Vpogled v postkvantni kriptografski načrt CISA

Praktično gledano so do kvantnih računalnikov še leta stran, vendar ameriška agencija za kibernetsko varnost in infrastrukturo še vedno priporoča organizacijam, naj začnejo priprave na prehod na postkvantni kriptografski standard.

Kvantni računalniki uporabljajo kvantne bite (qubits) za zagotavljanje večje računalniške moči in hitrosti ter naj bi bili sposobni razbiti obstoječe kriptografske algoritme, kot sta RSA in kriptografija z eliptično krivuljo. To bi vplivalo na varnost vseh spletnih komunikacij ter na zaupnost in celovitost podatkov. Varnostni strokovnjaki so opozorili, da bi praktični kvantni računalniki lahko bili možni v manj kot desetih letih.

Nacionalni inštitut za standarde in tehnologijo napovedal prve štiri kvantno odporne algoritme ki bo julija postal del postkvantnega kriptografskega standarda, vendar končni standard pričakujemo šele leta 2024. Kljub temu CISA spodbuja upravljavce kritične infrastrukture, da začnejo svoje priprave vnaprej.

»Medtem ko kvantna računalniška tehnologija, ki bi lahko zlomila algoritme šifriranja javnih ključev v sedanjih standardih, še ne obstaja, morajo vlada in subjekti kritične infrastrukture – vključno z javnimi in zasebnimi organizacijami – sodelovati, da se pripravijo na nov postkvantni kriptografski standard za zaščito pred prihodnje grožnje,« pravi CISA.

Za pomoč organizacijam pri njihovih načrtih sta NIST in Ministrstvo za domovinsko varnost razvila Načrt po kvantni kriptografiji. Prvi korak bi moral biti ustvarjanje popisa ranljivih sistemov kritične infrastrukture, je dejal CISA.

Organizacije bi morale ugotoviti, kje in za kakšen namen se uporablja kriptografija z javnimi ključi, in te sisteme označiti kot kvantno ranljive. To vključuje ustvarjanje popisa najbolj občutljivih in kritičnih naborov podatkov, ki jih je treba zavarovati daljši čas, in vseh sistemov, ki uporabljajo kriptografske tehnologije. Imeti seznam vseh sistemov bi olajšalo prehod, ko pride čas za zamenjavo.

Organizacije bodo morale oceniti tudi prednostno raven za vsak sistem. Z uporabo inventarja in informacij o prednostnih nalogah lahko organizacije nato razvijejo načrt prehoda sistemov, ko bo nov standard objavljen.

Varnostne strokovnjake se prav tako spodbuja, da identificirajo standarde pridobivanja, kibernetske varnosti in varnosti podatkov, ki jih bo treba posodobiti, da bodo odražali postkvantne zahteve. CISA spodbuja vse večje sodelovanje z organizacijami, ki razvijajo postkvantne standarde.

Osredotočenost agencije na inventar odraža priporočila, ki jih je pripravila Wells Fargo na konferenci RSA v začetku tega leta. Na seji, na kateri so razpravljali o kvantnem potovanju finančnega velikana, je Richard Toohey, tehnološki analitik pri Wells Fargo, predlagal, naj organizacije začnejo popisovati kriptovalute.

»Odkrijte, kje imate primerke določenih algoritmov ali določenih vrst kriptografije, kajti koliko ljudi je z uporabo Log4j in nisem imel pojma ker je bilo zakopano tako globoko?" je rekel Toohey. »To je velika zahteva, poznati vsako vrsto kriptografije, ki se uporablja v vašem poslovanju z vsemi vašimi tretjimi osebami – to ni trivialno. To je veliko dela in s tem bo treba začeti zdaj."

Wells Fargo ima "zelo agresiven cilj", da bo v petih letih pripravljen na izvajanje postkvantne kriptografije, pravi Dale Miller, glavni arhitekt arhitekture informacijske varnosti pri Wells Fargo.

Migracija industrijskih nadzornih sistemov (ICS) na postkvantno kriptografijo bo velik izziv za upravljavce kritične infrastrukture, predvsem zato, ker je oprema pogosto geografsko razpršena, CISA pravi v opozorilu. Kljub temu je CISA pozvala organizacije kritične infrastrukture, naj v svoje strategije vključijo ukrepe, potrebne za obravnavo tveganj zaradi kvantnih računalniških zmogljivosti.

CISA ni edina, ki opozarja na začetek. Marca je delovna skupina Quantum-Safe zavezništva za varnost v oblaku (CSA) določila rok 14. april 2030, do katerega morajo podjetja vzpostaviti svojo postkvantno infrastrukturo.

»Ne čakajte, da naši nasprotniki začnejo uporabljati kvantne računalnike, da ukrepate. Zgodnje priprave bodo zagotovile nemoten prehod na postkvantni kriptografski standard, ko bo na voljo,« so sporočili iz CISA.