Қаржы жүйелерінің посткванттық дайындығы: NIST жол картасы

Көптеген басқармалар посткванттық криптографияны (PQC) ірі кванттық компьютерлер коммерциялық қолданысқа шыққанға дейін күтуге болады деп санайды. Қаржы институттары, телекоммуникация операторлары және ұлттық инфрақұрылымды басқарушылар үшін тәуекел әлдеқашан басталды.

Неліктен бұл бүгін мәселе

Шабуылдаушылар шифрланған деректерді кейін оқу үшін қазірден жинап жүр. Бұл «қазір жина, кейін дешифрла» деп аталады. Олар шифрланған TLS трафигін, банкаралық есеп айырысу ағындарын және дерекқор сақтық көшірмелерін бүгіннен бастап жинап сақтайды, себебі RSA-2048 мен эллиптикалық қисық криптографиясы (ECC) бұзылған кезде бұл деректер әлі де маңызды болады.

Егер сізде мемлекеттік құпиялар, ұзақ мерзімді несиелер немесе тұрақты сәйкестендіру жазбалары болса, 10 жылдан 25 жылға дейін құпия болып қалуы тиіс деректер бүгінгі шифрлармен желіңізден шыққан сәтте ашылады.

NIST енді өзінің түпкілікті посткванттық стандарттарын жариялады, соның ішінде шифрлауға арналған FIPS 203 (ML-KEM) және цифрлық қолтаңбаға арналған FIPS 204 (ML-DSA). Реттеушілер мен орталық банктер кеңес беруден міндетті көшу мерзімдеріне көшуде.

Жасырын мәселе: ескі жүйелерге кіріктірілген криптография

Посткванттық стандарттарға көшу OpenSSL кітапханасын жаңартудай қарапайым іс емес. Біздің бас инженерлер қалыптасқан кәсіпорын жүйелерін қараған кезде үш кедергі қайта-қайта кездеседі:

• Жасырын криптография. Ескі ERP интеграциялары, мейнфрейм көпірлері және аппараттық қауіпсіздік модульдері (HSM) жиі өзгертілмейтін шифр жинақтарын, қатаң бекітілген сертификаттарды немесе ескірген кілт алмасуды қолданады, олар ешкім күтіп ұстамайтын аралық бағдарлама ішінде терең жатқан.

• Кілттер үлкенірек, қол алысу ауырырақ. ML-KEM мен ML-DSA сияқты посткванттық кілттер мен қолтаңбалар RSA мен ECDSA кілттерінен әлдеқайда үлкен. Қарқынды төлем шлюздерінде немесе шектеулі OT және IoT желілерінде үлкенірек қол алысулар пакеттерді бөлшектеп, буферлерді асырып, таймаут тізбегін тудыруы мүмкін.

• Дайын емес серіктестер. Сіздің жүйелеріңіз гибридті кілт алмасуды қолдауы мүмкін. Бірақ клирингтік палатаңыз, карта эквайеріңіз немесе салық шлюзі әлі де ескі TLS параметрлерін талап етсе, прокси қабаты бұл айырмашылықты реттемесе, қосылымдар істен шығады.

Криптоикемділікке төрт қадамдық жол картасы

XSIS-те біз KONG GROUP-тың криптографиялық инженериядағы мұрасына сүйеніп, кәсіпорындарды өндірістік жүйелердің үздіксіз жұмысын тәуекелге түсірмей посткванттық криптографияға көшіреміз.

1. Әрбір кілт пен сертификатты картаға түсіру

Картаға түсірмегеніңізді көшіре алмайсыз. Біз пассивті желілік мониторингті, кодты талдауды және репозиторийлеріңіз, API-леріңіз бен инфрақұрылымыңыз бойынша сертификаттарды анықтауды біріктіреміз. Нәтижесінде криптографиялық материалдар тізімі (CBOM) шығады: әрбір сертификат, кілт ұзындығы, шифр жинағы және криптографиялық тәуелділік.

2. Жүйелерді тәуекел бойынша реттеу

Барлығын бір уақытта көшіру қажет емес. Біз жүйелерді деректері қанша ұзақ құпия болып қалуы керек және олар қаншалықты ашық екеніне қарай реттейміз. Сыртқы host-to-host банктік қосылымдар, ұлттық сәйкестендіру қоймалары және деректер орталықтары арасындағы байланыстар қысқа мерзімді ішкі телеметрияға қарағанда бірінші кезекте тұрады.

3. Гибридті кілт алмасуды қосу

Бір күнде тәуекелді бағдарламаны ауыстырудың орнына біз кіріс контроллерінде, API шлюзінде және қызмет торында классикалық ECDHE-ны посткванттық ML-KEM-мен біріктіретін гибридті режимдерді орналастырамыз. Ескі жүйелер жұмысын жалғастырады, қолданыстағы FIPS сәйкестігі сақталады, ал трафик сол күннен бастап «қазір жина, кейін дешифрла» шабуылынан қорғалады.

4. Криптоикемділікті кіріктіру

Біз қосымшаларыңыздағы шифрлау мен қолтаңбаны ортақ криптографиялық провайдерлер мен посткванттық дайын HSM-дер артына көшіреміз. Алгоритмдер өзгерсе немесе жаңа ережелер келсе, шифр жинақтарын кодты қайта жазбай, саясатты өзгерту арқылы ротациялайсыз.

Неден бастау керек

Посткванттық көшу қолыңызда не бар екенін білуден басталады. Банк, ERP және бұлт жүйелеріңіздегі криптографияға нұқсан келтірмейтін түгендеу көлемін анықтау үшін XSIS бас кибер архитекторымен дайындық шолуын тағайындаңыз.