Sẵn sàng hậu lượng tử cho hệ thống tài chính: lộ trình NIST

Nhiều hội đồng quản trị tin rằng mật mã hậu lượng tử (PQC) có thể chờ đến khi máy tính lượng tử lớn được dùng thương mại. Với các tổ chức tài chính, nhà cung cấp viễn thông và đơn vị vận hành hạ tầng quốc gia, rủi ro đã hiện hữu.

Vì sao đây là vấn đề ngay hôm nay

Kẻ tấn công đã thu thập dữ liệu mã hóa để đọc sau. Cách này gọi là “thu thập ngay, giải mã sau”. Họ chặn và lưu lưu lượng TLS mã hóa, luồng quyết toán liên ngân hàng và bản sao lưu cơ sở dữ liệu ngay từ bây giờ, chắc chắn rằng RSA-2048 và mật mã đường cong elliptic (ECC) sẽ bị phá khi dữ liệu đó vẫn còn giá trị.

Nếu bạn giữ bí mật quốc gia, khoản vay dài hạn hoặc hồ sơ danh tính vĩnh viễn, dữ liệu phải giữ bí mật 10 đến 25 năm sẽ bị phơi bày ngay khi rời mạng của bạn nếu chỉ được bảo vệ bằng các thuật toán mã hóa hiện nay.

NIST đã công bố các tiêu chuẩn hậu lượng tử cuối cùng, gồm FIPS 203 (ML-KEM) cho mã hóa và FIPS 204 (ML-DSA) cho chữ ký số. Các cơ quan quản lý và ngân hàng trung ương đang chuyển từ khuyến nghị sang các mốc chuyển đổi bắt buộc.

Vấn đề ẩn: mật mã nằm sâu trong hệ thống cũ

Chuyển sang tiêu chuẩn hậu lượng tử hiếm khi đơn giản như cập nhật một thư viện OpenSSL. Khi các kỹ sư chính của chúng tôi rà soát hệ thống doanh nghiệp lâu năm, ba trở ngại lặp đi lặp lại:

• Mật mã ẩn. Tích hợp ERP cũ, cầu nối máy tính lớn và mô-đun bảo mật phần cứng (HSM) thường dùng bộ mật mã cố định, chứng chỉ ghim hoặc trao đổi khóa lỗi thời, chôn sâu trong lớp trung gian không ai bảo trì.

• Khóa lớn hơn, bắt tay nặng hơn. Khóa và chữ ký hậu lượng tử, như ML-KEM và ML-DSA, lớn hơn nhiều so với RSA và ECDSA. Trên cổng thanh toán đông đúc hoặc mạng OT và IoT hạn chế, các lần bắt tay lớn hơn có thể chia gói tin, tràn bộ đệm và gây ra chuỗi lỗi hết thời gian chờ.

• Đối tác chưa sẵn sàng. Hệ thống của bạn có thể hỗ trợ trao đổi khóa kết hợp. Nhưng nếu trung tâm thanh toán bù trừ, tổ chức thanh toán thẻ hoặc cổng thuế của bạn vẫn yêu cầu cấu hình TLS cũ, kết nối sẽ hỏng trừ khi một lớp proxy xử lý khác biệt đó.

Lộ trình bốn bước để thích ứng mật mã

Tại XSIS, với di sản kỹ thuật mật mã của KONG GROUP, chúng tôi đưa doanh nghiệp qua bước chuyển sang mật mã hậu lượng tử mà không đánh đổi thời gian hoạt động của môi trường vận hành thật.

1. Lập bản đồ mọi khóa và chứng chỉ

Bạn không thể chuyển đổi thứ chưa được lập bản đồ. Chúng tôi kết hợp giám sát mạng thụ động, phân tích mã và phát hiện chứng chỉ trên kho mã, API và hạ tầng của bạn. Kết quả là danh mục thành phần mật mã (CBOM): mọi chứng chỉ, độ dài khóa, bộ mật mã và phụ thuộc mật mã.

2. Xếp hạng hệ thống theo rủi ro

Không phải mọi thứ đều phải chuyển cùng lúc. Chúng tôi xếp hạng hệ thống theo thời gian dữ liệu phải giữ bí mật và mức độ phơi bày. Kết nối ngân hàng host-to-host ra bên ngoài, kho danh tính quốc gia và đường liên kết giữa các trung tâm dữ liệu đứng trước dữ liệu đo từ xa nội bộ ngắn hạn.

3. Thêm trao đổi khóa kết hợp

Thay vì chuyển đổi rủi ro vào một ngày duy nhất, chúng tôi triển khai chế độ kết hợp ghép ECDHE cổ điển với ML-KEM hậu lượng tử tại bộ điều khiển ingress, cổng API và lưới dịch vụ. Hệ thống cũ vẫn hoạt động, tuân thủ FIPS hiện có được giữ, và lưu lượng được bảo vệ trước “thu thập ngay, giải mã sau” từ ngày đó.

4. Xây khả năng thích ứng mật mã

Chúng tôi đưa mã hóa và ký trong ứng dụng của bạn ra sau các nhà cung cấp mật mã dùng chung và HSM sẵn sàng hậu lượng tử. Khi thuật toán thay đổi hoặc quy tắc mới xuất hiện, bạn luân chuyển bộ mật mã bằng cách đổi một chính sách, không phải viết lại mã.

Bắt đầu từ đâu

Chuyển đổi sang hậu lượng tử bắt đầu bằng việc biết mình đang có gì. Đặt một buổi đánh giá mức độ sẵn sàng với kiến trúc sư an ninh mạng chính của XSIS để xác định phạm vi kiểm kê không xâm nhập mật mã trong hệ thống ngân hàng, ERP và đám mây của bạn.