Знаем, че постквантовият свят вероятно наближава. Това, което не знаем, е кога точно. Организациите трябва да започнат подготовка още сега за деня, в който квантовите компютри ще станат достъпни за търговски цели, за да подпомогнат развитието на нуждите за сигурност на своите критични ИТ активи.
Никой не знае със сигурност кога първите криптографски релевантни квантови компютри (CRQC) ще започнат да функционират, но организациите не бива да чакат събитието да настъпи, за да се подготвят за постквантова криптография (PQC).
Моментът за планиране на прехода към сигурност, готова за PQC, е сега. Организациите трябва да разберат каква ще бъде тяхната изложеност на риск, какви видове заплахи може да създаде PQC и как да съгласуват инвестициите в своята инфраструктура, за да отговорят на препоръките на NIST и бъдещите изисквания за сигурност.
Разбиране на PQC
PQC се отнася до разработването на криптографски алгоритми, създадени да осигурят защита срещу бъдещата заплаха от квантовите изчисления.
Въпрос на време е да бъдат разработени CRQC, след което основният въпрос ще бъде колко бързо те ще станат икономически жизнеспособни и достъпни за авторите на заплахи.
Несигурността относно това кога ще настъпи Q-Day — моментът, в който CRQC ще могат да изпълняват алгоритми за разбиване на криптирането — е причината организациите да се подготвят за него още сега.
Правителствени органи като NIST вече са публикували стандарти за PQC, а по-рано тази година Белият дом издаде изпълнителна заповед за ускоряване на прехода към PQC. С тези насоки организациите разполагат с основа, за да напредват към готовност за PQC.
Предизвикателства пред бъдещето на PQC
Преходът към PQC не е свързан само с внедряване на нововъзникващи технологии, а с фундаментално нови подходи към начина, по който организациите защитават своите системи. Предизвикателствата при подготовката за готовност за PQC включват следното:
- Атакуващите може би вече събират криптирани данни в очакване на бъдещите възможности на PQC. Авторите на заплахи знаят, че Q-Day наближава, поради което съществуват опасения, че прилагат подхода „събирай сега, декриптирай по-късно“ (HNDL). Рискът се състои в това, че огромно количество файлове с криптирана чувствителна информация, събрана при предишни пробиви на данни, могат да се превърнат в бъдеща уязвимост. Тъй като криптографията е внедрена широко в инфраструктурата на всяка организация — от приложения и API до самоличности и сертификати — е трудно да се установи какво вече е било изложено на риск, какво може да бъде застрашено по време на миграцията и какво трябва да бъде защитено за PQC.
- По-мащабна и по-бавна миграция, отколкото организациите очакват. Постигането на готовност за PQC означава цялостен преход в цялата инфраструктура. Хардуер, софтуер, фърмуер, платформи и вериги за доставки може да се наложи да бъдат мигрирани към PQC. Това е процес, който може да отнеме няколко години.
- Несигурност относно това какво включва готовността за PQC. Няма универсално решение за готовност за PQC. NIST предлага стандарти, които да послужат като отправна точка, но липсват единни насоки за това какво да се очаква от доставчиците и как софтуерът и платформите на трети страни ще отговорят на изискванията за PQC, така че компаниите носят отговорност за собствения си комплексен анализ.
Определяне на стъпките към готовност за PQC
Организациите с развити системи за киберсигурност може би вече са по пътя към готовност за PQC.
Според Майк Спанбауер, полеви технически директор по сигурността в HPE, провеждането на оценка или опис на цялата среда, за да се знае кои активи (напр. данни, приложения и др.) са с висока стойност, къде се намират и как са защитени, е първата стъпка към постигане на готовност за PQC.
Документирането на внедрените в момента мерки за сигурност в цялата инфраструктура дава летящ старт на готовността за PQC, тъй като предоставя отправна точка за това какво трябва да се промени, колко време би отнела миграцията и къде са най-големите слабости за дългосрочен риск. По подобен начин, разбирането на начина, по който криптографията функционира в средата в момента, ще осигури видимост кои приложения и масиви от данни са изложени на най-голям риск при настъпването на Q-Day.
Поетапно въвеждане на плановете за PQC
Подобно на повечето дигитални трансформации, готовността за PQC не е процес от една стъпка. Тя трябва да се въвежда внимателно на етапи, съобразени с текущите бизнес операции. Стъпките включват:
- Изграждане на PQC стратегия, която обхваща цялата инфраструктура, веригата за доставки, управлението на жизнения цикъл и системите за корпоративно управление. Целта е криптографска гъвкавост, така че адаптирането и корекциите да се извършват по-лесно.
- Преглед на жизнения цикъл на данните и преценка дали той може да бъде съкратен.
- Формулиране на хипотези какво атакуващите може би вече са събрали и какви са рисковете, ако тези събрани данни бъдат декриптирани.
- Определяне на необходимия нов хардуер възможно най-рано, за да могат разходите да бъдат включени в бюджетното планиране.
- Стартиране на процес за оценка на готовността за PQC.
- Разширяване на поддръжката за PQC на различни платформи.
Заключение
PQC може да се окаже сред най-значимите изисквания за сигурност, пред които организациите ще се изправят. Тя изисква цялостно пренасяне на криптографските механизми и механизмите за криптиране в цялата организация към възможности, съвместими с PQC.
„Възможността за прилагане на надеждните механизми, предложени за постквантова готовност, може да помогне на организациите да намалят последствията от Q-Day“, казва Спанбауер.