By Новини IQT опубліковано 12 жовт. 2022 р
(Від Team Post-Quantum) Квантові комп’ютери є найбільшою екзистенціальною загрозою інформаційній безпеці світу. Як тільки з’явиться досить потужна машина, стандарти криптографії з відкритим ключем (PKC), які зараз захищають цифровий світ, миттєво застаріють, завдаючи незмірної шкоди цілим галузям – від національної безпеки до банківської справи та комунальних мереж.
Хоча точна дата, коли PKC буде зламано, невідома, загроза того, що зловмисники збирають дані зараз, щоб розшифрувати їх, коли з’явиться досить потужна машина (також відома як Harvest Now, Decrypt Later), є реальною та відбувається сьогодні.
Враховуючи гостроту проблеми, уряди та регулюючі органи почали діяти, зокрема в Сполучених Штатах (США). Але що ці дії означають на практиці і які кроки можуть зробити ті організації, які знаходяться в зоні найбільшого ризику, щоб досягти успіху?
Уряди зобов’язують діяти
2022 рік став важливою віхою в майбутньому постквантової безпеки.
Після більш ніж шести років роздумів Національний інститут стандартів і технологій (NIST) оприлюднив свої рекомендації щодо стандартизації нового квантово-стійкого алгоритму в липні. КРИСТАЛИ-Кибер було обрано для загального шифрування, і КРИСТАЛИ-дилітій, FALCON та СФІНКИ+ були обрані для цифрових підписів.
NIST також висунув чотирьох інших кандидатів для додаткового вивчення, одним із яких є Classic McEliece, спільне подання нашої команди з Post-Quantum. Національний орган кібербезпеки Німеччини, відомий як BSI, А Голландський еквівалент, уже рекомендують підприємствам використовувати та розгортати Classic McEliece через його неперевершені облікові дані безпеки.
У той час як європейські уряди починають вживати заходів, так само це зробив і США. У травні адміністрація Байдена опублікувала Меморандум про національну безпеку 10. Серед іншого, у меморандумі визначено напрямок, яким мають діяти урядові установи США, щоб перевести вразливі криптографічні системи на квантово-стійкі. криптографія.
Кілька місяців потому в Палаті представників був прийнятий Закон про готовність до кібербезпеки квантових обчислень після його представлення в квітні 2022 року. Подібно до записки Байдена, законопроект має на меті вирішити проблему переходу інформаційних систем виконавчих органів на постквантову криптографію (PQC). Він передбачає, що федеральні агентства повинні будуть підготувати перелік предметів для переходу на нові стандарти, а OBM (Офіс бюджету та управління) буде надано рік на підготовку бюджету та стратегії переходу від поточної криптографії. стандарти. Агентства також будуть зобов’язані щорічно оновлювати ці системи, а Конгрес отримуватиме щорічний брифінг щодо стану.
Після цього Агентство з кібербезпеки та безпеки інфраструктури (CISA) опублікувало набір інструкцій для організацій критичної інфраструктури, спрямованих на плавний перехід. Хоча остаточний стандарт NIST навряд чи буде підтверджено до 2024 року, CISA опублікувала документ: «Підготовка критичної інфраструктури для постквантової криптографії’ – наголошуючи на необхідності негайного початку міграції критичної інфраструктури, щоб зменшити ризики квантових обчислень і атак HNDL.
Важливо відзначити, що CISA не єдина в зусиллях підкреслити переваги початку міграції зараз. Міністерство внутрішньої безпеки (DHS) опублікувало власний «Дорожня карта постквантової криптографії’ наголошуючи на необхідності негайно почати закладати основу, і Cloud Security Alliance (CSA) встановив кінцевий термін до квітня 2030 року, до якого всі підприємства повинні впровадити постквантову інфраструктуру.
Подальші кроки для федеральних агентств і не тільки
Оскільки уряди та регулятори починають вимагати вжиття заходів, особливо коли йдеться про міграцію державних установ і галузей високого рівня, ціна бездіяльності зростає.
Але, окрім дорожніх карт і чіткої початкової потреби оцінити, де сьогодні використовується PKC, що ще вам варто розглянути?
- Надайте пріоритет криптографічній гнучкості, сумісності та зворотній сумісності
Роздумуючи про перехід, важливо пам’ятати про наступні три концепції, щоб забезпечити баланс між безпекою та гнучкістю.
- Використання сумісних рішень: тож ви можете встановити безпечний зв’язок із партнерами, незалежно від алгоритмів шифрування, які вони використовують.
- Забезпечення зворотної сумісності: тому квантово-безпечне шифрування можна безперешкодно впроваджувати у ваші існуючі ІТ-системи.
- Практика крипто-гнучкості: тому ви можете використовувати будь-яку комбінацію постквантових алгоритмів NIST або традиційного шифрування
- Представляйте продукти, які відображають ці концепції, щоб отримати більший рівень гнучкості
Після вибору постачальника рішень важливо розглянути, чи пропоновані ним продукти містять ці стовпи в дизайні.
Прикладом вступного етапу постквантової міграції є вибір квантово безпечної віртуальної приватної мережі (VPN) для захисту потоків передачі даних через загальнодоступну мережу Інтернету. Пост-КвантоваГібридний постквантовий VPN’ був нещодавно успішно випробуваний НАТО та поєднав нові квантово-захищені та традиційні алгоритми шифрування для підтримки сумісної системи.
- Не нехтуйте ідентичністю – насправді, ви повинні почати з неї
Ви можете захистити все своє інше шифрування, але якщо хтось може отримати доступ до вашої системи ідентифікації, то не має значення, що ще ви робите – ваші системи вважатимуть, що вони правильні особи, тож вони зможуть отримати «законний» доступ до ваших систем та інфраструктура.
Тобто немає сенсу захищати всю вашу інфраструктуру, якщо ви не врахували також ідентифікацію, і, починаючи з переднього кінця екосистеми інформаційної безпеки, ви також зможете впоратися з однією з історично найскладніших систем для оновлення для організації або замінити.
У майбутньому нам знадобиться, щоб уся наша цифрова інфраструктура була квантово надійною наскрізною, але якщо ви не впевнені, з чого почати, ідентичність зараз має бути найважливішим фактором, оскільки це ключ до замку.
Спонсор
Post-Quantum є діамантовим спонсором наступного дня Подія IQT Quantum Cybersecurity у Нью-Йорку, 25-27 жовтня 2022 р.. Генеральний директор Андерсен Чанг виступить із вступною доповіддю.
