*Kybernetická bezpečnosť má kapitolu Q. Q ako quantum.

Vypočujte si Report bezpečnosti, 780 slov, číta pre vás AI.

Aj bez toho, aby existoval komerčný kvantový počítač, už útočníci zbierajú šifrované údaje, aby ich dešifrovali neskôr. Už dnes sa rozhoduje, či budú naše údaje, identita a komunikácia bezpečné aj v budúcnosti.

Predstavme si však, že by sa zo dňa na deň zjavil kvantový počítač schopný lámať šifrovacie algoritmy v použiteľnom čase.

Začalo by sa odpočítavanie na Q-Day.

Q-Day je deň, keď

• šifrovanie používané na internete prestane byť bezpečné a naša digitálna identita sa nebude dať s istotou verifikovať

• útočníci budú vedieť spätne dešifrovať dnes zachytené dáta

• digitálna dôvera sa naruší, lebo certifikáty, podpisy, autentifikácia nebudú dôveryhodné

Za 24 hodín by sa vypla naša dôvera v identitu, komunikáciu a digitálne podpisy.

Kedy môže nastať takáto kombinácia, nikto nemôže presne vedieť. Pri súčasnom vývoji kvantových technológií a bez progresu sa takáto hororová konštelácia dá očakávať v rokoch 2035 – 2040.

Q-Domino by vyzeralo takto

➡︎ Ak by došlo k prelomeniu klasickej kryptografie, útočník by dokázal z „dohody o šifrovaní medzi prehliadačom a serverom“ odvodiť privátne kľúče. Následne by mohol dešifrovať komunikáciu alebo realizovať útok typu man-in-the-middle.

Internet ako infraštruktúra by technicky fungoval ďalej, no jeho dôveryhodnosť by sa dramaticky oslabila. Bankovníctvo, e-commerce či cloudové služby by čelili riziku odpočúvania a kompromitácie prihlasovacích údajov.

Z pohľadu informačnej bezpečnosti by bola dôvernosť narušená prakticky okamžite, zatiaľ čo šéf IT by riešil situáciu, v ktorej systémy síce bežia, ale ich bezpečnostné záruky už neplatia.

➡︎ Prelomenie šifrovacích algoritmov RSA alebo ECC by znamenalo, že digitálne certifikáty možno sfalšovať a útočník by vedel vytvoriť „dôveryhodný“ server či podpis. Overovanie identity serverov, používateľov alebo softvéru by prestalo byť spoľahlivé.

Modely zero-trust, systémy na riadenie identít a prístupových práv aj VPN infraštruktúra by stratili svoj kryptografický základ. Digitálna identita, na ktorej stojí moderná IT bezpečnosť, by prestala byť dôveryhodná.

➡︎ Ak by bolo možné falšovať digitálne podpisy, útočník by dokázal podvrhnúť code signing certifikáty, podpisy dokumentov či firmvér aktualizácie. Prestal by existovať spoľahlivý dôkaz autenticity a integrity.

➡︎ Aktualizácia softvéru by sa mohla stať nosičom škodlivého kódu a právna váha elektronických podpisov by sa oslabila. Systémy založené na kryptografických podpisochb vrátane niektorých blockchainových riešení by sa ocitli v riziku.

➡︎ VPN riešenia založené šifrovaných tuneloch s klasickou kryptografiou by bolo možné prelomiť, pričom odvodenie kľúčov by umožnilo dešifrovať internú komunikáciu organizácií. To znamená, že dátové toky medzi pobočkami, dátovými centrami či vzdialenými používateľmi by sa stali čitateľnými.

Okrem straty dôvernosti by vzniklo aj zvýšené riziko laterálneho pohybu útočníka v sieti, keďže kompromitovaná komunikácia uľahčuje ďalšie prieniky.

Mechanizmy ako OAuth, podpisovanie tokenov či certifikátová autentifikácia by sa stali kompromitovateľnými. Útoky by sa presunuli z infraštruktúry priamo na identity používateľov.

➡︎ Dešifrovanie starých záloh, archívov štátnych inštitúcií, zdravotných či finančných záznamov, duševného vlastníctva alebo diplomatickej komunikácie by spôsobilo nepredstaviteľné škody.

Čo by fungovalo aj po dni Q

Symetrická kryptografia by bola stále bezpečná, keďže je založená na substitúciách, permutáciách a viacnásobných kolách transformácií. Zatiaľ neexistuje známy kvantový algoritmus, ktorý by to dramaticky oslabil. Rovnako, internetová infraštruktúra a offline systémy v Q-Day by boli funkčné.

Bez zásadného vplyvu by boli systémy s označením PQC-ready, čiže tie, ktoré boli pripravené. Q-Day nie je blackout. Je to kolaps dôvery, nie techniky.

Veľmi rozhodné kroky

Postkvantová bezpečnosť nie je o tom, či kvantový počítač príde zajtra. Ide o to, že zmena kryptografie trvá roky, upozorňuje analytický tím Alison Slovakia. Kto nezačal včera, má problém. (prelink na odporúčaný plán)

Na kvantovo odolné systémy sa už pripravujú všetky veľké blockchain projekty. Ethereum ohlásilo minulý rok prechod od výskumu k aktívnemu inžinierstvu. Zameriava sa na postkvantové transakcie a testovacie siete pre PQ konsenzus s klientmi.

Spoločnosť Cloudflare ku koncu minulého roka oznámila, že viac než 50 percent ľudských internetových spojení už využíva postkvantové šifrovanie, aby sa ochránili pred „harvest-now, decrypt-later“.

Európska komisia posilňuje kybernetickú stratégiu a ako súčasť nového regulačného balíka NIS2/Cybersecurity Act 2 zavádza požiadavky postkvantovej kryptografie.

Z hľadiska stratégie nie je kvantová komunikácia len technickou alebo kyberbezpečnostnou témou. Vedecké publikácie aj analytické centrá dokumentujú, že čínske siete už operujú na úrovniach, ktoré EÚ a USA momentálne len budujú. Čína výrazne investuje do kvantových komunikačných sietí a vybudovala rozsiahle pozemné trasy a satelitnú komunikáciu. Ten, kto ovláda infraštruktúru, získava výhodu v bezpečnosti, ekonomike aj kybernetickej obrane.

Investorov zaujímajú akcie firiem s portfóliom PQC

PQC (Post-Quantum Cryptography) riešenia sú kryptografické technológie navrhnuté tak, aby odolali aj útokom kvantových počítačov. Ide o nové algoritmy výmeny kľúčov a digitálnych podpisov, ktoré nahrádzajú dnešné RSA a ECC, no fungujú na bežnom hardvéri bez potreby kvantovej infraštruktúry.

Globálna veľkosť PQC trhu v roku 2025 sa odhaduje na 1,68 miliardy USD a predpokladá sa, že v priebehu dekády vzrastie na približne 29,95 miliardy USD.