|
量子計算和即將到來的密碼末日——通用量子計算機的等待時間越來越短，但它們可能還需要幾十年的時間。預示著密碼末日的密碼分析相關量子計算機 (CRQC) 的到來將會更快——可能不到十年。
到那時，我們現有的受 PKI 保護的數據將以明文形式可供任何人訪問；并且“現在收獲，稍后解密”過程將完成。這被稱為密碼末日。重要的是要注意，已經被對手收集的所有 PKI 加密數據都已經丟失。我們對過去無能為力；我們只能努力保護未來。
在這里，將研究為什么、什么以及需要為密碼末日做準備——但首先我們需要一些定義，以確保我們都在唱同一首歌。
密碼末日密碼末日是量子計算變得強大到足以使用秀爾算法破解 PKI 加密的時刻。由于公鑰加密用于保護幾乎所有傳輸中的數據，無論是在獨立的 IT 基礎設施之間，還是在單獨的基礎設施內，任何擁有足夠強大的量子計算機的人都可以訪問這些數據。 LookingGlass 的 CEO Bryan Ware 解釋說：“這意味著所有的秘密都處于危險之中。” “核武器、銀行、商業(yè)知識產權、情報機構等都面臨失去機密性和完整性的風險。” 但這不是對未來的威脅——威脅今天就存在。眾所周知，攻擊者會竊取和存儲加密數據，并知道在幾年內他們將能夠訪問原始數據。這被稱為“現在收獲，以后解密”的威脅。當密碼世界末日發(fā)生時，知識產權和商業(yè)計劃——更不用說軍事機密了——對對手來說仍然很有價值。 QuSecure 的聯合創(chuàng)始人兼 CPO 麗貝卡·克勞瑟默 (Rebecca Krauthamer) 警告說：“即使密碼相關的量子計算機還需要數年時間，但現在是時候開始準備了?！?/strong> 我們可以肯定地說的一件事是，它絕對不會在 2023 年發(fā)生——很可能。這可能是因為不確定外國或他們的情報機構在量子計算的旅程中已經達到了哪個階段——而且他們不太可能告訴我們。盡管如此，假設還沒有人擁有強大到足以運行 Shor 算法并在有意義的時間范圍內破解 PKI 加密的量子計算機。 這種計算機很可能在三到五年后就可以使用。大多數預測建議十年。請注意，專門為 Shor 設計的專用量子計算機不需要像通用量子計算機一樣強大——后者更有可能在 20 到 30 年之后出現。 很難做出精確的預測，因為量子計算機的能力來自于可以使用的量子比特數。由于量子位的不穩(wěn)定性需要大量額外的僅用于糾錯的量子位，這進一步復雜化。因此，可以“使用”的量子比特數（邏輯量子比特）遠少于所需的總數（物理量子比特）。 有人建議每個邏輯量子位可能需要多達 1,000 個物理量子位。這將取決于使用中糾錯的質量——這是一個深入研究的領域。因此，在未來幾年的某個時候，隨著物理量子比特數量的增加，以及每個邏輯量子比特所需的物理量子比特數量的減少，量子開發(fā)人員將擁有能夠破解 PKI 的量子計算機。據估計，這將需要大約 1,000 到 2,000 個邏輯量子位。 為了讓這個骨架更生動一些，我們可以看看 IBM 在 2022 年 11 月 9 日發(fā)布的公告：一款新的433 量子位 Osprey 處理器。隨附的路線圖顯示了 4,000 多個量子比特的量子計算機（代號為 Kookaburra）的進展情況，該計算機將于 2025 年到期。 IBM 的 Qskit Runtime 軟件的新版本正在解決錯誤糾正問題，該軟件允許“用戶通過 API 中的一個簡單選項以速度換取減少的錯誤數”。這得到了新的模塊化 IBM Quantum System Two 的支持，它能夠將多個處理器組合到一個具有通信鏈路的系統(tǒng)中。System Two 預計將于 2023 年上線，與 IBM 預計將在同一時間推出代號為 Condor 的 1k+ 量子位處理器。 System Two 將成為 IBM 所謂的以量子為中心的超級計算的基石。IBM 量子采用和業(yè)務副總裁 Scott Crowder 更詳細地解釋道：“以量子為中心的超級計算（它描述了一種旨在提高計算能力的模塊化架構和量子通信，它采用混合云中間件來無縫集成量子和經典工作流) 是未來幾年如何使用量子計算的藍圖?！?/span> 他補充說：“這種擴展量子系統(tǒng)的方法以及最近處理量子處理器錯誤的技術的顯著改進是我們如何設想一條通往近期、實用量子優(yōu)勢的道路——量子處理器將能夠執(zhí)行有用的計算，比完全使用經典計算更快、更準確或更便宜?！?/span> 導航此類預測并不能準確地告訴我們什么時候可以期待密碼末日，但它們清楚地表明它正在危險地接近。Vulcan Cyber 的高級技術工程師 Mike Parkin 評論說：“量子計算還沒有到使傳統(tǒng)加密無用的地步，至少我們知道，但它正在朝著那個方向發(fā)展?！?/span> 來自人工智能的額外威脅QuSecure 的聯合創(chuàng)始人兼首席運營官 Skip Sanzeri警告說，當前加密的威脅不僅限于量子解密。他說：“正在開發(fā)新方法，承諾與密碼相關的量子計算機相同的后量子網絡安全威脅，只是速度要快得多?！?nbsp;“人們還認為，量子進步不必直接解密當今的加密技術。如果他們通過建議或概率性地為經典算法（如篩子）找到一些更好的種子來削弱它并使其更有效，則可以導致成功的攻擊。可以毫不夸張地預測，說到預測，人們會找到破解我們甚至還不知道的加密方法的方法?！?/span> Incrypteon 的聯合創(chuàng)始人兼首席技術官 Steve Weston 提供了一個可能的例子。“2023 年及以后的威脅在哪里？” 他問。“是來自量子計算機的威脅，還是來自人工智能的更大威脅？對過去 40 年的密碼分析和密碼破譯的分析顯示了人工智能現在是如何使用的，未來會更是如此。” QKD量子密鑰分發(fā) ( QKD ) 是一種使用通過光纖傳輸的量子特性安全地交換加密密鑰的方法。在這種量子狀態(tài)下，量子力學的性質確保任何訪問傳輸的嘗試都會干擾內容。它不會阻止攻擊，但會確保嘗試的攻擊立即可見，并且可以丟棄密鑰。成功的 QKD 為使用最新最好的對稱加密技術傳輸數據鋪平了道路。當前的對稱算法被認為可以安全地對抗量子解密。 Quintessence Labs 首席營收官 Silvio Pappalardo 評論道：“對稱加密，如 AES-256，理論上是量子安全的，但可以推測密鑰大小很快就會翻倍。” TCS 數據保護 CoE 網絡安全負責人 Ganesh Subramanya 表示：“量子密碼學是一種使用量子物理學原理來保護和傳輸數據的加密方法?！?nbsp;“它創(chuàng)造了如此強大的安全性，以至于在不通知發(fā)送者的情況下，以量子態(tài)編碼的數據不會受到損害。傳統(tǒng)密碼學使用 SSL 和 TLS 等技術來保護互聯網上的數據，但它們容易受到各種攻擊，因為攻擊者可以改變雙方（如用戶的瀏覽器和網頁/應用程序）之間的通信并讓他們相信他們仍在相互交流。使用量子密碼術，這種數據更改是不可能的，從而加強了在線交易的安全性。” 東芝合作伙伴兼 Safe Quantum 總裁/首席執(zhí)行官 John Prisco 將這些原則應用于 QKD。“量子密鑰分發(fā)包含一個不能被夸大的關鍵安全方面，”他說，“特別是如果它與 NIST 后量子加密標準 (PQC) 一起使用。網絡安全的黃金標準被認為是縱深防御，因為它利用兩種具有不同故障機制的完全不同的技術來提供保護。隨著 harvest now decrypt later attacks 變得越來越頻繁，沒有延遲時間可以安全地抵御量子攻擊。使用 PQC 簽名算法進行身份驗證的 QKD 是唯一可以立即部署并保證成功防御現在收獲、稍后解密的防御。” 負責 QKD 部門的東芝副總裁 Terry Cronin 同意這一評估。“使用 QKD 作為抗量子混合解決方案的一部分可以提供所需的安全性，確保收集和解密攻擊無法成功訪問數據?！?/span> 引入基于大規(guī)模光纖的 QKD 的實際困難意味著它不能在所有地方實施。它的直接使用可能僅限于高價值站點之間的點對點通信——例如一些政府機構和主要銀行辦公室之間。 后量子密碼學美國國家標準與技術研究院NIST 于 2016 年開始了一項選擇和標準化后量子加密算法的競賽。當時 NIST 數學家達斯汀·穆迪 (Dustin Moody) 表示：“我們正在尋求替換三個最容易受到量子計算機攻擊的 NIST 密碼標準和指南?！?nbsp;“他們處理加密、密鑰建立和數字簽名，所有這些都使用公鑰加密的形式。” 2022 年 7 月，NIST 宣布了前四名入圍者。然而，2022 年 8 月出現了另一個入圍者，超奇異同源密鑰封裝 (SIKE) 算法已經被破解。SIKE 旨在通過不受信任的網絡將密鑰從源安全地傳遞到目的地。然而，研究人員已經證明，該算法可以在一個多小時內在一臺經典 PC 上破解。 這說明了所有安全專業(yè)人員都需要面對的問題。任何加密算法只有在被破解之前才是安全的。白帽研究人員會告訴你他們是否可以破解算法——外國政府不會。實際上，這意味著“現在收獲，稍后解密”的“后期”部分是一種樂觀的觀點。我們認為，今天被盜的加密 IP 尚無法解密——但我們不能確定。 然而，我們確實知道，在相對不久的將來，當前的 PKI 加密肯定會被量子計算機破解。NIST 的解決方案是用更復雜的算法替換當前易受攻擊的 PKI 算法——即通過使用更強大的算法來解決更強大的計算。 最終，我們將處于與今天相同的境地。我們相信受 NIST 后量子算法保護的 IP 將是安全的——但我們不能確定。請記住，至少有一種提議的后量子算法已在 PC 上被破壞。因此，即使我們明天改用 NIST 批準的后量子加密標準，我們也不能確定現在的收獲解密后來的哲學是否已被擊敗。 一次性墊NIST 的 PQC 算法是“量子安全的”，它們不是“量子安全的”。前者被認為對量子解密是安全的，但無法證明是安全的（因為它們本質上是數學的并且容易受到數學解密的影響）。可以被證明是安全的密碼學被稱為“量子安全”——實現這一點的唯一方法是從等式中去除數學。 唯一已知的量子安全密碼是一次性一密，因為它依賴于信息安全而不是數學安全。從技術上講，QKD 可以用類似的安全術語來描述，因為任何獲取用于數學解密的密鑰的嘗試都可能導致密鑰立即被破壞（阻止它們被有用地解密）。我們已經看到 QKD 在廣泛使用方面存在問題——但現代技術是否能夠提供可用的一次性一密本仍然是一個懸而未決的問題。 從歷史上看，OTP 被認為不適合互聯網時代，因為它需要與加密消息長度相同或更長的密鑰。盡管如此，一些公司一直在探索新技術的可能性。 Qrypt的出發(fā)點是量子威脅來自從源到目的地的加密密鑰通信。如果可以避免傳遞密鑰的必要性，就可以消除威脅。因此，它開發(fā)了一種過程，允許在源和目的地同時生成相同的量子隨機數。量子隨機數是利用量子力學原理生成的真正隨機數。然后可以使用這些數字生成相同的密鑰，而無需通過互聯網傳輸它們。 然而，由于數字的生成可以在使用前執(zhí)行和存儲，因此仍然有可能將過程鏈接起來，為密鑰提供真正的 OTP，而不需要將它們通過互聯網傳輸。基于此過程的解決方案是量子安全的。 英國初創(chuàng)公司Incrypteon走了一條不同的路，將香農的信息理論應用到一次性墊上。這門科學有點令人費解，但它是基于香農在 1949 年發(fā)表的保密系統(tǒng)通信理論中的模棱兩可?！巴昝辣Ｃ艿亩x是基于統(tǒng)計數據和概率，”Incrypteon 說。“如果攻擊者對消息內容的了解在對手檢查密文之前和之后都是相同的，那么密文將保持完美的保密性，并使用無限的資源對其進行攻擊?！?/span> Incrypteon 使用自己的專利軟件和“Perpetual Equivocation”，“確保條件熵永遠不會為零，從而實現完美保密。” 結果是自動實現了量子安全（不僅僅是量子安全）——并且今天就可以使用。 聯合創(chuàng)始人 Helder Figueira 曾是一名電子戰(zhàn)信號官，負責指揮南非軍隊的密碼分析部門。香農模棱兩可的概念為軍方所熟知，他長期以來一直擔心商業(yè)市場被迫接受根據定義是“不安全”的加密——如果某物不能被證明是安全的，它必須沒有安全感。 一次性一密本的第三種和未來可能的方法可能會從當前令牌化的進步發(fā)展而來——更具體地說，由不可變服務器保護的基于云的無保險庫令牌化。 另一家初創(chuàng)公司Rixon涉足這一領域。它的主要目的是保護具有網絡存在的組織存儲的 PII——但這些原則可以很容易地擴展。明文立即在云端標記化，現場沒有明文。云中的標記化引擎中也沒有保存明文——存儲的只是每個標記化字符的標記化路徑（為了比較，此標記化路徑等同于加密密鑰，但對于每個字符都是隨機的）。 這提供了與 OTP 的主要并行——“密鑰”與消息的長度相同。目前，Rixon 專注于標記化 PII；但同樣的概念可以擴展到保護高價值的靜態(tài)文件，例如知識產權和商業(yè)計劃。 過渡到后量子密碼學即將到來的密碼災難要求組織從已知的量子易受攻擊的加密（例如當前的 PKI 標準）過渡到即使不是量子安全也至少是量子安全的加密。這將是一個漫長的過程，到 2023 年，企業(yè)將需要開始更詳細地規(guī)劃他們的路線。 大多數公司將從 NIST 后量子算法是唯一的前進方向這一觀點出發(fā)。我們已經深入討論了 OTP 的發(fā)展，以表明 NIST 路線不是唯一可用的路線——我們預計 2023 年將有進一步的 OTP 發(fā)展。 完全過渡到后量子準備就緒將需要很多年，并且不會通過從經典轉換到 PQC 來實現。這導致了“加密敏捷性”的概念。Quintessence Labs 首席營收官西爾維奧·帕帕拉多 (Silvio Pappalardo) 解釋說：“至關重要的是，量子就緒算法 (QRA) 能夠以混合方式與現有加密功能共存，同時實現向量子安全的完全過渡?！?nbsp; “加密敏捷性使應用程序能夠在密鑰類型和加密算法之間遷移，而無需更新應用程序軟件——從同構架構過渡到微服務架構，”他說。“隨著加密密碼因量子威脅、壽命縮短、密鑰大小增加以及保護更多數據的需求不斷增加而發(fā)生變化，更有效地，加密敏捷性成為業(yè)務推動者和捍衛(wèi)者，以跟上不斷創(chuàng)新的步伐并實現更大的靈活性未來?！?nbsp;如果正在使用的算法被破壞，這種敏捷性還允許公司從一種量子安全算法切換到另一種。 目前，政府機構別無選擇，只能遵循 NIST。2022 年 11 月 18 日，白宮向行政部門和機構負責人發(fā)布了一份備忘錄，要求 CRQC 準備工作從盤點易受攻擊的資產開始。“到 2023 年 5 月 4 日，此后每年直到 2035 年”，備忘錄指出，“指示各機構向 ONCD 和部門提交包含 CRQC 易受攻擊的密碼系統(tǒng)的信息系統(tǒng)和資產的優(yōu)先清單，不包括國家安全系統(tǒng)國土安全部網絡安全和基礎設施安全局 (CISA)。” （這證實了早先在 2022 年 5 月 4 日發(fā)布的國家安全備忘錄 NSM/10 中公布的細節(jié)。） 2022 年 12 月 21 日，拜登將《量子計算網絡安全準備法》簽署為法律。Sanzeri 評論道：“量子計算機正在全球范圍內開發(fā)，一些敵對的國家投入數百億美元用于創(chuàng)建這些非常強大的機器的項目，這些機器將打破我們今天使用的加密?！?nbsp;“雖然現在還沒有，但量子計算機將在未來幾年內上線，但我們的聯邦機構和商業(yè)企業(yè)需要幾年以上的時間才能將他們的系統(tǒng)升級到后量子網絡安全?！?/span> 他繼續(xù)說，該法案“要求聯邦機構將系統(tǒng)遷移到后量子密碼學，這種密碼學能夠抵御來自量子計算機的攻擊。管理和預算辦公室還需要向國會提交一份年度報告，描述如何評估整個聯邦政府的后量子密碼學風險的戰(zhàn)略?！?/span> 政府顯然堅持 NIST 的提議。這可能是因為 NIST 關于 OTP 不現實的斷言是正確的。NIST 計算機安全數學家 Dustin Moody 在 2022 年 10 月告訴SecurityWeek，“一次性一密本必須由真正隨機源生成，而不是偽隨機過程?！?nbsp;但是有許多來源可以使用量子力學生成真正的隨機數。 “一次性一密本必須與要加密的消息一樣長，”穆迪補充道。“如果你想加密一條長消息，一次性一密的大小將比我們 [NIST] 選擇的算法的密鑰大小大得多?！?nbsp;這也被 Qrypt 和 Incrypteon 以及像 Rixon 這樣的潛在標記化公司挑戰(zhàn)為一個問題。 盡管如此，如果只是因為 NIST 的聲譽和政府支持，大多數公司將遵循 NIST 的漸進過程，而不是 OTP 的更具革命性的過程。到 2023 年，將有更多的公司開始為 CRQC 做好準備——但選擇比顯而易見的要多。
|
|
|
