Postkvanteberedskap for finanssystemer: et NIST-veikart

Mange styrer tror postkvantekryptografi (PQC) kan vente til store kvantedatamaskiner er i kommersiell bruk. For finansinstitusjoner, telekomleverandører og operatører av nasjonal infrastruktur har risikoen allerede begynt.

Hvorfor det er et problem i dag

Angripere samler allerede inn krypterte data for å lese dem senere. Dette kalles «høst nå, dekrypter senere». I dag avskjærer og lagrer de kryptert TLS-trafikk, oppgjørsstrømmer mellom banker og databasesikkerhetskopier, i visshet om at RSA-2048 og elliptisk kurvekryptografi (ECC) vil bli brutt mens disse dataene fortsatt betyr noe.

Hvis du sitter på statshemmeligheter, langsiktige lån eller permanente identitetsopplysninger, er data som må holdes konfidensielle i 10 til 25 år, eksponert i det øyeblikket de forlater nettverket ditt med dagens chiffere.

NIST har nå publisert sine endelige postkvantestandarder, inkludert FIPS 203 (ML-KEM) for kryptering og FIPS 204 (ML-DSA) for digitale signaturer. Tilsynsmyndigheter og sentralbanker beveger seg fra råd til påkrevde tidsfrister for migrering.

Det skjulte problemet: kryptografi innebygd i gamle systemer

Å gå over til postkvantestandarder er sjelden så enkelt som å oppdatere et OpenSSL-bibliotek. Når våre ledende ingeniører gjennomgår etablerte bedriftssystemer, dukker tre hindringer opp igjen og igjen:

• Skjult kryptografi. Gamle ERP-integrasjoner, stormaskinbroer og maskinvaremoduler for sikkerhet (HSM-er) bruker ofte faste chiffersuiter, fastlåste sertifikater eller utdaterte nøkkelutvekslinger, gjemt dypt i mellomvare som ingen vedlikeholder.

• Større nøkler, tyngre håndtrykk. Postkvantenøkler og -signaturer, som ML-KEM og ML-DSA, er mye større enn RSA- og ECDSA-nøkler. På travle betalingsgatewayer eller begrensede OT- og IoT-nettverk kan større håndtrykk splitte pakker, overfylle buffere og sette i gang kjeder av tidsavbrudd.

• Partnere som ikke er klare. Dine egne systemer støtter kanskje hybrid nøkkelutveksling. Men hvis oppgjørssentralen, innløseren eller skattegatewayen din fortsatt krever gamle TLS-innstillinger, feiler tilkoblingene med mindre et proxy-lag håndterer forskjellen.

Et veikart i fire trinn mot kryptoagilitet

Hos XSIS, med støtte i arven etter KONG GROUP innen kryptografisk utvikling, tar vi bedrifter gjennom overgangen til postkvantekryptografi uten å risikere produksjonsopptid.

1. Kartlegg hver nøkkel og hvert sertifikat

Du kan ikke migrere det du ikke har kartlagt. Vi kombinerer passiv nettverksovervåking, kodeanalyse og sertifikatoppdagelse på tvers av repositoriene, API-ene og infrastrukturen din. Resultatet er en programvarefortegnelse for kryptografi (CBOM): hvert sertifikat, hver nøkkellengde, hver chiffersuite og hver kryptografiske avhengighet.

2. Ranger systemer etter risiko

Ikke alt trenger å flyttes samtidig. Vi rangerer systemer etter hvor lenge dataene deres må holdes hemmelige, og hvor eksponerte de er. Eksterne host-to-host-bankforbindelser, nasjonale identitetsregistre og lenker mellom datasentre kommer før kortlevd intern telemetri.

3. Legg til hybrid nøkkelutveksling

I stedet for en risikabel omlegging på én dato, ruller vi ut hybride moduser som kombinerer klassisk ECDHE med ML-KEM for postkvantekryptografi i ingresskontrolleren, API-gatewayen og servicenettet. Eldre systemer fortsetter å virke, eksisterende FIPS-etterlevelse holder, og trafikken er beskyttet mot «høst nå, dekrypter senere» fra da av.

4. Bygg inn kryptoagilitet

Vi flytter kryptering og signering i applikasjonene dine bak felles kryptografiske leverandører og postkvanteklare HSM-er. Når algoritmer endres eller nye regler kommer, roterer du chiffersuiter ved å endre en policy, ikke ved å skrive om kode.

Hvor du bør begynne

Postkvantemigrering starter med å vite hva du har. Bestill en modenhetsvurdering med en ledende cybersikkerhetsarkitekt i XSIS for å avgrense en ikke-inngripende kartlegging av kryptografien i bank-, ERP- og skysystemene dine.