Kwantowa apokalipsa to bajka, ale Twoje certyfikaty SSL to realny problem
Hakerzy z grup takich jak APT41 nie czekają na gotowe rozwiązania. Realizują strategię "Harvest Now, Decrypt Later". Kradną wszystko, co jest zabezpieczone dzisiejszą kryptografią asymetryczną, licząc na to, że moc obliczeniowa jutra uczyni te dane czytelnymi. Dla polskiego dyrektora bezpieczeństwa to oznacza jedno: dane o znaczeniu strategicznym, które musisz chronić przez dekady, już teraz są zagrożone. Jeśli Twoja firma podlega pod nową ustawę o krajowym systemie cyberbezpieczeństwa (UKSC), brak planu na odporność kwantową wkrótce przestanie być ciekawostką, a stanie się błędem w audycie.
Dlaczego Twoje szyfry są już martwe
Większość infrastruktury w Polsce opiera się na algorytmach, które komputer kwantowy po prostu ośmieszy. Standardowe RSA czy kryptografia krzywych eliptycznych (ECC) bazują na trudności faktoryzacji dużych liczb lub logarytmie dyskretnym. Dla klasycznego procesora to ściana nie do przebicia. Dla kubitów to płotek, nad którym przechodzą bez zwalniania. Już w 2023 roku chińscy badacze w publikacji "Factoring integers with sublinear resources on a superconducting quantum processor" sugerowali, że granica bezpieczeństwa przesuwa się szybciej, niż zakładaliśmy. Nawet jeśli ich tezy o złamaniu RSA-2048 przy użyciu obecnych maszyn były na wyrost, kierunek jest jasny.
Przejście na AES-256 daje chwilowy oddech w przypadku szyfrowania symetrycznego, ale problemem pozostaje wymiana kluczy i podpisy cyfrowe. Tutaj wchodzi PQC, czyli kryptografia postkwantowa. NIST sfinalizował już pierwsze standardy, takie jak ML-KEM (dawniej Kyber) czy ML-DSA (Dilithium). Wdrożenie tych protokołów to nie jest prosta aktualizacja softu w niedzielę wieczorem. To całkowita przebudowa stosu technologicznego, która zajmie lata.
Polskie realia: NIS2, DORA i bat od regulatora
W Polsce nie mamy luksusu czekania na "idealny moment". Nowelizacja UKSC oraz unijne rozporządzenia NIS2 i DORA nakładają na podmioty kluczowe obowiązek zarządzania ryzykiem w sposób adekwatny do zagrożeń. Regulatorzy wkrótce zaczną pytać o "cryptographic agility", czyli zdolność Twojej organizacji do szybkiej zmiany algorytmów szyfrujących bez rozwalenia całego biznesu. Banki objęte DORA muszą zrozumieć, że ich archiwa transakcyjne z 2025 roku będą musiały pozostać poufne w 2035 roku. Jeśli dzisiaj nie zaczniesz inwentaryzacji tego, gdzie i jak używasz kryptografii, za trzy lata obudzisz się z gigantycznym długiem technologicznym i karą od organu nadzorczego.
Przykładem z polskiego podwórka są systemy klasy SCADA w energetyce. Tam cykl życia urządzeń to często 15-20 lat. Jeśli dzisiaj kupujesz sterowniki, które wspierają wyłącznie klasyczne RSA, to kupujesz sprzęt, który zostanie zhakowany przed końcem okresu amortyzacji. To nie jest teoria, to czysta matematyka i planowanie wydatków kapitałowych.
Jak nie dać się zmielić kwantowemu walcowi
Zacznij od audytu, którego wszyscy nienawidzą. Musisz wiedzieć, gdzie w Twojej sieci siedzą certyfikaty i jakie biblioteki kryptograficzne wykorzystują Twoje aplikacje. Narzędzia do skanowania kodu i ruchu sieciowego muszą teraz szukać przestarzałych metod wymiany kluczy. Następnie wymuś na dostawcach oprogramowania deklarację zgodności z PQC. Jeśli Twój dostawca VPN nie ma w roadmapie obsługi algorytmów zatwierdzonych przez NIST, czas szukać nowego partnera.
Nie daj się jednak zwieść handlowcom, którzy będą chcieli sprzedać Ci "Quantum Encryption" w pudełku za milion złotych. Większość tych rozwiązań to marketingowy bełkot. Skup się na hybrydowym podejściu: łącz klasyczne algorytmy z nowymi standardami postkwantowymi. Dzięki temu zachowasz zgodność z obecnymi systemami, jednocześnie budując warstwę ochronną przed przyszłymi atakami.
Zignorowanie tego tematu dzisiaj to wystawienie faktury in blanco dla obcego wywiadu. Twoje dane wyciekają teraz, a faktura zostanie zrealizowana w momencie, gdy pierwszy stabilny komputer kwantowy zostanie podłączony do sieci. Spanie spokojnie to przywilej tych, którzy wiedzą, że ich szyfry nie mają daty ważności kończącej się za dekadę.
Bibliografia:
NIST Post-Quantum Cryptography Standardization (FIPS 203, 204, 205).
CSO Online: "CISOs face quantum leap in prioritizing quantum resilience".
Raport ENISA: "Post-Quantum Cryptography: Current state and quantum mitigation".
Ustawa o Krajowym Systemie Cyberbezpieczeństwa (projekt nowelizacji 2024/2025).
Rozporządzenie DORA (Digital Operational Resilience Act).
