0 
0 À medida que os cientistas da computação avançam no processo de levar a computação quântica ao domínio prático, os fornecedores e profissionais de segurança cibernética precisarão estar prontos com mecanismos de criptografia que possam suportar o poder do potencial de computação quântica. Mas os especialistas em risco dizem que as medidas à prova de futuro para a criptografia pós-quântica não precisam ser criadas em pânico.
Ao contrário da maneira como alguns especialistas pintaram o cenário da computação pós-quântica, a verdade é que não haverá um penhasco quântico no qual os mecanismos de criptografia de hoje se tornarão obsoletos de repente, diz o Dr. Colin Soutar, líder de prontidão cibernética quântica dos EUA e diretor administrativo da Deloitte Risk & Financial Advisory, que acaba de lançar um relatório sobre criptografia quântica . Ele explica que, na realidade, a transição para o quantum será um processo contínuo.
“Há muita discussão em torno do quantum agora, e há muita confusão de ideias diferentes. Existem até algumas declarações alarmistas sobre como tudo precisa mudar da noite para o dia para atualizar os algoritmos resistentes ao quantum”, diz Soutar. “Isso implica que há uma data específica (para adoção quântica), e realmente não há”.
A visualização de problemas de segurança pós-quânticos a partir desse tipo de lente pode ajudar o setor de segurança cibernética a começar a trabalhar o problema com o mesmo tipo de gerenciamento de risco e etapas de planejamento de roteiro que tomaria para qualquer outro tipo de tendência tecnológica emergente séria.
Conscientização, não alarmismo
Uma coisa é certa: o ritmo da computação quântica e da criptografia pós-quântica está ficando mais alto.
A computação quântica deve dar ao mundo da computação um grande impulso na capacidade de lidar com problemas de análise multidimensional que sobrecarregam os supercomputadores tradicionais mais avançados de hoje. Enquanto os computadores tradicionais funcionam fundamentalmente com base no armazenamento de informações em binário, a computação quântica não é limitada pela posição “ligado” ou “desligado” do armazenamento de informações.
Os computadores quânticos dependem do fenômeno da mecânica quântica chamado superposição, no qual uma partícula pode existir em dois estados diferentes simultaneamente. Eles aproveitam esse fenômeno usando “qubits”, que podem armazenar informações em vários estados ao mesmo tempo.
Uma vez aperfeiçoado, isso dará aos computadores quânticos a capacidade de acelerar bastante a análise de dados em problemas difíceis em áreas tão díspares quanto pesquisa em saúde e IA. No entanto, esse tipo de poder também torna esses computadores ideais para quebrar algoritmos criptográficos . Este é o cerne do esforço de conscientização dos defensores da segurança nos últimos anos para garantir que a indústria comece a se preparar para essa realidade pós-quântica .
“Nossa visão sobre isso é menos sobre ser alarmista e dizer: ‘Você precisa atualizar tudo agora’ e mais sobre aumentar a conscientização para começar a pensar sobre quais são seus dados, qual seu risco pode ser em relação a esses dados e a criptografia que você usa. usar”, diz Soutar. “E então, decidindo quando você pode querer pensar, comece a olhar para a descoberta em seu roteiro e, em seguida, atualize mais tarde.”
De acordo com a pesquisa divulgada pela Deloitte esta semana, a boa notícia é que entre os executivos de tecnologia e negócios que conhecem a computação quântica, pouco mais de 50% também entenderam as considerações de segurança associadas a ela.
Cronometrando o impacto de segurança pós-quântico
O truque em tudo isso para os profissionais de segurança é que há muitos incêndios para apagar em outros lugares antes de se preocupar com algo que pode demorar anos. Os computadores quânticos de hoje operam apenas no campo da pesquisa. Eles exigem equipamentos imensamente especializados – incluindo micro-ondas que manipulam objetos quânticos em ambientes super-resfriados que operam perto do zero absoluto em muitos casos. Há um longo caminho a percorrer na frente de pesquisa para que os computadores quânticos funcionem de maneira comercialmente viável, e ninguém tem certeza de qual será a linha do tempo.
Essa “ambiguidade da linha do tempo” é complicada, diz Soutar, que explica que existem várias linhas do tempo a serem consideradas de uma perspectiva pós-criptografia quântica.
“As implicações da computação quântica na segurança cibernética são bastante conhecidas e podem ser enormes. Quero dizer, a criptografia é endêmica no que fazemos em toda a economia. O fato é que o momento é desconhecido porque primeiro, um computador quântico precisa ser maduro e viável o suficiente e comercialmente robusto também, para realmente ser capaz de executar o algoritmo de Shor”, diz ele, referindo-se a um algoritmo para encontrar fatores primos de um inteiro que é a referência para saber se um computador quântico poderia efetivamente quebrar a criptografia de chave pública. “Em segundo lugar, os invasores precisam ter acesso aos dados e precisam desembaraçá-los.”
A outra variável nisso é um conceito de ataque chamado “colha agora, descriptografe depois”, em que os invasores coletam informações criptografadas agora com o entendimento de que podem quebrá-las por meio de recursos de computação quântica em uma data posterior. A pesquisa da Deloitte mostra que 50,2% das organizações acreditam que podem estar em risco de colheita agora, descriptografar esquemas posteriores.
“Isso abre um risco para esses dados que espero que sejam bons para a vida de um indivíduo”, diz Soutar. “Talvez sejam informações pessoais ou financeiras que eu queira proteger por pelo menos 10 anos. Ou são informações de segurança nacional que podem ter requisitos mais longos.”
Ele acrescenta: “Então, as pessoas estão começando a pensar: ‘Bem, quais dados eu tenho e como preciso protegê-los? Por quanto tempo? Em segundo lugar, quanto tempo vou levar para fazer as atualizações para postar criptografia quântica? Quando devo começar a pensar nisso?'”
Essas são as grandes questões da linha do tempo para especialistas em segurança e computação quântica, que ainda estão em desacordo sobre se temos 5, 10 ou 15 anos antes que o efeito quântico afete a criptografia. Soutar reitera que talvez o melhor processo de pensamento seja parar de pensar nisso como uma data definitiva para a indústria e, em vez disso, pensar no risco relativo ao longo do tempo. Ele explica que esta é uma ideia apresentada pelo Dr. Michele Mosca, cofundador e CEO da Evolution Inc, e coautor de um relatório no início deste ano que detalha essa linha de pensamento.
“Então você pode começar a pensar que, se eu estiver em uma grande organização, talvez leve uma década para fazer as atualizações”, explica Soutar. “Tenho todos esses dispositivos médicos ou outros dispositivos OT que preciso pensar sobre as comunicações da cadeia de suprimentos e como faço para impor isso aos meus fornecedores?”
Ele acrescenta: “Então, novamente, está obtendo o grau certo de entendimento para que as pessoas possam começar a quantificar qual é o risco e comparar isso com outros riscos cibernéticos nos quais desejam investir ao longo do tempo”.
Trabalhando nas peças chatas
No final das contas, Soutar diz que talvez a lente quântica possa distrair um pouco a segurança. Contanto que as organizações mantenham o quantum no horizonte, pode ser apenas uma questão de fazer “atualizações superficiais para a criptografia” que podem não ser um grande negócio para o setor se tudo for feito no devido tempo.
“A ameaça quântica às criptomoedas deve ser algo que deve ser resolvido ao longo do tempo. Basta fazer atualizações à medida que os algoritmos são padronizados”, diz Soutar, que acredita que a indústria deveria falar sobre os detalhes da padronização, que podem ser chatos, mas também são a maneira mais importante de começar a avançar. “À medida que passam por esse processo, as empresas e os governos têm mais confiança em fazer as mudanças, fazer as atualizações, e eles simplesmente fazem isso. Então, realmente deveria ser um não-evento.”
Isso não quer dizer que Soutar acredite que os profissionais de segurança devam enfiar a cabeça na areia em relação ao risco quântico às posturas de segurança. Os riscos vão acelerar, mas é apenas uma questão de trabalhar esse roteiro de criptografia como qualquer outra parte do roteiro de risco cibernético. Isso inclui fazer avaliações de risco, descobrir e classificar dados e projetar riscos ao longo do tempo.
“Nunca é uma má idéia dar uma olhada no sótão. Você não sabe o que vai encontrar lá. Quando fazemos isso, quando passamos por criptografia básica, há coisas que encontramos”, diz ele. . “Você pode dizer: ‘Bem, vamos atualizar isso ou vamos ter certeza de que temos a segregação correta de deveres em relação a isso.’ Ou, ‘temos todas as responsabilidades e governança estabelecidas?’ Mais uma vez, são as coisas chatas. Mas essas são coisas que você encontra quando olha através das lentes quânticas.”
A pesquisa da Deloitte mostra que pode ser necessário algum tipo de pressão regulatória para levar os profissionais de segurança a dar passos sérios na criptografia pós-quântica. Soutar espera que a indústria seja capaz de se unir nos próximos anos para desenvolver uma estrutura para métodos criptográficos pós-quânticos, talvez no mesmo espírito do NIST Cybersecurity Framework (CSF).
“Não é uma má ideia ter alguma estrutura por aí quando há um cheiro de regulamentação potencial a jusante”, diz ele. “Acho que é sempre melhor do que apenas regulamentação, ter algo voluntário e baseado em resultados”.
FONTE: DARK READING