NIST, kuantum bilgisayardan siber saldırılara dayanacak şekilde tasarlanmış başlıca şifreleme algoritmaları setini sonlandırdı. Duyurulan algoritmalar, NIST’in kuantum sonrası kriptografi (PQC) standardizasyon projesinin ilk tamamlanmış standartlarında belirtilmiş olup hemen kullanıma hazırdır.
“Kuantum güvenliğine geçiş, kritik ulusal altyapıyı koruyacak ve tüm teknoloji tedarik zincirini onlarca yıl boyunca daha güvenli hale getirecek – ancak hayati güvenlik sistemlerini ve bileşenlerini modernize etmek bir gecede olmayacak. ‘Şimdi hasat et-sonra şifresini çöz’ saldırıları tehdidiyle, kuantum sonrası kriptografi için planlamaya henüz başlamamış kuruluşlar zaten geride kaldı,” dedi PQShield CEO’su Dr. Ali El Kaafarani Help Net Security’ye.
Yeni kuantum sonrası şifreleme standartları
Üç yeni standart gelecek için oluşturulmuştur. Kuantum bilişim teknolojisi hızla gelişmektedir ve bazı uzmanlar, mevcut şifreleme yöntemlerini kırabilecek bir cihazın on yıl içinde ortaya çıkabileceğini ve bireylerin, kuruluşların ve tüm ulusların güvenliğini ve gizliliğini tehdit edebileceğini öngörmektedir.
Standartlar — şifreleme algoritmalarının bilgisayar kodunu, bunları uygulama talimatlarını ve amaçlanan kullanımlarını içeren — şifreleme geliştirme konusunda uzun bir geçmişe sahip olan NIST tarafından yönetilen sekiz yıllık bir çabanın sonucudur. Ajans, kuantum bilgisayarların saldırısına karşı koyabilecek kriptografik algoritmalar tasarlamak, sunmak ve ardından değerlendirmek üzere dünyanın kriptografi uzmanlarını bir araya getirdi. Yeni ortaya çıkan teknoloji, hava durumu tahmininden temel fiziğe ve ilaç tasarımına kadar alanlarda devrim yaratabilir, ancak aynı zamanda tehditler de taşımaktadır.
Ticaret Bakanlığı Standartlar ve Teknoloji Müsteşarı ve NIST Direktörü Laurie E. Locascio, “Kuantum bilişim teknolojisi, toplumun en çözümsüz sorunlarının çoğunu çözmek için bir güç haline gelebilir ve yeni standartlar, NIST’in güvenliğimizi aynı anda bozmayacağından emin olma taahhüdünü temsil ediyor” dedi. “Bu kesinleşmiş standartlar, NIST’in gizli elektronik bilgilerimizi koruma çabalarının temel taşıdır.”
Şifreleme
Şifreleme, modern dijital toplumda ağır bir yük taşır. E-posta mesajlarının içerikleri, tıbbi kayıtlar ve fotoğraf kütüphaneleri gibi sayısız elektronik sırrı ve ulusal güvenlik için hayati önem taşıyan bilgileri korur. Şifrelenmiş veriler, gönderici ve amaçlanan alıcı dışında herkes tarafından okunamadığı için genel bilgisayar ağları üzerinden gönderilebilir.
Şifreleme araçları, geleneksel bilgisayarların çözmeyi zor veya imkansız bulduğu karmaşık matematik problemlerine dayanır. Ancak yeterince yetenekli bir kuantum bilgisayarı, bu problemlere yönelik çok sayıda olası çözümü çok hızlı bir şekilde eleyebilir ve böylece mevcut şifrelemeyi alt edebilir. NIST’in standartlaştırdığı algoritmalar, hem geleneksel hem de kuantum bilgisayarları engelleyecek farklı matematik problemlerine dayanmaktadır.
“Bu kesinleşmiş standartlar, bunları ürünlere ve şifreleme sistemlerine dahil etme talimatlarını içeriyor,” diyor PQC standardizasyon projesine başkanlık eden NIST matematikçisi Dustin Moody. “Sistem yöneticilerini bunları sistemlerine hemen entegre etmeye teşvik ediyoruz, çünkü tam entegrasyon zaman alacaktır.”
Moody, bu standartların genel şifreleme ve dijital imzaların korunması için birincil araçlar olduğunu söyledi.
Diğer algoritma kümelerini değerlendirme
NIST ayrıca bir gün yedek standart olarak kullanılabilecek iki algoritma setini daha değerlendirmeye devam ediyor.
Bu setlerden biri, genel şifreleme için tasarlanmış ancak nihai standartlardaki genel amaçlı algoritmadan farklı bir matematik problem türüne dayanan üç algoritmadan oluşuyor. NIST, 2024 yılı sonuna kadar bu algoritmalardan bir veya ikisinin seçimini duyurmayı planlıyor.
İkinci set, dijital imzalar için tasarlanmış daha büyük bir algoritma grubunu içerir. Kriptografların 2016’daki ilk başvuru çağrısından bu yana sahip olabilecekleri fikirleri karşılamak için NIST, halktan 2022’de ek algoritmalar istedi ve bunları değerlendirme sürecine başladı. Yakın gelecekte NIST, bir sonraki test, değerlendirme ve analiz turuna geçecek bu gruptan yaklaşık 15 algoritma duyurmayı bekliyor.
Moody, bu iki ek algoritma setinin analizlerinin süreceğini belirtirken, bundan sonraki PQC standartlarının NIST’in bugün duyurduğu üç standardın yedeği olarak işlev göreceğini söyledi.
“Gelecekteki standartları beklemeye gerek yok,” dedi. “Devam edin ve bu üçünü kullanmaya başlayın. Bu üç standarttaki algoritmaları alt eden bir saldırı durumunda hazırlıklı olmalıyız ve verilerimizi güvende tutmak için yedekleme planları üzerinde çalışmaya devam edeceğiz. Ancak çoğu uygulama için bu yeni standartlar ana olaydır.”
“Günümüzün kuantum bilgisayarları küçük ve deneyseldir, ancak hızla daha yetenekli hale geliyorlar ve kriptografik olarak ilgili kuantum bilgisayarların (CRQC’ler) gelmesi sadece zaman meselesidir. Bunlar, internetteki iletişimleri ve cihazları korumak için kullanılan asimetrik kriptografiyi kırabilecek kadar güçlü kuantum bilgisayarlardır ve 5-10 yıl kadar kısa bir sürede gelebilirler. İyi haber şu ki, sorun kuantum bilgisayarlara karşı savunmasız olmayan yeni zor matematik problemlerine geçilerek çözülebilir ve yeni NIST standartları, bu yeni zor matematik problemlerinin gelecekte internet trafiğini korumak için tam olarak nasıl kullanılacağını ayrıntılı olarak açıklamaktadır. DigiCert de dahil olmak üzere önde gelen internet güvenlik şirketleri bu algoritmaları çoktan uyguladılar ve bu önemli geçiş sırasında internetin güvenli kalmasını sağlamak için bunları büyük ölçekte dağıtmaya hazırlanıyorlar,” dedi DigiCert’te Endüstri ve Standartlar Teknik Stratejisti Tim Hollebeek.