Ak máte drahocenné šifrované dáta, vaše problémy môžu začať oveľa skôr ako v momente, keď kvantové počítače dosiahnu plnú silu.
Útočníci už teraz môžu a pravdepodobne aj zachytávajú a ukladajú - alebo skôr “odkladajú”, šifrovanú komunikáciu akou sú e-maily, API komunikácia, prenosy medzi systémami či rôzne dáta v cloude. Dnes sú pre nich vďaka súčasný šifrovacím štandardom prakticky nečitateľné. Oni ale už teraz počítajú s tým, že sa to môže zmeniť. Kybernetická bezpečnosť pomenúva tento typ stratégie ako „harvest now, decrypt later“.
Predstava, že hlavným problémom bude schopnosť kvantových počítačov jednoducho „rozbiť šifrovanie“ nie je podľa Pavla Draxlera z firmy Binary Confidence úplne na mieste. “Moderné symetrické šifrovanie, ktoré sa používa na kódovanie dát privátnym kľúčom je odolné aj voči kvantovým útokom. Pri súčasných počítačoch sveta by ste na prelomenie hrubou silou potrebovali trilióny rokov. Pri kvantových budú stačiť už “iba” miliardy. Použiteľné, že?”
Achillova päta šifrovania
Problém začína pri digitálnej komunikácii a jej asymetrickom šifrovaní. Ide o mechanizmy, ktoré umožňujú bezpečnú výmenu verejného šifrovacieho kľúča medzi dvoma stranami. Práve tu vstupuje do hry kvantová hrozba. Tieto mechanizmy, založené napríklad na faktorizácii veľkých čísel ako RSA alebo eliptických krivkách, v skratke ECC, sú dnes považované za bezpečné.
V prípade 2048-bit RSA kľúča by trvalo prelomenie trilióny rokov. Dostatočne silný kvantový počítač, použitý na špecifickú úlohu dekrypcie by to zvládol za dni, podľa niektorých odhadov aj za hodiny či sekundy. Dnes nemožné, v horizonte pár rokov však potenciálne relatívne ľahko zvládnuteľné.
Útočník dnes potrebuje iba zachytiť výmenu kľúčov. V budúcnosti si bude môcť pomocou kvantového počítača spätne odvodiť privátne kľúče a následne dešifrovať historickú komunikáciu.
Prečo práve váš biznis?
Ak si práve vravíte, že nepotrebujete chrániť firemné dáta, ktoré by boli citlivé o desať rokov, mýlite sa. Zmluvy, finančné dáta, obchodné stratégie, technologické know-how, osobné údaje zákazníkov majú dlhú životnosť. Finančné záznamy často zostávajú dôverné a hodnotné celé desaťročia, čím výrazne presahujú toto obdobie.
Aj keď sa dnes môže zdať, že vaše dáta nemajú vysokú hodnotu, v budúcnosti ju môžu rýchlo získať. Dnes zakódované a uložené dáta môžu po dešifrovaní odhaliť prevádzkové tajomstvá len prostredníctvom metaanalýzy a vytvoriť základ na vydieranie, podvod a iné taktiky kyberzločincov.
Zabezpečenie IT infraštruktúry vo vašej vlastnej firme rieši riziká len do istej miery. Jeho pomerne veľká časť leží u poskytovateľov služieb, ktorých používate. “Cloudové platformy, SaaS aplikácie, komunikačné nástroje či dodávatelia IT riešení používajú kryptografiu, ktorú si vy sami nekontrolujete. Jedna z otázok, ktoré si treba položiť teda nie je len „ako šifrujeme my“, ale najmä „ako šifrujú naši dodávatelia,“” vysvetľuje Pavol Draxler.
Päť dôležitých otázok
Téma postkvantovej kryptografie nie je v žiadnom prípade vysoko technickou. Naopak, ide o vážnu otázku riadenia rizika. Na mieste je klásť si tie správne otázky: Kto je vo vašej organizácii zodpovedný za kryptografickú stratégiu? Viete identifikovať, ktoré dáta musia zostať dôverné aj po roku 2030? Máte dodávateľov, ktorí vás na nové kryptografické štandardy prevedú bez zásadných zásahov? Viete aké mechanizmy používate, a viete, čo ich nahradí? Chcete nasadzovať postkvantové riešenia skôr, než budú drahou a kapacitne limitovanou službou?
Pripravení pripraviť sa?
Postkvantové kryptografické algoritmy už dnes existujú a postupne sa dostávajú do praxe. Niektoré moderné komunikačné nástroje a technologické platformy ich začínajú implementovať aj samé od seba a pripravujú sa na to, čo môže priniesť budúca dekáda.
Už pár rokov tu máme k dispozícii postkvantové štandardy ako ML-KEM, ML-DSA a SLH-DSA, SPHINCS+. “Dôležitá bude najmä vaša krypto-agilita. Teda schopnosť vašich systémov „prepínať“ kryptografiu podľa potreby,” upozorňuje Pavol Draxler z Binary Confidence. Práve táto flexibilita bude v nasledujúcich rokoch rozhodovať o tom, kto zvládne prechod do postkvantovej éry bez chaosu a kto bude riešiť nákladné a riskantné zásahy do infraštruktúry.
Európska únia odporúča už teraz inventarizovať používanú kryptografiu, vyhodnotiť riziká a pripraviť migračný plán. Kompletný prechod na postkvantové algoritmy vrátane dodávateľského reťazca sa predpokladá približne do roku 2035. Pre firmy sa stávajú pre súlad s legislatívou nevyhnutnosťou, nie len technologickou voľbou. Ak by ste zajtra potrebovali vymeniť kryptografický algoritmus, dokážete to rýchlo a kontrolovane? V postkvantovej dobe to už nebude hypotetický scenár, ale reálna konkurenčná výhoda.