IBM ha lanzado herramientas para la transición a la criptografía postcuántica

IBM ha presentado el conjunto de herramientas Quantum Safe, que prepara los sistemas corporativos para las amenazas provenientes de las computadoras cuánticas. Esta solución ayuda a identificar algoritmos criptográficos vulnerables, evaluar los riesgos y organizar la transición a nuevos estándares de protección de datos.

Los representantes de la empresa explicaron el lanzamiento de estas herramientas debido al endurecimiento de los requisitos reguladores: en varios países, las organizaciones deben adoptar la criptografía postcuántica para el año 2030.

IBM ha unido tres herramientas que se encargan de diferentes etapas de la modernización de la infraestructura:

• Quantum Safe Explorer analiza el código fuente, identifica los algoritmos criptográficos utilizados, las posibles vulnerabilidades y errores en su implementación, y genera una lista de componentes criptográficos.
• Quantum Safe Cryptography Manager detecta los medios de cifrado presentes en los sistemas corporativos, evalúa los riesgos asociados y ayuda a planificar su reemplazo.
• Quantum Safe Proxy permite que las aplicaciones obsoletas interactúen con sistemas que soportan la criptografía postcuántica.

Этот комплекс также позволяет планировать замену уязвимых компонентов, отслеживать ход работ и контролировать соблюдение требований безопасности.

В IBM подчеркнули, что замена алгоритмов — это лишь часть процесса перехода на более безопасные технологии. Устаревшие криптографические механизмы необходимо искать среди множества приложений, серверов и программных зависимостей, а их замену необходимо согласовывать между различными системами и поставщиками.

В качестве примера компания привела результаты проверки собственной инфраструктуры. С помощью инструмента Quantum Safe Explorer IBM проанализировала около 47,6 миллионов строк кода в 5815 репозиториях и обнаружила 3943 проблемы, которые необходимо устранить для защиты от квантовых угроз.

Проверка охватила более 440 000 файлов, написанных на языках программирования Java, Python и Go. Инструмент был интегрирован в систему непрерывной интеграции и развертывания (CI/CD), чтобы проверять код при каждой его модификации.

Национальный институт стандартов и технологий США (NIST) определил последовательность шагов перехода на постквантовые криптографические технологии.

В день объявления IBM Национальный институт стандартов и технологий США (NIST) опубликовал окончательную версию документа IR 8547, в котором описан технический порядок перехода на постквантовую криптографию.

Документ предусматривает постепенную замену уязвимых алгоритмов установления ключей и цифровых подписей на более надежные механизмы, устойчивые к квантовым атакам.

Основной срок для завершения перехода федеральных систем США на постквантовые технологии — 2035 год. Однако для самых важных государственных систем президентский указ №14412 ускорил этот процесс: обмен ключами необходимо выполнить до конца 2030 года, а цифровые подписи — до конца 2031 года.

NIST учел эти сроки и определил последовательность, в которой должны быть заменены стандарты.

Эти требования касаются в первую очередь федеральных ведомств, но могут затронуть также подрядчиков и поставщиков технологий, работающих с правительством Соединенных Штатов.

Первые три стандарта по постквантовой криптографии NIST были утверждены еще в августе 2024 года. Два из них основаны на алгоритмах, в разработке которых участвовали исследователи IBM.

Новые криптографические методы должны быть устойчивы к атакам довольно мощных квантовых компьютеров. Теоретически такие компьютеры смогут взламывать распространенные сегодня системы с открытым ключом, включая RSA и криптографию на эллиптических кривых.

Особый риск представляет собой сценарий, при котором данные шифруются сейчас, а расшифровка производится позже: злоумышленники могут сохранять зашифрованные данные, чтобы прочитать их, когда появятся необходимые вычислительные ресурсы.

Напомним, в октябре аудиторы США выявили недостатки в подготовке федеральных ведомств к квантовым угрозам. Ни одно из 24 крупнейших агентств не выполнило полностью трех ключевых мер: инвентаризацию уязвимых систем, оценку затрат на переход на новые технологии и тестирование новых алгоритмов.