NIST 3 Post-Kuantum Standardını Yayımladı, Kuruluşları PQC Yolculuğuna Başlamaya Çağırdı

Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) Salı günü, standardın nihai versiyonunu yayınladı. ilk üç kriptografik standart Mevcut Gelişmiş Şifreleme Standardı (AES) ile korunan verileri şifresini çözebilecek kadar güçlü kuantum bilgisayarlarından gelen saldırılara karşı koyabildiği düşünülen algoritmalara dayanmaktadır.

2015 yılında başlatılan bir sürecin doruk noktasına ulaşmasıyla, NIST’in yayını Yeni Federal Bilgi İşleme Standartları (FIPS) algoritmaları, CISO’lar ve yazılım, donanım ve hizmet sağlayıcılarının kuantum sonrası kriptografi (PQC) iyileştirme stratejilerini başlatmaları veya ilerletmeleri için ortamı hazırlıyor.

Güvenlik uzmanları, ilk PQC standartlarının yayınlanmasının, 2001’de Veri Şifreleme Standardı’nın (DES) yerini almak üzere Gelişmiş Şifreleme Standardı’nın (AES) benimsenmesinden bu yana yirmi yıldan fazla bir süredir kriptografi için ilk büyük kilometre taşı olduğunu söylüyor. Açık anahtar altyapısı (PKI) kullanan modern iletişimlerde, standart AES ve RSA şifrelemesi genellikle birlikte kullanılır.

Yeni standartlara dayalı PQC şifreleme algoritmalarının uygulanması, yaygın olarak bilinen bir yöntemi uygulayarak standart AES ve RSA-2048 şifrelemesini kırabilecek kadar güçlü kuantum bilgisayarlarının sonunda ortaya çıkacağı yönündeki uzun süredir devam eden tahminleri ele almayı vaat ediyor. Shor’un algoritmasıUzmanlar, gelişmelere dayanarak, kriptografik açıdan önemli ilk kuantum bilgisayarının (CRQC) önümüzdeki on yıl içinde bunu başarabileceğini düşünüyor.

NIST’in bilgisayar güvenliği bölüm başkanı Matthew Scholl, standartların yayımlandığını duyuran kısa bir videoda, “Bu tarihi bir an ve dijital güvenlikte yeni bir dönemin başlangıcıdır” dedi.

82 adaydan oluşan ilk grup arasında, NIST dört algoritma seçti 2022’de: KRISTALLER-KyberCRYSTALS-Dilithium, Sphincs+ ve FALCON. Geçtiğimiz yıl, NIST yayımlandı İlk üç standardın taslak halinde yayınlandığı ve FALCON’un bu yılın ilerleyen dönemlerinde taslak standart olarak yayınlanacağı belirtildi.

Artık bunlar yayınlanmış standartlar haline geldi ve NIST bunlara resmi FIPS tanımları verdi:

NIST, FALCON algoritması için taslak standardı yayınladığında, algoritmanın FN-DSA (FFT-hızlı-Fourier dönüşümü üzerinde NTRU-Kafes Tabanlı Dijital İmza Algoritması), FIPS 206 olarak adlandırılacağını belirtiyor. Ayrıca NIST, mevcut standartları geliştirmek veya yenilerine yedek olarak hizmet etmek üzere birkaç ek adayı değerlendiriyor.

Başlangıç ​​Zili Çalınıyor

“Bu, yalnızca ABD’de değil, tüm dünyada gerçekten çok beklenen bir duyuruydu,” diyor PQC konusunda danışmanlık yapan Beyaz Saray Siber Moonshot çalışma grubunun eski eş başkanı ve şu anda Accenture’da yeni teknoloji güvenliği yönetici müdürü olan Tom Patterson. “Bu, dünyadaki birçok kuruluş için bu tehdidi gerçekten ciddiye almaları ve üzerinde çalışmaya başlamaları için bir açılış zili haline geliyor.”

Patterson, CISO’ların kuantum bilgisayarların bir gün RSA şifrelemesini kıracak kadar güçlü bir şekilde ortaya çıkma potansiyelini uzun zamandır anladıklarını ekliyor. Taslak standartların 2023’te yayınlanmasına ve Accenture’ın müşterilerine bunları uygulamaya başlamaları yönündeki tavsiyelere rağmen, çoğu kenarda kaldı resmi açıklama bekleniyor.

“‘Bakın, NIST’in bir başvuru algoritması ve yeni bir standardı olduğunda, bunun üzerinde çalışmaya başlayacağız’ diyorlardı,” diyor Patterson. “Bu yüzden bunun dünyadaki birçok şirket için başlangıç ​​zili olduğunu düşünüyoruz.

Federal hükümet için çan çoktan çaldı. Son üç yönetimin yürütme emirleri sonrasında, Başkan Biden Kuantum Bilgisayar Siber Güvenlik Yasası 2023 yılında, hükümet bilgi sistemlerinin tüm federal sistemlerin kuantum dirençli kriptografiye geçirilmesini teşvik eden bir yasa çıkarılacak.

Temmuz ayında Beyaz Saray, Post-Kuantum Kriptografisi Raporu Senato İç Güvenlik ve Hükümet İşleri Komitesi ve Temsilciler Meclisi Gözetim ve Hesap Verebilirlik Komitesi’ne. Rapora göre, ABD Ulusal Siber Direktör Ofisi (ONCD), 2025 ile 2035 yılları arasında hükümet sistemlerinin taşınmasının yaklaşık 7,1 milyar dolara mal olacağını tahmin ediyor.

Endüstriler de Bu Yola Uyacak

Federal hükümet ilk harekete geçenler arasında yer almaya hazır olsa da uzmanlar birkaç sektörün de hemen arkasında olduğuna inanıyor. En dikkat çekenler, onlarca yıl veya daha öncesine dayanan hassas hasta bilgilerini saklayan sağlık hizmeti sağlayıcıları ve sigortacılar ile bankalar da dahil olmak üzere finansal hizmet şirketleridir.

IBM’in Kuantum Benimseme ve İş Geliştirme Başkan Yardımcısı Scott Crowder da Accenture’dan Patterson gibi, hükümet içinde ve dışında yetkililerin PQC’yi ele alma ihtiyacını ne kadar ciddiye aldıkları konusunda bugüne kadar karmaşık bir tablo yaşandığını söylüyor.

“Bence bu, pazara bunun hakkında düşünmeye başlamanız gerektiğine dair bir başka sinyal,” diyor Crowder. “Ayrıca, birlikte çalışabilirlik zorlukları yaşayan kişilerin gerçekten bir şeyler yapmaya başlamasına olanak sağlıyor, ki bence bu büyük bir olay.”

Crowder, IBM’in bu sorunu çözmek için taşınan müşterilerle yaptığı çalışmalara dayanarak, bunun genellikle beklediklerinden daha uzun sürdüğünü söylüyor. “Her şeyi hallettiklerini düşünen insanlar için bile, arka planda bulup düzeltmeleri gereken düşündüklerinden daha fazla ot veya benzeri şeyler var,” diyor. “Bu yüzden, bunun muhtemelen yıllar süreceğini düşünüyorum.”

Entrust dijital güvenlik çözümleri direktörü Samantha Mabey de aynı fikirde. Mabey, “Bunun birkaç yıl süreceğini ve herkesin katılımını gerektireceğini ve ayrıca aktif olarak yönetilmesi gerekeceğini biliyoruz” diyor.

Mabey, kuruluşların yapması gereken ilk şeyin geçişi denetlemek için bir lider atamak, öncelikleri belirlemek ve anahtarlar ve sertifikaların nasıl yönetileceği de dahil olmak üzere verilerin ve tüm kriptografik sistemlerin envanterini çıkarmak için bir plan oluşturmak olduğunu öneriyor. “Kripto çevikliğinizin bu geçişe izin verecek kadar olgun olduğundan emin olmak çok zaman alacak,” diyor.

Hibritle Başlayan Aşamalı Yaklaşım

Sektördeki birçok şirket gibi, içerik dağıtım ağı (CDN) sağlayıcısı Akamai de standartları uygulamak için aşamalı bir yaklaşım benimsiyor. Akamai mühendisleri, Akamai’den başlayarak müşterinin kaynak sitesine her veri akışı adımı için PQC modüllerini beta test ediyor. Akamai ile müşteri kaynak siteleri arasında aktarım halindeki veriler için kuantum dirençli hibrit anahtar değişiminin 2024’ün ikinci yarısında kullanıma sunulması planlanıyor.

“Hibrit anahtar değişimini yapıyoruz çünkü bu post-kuantum algoritmaları gerçekten yeni,” diyor Akamai baş mimarı Rich Salz. “Yıllarca yem zamanı ve onları kırmaya çalışan insanlar olmadı. “Anahtar değişimi için bir hibrit yaparsak, biri başarısız olursa en azından diğerine sahip oluruz ve bu yine de iyi olur.”

Akamai, 2025 yılı başlarında tarayıcı tabanlı istemcilerden CDN’sine PQC özellikli taşımayı desteklemeyi planlıyor ve aynı yılın ilerleyen dönemlerinde “uçtan uca PQC” güçlendirmesi sağlayacak.

Web Tarayıcılarında PQC Standartları

Salz, o zamana kadar tüm büyük tarayıcıların gerekli PQC standart algoritmalarını uygulamış olacağını tahmin ediyor. Özellikle Google, PQC araştırmasını açıkladı 2016 yılında Mayıs ayında duyurulan uygulandı Masaüstünde TLS 1.3 ve QUIC için varsayılan olarak etkinleştirilen Chrome 124’teki ML-KEM’in taslak spesifikasyonu.

Birinde Salı günü yayınlaGoogle, ML-KEM’in Google sunucularında da etkinleştirildiğini duyurarak şunları kaydetti: “Chrome Desktop ile Google’ın Cloud Console veya Gmail gibi ürünleri arasındaki bağlantılar, kuantum sonrası anahtar değişimiyle deneysel olarak zaten korunuyor.”

Akamai’den Salz, Google ve tüm büyük tarayıcı sağlayıcılarının kendi tarayıcılarına kuantum dirençli destek sunmasının önemli olduğunu söylüyor. “Ancak bilgili müşteriler bunun sorunun sadece yarısı olduğunu biliyor,” diyor. “Hala iletişim yolunun geri kalanını –aracıyı veya CDN’yi– kaynağa ulaştırmanız gerekiyor.”