Gotowość postkwantowa infrastruktury finansowej: plan NIST

Wiele zarządów uważa, że kryptografia postkwantowa (PQC) może poczekać, aż duże komputery kwantowe wejdą do użytku komercyjnego. Dla instytucji finansowych, operatorów telekomunikacyjnych i operatorów infrastruktury narodowej ryzyko już się zaczęło.

Dlaczego to problem już dziś

Atakujący już zbierają zaszyfrowane dane, aby odczytać je później. Nazywa się to „harvest now, decrypt later”. Przechwytują i przechowują dziś zaszyfrowany ruch TLS, strumienie rozliczeń międzybankowych i kopie zapasowe baz danych, pewni, że RSA-2048 i kryptografia krzywych eliptycznych (ECC) zostaną złamane, gdy te dane będą jeszcze istotne.

Jeśli przechowują Państwo tajemnice państwowe, długoterminowe kredyty lub trwałe rejestry tożsamości, dane, które muszą pozostać poufne przez 10 do 25 lat, są narażone w chwili, gdy opuszczają Państwa sieć z dzisiejszym szyfrowaniem.

NIST opublikował już ostateczne standardy postkwantowe, w tym FIPS 203 (ML-KEM) do szyfrowania i FIPS 204 (ML-DSA) do podpisów cyfrowych. Regulatorzy i banki centralne przechodzą od zaleceń do wymaganych terminów migracji.

Ukryty problem: kryptografia wbudowana w stare systemy

Przejście na standardy postkwantowe rzadko jest tak proste jak aktualizacja biblioteki OpenSSL. Gdy nasi inżynierowie główni przeglądają dojrzałe systemy przedsiębiorstw, trzy przeszkody pojawiają się raz za razem:

• Ukryta kryptografia. Stare integracje ERP, mosty mainframe i moduły bezpieczeństwa sprzętowego (HSM) często używają stałych zestawów szyfrów, przypiętych certyfikatów lub przestarzałych wymian kluczy, głęboko ukrytych w oprogramowaniu pośredniczącym, którego nikt nie utrzymuje.

• Większe klucze, cięższe uzgadnianie. Klucze i podpisy postkwantowe, takie jak ML-KEM i ML-DSA, są znacznie większe niż klucze RSA i ECDSA. Na zajętych bramkach płatności lub ograniczonych sieciach OT i IoT większe uzgadnianie może dzielić pakiety, przepełniać bufory i uruchamiać łańcuchy przekroczeń limitu czasu.

• Partnerzy, którzy nie są gotowi. Państwa systemy mogą obsługiwać hybrydową wymianę kluczy. Ale jeśli izba rozliczeniowa, agent rozliczeniowy kart lub bramka podatkowa nadal wymagają starych ustawień TLS, połączenia zawodzą, chyba że warstwa proxy zarządza różnicą.

Mapa drogowa w czterech krokach do kryptozwinności

W XSIS, wspierani dziedzictwem KONG GROUP w inżynierii kryptograficznej, prowadzimy przedsiębiorstwa przez przejście na kryptografię postkwantową bez ryzyka dla dostępności produkcji.

1. Zmapować każdy klucz i każdy certyfikat

Nie można migrować tego, czego się nie zmapowało. Łączymy pasywny monitoring sieci, analizę kodu i odkrywanie certyfikatów w Państwa repozytoriach, API i infrastrukturze. Wynikiem jest kryptograficzny wykaz materiałów (CBOM): każdy certyfikat, każda długość klucza, każdy zestaw szyfrów i każda zależność kryptograficzna.

2. Uszeregować systemy według ryzyka

Nie wszystko musi zmieniać się naraz. Szeregujemy systemy według tego, jak długo ich dane muszą pozostać tajne i jak bardzo są eksponowane. Zewnętrzne połączenia host-host z bankami, krajowe rejestry tożsamości i łącza między centrami danych idą przed krótkotrwałą telemetrią wewnętrzną.

3. Dodać hybrydową wymianę kluczy

Zamiast ryzykownego przełączenia w jednej dacie wdrażamy tryby hybrydowe, które łączą klasyczny ECDHE z postkwantowym ML-KEM w kontrolerze wejścia, bramie API i siatce usług. Starsze systemy działają dalej, istniejąca zgodność z FIPS się utrzymuje, a ruch jest od tego dnia chroniony przed „harvest now, decrypt later”.

4. Wbudować kryptozwinność

Przenosimy szyfrowanie i podpisywanie w Państwa aplikacjach do wspólnych dostawców kryptograficznych i modułów HSM gotowych na postkwant. Gdy algorytmy się zmieniają lub pojawiają się nowe reguły, wymieniają Państwo zestawy szyfrów, zmieniając politykę, a nie przepisując kod.

Od czego zacząć

Migracja postkwantowa zaczyna się od wiedzy, co się ma. Proszę zarezerwować ocenę gotowości u głównego architekta cyberbezpieczeństwa XSIS, aby określić zakres nieinwazyjnej inwentaryzacji kryptografii w Państwa systemach bankowych, ERP i chmurowych.