Регуляторы бьют тревогу из-за квантовой угрозы

На прошлой неделе Счётная палата США и Европол опубликовали доклады, в которых призвали организации ускорить переход на постквантовую криптографию (PQC).

Единого мнения о том, когда появятся вычислители, способные взломать современные криптографические системы (cryptographically relevant quantum computers/CRQC), не существует. Однако с наступлением так называемого Q-day (дня квантовой угрозы) большинство предприятий окажется в большой опасности. В Google предсказали его приход уже в 2029 году.

Американское ведомство сообщило, что уже направило органам власти 89 рекомендаций, касающихся, в частности, составления перечней уязвимых криптографических систем и определения источников финансирования для внедрения PQC. При этом отмечается «неполная реализация этих мер» в связи с ​​отсутствием знаний в области криптографии и планов по её тестированию, а также недостаточным бюджетом.

По другую сторону Атлантики Европол опубликовал два доклада, посвящённых «квантам». В первом из них оценивалась уязвимость зашифрованных каналов связи и хранящихся файлов перед атаками типа «перехвати сейчас — расшифруй потом» (HNDL). Есть предположения, что некоторые государства уже прибегают к подобным методам. Как утверждается, степень уязвимости организации зависит от используемых ею протоколов, настроек конфигурации и механизмов управления ключами.

Во втором исследовании затрагивается тема цифровых активов: «Криптовалюты не рухнут из-за квантовых вычислений, но их долгосрочная безопасность требует активной защиты. Принимая инновации, развивая сотрудничество и уделяя приоритетное внимание поэтапному переходу к устойчивой технологии, криптовалютная экосистема может построить более безопасное и заслуживающее доверия будущее».

В Европоле призвали организации смягчить угрозу HNDL, перейдя на TLS 1.3 и SSH2, отключив устаревшие протоколы и обеспечив прямую секретность как можно скорее. Им также следует выявлять и удалять любые ненужные конфиденциальные данные, чтобы ограничить их долгосрочное хранение. Наконец, предприятиям нужно изучить варианты внедрения PQC по мере их появления (включая гибридные подходы).

Кроме того, правоохранительное ведомство считает, что блокчейн-проекты должны ускорить интеграцию алгоритмов PQC в основные протоколы и делиться ресурсами с компаниями, занимающимися непосредственно хранением ЦФА — чтобы те могли внедрить эти изменения. Последним же было рекомендовано тестировать кошельки с поддержкой PQC, а также информировать пользователей о рисках.

Усам Оздемиров