מוכנות פוסט־קוונטית לתשתיות פיננסיות: מפת דרכים של NIST

דירקטוריונים רבים מאמינים שאפשר להמתין עם הצפנה פוסט־קוונטית (PQC) עד שמחשבים קוונטיים גדולים ישמשו באופן מסחרי. עבור מוסדות פיננסיים, ספקי תקשורת ומפעילי תשתיות לאומיות, הסיכון כבר התחיל.

למה זו בעיה היום

תוקפים כבר אוספים נתונים מוצפנים כדי לקרוא אותם מאוחר יותר. זה מכונה ”לאסוף עכשיו, לפענח אחר כך”. הם מיירטים ושומרים היום תעבורת TLS מוצפנת, זרמי התחשבנות בין־בנקאית וגיבויי מסדי נתונים, בטוחים ש-RSA-2048 והצפנה על עקומה אליפטית (ECC) יישברו בזמן שהנתונים האלה עדיין חשובים.

אם אתם מחזיקים סודות מדינה, הלוואות ארוכות טווח או רישומי זהות קבועים, נתונים שחייבים להישאר חסויים במשך 10 עד 25 שנים חשופים ברגע שהם יוצאים מהרשת שלכם בצפנים של היום.

NIST כבר פרסם את תקני הפוסט־קוונטום הסופיים שלו, ובהם FIPS 203 (ML-KEM) להצפנה ו-FIPS 204 (ML-DSA) לחתימות דיגיטליות. רגולטורים ובנקים מרכזיים עוברים מהמלצות ללוחות זמנים מחייבים להגירה.

הבעיה הנסתרת: הצפנה שמוטמעת במערכות ותיקות

המעבר לתקני פוסט־קוונטום הוא לעיתים רחוקות פשוט כמו עדכון ספריית OpenSSL. כשמהנדסים ראשיים שלנו סוקרים מערכות ארגוניות מבוססות, שלושה מכשולים חוזרים שוב ושוב:

• הצפנה נסתרת. אינטגרציות ERP ישנות, גשרי מיינפריים ומודולי אבטחה חומרתיים (HSM) משתמשים לעיתים קרובות בחבילות צופן קבועות, אישורים מוצמדים או החלפות מפתחות מיושנות, קבורים בתוכנת ביניים שאיש אינו מתחזק.

• מפתחות גדולות יותר, לחיצות ידיים כבדות יותר. מפתחות וחתימות פוסט־קוונטיים, כמו ML-KEM ו-ML-DSA, גדולים בהרבה מאלה של RSA ו-ECDSA. בשערי תשלום עמוסים או ברשתות OT ו-IoT מוגבלות, לחיצות ידיים גדולות יותר עלולות לפצל מנות, להציף חוצצים ולהפעיל שרשראות של פסקי זמן.

• שותפים שאינם מוכנים. המערכות שלכם עשויות לתמוך בהחלפת מפתחות היברידית. אבל אם חדר הסליקה, סולק הכרטיסים או שער המס שלכם עדיין דורשים הגדרות TLS ישנות, החיבורים נכשלים אלא אם שכבת פרוקסי מטפלת בהבדל.

מפת דרכים בארבעה שלבים לזריזות קריפטוגרפית

ב-XSIS, בגיבוי המורשת של KONG GROUP בהנדסת הצפנה, אנחנו מובילים ארגונים במעבר להצפנה פוסט־קוונטית בלי לסכן את זמינות הייצור.

1. למפות כל מפתח ואישור

לא ניתן להעביר מה שלא מופה. אנחנו משלבים ניטור רשת פסיבי, ניתוח קוד וגילוי אישורים במאגרי הקוד, ב-API ובתשתית שלכם. התוצאה היא מלאי רכיבים קריפטוגרפיים (CBOM): כל אישור, אורך מפתח, חבילת צופן ותלות קריפטוגרפית.

2. לדרג מערכות לפי סיכון

לא הכול צריך לעבור בבת אחת. אנחנו מדרגים מערכות לפי משך הזמן שהנתונים שלהן חייבים להישאר סודיים ולפי מידת החשיפה שלהן. חיבורי בנק חיצוניים host-to-host, מאגרי זהות לאומיים וקישורים בין מרכזי נתונים באים לפני טלמטריה פנימית קצרת חיים.

3. להוסיף החלפת מפתחות היברידית

במקום מעבר מסוכן בתאריך אחד, אנחנו פורסים מצבים היברידיים שמשלבים ECDHE קלאסי עם ML-KEM פוסט־קוונטי בבקר הכניסה, בשער ה-API וברשת השירותים (service mesh). מערכות ותיקות ממשיכות לעבוד, התאימות ל-FIPS נשמרת, והתעבורה מוגנת מפני ”לאסוף עכשיו, לפענח אחר כך” מאותו יום.

4. להטמיע זריזות קריפטוגרפית

אנחנו מעבירים הצפנה וחתימה ביישומים שלכם מאחורי ספקים קריפטוגרפיים משותפים ו-HSM מוכנים לפוסט־קוונטום. כשהאלגוריתמים משתנים או מגיעים כללים חדשים, מחליפים חבילות צופן באמצעות שינוי מדיניות, לא בכתיבה מחדש של קוד.

מאיפה מתחילים

המעבר לפוסט־קוונטום מתחיל בלדעת מה יש לכם. קבעו סקירת מוכנות עם ארכיטקט סייבר ראשי של XSIS כדי לתחום מלאי לא פולשני של ההצפנה במערכות הבנקאות, ה-ERP והענן שלכם.