ABD federal kurumlarının kuantum sonrası kriptografi (PQC) geçişini kullanım senaryolarına bağlı olarak 2030 veya en geç 2031 yılına kadar tamamlamaları gerekecek.
22 Haziran'da (EO 14409) imzalanan yeni bir idari emirde (EO), ABD başkanı Donald Trump, kuantum açısından güvenli teknolojilere geçişi hızlandırmaya yardımcı olmak için tasarlanmış gereklilikleri yayınladı.
Beyaz Saray, yürütme emrine eşlik eden bir bilgi notunda, bu hamlenin "Amerika'nın en hassas verilerini, kritik altyapımızı ve istihdamı ve büyümeyi yönlendiren dijital ekonomiyi korumayı" amaçladığını açıkladı.
Temel gereklilik, tüm ABD federal kurumlarının 31 Aralık 2030'a kadar anahtar kurulum için PQC'yi ve 31 Aralık 2031'e kadar da "dijital imzalar"ı kullanmak üzere "yüksek değerli varlıklar" ve "yüksek etkili sistemler"e geçiş yapmasıdır.
Anahtar oluşturma, belirli koşullar altında iki tarafça genel bir kanal üzerinden paylaşılan bir gizli anahtar oluşturmak için kullanılabilen algoritma kümeleri olan anahtar kapsülleme mekanizmalarını (KEM) ifade eder.
Dijital imzalar, verilerde yapılan yetkisiz değişiklikleri tespit etmek ve kullanıcının kimliğini doğrulamak için kullanılan standartlaştırılmış algoritma paketleridir.
Bu son tarihlere ek olarak EO, ABD Ticaret Bakanlığı'nın PQC geçişi için derhal bir pilot proje başlatmasını ve bunu 31 Aralık 2027'ye kadar tamamlamasını şart koşuyor.
Uzmanların Görüşleri
PQC Geçişini ve Koordinasyonunu Hızlandırmaya Yönelik Federal Baskı
Başkan Trump, zamanlanmış gerekliliklerin ötesinde, Yönetim ve Bütçe Ofisi'ne (OMB) ve ABD Ulusal Siber Direktörüne ülke çapında PQC'ye hızlandırılmış bir geçişe öncülük etmeleri talimatını verdi.
Ayrıca Dışişleri Bakanlığı'na ve diğer kurumlara PQC'nin benimsenmesinde kritik altyapı operatörlerini ve uluslararası ortakları desteklemeleri çağrısında bulundu.
Son olarak, idari emir OMB'ye, Savunma Bakanlığı'na, NASA'ya ve Genel Hizmetler İdaresi'ne geçiş stratejisindeki maliyet verimliliğini belirlemekle görevlendirdi. Federal Satın Alma Düzenleme Konseyi'ne, yüklenicilerin 2030 yılına kadar federal siber güvenlik ve güvenlik açığı açıklama standartlarını karşılamasını sağlama talimatı verildi.
Teknik Analiz
Uzmanlar Kuantum Tehditlerinin Güvenlik Önceliklerini Yeniden Şekillendirdiği Uyardı
Bu yeni yönetim emri, saldırganların kuantum hesaplama uygulanabilir hale geldiğinde şifrelenmiş verileri kırma niyetiyle şifrelenmiş verileri bugün topladığı "şimdi topla, şifresini sonra çöz" saldırılarının artan riskinin altını çiziyor; bu senaryoya genellikle Q-Day adı verilir.
Gelecekte Ne Bekleniyor?
Infosecurity'ye konuşan Küresel Kuantum Tehdit İttifakı (GQTA) genel sekreteri Laurent Leloup, bu yönetim emrinin "kuantum proje yönetiminden ulusal güvenlik acil durumuna geçiş" yoluyla "sistemik bir değişime işaret ettiğini" vurguladı.
"Washington, PQC geçiş tarihini 2030'a çekerek, dayanıklılıklarına yönelik seyreltilmiş bir yaklaşımı tercih eden kuruluşları fiilen zayıflatan acımasız bir hızlanma dayatıyor" dedi.
Sistem Güvenliği
Ayrıca finans sektörü gibi kritik sektörlerin bu nedenle "güven mimarilerini derhal elden geçirmeleri" ve kripto çevikliğini benimsemeleri gerektiği, aksi takdirde "güvenliğin eskimesiyle karşı karşıya kalacakları" konusunda da uyardı.
Önemli Gelişmeler
Kripto çevikliği, uygulamalar ile kriptografi kitaplıkları arasında, güvenlik ekiplerinin yığınlarını tamamen değiştirmek zorunda kalmadan en son şifreleme algoritmalarına güncelleme yapmalarına olanak tanıyan soyut bir katman oluşturmayı içeren bir kavramdır.
Detaylar ve Etkileri
Şifreleme algoritmalarını doğrudan koda entegre etmek yerine, kripto çevikliği yaklaşımını izlemek, güvenlik ekiplerinin yalnızca 'şifrelemek' için bir komut göndermesi gerektiği ve soyut katmanın "herhangi bir 'şifreleme' komutu için bu standardı bu anahtar parametrelerle kullanın" diyen bir güvenlik politikasına bağlanması anlamına gelir.
Illumio'nun kamu sektörü CTO'su Gary Barlet de kuantum araştırma topluluğunun artık çabalarını "yalnızca gelecekteki şifreleme standartlarına" odaklanmadan önce PQC geçişine yardımcı olmaya odaklaması gerektiği konusunda uyardı.
Sonuç ve Değerlendirme
"Günümüzde kuantum inovasyonunu destekleyen insanları, sistemleri, araştırma ortamlarını ve tedarik zincirlerini korumak en acil zorluktur" dedi.
"Düşmanların kuantum buluşlarını çalmak için kuantum bilgisayarına ihtiyaçları yok. Yalnızca erişime ihtiyaçları var. Bu nedenle görünürlük, segmentasyon ve ihlal önleme stratejileri kritik olmaya devam ediyor. Kuantum araştırmasını korumak, uzlaşmanın mümkün olduğunu varsaymakla ve başarılı bir izinsiz girişin daha geniş bir ulusal güvenlik olayına dönüşmemesini sağlamakla başlar."
Nasıl Önlem Alınmalı?
Şimdi okuyun: İşletmeler Kuantum Sonrası Kriptografi Geçişine Nasıl Yaklaşmalı?
Industry Momentum Kuantum Güvenli Şifrelemeye Geçişi Hızlandırıyor
Özel sektör zaten kuantum sonrası kriptografiye doğru ilerlemeye başladı. Google, Dell ve HP gibi firmalar önümüzdeki on yılda geçiş çabalarını özetliyor ve Cloudflare 2029 yılına kadar tam PQC geçişini hedefliyor.
Şimdi ABD hükümeti bu değişimi koordineli bir ulusal strateji aracılığıyla resmileştirmeye ve hızlandırmaya çalışıyor.
Devamını oku: Google'ı Uyardı Kuantum Bilişimin Şifrelemeye Yönelik Tehdidi Beklenenden Daha Yakın
Bu hamle, Fransa'nın siber güvenlik kurumunun (ANSSI) 2027'den itibaren kuantum güvenli şifrelemeye sahip olmayan ürünleri sertifikalandırmayı bırakacağını duyurmasıyla uluslararası ivmenin arttığı bir dönemde geldi ve kuruluşlar üzerinde hızlı hareket etmeleri yönünde daha fazla baskı oluşturdu.
Siber güvenlik firması Red Sift'in Başkan Yardımcısı Billy McDiarmid, "hükümet, endüstri ve akademi tarafından PQC geçişini hızlandırmaya yönelik yapılan önemli çalışmalara" rağmen "hızın her zaman riskin ölçeğiyle eşleşmediğini" belirtti.
McDiarmid, "2031 federal hedefi önemli bir işarettir, ancak bu, rahat bir son tarih olarak görülmemelidir. Yıllarca gizli kalması gereken verileri tutan herhangi bir kuruluş, şimdi 2029-2031 penceresine göre planlama yapmalıdır" diye savundu.
Ayrıca "kuantum sonrası geçişin yalnızca yeni algoritmalar satın almakla ilgili olmadığını" aynı zamanda tüm sertifikaların, anahtarların, uygulamaların, API'lerin, bulut hizmetlerinin, tedarikçilerin, cihazların ve üçüncü taraf sistemlerin kuantum güvenli şifrelemeyle güvende olmasını sağlamak olduğunu da vurguladı.
