Kryptomoderniseringens tidslinje börjar ta form - Semiwiki

Återutgiven av Platon

anhängare: 0

Postkvantkryptering (PQC) kan vara en lägre prioritet för många organisationer, med spöket av kvantbaserad sprickning som verkar långt borta. Statliga myndigheter är fullt medvetna om sprickriskerna och de investeringar som behövs för att mildra dem och är upptagna med att lägga 10-årsplaner för migrering till kvantsäker kryptering. Varför ett så djärvt steg, med tanke på att experter fortfarande inte kan säga exakt när kvanthot kommer att dyka upp? PQShield har släppt sin första del av en e-bok om PQC och kryptomodernisering med undertiteln "Var är din kryptografi?" beskriver hur tidslinjen tar form och gör fallet att företag inom den privata sektorn har mer exponering än de kanske inser och borde börja röra på sig nu.

Tio kryptoår är inte så mycket tid

Folk som överlevde Y2K-scramblen kanske minns att de trodde att det var långt borta och förmodligen inte ett så stort problem som all hype förutsåg. I efterhand slutade det med att det blev en icke-händelse utan nästan inga katastrofala misslyckanden – utan bara för att organisationer tog det på allvar, granskade sina plattformar, leverantörer och utvecklingsinsatser och proaktivt gjorde korrigeringar före deadline.

PQC har några av samma vibbar, med två undantag. Det finns inget fast kalenderdatum för när problemen kommer att börja om de inte mildras. Många av dagens plattformar har kryptoteknologi djupt inbäddad, och det finns inga korrigeringar för kvanthot mot algoritmer med offentliga nyckel förutom PQC omdesign. Det är rättvist att säga att om en organisation inte uttryckligen förstår var plattformar har PQC inbäddad, måste alla plattformar utan det anses vara sårbara. Det är också rättvist att säga att potentialen för bestående skador är hög om ett problem börjar innan en plan är på plats.

Det gör NSA-rådgivningen om Commercial National Security Algorithm Suite 2.0 (CNSA Suite 2.0) anmärkningsvärd. Den släpptes i september 2022 och identifierar en tidslinje för kryptomodernisering för sex klasser av system med målet att ha alla system PQC-aktiverade senast 2033.

CNSA Suite 2.0 tidslinje

Dessa tidigare milstolpar för vissa systemklasser i tidslinjen som börjar 2025, kombinerat med att kräva ny helt anpassad applikationsutveckling för att införliva PQC, förkortar den tioåriga horisonten. PQShield uttrycker det så här i sin e-bok:

"Budskapet för organisationer inom [offentlig och privat sektor] är både tydligt och brådskande: det är dags att börja förbereda migreringen till PQC, och den förberedelsen innebär att utvärdera och prioritera en inventering av system som använder kryptografi, och som är kandidater för migrering. ”

Var ska man börja med kryptomodernisering

Många veteraner som vägledde organisationer genom Y2K har gått i pension – men lämnat efter sig en spelbok som lag kan använda idag för kryptomodernisering. De första stegen innebär en riskbedömning som tittar på internt utvecklade och leverantörslevererade system. Begränsningsstrategier kommer att variera, med vissa överväganden, inklusive hur känslig informationen som ett system hanterar är, hur länge den informationen eventuellt lever och om systemet är offentligt.

Översikt över PQC-bedömning

PQShield gör två viktiga poäng här. För det första kanske det inte är möjligt, särskilt för system som tillhandahålls av leverantörer, att göra en omedelbar ersättning. Systemersättningar i företagsklass kräver noggrann styrning för att inte störa verksamheten. Den goda nyheten är för de flesta kommersiella applikationer och systemleverantörer, PQC kommer inte att vara ett överraskningskrav.

Den andra punkten är att hybridlösningar kan överlappa med både PQC och pre-quantum legacy kryptokörning, med en inneslutningsstrategi för de äldre systemen. Denna överlappning kan vara fallet för infrastruktur, där investeringen kommer att vara företagsomfattande, och prioriteringen kan vara att skydda offentliga plattformar med PQC först.

Övergår till en branschspecifik diskussion för PQC

Efter att ha diskuterat infrastrukturproblem i detalj, ägnar PQShield ungefär hälften av denna e-bok till branschspecifika överväganden för PQC. De beskriver tio branscher – hälsovård, läkemedel, finansiella tjänster, regleringsteknik, tillverkning, försvar, detaljhandel, telekommunikation, logistik och media – och lyfter fram områden som behöver särskild uppmärksamhet. Bredden av de diskuterade områdena visar hur många system vi idag tar för givna som använder kryptografi och kommer att bli sårbara snart.

Kryptomodernisering är ett komplext ämne, vilket förstärks av förekomsten av kryptofunktioner i många system som tillhandahålls av leverantörer som organisationer inte direkt kontrollerar. Medvetenhet om tidslinjer på plats, tillsammans med platser att leta efter sårbarheter, är en meningsfull diskussion.

För att ladda ner en kopia av e-boken, besök PQShields webbplats:

Kryptografimodernisering del 1: Var är din kryptografi?

Dela det här inlägget via: