Kuantum bilgisayarların gelişi, siber güvenlik dünyasında yeni bir dönemin habercisi. Kriptografik olarak anlamlı kuantum bilgisayarlar (CRQC'ler) henüz tam olarak işlevsel olmasa da, güvenlik liderlerinin bugünden harekete geçmesi gerekiyor. Infosecurity Europe 2024'te konuşan Forescout Güvenlik İstihbaratı Başkan Yardımcısı Rik Ferguson, kuantum sonrası kriptografiye (PQC) geçişin ertelenemeyecek bir aciliyet taşıdığını vurguladı. Şu anda dünya genelindeki SSH sunucularının yalnızca %8'inin PQC'yi desteklediğini belirten Ferguson, bu oranın bir yılda sadece iki puan arttığına dikkat çekti.
Ferguson, 'Soru Q-günü ne zaman geliyor değil; o an geldiğinde hazır olacak mıyız, en azından yolculuğa başlamış olacak mıyız?' şeklinde konuştu. EY'nin bu hafta yayınladığı yeni bir araştırma, iş liderlerinin %87'sinin kuantum hesaplamanın 2030 yılına kadar sektörlerini sekteye uğratmasını beklediğini ortaya koyuyor. Ancak yalnızca %35'i bunu önümüzdeki beş yıl için stratejik bir öncelik haline getirmiş durumda ve %59'u kuantum hesaplamanın 2030'a kadar yeterince olgunlaşmayacağına inanıyor.
Güvenlik perspektifinden bakıldığında, CRQC'lere doğru geri sayım çoktan başladı. Ferguson, NSA'nın 2021'de 'hasat-şimdi-çöz-sonra' (HNDL) saldırıları konusunda uyardığını hatırlattı. Snowden sızıntıları, ABD'nin - ve dolayısıyla rakiplerinin - daha sonra çözmek üzere şifrelenmiş verileri topladığını gösteriyor. İngiltere ve ABD'deki gizli ortak gözetim programları Muscular ve Tempora bunun kanıtı. Ferguson, Çin üzerinden internet trafiğinin büyük ölçüde yönlendirildiği önceki olayların da Pekin'in benzer bir şey yaptığını gösterdiğini iddia etti. Salt Typhoon'un devam eden çabaları da daha sonra çözmek üzere şifrelenmiş verileri çalmayı içerebilir.
Ferguson, 'En büyük sorunlara neden olan şeyler, duymadığınız veya göremediğiniz şeylerdir' dedi. HNDL planları doğrulanmamış olsa da, 'yetenek belgelenmiş ve gerçek.' Uzun ömürlü veriler HNDL riski altında olsa da, PQC planlamasına şimdi başlanmalı. G7 Siber Uzman Grubu'nun Ocak ayında yayınladığı yol haritası da aynı şeyi tavsiye ediyor. Ancak bu yol haritasına göre - strateji, envanter, planlama, geçiş, test ve izleme - planlama aşaması 2028-29'a denk geliyor. Bu, IBM'in Starling hata toleranslı kuantum bilgisayarını çalışır hale getireceği zamanla hemen hemen aynı.
Detaylar ve Etkileri
Q-günü yaklaşırken Ferguson üç cephede eylem çağrısı yapıyor: Tedarik zincirine PQC gereksinimlerini dahil etmek, mevcut sistemlerin envanterini çıkarmak ve kripto-çeviklik yeteneklerini artırmak. Şirketler, kuantum tehdidine karşı hazırlıklı olmak için bu adımları bugünden atmalı. Aksi takdirde, hasat-şimdi-çöz-sonra saldırılarına karşı savunmasız kalacaklar. Kuantum bilişimin getireceği dönüşüme ayak uydurmak için güvenlik liderlerinin proaktif davranması şart.
Sonuç ve Değerlendirme
Sonuç olarak, kuantum sonrası kriptografiye geçiş bir seçenek değil, bir zorunluluk. Şirketlerin bugünden envanter çalışmalarına başlaması, tedarik süreçlerine PQC standartlarını entegre etmesi ve kripto-çeviklik stratejileri geliştirmesi gerekiyor. Unutmayın, kuantum bilgisayarlar kapıda ve hazırlıklı olmak için zaman daralıyor.
Kaynak: infosecurity-magazine.com
