Kvantové počítače zatiaľ nie sú bežnou súčasťou IT infraštruktúry, no pre organizácie už predstavujú tému, ktorú nemožno odkladať na „neskôr“. Ich rozvoj môže v budúcnosti zásadne zmeniť spôsob, akým dnes chránime dáta, komunikáciu a digitálne identity. Najväčšiu pozornosť pritom treba venovať kryptografii založenej na algoritmoch, ktoré sú voči dostatočne výkonným kvantovým počítačom zraniteľné. NIST preto už dnes odporúča organizáciám začať s prechodom na post-kvantovú kryptografiu a identifikovať systémy, v ktorých sa zraniteľné algoritmy používajú.
Dôležité je, že kvantová hrozba nemusí začať až v deň, keď bude existovať dostatočne výkonný kvantový počítač. Útočníci môžu citlivé zašifrované dáta získavať už dnes a pokúsiť sa ich dešifrovať v budúcnosti. Pri informáciách, ktoré majú zostať dôverné desať, pätnásť či viac rokov, preto môže byť rozhodovanie o kryptografii aktuálnym bezpečnostným problémom. Organizácie navyše nemajú pred sebou jednoduchú výmenu jedného algoritmu za druhý – migrácia sa môže dotknúť aplikácií, sietí, certifikátov, PKI, zariadení, cloudových služieb aj dodávateľského reťazca.
Európa už tento prechod začala riešiť koordinovane. Členské štáty EÚ prijali roadmapu pre prechod na post-kvantovú kryptografiu a odporúčanie počíta s postupným začiatkom migrácie, pričom pri kritickej infraštruktúre je pripravenosť ešte naliehavejšia.
Pre vedenie organizácií preto dnes nie je najdôležitejšou otázkou „Kedy príde kvantový počítač?“ Oveľa praktickejšia otázka znie: „Vieme, kde všade v našej organizácii používame kryptografiu a dokážeme ju v prípade potreby zmeniť?“
Práve schopnosť pružne meniť kryptografické mechanizmy – takzvaná crypto-agility – sa stáva jedným z kľúčových princípov budúcej bezpečnostnej architektúry.
1. Kvantová hrozba: prečo sa vás týka už dnes
Nie je potrebné čakať na kvantový počítač, aby vzniklo riziko. Ak organizácia dnes uchováva citlivé dáta zašifrované pomocou kryptografie, ktorú bude možné v budúcnosti prelomiť, útočník ich môže získať už teraz a dešifrovať neskôr.
Ide o scenár známy ako „harvest now, decrypt later“.
A práve preto sa táto téma netýka iba technologických firiem. Týka sa prakticky každej organizácie, ktorá pracuje s informáciami, ktorých dôvernosť má dlhodobú hodnotu.
- Mesto alebo samospráva → osobné údaje občanov, dokumentácia, registre či údaje o kritickej infraštruktúre.
- Štátna inštitúcia → súdne spisy, dôkazové materiály a komunikácia, ktoré môžu mať dlhodobú citlivosť.
- Výrobná firma → výrobné postupy, know-how, technická dokumentácia či údaje o produktoch.
- Nemocnica → zdravotné údaje, ktoré musia zostať dôverné dlhé roky.
- Finančná organizácia → klientské dáta, transakčné informácie a identifikačné údaje.
Čím dlhšie má informácia zostať citlivá, tým skôr by mala byť súčasťou vašej PQC stratégie.
2. Prvý krok nie je nakúpiť novú technológiu. Je vedieť, čo používate
Pri kvantovej pripravenosti je najväčším problémom často neprehľadnosť vlastného IT prostredia.
Organizácia môže používať stovky aplikácií, systémov, zariadení a služieb, pričom pri mnohých nemusí byť na prvý pohľad jasné, akú kryptografiu používajú.
Preto treba začať kryptografickým inventárom.
Jednoduchá otázka znie:
Kde všade v našej organizácii používame kryptografiu a od čoho sme závislí?
Môže ísť napríklad o:
– VPN a vzdialený prístup
– webové služby a TLS certifikáty
– prihlasovanie a digitálne identity
– elektronické podpisy
– databázy a zálohy
– cloudové služby
– priemyselné a IoT zariadenia
– podpisovanie softvéru a aktualizácií
A práve tu sa začína skutočná príprava.
Ak nevieme, kde kryptografiu používame, nevieme ani povedať, čo budeme musieť v budúcnosti migrovať.
3. Crypto-agility: schopnosť zmeniť kryptografiu bez veľkého otrasu
Predstavme si, že o niekoľko rokov bude potrebné vymeniť kryptografický algoritmus používaný v časti vašej infraštruktúry.
Ak odpoveď znie:
„To bude znamenať prerobiť desiatky systémov, aplikácií a integrácií.“
máte problém.
Ak odpoveď znie:
„Algoritmus vieme vymeniť bez zásadného zásahu do fungovania systému.“
ste na dobrej ceste.
To je crypto-agility – schopnosť organizácie pružne reagovať na vývoj kryptografických technológií a meniť používané algoritmy bez rozsiahlej rekonštrukcie IT prostredia.
A netýka sa to iba veľkých technologických spoločností.
Mesto: výmena kryptografie v informačných systémoch a elektronických službách.
Výrobný podnik: zariadenia, priemyselné siete a riadiace systémy s dlhou životnosťou.
Štátne inštitúcie: elektronické dokumenty, podpisy a systémy na výmenu citlivých informácií.
Menšia firma: cloudové služby, VPN, firemná identita a zálohy.
Najlepšia PQC stratégia nie je tá, ktorá dnes uhádne „správny algoritmus“. Je to tá, ktorá umožní algoritmus zajtra jednoducho zmeniť.
4. Čo môže organizácia urobiť už dnes?
Dobrá správa je, že na začatie prípravy nepotrebujete kvantový počítač ani obrovský rozpočet.
Začať môžete pomerne prakticky:
1️⃣ Zmapujte kryptografiu
Zistite, kde používate RSA, ECC a ďalšie kryptografické mechanizmy.
2️⃣ Identifikujte najcitlivejšie dáta
Pýtajte sa, ktoré informácie musia zostať dôverné aj o 10, 15 alebo 20 rokov.
3️⃣ Určte kritické systémy
Nie všetko má rovnakú prioritu. Začnite systémami, ktorých kompromitácia by mala najväčší dopad.
4️⃣ Pýtajte sa dodávateľov
Má váš ERP systém, cloud, VPN, HSM, PKI alebo priemyselná technológia plán pre post-kvantovú kryptografiu?
5️⃣ Myslite na crypto-agility pri nových projektoch
Nový systém by nemal byť navrhnutý tak, aby bol pevne závislý od jedného kryptografického algoritmu.
6️⃣ Začnite testovať
Post-kvantová kryptografia už nie je iba výskumná téma. NIST má štandardizované prvé PQC algoritmy a organizácie môžu začať pripravovať pilotné scenáre.
Nemusíte vyriešiť kvantovú bezpečnosť za jeden rok. Potrebujete však vedieť, čo máte, čo je kritické a aký bude váš postup migrácie.
„Najväčšia chyba by bola pozerať sa na kvantovú bezpečnosť ako na problém, ktorý začne až vtedy, keď bude existovať dostatočne výkonný kvantový počítač. Pre organizácie je oveľa dôležitejšie začať dnes zisťovať, kde používajú kryptografiu, ktoré dáta musia chrániť dlhodobo a či dokážu svoju kryptografiu v budúcnosti jednoducho meniť. Kto si tieto otázky položí dnes, nebude o pár rokov riešiť migráciu v časovej tiesni.“