Έρευνα της Axiad αποκαλύπτει σημαντικά κενά σε ownership, testing και ορατότητα των κρυπτογραφικών υποδομών
Οι επιχειρήσεις εμφανίζονται σε μεγάλο βαθμό αισιόδοξες ως προς την ετοιμότητά τους απέναντι στις προκλήσεις ασφάλειας που αναμένεται να προκαλέσει η κβαντική υπολογιστική. Ωστόσο, σημαντικά κενά ως προς την ανάθεση ευθυνών, τις δοκιμές και την ορατότητα των κρυπτογραφικών υποδομών ενδέχεται να δυσκολέψουν σημαντικά τη μετάβασή τους στην Post-Quantum Cryptography (PQC), σύμφωνα με νέα έρευνα της Axiad.
Πριν από οποιοδήποτε σχέδιο μετάβασης σε κρυπτογραφία ανθεκτική στους κβαντικούς υπολογιστές, οι οργανισμοί θα πρέπει να γνωρίζουν πού χρησιμοποιούνται τα ψηφιακά πιστοποιητικά, τα κρυπτογραφικά κλειδιά και οι σχετικοί αλγόριθμοι. Περίπου το 75% των συμμετεχόντων στην έρευνα δήλωσε ότι διαθέτει συνεχώς ενημερωμένο inventory αυτών των στοιχείων.
Ωστόσο, τα ευρήματα σχετικά με το ποιος έχει την ευθύνη της μετάβασης και σε ποιο βαθμό έχουν πραγματοποιηθεί σχετικές δοκιμές δείχνουν ότι η ορατότητα δεν μεταφράζεται απαραίτητα και σε πραγματική ετοιμότητα για τη μετάβαση σε PQC.
Όπως δήλωσε ο David Canellos, CEO της Axiad, η ετοιμότητα για την εποχή της post-quantum κρυπτογραφίας δεν μπορεί να βασίζεται σε όσα ένας οργανισμός θεωρεί ότι έχει υπό έλεγχο, αλλά σε όσα μπορεί πραγματικά να δει, να επαληθεύσει και να διαχειριστεί.
«Οι οργανισμοί μπορεί να πιστεύουν ότι γνωρίζουν πού βρίσκονται τα πιστοποιητικά, τα κλειδιά και οι κρυπτογραφικοί αλγόριθμοί τους. Ωστόσο, η έρευνα δείχνει ότι αυτή η βεβαιότητα μπορεί να καταρρεύσει όταν τίθενται ερωτήματα σχετικά με το ποιος έχει την ευθύνη της μετάβασης, τι έχει πραγματικά δοκιμαστεί και σε ποια σημεία ο οργανισμός εξακολουθεί να είναι εκτεθειμένος», σημείωσε.
Σύμφωνα με τον ίδιο, το πρώτο βήμα προς την post-quantum ετοιμότητα είναι η δημιουργία συνεχούς ορατότητας στο κρυπτογραφικό περιβάλλον, ώστε οι αποφάσεις να βασίζονται σε πραγματικά δεδομένα και όχι σε υποθέσεις.
Έλλειψη σαφούς υπευθύνου για τη μετάβαση σε PQC
Ένα από τα σημαντικότερα ευρήματα της έρευνας είναι ότι το 46% των οργανισμών δεν έχει ένα συγκεκριμένο άτομο υπεύθυνο για τον συντονισμό της μετάβασης σε PQC.
Στις περισσότερες από αυτές τις περιπτώσεις, η ευθύνη κατανέμεται μεταξύ μιας ομάδας στελεχών, χωρίς όμως να υπάρχει ένας συγκεκριμένος επικεφαλής που να έχει τη συνολική εποπτεία του προγράμματος. Ειδικότερα, το 39% των ερωτηθέντων δήλωσε ότι η ευθύνη μοιράζεται μεταξύ μιας ομάδας χωρίς να έχει οριστεί ένας μοναδικός υπεύθυνος.
Η σαφής ανάθεση ownership έχει ιδιαίτερη σημασία, καθώς η μετάβαση στην post-quantum κρυπτογραφία μπορεί να διαρκέσει αρκετά χρόνια και να επηρεάσει συστήματα που χρησιμοποιούνται για κρυπτογράφηση, ψηφιακές υπογραφές και authentication.
Χωρίς ένα πρόσωπο που θα έχει την ευθύνη του συντονισμού, οι οργανισμοί ενδέχεται να δυσκολευτούν να μετατρέψουν τους γενικούς στόχους ασφάλειας σε συγκεκριμένα πλάνα μετάβασης, προϋπολογισμούς και χρονοδιαγράμματα δοκιμών.
Παράλληλα, περίπου οι μισοί συμμετέχοντες δεν έχουν πραγματοποιήσει ποτέ επίσημη αξιολόγηση σχετικά με το κατά πόσο η internet-facing υποδομή τους υποστηρίζει post-quantum key exchange. Αυτό περιορίζει την ικανότητά τους να εντοπίσουν εγκαίρως τα σημεία στα οποία θα απαιτηθούν αλλαγές.
Περισσότερη αισιοδοξία στα στελέχη διοίκησης
Ένα ακόμη ενδιαφέρον εύρημα αφορά τη διαφορά αντίληψης μεταξύ διοίκησης και τεχνικών ομάδων.
Η αυτοπεποίθηση σχετικά με την ετοιμότητα αυξάνεται όσο ανεβαίνει το επίπεδο ιεραρχίας. Αντίθετα, η αισιοδοξία μειώνεται αισθητά μεταξύ των ειδικών σε PKI, δηλαδή των επαγγελματιών που διαχειρίζονται πιστοποιητικά και κρυπτογραφικά κλειδιά.
Η ίδια τάση εμφανίζεται και σε άλλους δείκτες ετοιμότητας. Η Axiad, ωστόσο, επισημαίνει ότι το δείγμα των practitioners ήταν μικρό και, ως εκ τούτου, τα συγκεκριμένα ευρήματα θα πρέπει να αντιμετωπίζονται ως μια ενδεικτική τάση και όχι ως απόλυτη στατιστική εκτίμηση.
Τα αποτελέσματα αφήνουν να διαφανεί ένα σημαντικό χάσμα. Είτε τα στελέχη διοίκησης δηλώνουν επίπεδο ετοιμότητας που οι ίδιες οι τεχνικές ομάδες δεν μπορούν να επιβεβαιώσουν είτε οι practitioners δεν έχουν επαρκή ορατότητα σε inventories και αξιολογήσεις που έχουν πραγματοποιηθεί σε άλλα σημεία του οργανισμού.
Το ζήτημα έχει άμεσες επιπτώσεις στον σχεδιασμό της μετάβασης σε PQC, καθώς τα σχετικά χρονοδιαγράμματα εξαρτώνται από την ακριβή εικόνα των υφιστάμενων κρυπτογραφικών συστημάτων και των εξαρτήσεών τους.
Η απειλή «harvest now, decrypt later» αυξάνει την πίεση
Ένας ακόμη σημαντικός παράγοντας που επιταχύνει την ανάγκη για μετάβαση είναι η γνωστή απειλή «harvest now, decrypt later» (HNDL).
Στο συγκεκριμένο μοντέλο επίθεσης, οι επιτιθέμενοι μπορούν να συλλέγουν σήμερα κρυπτογραφημένα δεδομένα και να τα διατηρούν, με την προσδοκία ότι στο μέλλον οι κβαντικοί υπολογιστές θα διαθέτουν την απαιτούμενη ισχύ για να τα αποκρυπτογραφήσουν.
Η απειλή είναι ιδιαίτερα σημαντική για δεδομένα που πρέπει να παραμείνουν εμπιστευτικά για πολλά χρόνια, όπως δεδομένα υγείας, οικονομικές πληροφορίες και διαβαθμισμένα δεδομένα.
Περίπου το 67% των ερωτηθέντων δήλωσε ότι η συγκεκριμένη απειλή αποτελεί ενεργή προτεραιότητα και ότι έχουν ήδη ξεκινήσει συγκεκριμένες ενέργειες αντιμετώπισής της. Αντίθετα, περίπου το ένα τρίτο των οργανισμών δεν έχει λάβει κάποια συγκεκριμένη δράση.
Η μετάβαση απαιτεί στρατηγική και όχι απλώς τεχνολογικές αλλαγές
Ακόμη και οι οργανισμοί που θεωρούν ότι είναι προετοιμασμένοι για την εποχή της post-quantum κρυπτογραφίας αντιμετωπίζουν σημαντικές δυσκολίες στην υλοποίηση των σχετικών projects.
Ως σημαντικότερο εμπόδιο αναφέρθηκαν οι ανταγωνιστικές προτεραιότητες στον τομέα της ασφάλειας, καθώς τα τμήματα IT και cybersecurity καλούνται ήδη να διαχειριστούν ένα συνεχώς διευρυνόμενο φάσμα απειλών και απαιτήσεων.
Ακολούθησαν οι περιορισμοί προϋπολογισμού, αλλά και η ανάγκη για περισσότερη ρυθμιστική καθοδήγηση.
Τα ευρήματα της Axiad καταδεικνύουν ότι η μετάβαση στην post-quantum κρυπτογραφία δεν αποτελεί ένα project που μπορεί να ξεκινήσει όταν οι κβαντικοί υπολογιστές καταστούν πρακτικά ικανοί να απειλήσουν τα σημερινά κρυπτογραφικά συστήματα. Η διαδικασία απαιτεί έγκαιρο σχεδιασμό, πλήρη αποτύπωση των κρυπτογραφικών assets, σαφή ανάθεση ευθυνών και δοκιμές συμβατότητας.
Για τις επιχειρήσεις, το ζητούμενο δεν είναι πλέον μόνο το αν θα χρειαστεί να μεταβούν σε PQC, αλλά το πόσο καλά γνωρίζουν σήμερα το κρυπτογραφικό τους περιβάλλον και πόσο έτοιμες είναι να ξεκινήσουν τη μετάβαση.
Η έννοια της crypto-agility, δηλαδή η δυνατότητα ενός οργανισμού να αντικαθιστά γρήγορα και με ελεγχόμενο τρόπο τους κρυπτογραφικούς αλγορίθμους και τα σχετικά στοιχεία της υποδομής του, αποκτά έτσι ολοένα μεγαλύτερη σημασία. Η post-quantum εποχή δεν αφορά μόνο την υιοθέτηση νέων αλγορίθμων, αλλά την ικανότητα των οργανισμών να γνωρίζουν, να ελέγχουν και να προσαρμόζουν διαρκώς το κρυπτογραφικό τους οικοσύστημα.
πηγή: Helpnet security