i computer quantistici POTREBBEro PRESTO MINACCIARE LE ATTUALI TECNOLOGIE DI CRITTOGRAFIA
Ecco cosa c’è da sapere
Le minacce alle attuali tecniche di crittografia sono all’orizzonte. Il National Institute of Standards (NIST) prevede che entro i prossimi anni, la più credibile di queste tecnologie, computer quantistici sufficientemente capaci, diventerà una minaccia praticabile. La preoccupazione è che questi sistemi saranno costruiti per rompere essenzialmente tutti gli schemi di crittografia asimmetrica in uso, rendendo effettivamente inutile la crittografia dell’infrastruttura a chiave pubblica (PKI).
Mentre i computer quantistici che “temiamo” potrebbero essere ancora lontani diversi anni, i recenti progressi tecnologici hanno potenzialmente accelerato gli eventi. I progressi includono anche l’affermazione che i ricercatori hanno raggiunto la “supremazia quantistica”: quella per la quale un computer quantistico può eseguire un calcolo anche ben oltre le capacità dei supercomputer classici attualmente più potenti.
La minaccia quantistica e’ reale?
Sono stati sviluppati algoritmi di calcolo quantistico che rappresentano una minaccia per la crittografia a chiave pubblica o algoritmi di crittografia asimmetrica. Un aspetto importante è che si ritiene che gli algoritmi di crittografia simmetrica, come l’Advanced Encryption Standard (AES), siano più resistenti agli algoritmi di calcolo quantistico e che non si abbia ancora notizia che un algoritmo di calcolo quantistico sia riuscito a forzare queste tecnologie di crittografia.
Ciò significa anche però che i protocolli che utilizzano algoritmi asimmetrici sono vulnerabili in qualsiasi momento. Questo è il motivo per cui una pubblica amministrazione potrebbe catturare tutto il traffico TLS (Transport Layer Security) nella speranza di poter un giorno decrittografare i dati. Questo sarebbe probabilmente troppo costoso per i criminali informatici, però: attualmente, i costi di una violazione di questo tipo superano i benefici.
Se il mondo scientifico è molto più vicino alla costruzione di un computer quantistico perfettamente performante, gli specialisti della sicurezza informatica potrebbero dover iniziare a ripensare la crittografia in un mondo informatico post-quantistico. Questo è l’obiettivo del processo avviato dal NIST per sollecitare, valutare e standardizzare uno o più algoritmi crittografici a chiave pubblica resistenti al quantum.
Crittografia post-quantistica: i prossimi standard
Preparandosi allo scenario peggiore, anche con l’improbabilità che diventi un problema a breve termine, il NIST riconosce l’importanza della crittografia post-quantistica (PQC), affermando: “Storicamente, ci sono voluti quasi due decenni per implementare la nostra moderna infrastruttura di crittografia a chiave pubblica. Pertanto, indipendentemente dal fatto che possiamo stimare l’ora esatta dell’arrivo dell’era dell’informatica quantistica, dobbiamo iniziare ora a preparare i nostri sistemi di sicurezza delle informazioni per essere in grado di resistere al calcolo quantistico “.
A tal fine, il NIST ha richiesto la presentazione degli standard PQC e ha collaborato con i leader del settore per elaborare una metodologia per affrontare le minacce future poste dagli attacchi basati sul calcolo quantistico. Questo processo è recentemente entrato nel terzo round, dove gli algoritmi PQC proposti saranno ulteriormente valutati per la loro resilienza nei confronti dei computer quantistici. I finalisti del terzo round potrebbero benissimo gettare le basi per quello che diventerà un insieme di standard per PQC e ridefinire il modo in cui vengono implementate PKI, firme digitali e altre tecniche di crittografia.
Mantenere la sicurezza attuale guardando avanti
Sebbene siano in fase di elaborazione nuovi standard NIST, le aziende possono già prepararsi per quando la necessità di questi standard diventerà una realtà. Potenzialmente, le minacce sono imminenti e i criminali informatici potrebbero già accumulare dati crittografati nella speranza di utilizzare computer quantistici per penetrare in quei dati.
Gli esperti di numerose società di sicurezza digitale, come DigiCert, Gemalto, Ultimaco e molte altre, offrono informazioni e consigli su come prepararsi per un mondo post-quantistico. Mentre la maggior parte punta ai propri servizi o prodotti, tutti concordano sulla necessita’ di alcuni comportamenti per prepararsi al meglio ad un mondo post-quantistico:
- Migliora l’agilità crittografica
Crypto-agility, come suggerisce il nome, è il processo di identificazione e gestione degli algoritmi crittografici. Praticamente qualsiasi organizzazione connessa utilizza un qualche tipo di crittografia e, se utilizza un ambiente sicuro, è coinvolto un qualche tipo di crittografia. Le organizzazioni devono identificare ogni elemento, come server, protocolli, librerie, algoritmi e certificati che utilizzano la crittografia, e quindi essere in grado di gestirli. La chiave qui è essere in grado di gestire il ciclo di vita delle tecnologie crittografiche. Le organizzazioni possono rivolgersi a una piattaforma di gestione dei certificati per ottenere gran parte di ciò. È inoltre fondamentale creare un piano su come identificare e risolvere i problemi di crittografia, come certificati scaduti o algoritmi deboli. Una volta identificate tutte le risorse crittografiche, le organizzazioni dovranno collaborare con i loro fornitori di terze parti per determinare in che modo tali fornitori pianificano di proteggersi dalle minacce quantistiche.
- Cataloga tutti i moduli di sicurezza hardware (HSM)
Molte organizzazioni utilizzano gli HSM per salvaguardare e gestire le chiavi digitali. Gli HSM eseguono anche funzioni di crittografia e decrittografia per firme digitali, autenticazione avanzata e altre funzioni crittografiche. La maggior parte dei file import
Inoltre, gli HSM si trovano spesso nei sistemi di pagamento con carta o nei sistemi di accesso con smart card e stanno diventando onnipresenti in molte organizzazioni. È fondamentale identificare tutti gli HSM, capire come vengono utilizzati e determinare se gli HSM possono essere aggiornati per supportare la successiva serie di minacce alla crittografia. Ciò richiederà di contattare i fornitori di HSM e verificare se esiste un percorso di aggiornamento o sostituzione.
- Mantieniti aggiornato in tema distribuzioni TLS
Questi sono i punti più vulnerabili nel mondo della crittografia post-quantistica. Le migliori pratiche ti manterranno all’avanguardia degli aggiornamenti di sicurezza e crittografia. Quando qualcuno costruisce un computer quantistico praticabile, dovremo tutti aggiornare le nostre librerie TLS.
- Predisponi un piano – e testalo: l’identificazione degli aspetti soggetti a una minaccia quantistica è solo l’inizio di un piano
Le organizzazioni dovranno anche definire cosa fare se si incontra una potenziale minaccia, che è già una best practice nel campo della sicurezza informatica. La chiave qui è identificare gli elementi critici e costruire un piano che affronti questi elementi. Il piano dovrebbe anche essere testato frequentemente. Ad esempio, se un’organizzazione viene informata di una compromissione del certificato, potrebbe voler essere immediatamente pronta a distribuire un certificato sostitutivo e l’unico modo per essere completamente pronti è aver testato tale scenario in primo luogo. Molte organizzazioni creano sandbox o costruiscono sistemi di test non di produzione allo scopo di convalidare le modifiche prima di applicarle a una rete di produzione.
Le tecnologie informatiche di nuova generazione e l’informatica quantistica rappresentano minacce per le attuali tecnologie di crittografia in atto. Tuttavia, la minaccia più minacciosa potrebbe non materializzarsi per un po ‘di tempo, con alcuni esperti che suggeriscono che un computer quantistico completamente funzionante potrebbe essere ancora lontano decenni, mentre altri affermano che il calcolo quantistico diventerà fattibile in pochi anni. In ogni caso, non c’è nulla di male nella preparazione per la prossima generazione di minacce hardware ora invece che in seguito. Dopotutto, migliorare la propria agilità crittografica offre oggi vantaggi reali e aiuta a mitigare gli attuali vettori di attacco alla sicurezza informatica, aiutando le organizzazioni a essere più preparate anche per altre minacce.
Maker Faire Rome – The European Edition si impegna da ben otto edizioni a rendere l’innovazione accessibile e fruibile con l’obiettivo di non lasciare indietro nessuno offrendo contenuti e informazioni in un blog sempre aggiornato e ricco di opportunità per curiosi, maker, startup e aziende che vogliono arricchire le proprie conoscenze ed espandere il proprio business, in Italia e all’estero.
Seguici, iscriviti alla nostra newsletter: ti forniremo solo le informazioni giuste per approfondire i temi di tuo interesse.
