By Novice IQT objavljeno 12. oktober 2022
(Avtor Team Post-Quantum) Kvantni računalniki so največja eksistencialna grožnja informacijski varnosti sveta. Ko se bo pojavil dovolj zmogljiv stroj, bodo standardi kriptografije z javnimi ključi (PKC), ki trenutno varujejo digitalni svet, v trenutku zastareli, kar bo povzročilo neizmerno škodo celotnim panogam – od nacionalne varnosti, bančništva do komunalnih omrežij.
Čeprav natančen datum, ko bo PKC zlom, ni znan, je grožnja nasprotnikov, ki zdaj zbirajo podatke z namenom, da jih dešifrirajo, ko se pojavi dovolj zmogljiv stroj (znan tudi kot Harvest Now, Decrypt Later), resnična in se dogaja danes.
Glede na nujnost problema so vlade in regulativni organi začeli ukrepati, zlasti v Združenih državah (ZDA). Toda kaj ta dejanja pomenijo v praksi in katere korake lahko storijo najbolj ogrožene organizacije, da bi napredovale?
Vlade zahtevajo ukrepanje
Leto 2022 je bil pomemben mejnik v prihodnosti postkvantne varnosti.
Po več kot šestih letih premisleka je Nacionalni inštitut za standarde in tehnologijo (NIST) je julija razkril svoja priporočila za standardizacijo novega kvantno odpornega algoritma. KRISTALI-Kyber je bil izbran za splošno šifriranje in KRISTALI-Dilitij, FALKONin SFINKE+ so bili izbrani za digitalne podpise.
NIST je prav tako predlagal štiri druge kandidate za dodatni pregled, eden od njih je Classic McEliece, skupna predložitev naše ekipe pri Post-Quantumu. Nemški nacionalni organ za kibernetsko varnost, znan kot BSIIn nizozemski ekvivalent, že priporočajo, da podjetja uporabljajo in uvajajo Classic McEliece zaradi njegovih neprimerljivih varnostnih poverilnic.
Ko evropske vlade začnejo ukrepati, so tudi ZDA. Maja je Bidnova administracija izdala Memorandum o nacionalni varnosti 10. Memorandum je med drugim določil smer, ki jo morajo ubrati vladne agencije ZDA za prehod ranljivih kriptografskih sistemov na kvantno odporne kriptografija.
Nekaj mesecev pozneje je Parlament sprejel Zakon o pripravljenosti na kibernetsko varnost kvantnega računalništva po njegovi uvedbi aprila 2022. Podobno kot Bidenov memorandum želi predlog zakona obravnavati prehod informacijskih sistemov izvajalskih agencij na postkvantno kriptografijo (PQC). Določa, da bodo morale zvezne agencije pripraviti inventar elementov za prehod na nove standarde, OBM (Urad za proračun in upravljanje) pa bo dobil eno leto za pripravo proračuna in strategije za prehod od sedanjih kriptografskih standardi. Agencije bi morale te sisteme letno posodobiti, kongres pa bi prejel letno poročilo o stanju.
Po tem je Agencija za kibernetsko varnost in varnost infrastrukture (CISA) objavila niz smernic za organizacije kritične infrastrukture, katerih cilj je nemoten prehod. Čeprav končni standard NIST verjetno ne bo potrjen pred letom 2024, je CISA objavila dokument – 'Priprava kritične infrastrukture za postkvantno kriptografijo' – poudarjanje potrebe po kritični infrastrukturi, ki mora zdaj začeti migracijo, da se ublažijo tveganja kvantnega računalništva in napadov HNDL.
Pomembno je, da CISA ni edina v prizadevanjih za poudarjanje prednosti začetka migracije zdaj. Ministrstvo za domovinsko varnost (DHS) je objavilo svojeNačrt po kvantni kriptografiji' poudarja, da je treba takoj začeti postavljati temelje in Cloud Security Alliance (CSA) je določil rok do aprila 2030, do katerega bi morala vsa podjetja uvesti postkvantno infrastrukturo.
Naslednji koraki za zvezne agencije in drugod
Ko vlade in regulatorji začnejo zahtevati ukrepanje, zlasti ko gre za selitev pomembnih vladnih agencij in industrij, stroški neukrepanja naraščajo.
Toda poleg časovnih načrtov in jasne začetne potrebe po pregledu tega, kje se danes uporablja PKC, kaj bi še morali upoštevati?
- Dajte prednost kripto-agilnosti, interoperabilnosti in združljivosti za nazaj
Ko razmišljate o prehodu, je pomembno, da upoštevate naslednje tri koncepte, da zagotovite ravnovesje med varnostjo in agilnostjo.
- Uporaba interoperabilnih rešitev: tako lahko vzpostavite varno komunikacijo s partnerji ne glede na algoritme šifriranja, ki jih uporabljajo.
- Zagotavljanje združljivosti za nazaj: tako da je mogoče kvantno varno šifriranje nemoteno uvesti v vaše obstoječe sisteme IT.
- Vadba kripto-agilnosti: tako da lahko uporabite katero koli kombinacijo postkvantnih algoritmov NIST ali tradicionalnega šifriranja
- Predstavite izdelke, ki odražajo te koncepte, da pridobite večjo stopnjo prilagodljivosti
Ko je ponudnik rešitev izbran, je pomembno razmisliti, ali imajo izdelki, ki jih ponuja, te stebre vgrajeni v zasnovo.
Primer uvodnega koraka v postkvantni migraciji je izbira kvantno varnega navideznega zasebnega omrežja (VPN) za zaščito tokov podatkovne komunikacije prek javnega internetnega omrežja. Post-Quantum'sHibridni post-kvantni VPN' je nedavno uspešno preizkusil Nato in je združil nove kvantno varne in tradicionalne algoritme šifriranja za vzdrževanje interoperabilnega sistema.
- Ne zanemarjajte identitete – pravzaprav bi morali začeti z njo
Lahko bi zaščitili vso svojo drugo šifriranje, toda če lahko nekdo dostopa do vašega identifikacijskega sistema, potem ni pomembno, kaj še počnete – vaši sistemi bodo mislili, da so prava oseba, tako da lahko pridobijo 'zakonit' dostop do vaših sistemov in infrastrukturo.
To pomeni, da nima smisla varovati celotno infrastrukturo, če niste upoštevali tudi identitete, in če začnete na sprednji strani informacijsko-varnostnega ekosistema, vam bo omogočilo tudi, da se spopadete z enim zgodovinsko najzahtevnejših sistemov, ki jih mora organizacija nadgraditi. ali zamenjati.
V prihodnosti bomo potrebovali vso našo digitalno infrastrukturo, ki bo kvantno neprekinjena od konca do konca, a če niste prepričani, kje začeti, bi morala biti identiteta zdaj najpomembnejši dejavnik, saj je ključ do gradu.
SPONZORIRANI
Post-Quantum je diamantni sponzor v prihodnje Dogodek IQT Quantum Cybersecurity v NYC, 25.–27. oktober 2022. Generalni direktor Andersen Chang bo imel uvodni govor.
