Kesediaan pascakuantum untuk sistem kewangan: peta jalan NIST

Banyak lembaga pengarah percaya kriptografi pascakuantum (PQC) boleh menunggu sehingga komputer kuantum besar digunakan secara komersial. Bagi institusi kewangan, penyedia telekomunikasi dan pengendali infrastruktur kebangsaan, risikonya sudah bermula.

Mengapa ia masalah hari ini

Penyerang sudah mengumpul data yang disulitkan untuk dibaca kemudian. Ini dikenali sebagai “tuai sekarang, nyahsulit kemudian”. Mereka memintas dan menyimpan trafik TLS yang disulitkan, aliran penyelesaian antara bank dan sandaran pangkalan data hari ini, yakin bahawa RSA-2048 dan kriptografi lengkung eliptik (ECC) akan dipecahkan selagi data itu masih penting.

Jika anda memegang rahsia negara, pinjaman jangka panjang atau rekod identiti kekal, data yang mesti kekal sulit selama 10 hingga 25 tahun terdedah sebaik sahaja ia meninggalkan rangkaian anda di bawah sifer hari ini.

NIST kini telah menerbitkan piawaian pascakuantum muktamadnya, termasuk FIPS 203 (ML-KEM) untuk penyulitan dan FIPS 204 (ML-DSA) untuk tandatangan digital. Pengawal selia dan bank pusat beralih daripada nasihat kepada garis masa penghijrahan yang diwajibkan.

Masalah tersembunyi: kriptografi terbina dalam sistem lama

Beralih kepada piawaian pascakuantum jarang semudah mengemas kini pustaka OpenSSL. Apabila jurutera utama kami menyemak sistem perusahaan yang mantap, tiga halangan berulang kali muncul:

• Kriptografi tersembunyi. Integrasi ERP lama, jambatan kerangka utama dan modul keselamatan perkakasan (HSM) sering menggunakan suit sifer tetap, sijil terpaku atau pertukaran kunci lapuk, tertanam dalam perisian tengah yang tidak diselenggara sesiapa.

• Kunci lebih besar, jabat tangan lebih berat. Kunci dan tandatangan pascakuantum, seperti ML-KEM dan ML-DSA, jauh lebih besar daripada yang RSA dan ECDSA. Pada get laluan pembayaran yang sibuk atau rangkaian OT dan IoT yang terbatas, jabat tangan yang lebih besar boleh memecahkan paket, melimpahi penimbal dan mencetuskan rantaian tamat masa.

• Rakan kongsi yang belum bersedia. Sistem anda sendiri mungkin menyokong pertukaran kunci hibrid. Tetapi jika rumah penjelasan, pemeroleh kad atau get laluan cukai anda masih memerlukan tetapan TLS lama, sambungan gagal melainkan lapisan proksi menguruskan perbezaannya.

Peta jalan empat langkah ke ketangkasan kripto

Di XSIS, disokong warisan kejuruteraan kriptografi KONG GROUP, kami memandu perusahaan melalui peralihan kepada kriptografi pascakuantum tanpa mempertaruhkan masa operasi pengeluaran.

1. Petakan setiap kunci dan sijil

Anda tidak boleh berhijrah apa yang belum dipetakan. Kami menggabungkan pemantauan rangkaian pasif, analisis kod dan penemuan sijil merentas repositori, API dan infrastruktur anda. Hasilnya ialah Bil Bahan Kriptografi (CBOM): setiap sijil, panjang kunci, suit sifer dan kebergantungan kriptografi.

2. Susun sistem mengikut risiko

Bukan semuanya perlu berpindah serentak. Kami menyusun sistem mengikut berapa lama datanya mesti kekal rahsia dan berapa terdedahnya ia. Sambungan bank hos ke hos luaran, stor identiti kebangsaan dan pautan antara pusat data didahulukan berbanding telemetri dalaman jangka pendek.

3. Tambah pertukaran kunci hibrid

Daripada pertukaran berisiko pada satu tarikh, kami menggunakan mod hibrid yang menggabungkan ECDHE klasik dengan ML-KEM pascakuantum pada pengawal masuk, get laluan API dan jaringan perkhidmatan. Sistem lama terus berfungsi, pematuhan FIPS sedia ada kekal, dan trafik dilindungi daripada “tuai sekarang, nyahsulit kemudian” sejak hari itu.

4. Bina ketangkasan kripto

Kami memindahkan penyulitan dan tandatangan dalam aplikasi anda ke belakang penyedia kriptografi bersama dan HSM sedia pascakuantum. Apabila algoritma berubah atau peraturan baharu tiba, anda memutar suit sifer dengan mengubah dasar, bukan dengan menulis semula kod.

Di mana hendak bermula

Penghijrahan pascakuantum bermula dengan mengetahui apa yang anda miliki. Tempah Semakan kesediaan dengan arkitek siber utama XSIS untuk menetapkan skop inventori tidak intrusif bagi kriptografi dalam sistem perbankan, ERP dan awan anda.