда появится достаточно мощная машина (также известная как «Собрать сейчас, расшифровать позже»), реальна и происходит уже сегодня.

Учитывая актуальность проблемы, правительства и регулирующие органы начали действовать, особенно в Соединенных Штатах (США). Но что эти действия означают на практике и какие шаги могут предпринять организации, находящиеся в наибольшем риске, чтобы добиться успеха?

Правительства требуют принятия мер

2022 год стал важной вехой в будущем постквантовой безопасности.

После более чем шестилетних раздумий Национальный Институт Стандартов и Технологий (NIST) обнародовал свои рекомендации по стандартизации нового квантово-устойчивого алгоритма в июле. КРИСТАЛЛЫ-Кибер был выбран для общего шифрования, и КРИСТАЛЛЫ-дилитий, FALCONи SPHINCS + были выбраны для цифровых подписей.

NIST также выдвинул для дополнительной проверки еще четырех кандидатов, одним из которых является Classic McEliece, совместная работа нашей команды Post-Quantum. Национальный орган Германии по кибербезопасности, известный как BSI, и Голландский эквивалент, уже рекомендуют предприятиям использовать и развертывать Classic McEliece из-за его непревзойденных параметров безопасности.

По мере того, как европейские правительства начинают принимать меры, то же самое делают и США. В мае администрация Байдена выпустила Меморандум о национальной безопасности № 10. Среди прочего, в меморандуме изложено направление, в котором правительственные учреждения США должны двигаться для перевода уязвимых криптографических систем на квантово-устойчивые системы. криптография.

Несколько месяцев спустя Закон о готовности к кибербезопасности квантовых вычислений был принят Палатой представителей после его представления в апреле 2022 года. Как и в меморандуме Байдена, законопроект направлен на решение проблемы перехода информационных систем исполнительных агентств на постквантовую криптографию (PQC). Он требует, чтобы федеральные агентства должны были подготовить перечень элементов для перехода на новые стандарты, а OBM (Управлению бюджета и управления) будет предоставлен год на подготовку бюджета и стратегии перехода от нынешних криптографических стандартов. стандарты. Агентства также будут обязаны ежегодно обновлять эти системы, а Конгресс будет получать ежегодный брифинг о состоянии дел.

После этого Агентство по кибербезопасности и безопасности инфраструктуры (CISA) опубликовало набор руководящих принципов для организаций критической инфраструктуры, стремящихся к плавному переходу. Хотя окончательный стандарт NIST вряд ли будет утвержден до 2024 года, CISA опубликовало документ:Подготовка критической инфраструктуры для постквантовой криптографии– подчеркивая необходимость того, чтобы критическая инфраструктура начала миграцию уже сейчас, чтобы снизить риски квантовых вычислений и атак HNDL.

Важно отметить, что CISA не одинок в попытках подчеркнуть преимущества начала миграции сейчас. Министерство внутренней безопасности (DHS) опубликовало собственный отчет.Дорожная карта после квантовой криптографииподчеркивая необходимость немедленно приступить к закладке фундамента и Альянс облачной безопасности (CSA) установил крайний срок — апрель 2030 года, к которому все предприятия должны внедрить постквантовую инфраструктуру.

Следующие шаги для федеральных агентств и не только

Поскольку правительства и регулирующие органы начинают требовать действий, особенно когда речь идет о миграции важных правительственных учреждений и отраслей, цена бездействия растет.

Но помимо дорожных карт и четкой первоначальной необходимости подвести итоги того, где сегодня используется PKC, что еще вам следует учитывать?

• Отдавайте приоритет крипто-гибкости, функциональной совместимости и обратной совместимости.

Размышляя о переходе, важно помнить о следующих трех концепциях, чтобы обеспечить баланс между безопасностью и гибкостью.

1. Использование совместимых решений: поэтому вы можете установить безопасную связь с партнерами независимо от используемых ими алгоритмов шифрования.
2. Обеспечение обратной совместимости: поэтому квантовобезопасное шифрование можно беспрепятственно внедрить в существующие ИТ-системы.
3. Практика крипто-гибкости: поэтому вы можете использовать любую комбинацию постквантовых алгоритмов NIST или традиционного шифрования.

• Представляйте продукты, отражающие эти концепции, чтобы добиться большего уровня гибкости.

После того, как поставщик решений выбран, важно подумать, включены ли в предлагаемые им продукты эти принципы в дизайн.

Примером вводного шага в постквантовой миграции является выбор квантовобезопасной виртуальной частной сети (VPN) для защиты потоков передачи данных через общедоступную сеть Интернет. Пост-квантовыйГибридный постквантовый VPNнедавно был успешно опробован НАТО и объединил новые квантовобезопасные и традиционные алгоритмы шифрования для поддержания совместимой системы.

• Не пренебрегайте идентичностью – с нее, собственно, и стоит начать.

Вы можете защитить все остальные виды шифрования, но если кто-то сможет получить доступ к вашей системе идентификации, то не имеет значения, что еще вы делаете — ваши системы сочтут, что это тот самый человек, и смогут получить «законный» доступ к вашим системам. и инфраструктура.

То есть нет особого смысла защищать всю вашу инфраструктуру, если вы также не учитываете идентификацию, а начало работы с внешней частью экосистемы информационной безопасности также позволит вам справиться с одной из самых сложных систем, которые организация могла бы модернизировать. или заменить.

В будущем нам понадобится, чтобы вся наша цифровая инфраструктура была сквозной квантовоустойчивой, но если вы не знаете, с чего начать, то сейчас идентичность должна быть самым важным фактором, поскольку это ключ к замку.

ОРГАНИЗАЦИИ

Post-Quantum выступит бриллиантовым спонсором предстоящего Мероприятие IQT Quantum Cybersecurity в Нью-Йорке, 25–27 октября 2022 г.. Генеральный директор Андерсен Чанг выступит со вступительной речью.