Organisationer skal snart skifte til kvantesikker kryptering for at løse nye cybersikkerhedstrusler.
Sikkerhedseksperter og forskere forudsiger, at kvantecomputere en dag vil være i stand til at bryde almindeligt anvendte krypteringsmetoder, der gør e-mail, sikker bank-, kryptovalutaer og kommunikationssystemer sårbare over for betydelige cybersikkerhedstrusler. Organisationer, teknologiudbydere og internetstandarder vil derfor snart være forpligtet til at skifte til kvantesikker kryptering. På den baggrund er NATO begyndt at teste kvantesikre løsninger for at undersøge gennemførligheden og funktionaliteten af en sådan teknologi til implementeringer i den virkelige verden, mens National Institute of Standards and Technology (NIST) lancerede en konkurrence om at identificere og standardisere kvantesikre krypteringsalgoritmer.
Væsentlige trusler fra kvantecomputere
De potentielle trusler fra en kvantefremtid er betydelige, forudsat at kvantecomputere når deres anslåede potentiale. “Den primære trussel er at public-key kryptering, som er baseret på visse envejs matematiske funktioner – let at beregne en vej, men meget vanskeligt at løse i den anden retning,” cybersikkerhed ekspert og gæsteprofessor ved University of Surrey’s Institut for Datalogi Alan Woodward fortæller CSO. “Dette er på grund af en algoritme først offentliggjort af Peter Shor. Shors algoritme er siden blevet generaliseret og vist sig at gælde for nogen af de matematiske problemer kendt som de skjulte delmængdeproblemer.”
Andersen Cheng, administrerende direktør for det britiske techfirma Post-Quantum – hvis hybrid-VPN med succes blev brugt af NATO Cyber Security Centre til at teste sikre post-quantum kommunikationsstrømme – er enig og tilføjer, at kvantecomputere er en “megatrussel”, som organisationer og cybersikkerhedsteams skal skifte deres opmærksomhed til. “Det er teoretisk bevist, at efterhånden som kvantecomputere udvikler sig, vil de være i stand til at bryde nutidens krypteringsstandarder (RSA / Elliptic Curve), som beskytter stort set alle data, der flyder over netværk,” siger han til CSO.
Dette udgør en eksistentiel trussel mod digital handel, sikker kommunikation, og fjernadgang, Cheng tilføjer. “Når dagen kommer, at kvantecomputere modnes til det punkt, hvor de er mere magtfulde end klassiske computere (ofte benævnt Y2Q), vil alles data være i fare for tyveri og udnyttelse, potentielt med ufatteligt alvorlige konsekvenser – tænk på at lukke hele elnet og tømme bitcoin tegnebøger. Selv før Y2Q ankommer, det er kendt, at nogle dårlige aktører allerede høster data i dag, så de kan dekryptere det senere, når kvantecomputere har avanceret yderligere.”
Kvantesikker krypteringsnøgle til håndtering af kvantetrusler
Quantum-sikker kryptering er nøglen til at løse de kvantebaserede cybersikkerhedstrusler i fremtiden, og Woodward forudsiger, at en NIST-kandidat i sidste ende vil fremstå som den nye standard, der bruges til at beskytte stort set al kommunikation, der strømmer over internettet, herunder browsere ved hjælp af TLS. “Google har allerede prøvet eksperimenter med dette ved hjælp af en ordning kaldet New Hope i Chrome,” siger han.
Post-Quantum’s egen krypteringsalgoritme, NTS-KEM (nu kendt som Classic McEliece), er den eneste tilbageværende finalist i den kodebaserede NIST konkurrence. “Mange har ventet på, at NIST’s standard skulle dukke op, før de greb ind over for kvantekryptering, men virkeligheden er nu, at dette kunne være tættere, end folk tror, og den seneste indikation er, at det kunne være i den næste måned,” siger Cheng. Meget snart bliver virksomhederne nødt til at begynde at opgradere deres kryptografiske infrastruktur for at integrere disse nye algoritmer, hvilket kan tage over et årti, siger han. “Microsofts Brian LaMacchia, en af de mest respekterede kryptografer i verden, har sammenfattet kortfattet, at kvantemigration vil være en meget større udfordring end tidligere Windows-opdateringer.”
Kom videre i kvantesikker kryptering race
Indtil NIST’s beslutning om, hvilke algoritmer der bliver den nye standard, er der ting, organisationer kan og bør gøre for at komme videre. For Woodward er det et godt udgangspunkt at forstå, hvilke data der har den længste levetid, og om nødvendigt søge råd om, hvordan dette kan være i fare på et senere tidspunkt.
Cheng gentager lignende følelser og tilføjer, at hvis virksomheder kæmper med, hvor de skal starte, bør de fokusere på identitet. “Du kan sikre al din kryptering, men hvis nogen kan få adgang til dit identitetssystem, så er det ligegyldigt, hvad du ellers gør. Jeres systemer vil tro, at de er den rigtige person, så de kan få ‘legitim’ adgang til dine systemer og infrastruktur.”
Cheng anbefaler at oprette Y2Q migration som et skræddersyet projekt og give det den ildkraft, det har brug for, da migrere til en post-kvanteverden som ethvert stort it-program har brug for et dedikeret team og ressourcer for at sikre succes og en glidende overgang. Dette team bliver nødt til at gøre status over, hvor kryptografi er indsat i dag på tværs af organisationen og kortlægge en migration sti, der prioriterer høj værdi aktiver, samtidig med at identificere eventuelle forventede konsekvenser på operationelle systemer, siger han. “Man bliver også nødt til at sikre, at man har færdighederne om bord til at udføre kvantemigrationen.”
Derfra bør virksomheder vedtage en “krypto-agil” tilgang, når de tænker på enhver infrastrukturoverhaling. “At praktisere kryptofleksibilitet betyder, at organisationer bruger løsninger, der holder den gennemprøvede klassiske kryptografi, vi bruger i dag sammen med en eller flere post-kvantealgoritmer, hvilket giver større sikkerhed mod både traditionelle angreb og fremtidige trusler,” siger Cheng.
Kilde: CSOonline
