گارتنر: تهدید کوانتومی در حال حاضر عقب مانده است

برای سال‌ها، محاسبات کوانتومی در مکان عجیبی در مکالمه‌های امنیت سایبری زندگی می‌کرد: به اندازه‌ای مهم برای نگرانی، اما به اندازه‌ای دور بود که بتوان آن را برای یک روز دیگر ترک کرد. وقتی از CISO پرسیدیم چه چیزی آنها را در شب بیدار نگه می دارد، محاسبات کوانتومی به ندرت در بین پنج نفر برتر قرار می گیرد. هنوز هم به نظر می رسد دور، نظری، مشکل شخص دیگری برای 2030-چیزی است.

آن محاسبات شروع به اشتباه به نظر می رسد.

گارتنر پیش بینی می کند که تا سال 2030، پیشرفت در محاسبات کوانتومی، استفاده از رمزنگاری نامتقارن معمولی را ناامن خواهد کرد. چهار سال دوری به نظر می رسد اتاق تنفس است. این نیست. جایگزینی رمزنگاری تعبیه شده در یک مجموعه فناوری مدرن یک چرخه وصله نیست. این یک تحول چند ساله است که برنامه‌ها، زیرساخت‌ها، سیستم‌های هویتی، تامین‌کنندگان و توسعه‌دهندگان را به یکباره لمس می‌کند.

ساعت در حال اجرا است. بیشتر سازمان‌ها متوجه شروع آن نشده‌اند یا از زمان کمی که واقعا دارند قدردانی نمی‌کنند.

این هرگز واقعا یک سؤال فناوری نبود

نوآوری کوانتومی با انتشار نقشه‌های راه یا پیشرفت‌هایی در زمینه تصحیح خطا و ثبات کیوبیت توسط IBM، آمازون و گوگل همگام است. روی هم رفته، آنها داستانی ثابت را روایت می‌کنند: جدول زمانی یک کامپیوتر کوانتومی مرتبط با رمزنگاری در حال کوچک شدن است، نه طولانی‌تر.

اما برای یک شرکت متوسط، این مفیدترین سوالی نیست که در حال حاضر بپرسیم. سوال مفیدتر بسیار ناراحت کننده تر است: ما واقعا چقدر رمزنگاری داریم، آیا می دانیم کجا زندگی می کند، و اگر مجبور بودیم آن را تغییر دهیم؟

رمزنگاری دسته بندی محصولی نیست که بتوانید به آن اشاره کنید. این در همه چیز بافته شده است، در نرم افزار فروشنده دفن شده است، در دست دادن های امنیت لایه حمل و نقل (TLS) تعبیه شده است، و بی سر و صدا کار درون سیستم های مدیریت هویت و دسترسی را انجام می دهد که هیچ کس به آن فکر نمی کند. تحقیقات گارتنر تعدادی را در نقطه کور قرار می دهد: 61٪ از سازمان ها فاقد دید کامل به سیستم های رمزنگاری خود هستند.

CIOها و رهبران فناوری اطلاعات نمی توانند از خطری که نمی توانند ببینند مهاجرت کنند. این آمار واحد مسلما نگرانی واقعی نسبت به خود پیشرفت کوانتومی است.

حمله از قبل شروع شده است

در اینجا بخش نگران کننده است. برای اینکه تهدید امروز زنده باشد، امروز به یک کامپیوتر کوانتومی کار نیاز ندارید. دشمنان، به‌ویژه بازیگران دولتی با منابع خوب، قبلا درگیر چیزی هستند که صنعت آن را «اکنون برداشت، بعدا رمزگشایی» می‌نامد: جمع‌آوری داده‌های رمزگذاری‌شده در حال حاضر، نشستن روی آن‌ها و انتظار برای روزی که رمزگشایی بی‌اهمیت شود.

برای هر چیزی با ماندگاری طولانی مانند سوابق دولتی، پرونده های پزشکی، IP، قراردادهای قانونی، اسناد هویتی، پیشرفت پنج ساله هنوز یک مشکل امروزی است، زیرا سرقت در حال حاضر اتفاق می افتد.

امروزه رمزگذاری ایمن به معنای ایمن بودن برای کل عمر مفید داده ها نیست. این جمله ای است که هر رهبر ارشد امنیت اطلاعات باید استراتژی فعلی خود را در برابر آن آزمایش کند.

Crypto-agility جایزه واقعی است

وسوسه ای برای CIOها و رهبران فناوری اطلاعات وجود دارد که رمزنگاری پس کوانتومی را به عنوان یک مبادله در نظر بگیرند: یک الگوریتم قدیمی را پاره کنید، یک الگوریتم مقاوم در برابر کوانتومی را رها کنید، انجام شد. اینطوری کار نمی کند. الگوریتم های جدید جایگزین کشویی نیستند.

اندازه‌های کلیدی بزرگ‌تر، حافظه را در سیستم‌های قدیمی‌تر تحت فشار قرار می‌دهند، عملیات امضا با سرعت‌های مختلف اجرا می‌شود، و مفروضات عملکردی که در برنامه‌های قدیمی ساخته شده‌اند، بی‌صدا شکسته می‌شوند. علاوه بر این، استانداردهای اضافی هنوز در حال توسعه هستند به این معنی که جایگزینی امروز ممکن است بدهی رمزنگاری فردا باشد.

به همین دلیل است که قابلیتی که در واقع مهم است هیچ الگوریتم خاصی نیست. این چابکی رمزنگاری است - توانایی تغییر سریع الگوریتم‌ها، کلیدها و پروتکل‌های رمزنگاری، بدون مهندسی مجدد کسب‌وکار پیرامون آنها. و سازمان‌ها شروع به تمرکز بر ساخت آن، در کنار نمونه‌سازی یا ارزیابی کامل الگوریتم‌های پس کوانتومی کرده‌اند.

چابکی رمزنگاری را به درستی بسازید و فقط برای کوانتوم آماده نمی شوید. شما دارید چیز قدیمی‌تری را اصلاح می‌کنید: بدهی فنی رمزنگاری که می‌تواند باعث درد در ضعف بعدی الگوریتم بزرگ‌تر شود، صرف نظر از اینکه چه چیزی باعث آن شده است. کوانتومی آخرین مهلت است. بدهی فنی بیماری است.

علاوه بر این، رمزنگاری ترکیبی که مکانیسم‌های کلاسیک و پس کوانتومی را در طول انتقال ترکیب می‌کند، مقداری اتاق تنفس می‌خرد. با آن به عنوان داربست رفتار کنید، نه یک مقصد. روش های کلاسیک عمر مفیدی دارند که در سال های تک رقمی اندازه گیری می شود.

چرا در حال حاضر، زمانی که هیچ کس نمی تواند تاریخ دقیق را پیش بینی کند

یک غریزه قابل درک برای انتظار برای اطمینان وجود دارد، تا ببینید دقیقا چه زمانی یک کامپیوتر کوانتومی مرتبط با رمزنگاری قبل از تخصیص بودجه وارد می‌شود. این غریزه استراتژی اشتباهی برای تحول است که در سال ها اندازه گیری می شود، نه دوی سرعت.

سازمان ها نیازی به دانستن تاریخ ندارند. آنها باید از هم اکنون دید و انعطاف پذیری ایجاد کنند تا بتوانند در صورت لزوم اقدام کنند. اولین قدم غیر جذاب: یک موجودی بسازید. دارایی را اسکن کنید، هر مؤلفه رمزنگاری را فهرست کنید، یافته ها را در هر داشبورد فنی بدهی که مورد توجه اجرایی است قرار دهید. این الگوریتم‌های منقضی شده، نسخه‌های قدیمی TLS و وابستگی‌های فروشنده را نشان می‌دهد - و به جای حدس و گمان، مبنایی واقعی به مهاجرت می‌دهد.

سپس اولویت بندی کنید. یک پایگاه داده بازاریابی که در هجده ماه گذشته از بین می‌رود، دارای ریسک بسیار متفاوتی برای یک قرارداد دولتی ده ساله یا اعتبار هویتی است که قرار است یک نسل دوام بیاورد. بپرسید کدام اطلاعات پس از سال 2030 همچنان نیاز به محافظت دارند. این لیست به بالای صفحه می رود. سپس بپرسید کدام موارد استفاده می تواند کسب و کار را غیرفعال کند و در مرحله بعد با آن ها مقابله کنید.

این را نمی توان به تیم امنیتی تحویل داد

یک اشتباه این است که مهاجرت پس از کوانتومی را به عنوان یک پروژه امنیتی با مالک امنیت در نظر می گیریم. این نیست. توسعه دهندگان باید بدانند که چگونه تغییرات الگوریتم بر عملکرد برنامه تاثیر می گذارد. تیم های ابری و شبکه تغییرات پروتکل را به ارث می برند. تیم‌های هویت وابستگی‌های احراز هویت را دارند.

تدارکات نیاز به بازجویی از فروشندگان در جدول زمانی خود دارد، زیرا بخش عظیمی از رمزنگاری سازمانی به همراه نرم‌افزار شخص ثالثی وارد می‌شود که کسی مستقیما آن را کنترل نمی‌کند.

به همین ترتیب، پایین آوردن این موضوع به صاحبان سیستم های فردی بدون هماهنگی مرکزی، یک راه تضمین شده برای شکست است، که منجر به تصمیمات متناقض، عدم تصویری از پیشرفت در سطح سازمان، و شکاف هایی دقیقا جایی است که مهاجمان ابتدا نگاه می کنند.

یک مرکز تعالی رمزنگاری متقابل، که فناوری اطلاعات، توسعه و امنیت داده‌ها را زیر یک سقف می‌کشد، تئاتر حاکمیتی نیست. این چیزی است که از تکه تکه شدن پاسخ به یک تکه تکه جلوگیری می کند.

سوال اصلی اصلا در مورد کوانتوم نیست

کلمات اختصاری را حذف کنید و دیگر داستانی در مورد کیوبیت نیست. این به آزمونی تبدیل می‌شود که نشان می‌دهد معماری یک سازمان چقدر انعطاف‌پذیر است، آیا می‌داند رمزنگاری آن کجاست، می‌داند کدام داده‌ها به حفاظت طولانی‌مدت نیاز دارند و می‌تواند مکانیسم‌های رمزنگاری را بدون بازسازی از ابتدا تغییر دهد.

سازمان هایی که بیشتر در معرض دید قرار می گیرند، آنهایی نیستند که ضعیف ترین الگوریتم ها را دارند. آنها کسانی هستند که هنوز کوانتوم را به عنوان یک داستان فناوری دور در نظر می گیرند نه یک مشکل انعطاف پذیری که بر روی کتاب های امروزی نشسته است. تا زمانی که تهدید برای همه آشکار شود، بخش سخت - از بین بردن سال‌ها وابستگی‌های رمزنگاری - از برنامه عقب خواهد ماند.

دوران کوانتومی هنوز نزدیک است. تلاش مهاجرت نیست.

ما بهترین نرم افزار حفاظت نقطه پایانی را معرفی کرده ایم.

این مقاله به عنوان بخشی از TechRadar Pro Perspectives، کانال ما برای معرفی بهترین و باهوش ترین ذهن ها در صنعت فناوری امروز تهیه شده است.

نظرات بیان شده در اینجا نظرات نویسنده است و لزوما نظرات TechRadarPro یا Future plc نیست. اگر مایل به مشارکت هستید، اطلاعات بیشتری را در اینجا بیابید: https://www.techradar.com/pro/perspectives-how-to-submit