Μετα-κβαντική ετοιμότητα για χρηματοοικονομική υποδομή: NIST

Πολλά διοικητικά συμβούλια πιστεύουν ότι η μετα-κβαντική κρυπτογραφία (PQC) μπορεί να περιμένει μέχρι να χρησιμοποιηθούν εμπορικά μεγάλοι κβαντικοί υπολογιστές. Για τα χρηματοπιστωτικά ιδρύματα, τους τηλεπικοινωνιακούς φορείς και τους φορείς εθνικών υποδομών, ο κίνδυνος έχει ήδη αρχίσει.

Γιατί είναι πρόβλημα σήμερα

Οι επιτιθέμενοι συλλέγουν ήδη κρυπτογραφημένα δεδομένα για να τα διαβάσουν αργότερα. Αυτό ονομάζεται «συλλογή τώρα, αποκρυπτογράφηση αργότερα». Υποκλέπτουν και αποθηκεύουν σήμερα κρυπτογραφημένη κίνηση TLS, ροές διατραπεζικού διακανονισμού και αντίγραφα ασφαλείας βάσεων δεδομένων, βέβαιοι ότι το RSA-2048 και η κρυπτογραφία ελλειπτικών καμπυλών (ECC) θα σπάσουν όσο αυτά τα δεδομένα έχουν ακόμη αξία.

Αν κρατάτε κρατικά μυστικά, μακροπρόθεσμα δάνεια ή μόνιμα αρχεία ταυτότητας, τα δεδομένα που πρέπει να μείνουν εμπιστευτικά για 10 έως 25 χρόνια εκτίθενται τη στιγμή που φεύγουν από το δίκτυό σας με τους σημερινούς αλγόριθμους.

Το NIST δημοσίευσε τώρα τα τελικά μετα-κβαντικά πρότυπα, μεταξύ των οποίων το FIPS 203 (ML-KEM) για κρυπτογράφηση και το FIPS 204 (ML-DSA) για ψηφιακές υπογραφές. Οι ρυθμιστικές αρχές και οι κεντρικές τράπεζες περνούν από συστάσεις σε υποχρεωτικές προθεσμίες μετανάστευσης.

Το κρυφό πρόβλημα: κρυπτογραφία χτισμένη σε παλιά συστήματα

Η μετάβαση στα μετα-κβαντικά πρότυπα σπάνια είναι τόσο απλή όσο η ενημέρωση μιας βιβλιοθήκης OpenSSL. Όταν οι κύριοι μηχανικοί μας αξιολογούν ώριμα εταιρικά συστήματα, εμφανίζονται ξανά και ξανά τρία εμπόδια:

• Κρυμμένη κρυπτογραφία. Οι παλιές ολοκληρώσεις ERP, οι γέφυρες mainframe και τα υλικά μέσα ασφαλείας (HSM) χρησιμοποιούν συχνά σταθερές σουίτες κρυπτογράφησης, κλειδωμένα πιστοποιητικά ή παρωχημένες ανταλλαγές κλειδιών, θαμμένα βαθιά σε ενδιάμεσο λογισμικό που κανείς δεν συντηρεί.

• Μεγαλύτερα κλειδιά, βαρύτερες χειραψίες. Τα μετα-κβαντικά κλειδιά και οι υπογραφές, όπως το ML-KEM και το ML-DSA, είναι πολύ μεγαλύτερα από τα RSA και ECDSA. Σε πολυσύχναστες πύλες πληρωμών ή σε περιορισμένα δίκτυα OT και IoT, οι μεγαλύτερες χειραψίες μπορούν να κατατμήσουν πακέτα, να υπερχειλίσουν οι προσωρινές μνήμες και να προκαλέσουν αλυσιδωτές λήξεις χρόνου.

• Συνεργάτες που δεν είναι έτοιμοι. Τα συστήματά σας μπορεί να υποστηρίζουν υβριδική ανταλλαγή κλειδιών. Αν όμως το γραφείο συμψηφισμού, η τράπεζα αποδοχής ή η φορολογική πύλη ζητούν ακόμη παλιές ρυθμίσεις TLS, οι συνδέσεις αποτυγχάνουν αν ένα επίπεδο proxy δεν διαχειρίζεται τη διαφορά.

Ένας οδικός χάρτης τεσσάρων βημάτων προς την κρυπτογραφική ευελιξία

Στην XSIS, με την κληρονομιά του KONG GROUP στη μηχανική κρυπτογραφίας, οδηγούμε τις επιχειρήσεις στη μετάβαση στη μετα-κβαντική κρυπτογραφία χωρίς να θέτουμε σε κίνδυνο τη διαθεσιμότητα της παραγωγής.

1. Χαρτογραφήστε κάθε κλειδί και πιστοποιητικό

Δεν μπορείτε να μεταναστεύσετε ό,τι δεν έχετε χαρτογραφήσει. Συνδυάζουμε παθητική παρακολούθηση δικτύου, ανάλυση κώδικα και ανακάλυψη πιστοποιητικών σε αποθετήρια, API και υποδομές σας. Το αποτέλεσμα είναι μια απογραφή κρυπτογραφικού υλικού (CBOM): κάθε πιστοποιητικό, μήκος κλειδιού, σουίτα κρυπτογράφησης και εξάρτηση κρυπτογραφίας.

2. Κατατάξτε τα συστήματα κατά κίνδυνο

Δεν χρειάζεται να μετακινηθούν όλα μαζί. Κατατάσσουμε τα συστήματα με βάση πόσο καιρό πρέπει να μείνουν μυστικά τα δεδομένα τους και πόσο εκτεθειμένα είναι. Οι εξωτερικές τραπεζικές συνδέσεις host-to-host, τα εθνικά μητρώα ταυτότητας και οι ζεύξεις μεταξύ κέντρων δεδομένων έρχονται πριν από την εσωτερική τηλεμετρία βραχείας διάρκειας.

3. Προσθέστε υβριδική ανταλλαγή κλειδιών

Αντί για μια επικίνδυνη μετάβαση σε μία μόνο ημερομηνία, εφαρμόζουμε υβριδικούς τρόπους που συνδυάζουν κλασικό ECDHE με μετα-κβαντικό ML-KEM στον ελεγκτή εισόδου, στην πύλη API και στο πλέγμα υπηρεσιών. Τα παλιά συστήματα συνεχίζουν να λειτουργούν, η υπάρχουσα συμμόρφωση FIPS διατηρείται και η κίνηση προστατεύεται από την απειλή «συλλογή τώρα, αποκρυπτογράφηση αργότερα» από εκείνη την ημέρα.

4. Ενσωματώστε την κρυπτογραφική ευελιξία

Μετακινούμε την κρυπτογράφηση και την υπογραφή στις εφαρμογές σας πίσω από κοινούς παρόχους κρυπτογραφίας και HSM έτοιμα για μετα-κβαντική χρήση. Όταν αλλάζουν οι αλγόριθμοι ή έρχονται νέοι κανόνες, αλλάζετε τις σουίτες κρυπτογράφησης αλλάζοντας μια πολιτική, όχι ξαναγράφοντας κώδικα.

Από πού να ξεκινήσετε

Η μετα-κβαντική μετανάστευση ξεκινά με το να ξέρετε τι έχετε. Κλείστε μια αξιολόγηση ετοιμότητας με έναν κύριο αρχιτέκτονα κυβερνοασφάλειας της XSIS για να ορίσετε μια μη παρεμβατική απογραφή της κρυπτογραφίας στα τραπεζικά σας συστήματα, στο ERP και στο cloud.