Kvantna računala još nisu sposobna razbiti kriptografiju na kojoj počiva velik dio današnjeg digitalnog svijeta, ali pripreme za taj trenutak više ne bi trebalo odgađati. O tome što razvoj kvantnih računala znači za današnje sigurnosne sustave i koliko se kompanije već sada trebaju pripremati razgovarali su Ema Puljak i Ivan Krnić iz CROZ-a na panelu o kvantnom računarstvu i postkvantnoj sigurnosti na konferenciji Innovate Split, koji je moderirao Antonio Perić-Mažar, CEO Locastica.
Ema Puljak upozorila je kako su se procjene resursa potrebnih za razbijanje današnje kriptografije posljednjih godina dramatično smanjile. Ovog su proljeća različiti istraživački timovi objavili procjene prema kojima bi za takve zadatke jednog dana moglo biti potrebno od desetaka tisuća do nekoliko stotina tisuća kubita, ovisno o tehnologiji na kojoj se kvantno računalo temelji.
No upozorila je i na pretjerivanje koje često prati temu kvantnih računala.
„Nitko od njih taj stroj još nije izgradio, to su sve arhitekturne procjene, ne najave hardvera, i tko vam kaže da je Q-Day sljedeći tjedan nešto vam prodaje. Ali smjer je jednosmjeran“, istaknula je Puljak.
Ključni problem za kompanije nije samo kada će dovoljno snažna kvantna računala stići, nego koliko će dugo trajati prilagodba postojećih sustava.
„Kvantna prijetnja je stvarna i njome se moramo početi baviti već danas. Ne zato što će se dovoljno efikasna kvantna računala pojaviti već sutra, već zato što su promjene koje će organizacije morati napraviti toliko opsežne da tipično rezultiraju višegodišnjim projektima“, upozorio je Ivan Krnić iz CROZ-a.
Poseban rizik predstavlja praksa poznata kao „harvest now, decrypt later“: napadači već danas mogu prikupljati i pohranjivati kriptirane podatke s namjerom da ih dešifriraju kada tehnologija to omogući. To je osobito važno za povjerljive podatke koji moraju ostati zaštićeni deset ili više godina.
Krnić zato ističe važnost kriptoagilnosti, odnosno sposobnosti organizacije da brzo mijenja kriptografske algoritme i ključeve bez novih skupih i dugotrajnih projekata.
Prvi korak pritom ne zahtijeva kvantno računalo, nego dobru inventuru.
Organizacije bi trebale popisati algoritme, ključeve, certifikate i programske biblioteke koje koriste kako bi uopće znale što će jednoga dana trebati zamijeniti. „Kao i kod svake inventure, organizacije se u pravilu iznenade kad otkriju što se sve još i gdje koristi“, zaključio je Krnić.
Puljak pritom naglašava da rješenja za postkvantnu zaštitu već postoje te da njihovo uvođenje ne zahtijeva budući kvantni hardver. Panelisti su zaključili da Q-Day možda nije neposredna prijetnja, ali da upravo zbog dugotrajnosti prilagodbe organizacije s pripremama ne bi trebale čekati. Glavna poruka panela stoga nije bila da Q-Day stiže sutra, nego da će organizacije koje ga budu čekale prije početka prilagodbe vjerojatno krenuti prekasno.
