Postkvanttivalmius rahoitusjärjestelmissä: NIST:n tiekartta

Monet hallitukset uskovat, että postkvanttisalaus (PQC) voi odottaa, kunnes suuret kvanttitietokoneet ovat kaupallisessa käytössä. Rahoituslaitoksille, televiestintäoperaattoreille ja kansallisen infrastruktuurin ylläpitäjille riski on jo alkanut.

Miksi se on ongelma jo tänään

Hyökkääjät keräävät jo salattua dataa luettavaksi myöhemmin. Tätä kutsutaan nimellä ”kerää nyt, pura myöhemmin”. He sieppaavat ja tallentavat salattua TLS-liikennettä, pankkien välisten selvitysten virtoja ja tietokantavarmuuskopioita jo nyt, varmoina siitä, että RSA-2048 ja elliptisten käyrien kryptografia (ECC) murretaan, kun data on vielä merkityksellistä.

Jos käsittelette valtionsalaisuuksia, pitkäaikaisia lainoja tai pysyviä henkilöllisyystietoja, 10 vuodesta 25 vuoteen luottamuksellisena pysyvä data on vaarassa sillä hetkellä, kun se poistuu verkostanne nykyisillä salauksilla.

NIST on nyt julkaissut lopulliset postkvanttistandardinsa, mukaan lukien FIPS 203 (ML-KEM) salaukseen ja FIPS 204 (ML-DSA) digitaalisiin allekirjoituksiin. Valvontaviranomaiset ja keskuspankit siirtyvät suosituksista vaadittuihin siirtymäaikatauluihin.

Piilevä ongelma: vanhoihin järjestelmiin rakennettu kryptografia

Postkvanttistandardeihin siirtyminen on harvoin yhtä yksinkertaista kuin OpenSSL-kirjaston päivittäminen. Kun pääinsinöörimme tarkistavat vakiintuneita yritysjärjestelmiä, kolme estettä toistuu yhä uudelleen:

• Piilossa oleva kryptografia. Vanhat ERP-integraatiot, suurtietokonesillat ja laitteistopohjaiset salausmoduulit (HSM) käyttävät usein kiinteitä salaussarjoja, kiinnitettyjä varmenteita tai vanhentuneita avaintenvaihtoja, syvälle väliohjelmistoon haudattuina, jota kukaan ei ylläpidä.

• Suuremmat avaimet, raskaammat kättelyt. Postkvanttiavaimet ja -allekirjoitukset, kuten ML-KEM ja ML-DSA, ovat paljon suurempia kuin RSA- ja ECDSA-avaimet. Ruuhkaisilla maksuyhdyskäytävillä tai rajoitetuissa OT- ja IoT-verkoissa suuremmat kättelyt voivat pilkkoa paketteja, ylittää puskurien koon ja laukaista aikakatkaisujen ketjuja.

• Kumppanit, jotka eivät ole valmiita. Omat järjestelmänne voivat tukea hybridiavainten vaihtoa. Mutta jos selvityskeskuksenne, kortinhyväksyjänne tai veroyhdyskäytävänne vaatii edelleen vanhoja TLS-asetuksia, yhteydet epäonnistuvat, ellei välityskerros hoida eroa.

Nelivaiheinen tiekartta kryptojoustavuuteen

XSIS:ssä, KONG GROUP:n kryptografisen insinöörityön perinnön tukemana, viemme yritykset postkvanttisalaukseen vaarantamatta tuotannon käytettävyyttä.

1. Jokaisen avaimen ja varmenteen kartoitus

Ette voi siirtää sitä, mitä ette ole kartoittaneet. Yhdistämme passiivisen verkkoseurannan, koodianalyysin ja varmenteiden etsinnän repositorioissanne, rajapinnoissanne ja infrastruktuurissanne. Tuloksena on kryptografinen materiaaliluettelo (CBOM): jokainen varmenne, avaimen pituus, salaussarja ja kryptografinen riippuvuus.

2. Järjestelmien priorisointi riskin mukaan

Kaikkea ei tarvitse siirtää kerralla. Järjestämme järjestelmät sen mukaan, kuinka kauan niiden data on pidettävä salassa ja kuinka altistuneita ne ovat. Ulkoiset host-to-host-pankkiyhteydet, kansalliset henkilöllisyysrekisterit ja datakeskusten väliset linkit tulevat ennen lyhytikäistä sisäistä telemetriaa.

3. Hybridiavainten vaihdon käyttöönotto

Yhden päivän riskialttiin kytkimen sijaan otamme käyttöön hybriditiloja, jotka yhdistävät klassisen ECDHE:n postkvantti-ML-KEM:in kanssa ingress-ohjaimessa, API-yhdyskäytävässä ja palveluverkossa. Vanhemmat järjestelmät jatkavat toimintaansa, nykyinen FIPS-vaatimustenmukaisuus säilyy ja liikenne on siitä päivästä lähtien suojattu ”kerää nyt, pura myöhemmin” -hyökkäykseltä.

4. Kryptojoustavuus sisäänrakennettuna

Siirrämme salaamisen ja allekirjoittamisen sovelluksissanne jaettujen kryptografiapalveluntarjoajien ja postkvanttivalmiiden laitteistopohjaisten salausmoduulien taakse. Kun algoritmit muuttuvat tai uusia sääntöjä tulee, vaihdatte salaussarjat käytäntöä muuttamalla, ette koodia uudelleenkirjoittamalla.

Mistä aloittaa

Postkvanttisiirtymä alkaa siitä, että tietää, mitä teillä on. Varatkaa valmiustarkastus XSIS:n pääkyberarkkitehdin kanssa ja rajatkaa ei-tunkeileva kartoitus pankki-, ERP- ja pilvijärjestelmissänne olevasta kryptografiasta.