Q-Day coraz bliżej - szyfrowanie czeka wielka zmiana

Komputery kwantowe długo kojarzyły się z odległą przyszłością, ale dla ekspertów od cyberbezpieczeństwa przestały być już tylko ciekawostką z laboratoriów. Instytut Łączności opublikował raport „Wyścig z Q-Day”, w którym sprawdza, jak świat przygotowuje się do przejścia na kryptografię postkwantową. Chodzi o zabezpieczenia, które mają chronić dane także wtedy, gdy obecne metody szyfrowania staną się zbyt słabe wobec komputerów kwantowych. Stawką są nie tylko systemy administracji, lecz także bankowość, infrastruktura krytyczna, dane medyczne, tajemnice firm i informacje, które powinny pozostać poufne przez wiele lat.

Q-Day brzmi futurystycznie, ale problem jest bardzo konkretny

Q-Day to umowny moment, w którym komputer kwantowy będzie w stanie złamać popularne dziś mechanizmy kryptografii klucza publicznego. W praktyce chodzi między innymi o RSA i ECC, czyli rozwiązania obecne w wielu systemach, usługach i procesach cyfrowych. Taki scenariusz nie oznacza, że z dnia na dzień przestanie działać cały internet, ale może mocno zmienić zasady gry w bezpieczeństwie informacji. Raport Instytutu Łączności pokazuje, że zagrożenie jest już traktowane jako realny punkt odniesienia przy planowaniu strategii państw i sektorów krytycznych. Dlatego coraz mniej mówi się o pytaniu, czy warto się przygotowywać, a coraz więcej o tym, jak szybko i jak dobrze to zrobić.

Dane można ukraść dziś i odszyfrować dopiero za lata

Najbardziej niewygodna część tej historii polega na tym, że przeciwnik nie musi czekać na gotowy komputer kwantowy. Może już teraz przechwytywać zaszyfrowane dane, przechowywać je i liczyć na to, że w przyszłości będzie w stanie je odczytać. Ten model działania jest znany jako „harvest now, decrypt later”. Właśnie dlatego przygotowania do kryptografii postkwantowej nie są tylko reakcją na coś, co może wydarzyć się kiedyś, ale odpowiedzią na ryzyko, które zaczyna działać już teraz.

Najbardziej wrażliwe są informacje, które mają długi termin przydatności dla atakującego. Dane niejawne, medyczne, finansowe, dokumenty strategiczne czy własność intelektualna mogą być cenne nawet po wielu latach. Jeśli ktoś przechwyci je dziś, a odszyfruje dopiero w przyszłości, szkody nadal mogą być poważne. To sprawia, że państwa i duże organizacje muszą myśleć nie tylko o bieżących incydentach, lecz także o bezpieczeństwie informacji w perspektywie dekady lub dłużej.

Harvest now, decrypt later zmienia logikę cyberbezpieczeństwa

W klasycznym myśleniu o cyberataku liczy się to, czy ktoś może dostać się do systemu teraz. W przypadku zagrożenia kwantowego dochodzi jednak drugi wymiar – czas. Dane, które dziś wydają się bezpieczne, mogą stać się czytelne wtedy, gdy pojawią się odpowiednio mocne narzędzia obliczeniowe. Dlatego opóźnianie migracji może przypominać zostawianie dokumentów w sejfie, do którego klucz dopiero powstaje. Im wcześniej organizacje sprawdzą, gdzie i jak szyfrują informacje, tym mniejsze ryzyko, że w przyszłości odkryją problem zbyt późno.

Świat przyspiesza, ale nie wszyscy biegną tym samym tempem

Raport Instytutu Łączności porównuje przygotowania Unii Europejskiej, Stanów Zjednoczonych, Chin i Polski. Stany Zjednoczone są dziś jednym z najważniejszych punktów odniesienia, bo opierają swój model migracji na standardach NIST. W sierpniu 2024 roku zatwierdzono pierwsze trzy standardy kryptografii postkwantowej, czyli FIPS 203, FIPS 204 i FIPS 205. To ważny sygnał dla administracji, sektora technologicznego i dostawców rozwiązań cyberbezpieczeństwa, bo standardy tego typu szybko stają się praktycznym drogowskazem dla rynku.

Unia Europejska stawia z kolei na koordynację między państwami członkowskimi. Komisja Europejska przygotowała mapę drogową, która ma pomóc przeprowadzić przejście na kryptografię postkwantową w sposób wspólny i uporządkowany. To szczególnie ważne przy usługach transgranicznych, bankowości, administracji i infrastrukturze krytycznej, gdzie zbyt duże różnice między krajami mogłyby tworzyć nowe luki. Chiny rozwijają natomiast własną ścieżkę, łącząc kryptografię postkwantową z dużymi projektami komunikacji kwantowej i niezależnymi standardami.

Polska wchodzi w etap decyzji i konkretnych działań

W polskim przypadku kluczowe jest przejście od analiz do wdrożeń. Raport wskazuje, że Strategia Cyberbezpieczeństwa RP na lata 2025-2029 zakłada przygotowanie planu migracji do kryptografii postkwantowej. Wśród instytucji zaangażowanych w ten proces wymieniany jest Instytut Łączności – Państwowy Instytut Badawczy. Polska ma zaplecze naukowo-techniczne, które może pomóc w przeprowadzeniu takiej zmiany, ale samo zaplecze nie wystarczy. Najważniejsze będzie skoordynowanie działań administracji, sektora finansowego, telekomunikacji i operatorów usług kluczowych.

Najpierw trzeba znaleźć stare szyfrowanie w systemach

Jednym z największych wyzwań nie będzie samo wpisanie nowych algorytmów do dokumentów. Dużo trudniejsze może być ustalenie, gdzie w praktyce działają obecne mechanizmy kryptograficzne. W dużych organizacjach szyfrowanie jest rozsiane po aplikacjach, certyfikatach, bazach danych, kopiach zapasowych, urządzeniach sieciowych i połączeniach między usługami. Bez dokładnej inwentaryzacji łatwo wymienić część zabezpieczeń, a inne zostawić w starym modelu.

Dlatego raport wskazuje na potrzebę krajowego, skoordynowanego planu migracji. Ważnym elementem powinien być audyt podatności systemów administracji publicznej oraz sektora finansowego. Potrzebne jest też jasne wyznaczenie instytucji odpowiedzialnych za prowadzenie procesu w kluczowych obszarach państwa. Bez takiego podziału ról migracja może utknąć między strategią, przetargami, dostawcami i codziennymi ograniczeniami organizacyjnymi.

To będzie długa wymiana zamków w cyfrowym państwie

Migracja do kryptografii postkwantowej nie będzie jedną aktualizacją, którą da się przeprowadzić w weekend. To raczej wieloletnia wymiana cyfrowych zamków w systemach, które często są ze sobą mocno połączone. Trzeba będzie zadbać o nowe standardy, testy, kompatybilność, procedury, szkolenia i współpracę z dostawcami. Przez pewien czas stare i nowe rozwiązania będą musiały bezpiecznie współistnieć, co samo w sobie może być dużym wyzwaniem. Im szybciej państwa i organizacje zaczną porządkować ten proces, tym większa szansa, że Q-Day nie zaskoczy ich w najgorszym możliwym momencie.

Źródło: