Podle Petra Kunstáta jsme byli za poslední rok v oblasti kybernetické bezpečnosti svědky plošných změn vyvolaných živelným nástupem umělé inteligence do firemního prostředí. Zaměstnanci začali chatboty a vyhledávací nástroje využívat dříve, než organizace stihly nastavit pravidla jejich bezpečného provozu.
Firmy se v důsledku toho tak intenzivně zabývají otázkou, jak zabránit tomu, aby prostřednictvím těchto nástrojů unikala citlivá data mimo firemní perimetr.
Nová generace hardwarových bezpečnostních modulů
Společnost Thales v tomto kontextu nedávno oznámila novou platformu hardwarového bezpečnostního modulu (HSM), navrženou přímo s ohledem na provoz postkvantových algoritmů.
Akcelerace kryptografických operací na tomto zařízení dosahuje stonásobného až tisícinásobného zrychlení oproti předchozím generacím modulů, které postkvantové algoritmy podporují dodatečně, nikoliv jako součást původního návrhu.
Výkonnostní rezerva má praktický význam především u aplikací s vysokým objemem transakcí. Podle dostupných výkonnostních tabulek nová generace modulů tento typ zátěže zvládá pro klasické až desetkrát rychleji a pro postkvantové algoritmy až stokrát rychleji než předchozí generace.
Postup migrace na postkvantové algoritmy
Standardizace postkvantových algoritmů z dílny institutu NIST už je hotová. Pro výměnu klíčů jde o algoritmus ML-KEM, pro digitální podpisy o ML-DSA. Firmy patřící mezi technologické lídry tyto standardy již nasazují na svých platformách. NIST podle jeho slov postupně zveřejňuje další vlny algoritmů, čímž se nabídka schválených metod dále rozšiřuje.
Migrace na tyto algoritmy podle Kunstáta nepředstavuje jednorázový úkon, ale proces rozdělený do fází, obdobný jakékoliv jiné migraci podnikového IT řešení. Prvním krokem by měl být postkvantový assessment, jehož cílem je identifikovat systémy nejvíce ohrožené metodou harvest now, decrypt later, a nastavit pro ně priority.
U identifikovaných klíčových systémů následně doporučuje nasadit hybridní model šifrování, který kombinuje nový postkvantový algoritmus se standardní asymetrickou kryptografií, tedy RSA klíči nebo eliptickými křivkami. Pokud klient není schopen ustanovit spojení na základě postkvantové kryptografie, systém automaticky použije starší metodu, čímž zůstává zachována zpětná kompatibilita.
Asymetrická kryptografie, kterou kvantové počítače ohrožují nejvíce, se podle Kunstáta typicky nachází v infrastruktuře PKI, v protokolu TLS zajišťujícím zabezpečená spojení v prohlížečích, ve VPN připojeních a v mechanismech digitálního podpisu, používaných například u kamerových systémů odesílajících podepsaná data ke zpracování.
Z hlediska nákladů Petr Kunstát migraci na postkvantové algoritmy přirovnává ke standardnímu upgradu podnikového řešení, nikoliv k rozsáhlému projektu srovnatelnému s výměnou celého CRM systému. Časově náročnější bývá samotný assessment a stanovení priorit než technická implementace. Existující hardwarové bezpečnostní moduly starších generací nové algoritmy podporují, byť s nižším výkonem, takže migraci nebrání žádný technický blocker.
Petr Kunstát zároveň potvrzuje, že požadavek na podporu postkvantových algoritmů se za poslední rok stal běžnou, v řadě případů mandatorní součástí výběrových řízení na kybernetická bezpečnostní řešení.
Datová suverenita jako podmnožina digitální bezpečnosti
Druhá část rozhovoru se věnuje datové suverenitě, kterou Petr Kunstát definuje jako stav, kdy k citlivým datům má přístup výhradně entita, která k tomu má oprávnění, bez ohledu na to, kde jsou data fyzicky uložena. Shoda s GDPR ani uložení dat v evropském datovém centru tuto podmínku samo o sobě nezaručuje.
Řešením, které Petr Kunstát popisuje jako nejvyšší stupeň dosažení datové suverenity, je princip hold your own key. Šifrovací klíč, kterým jsou data v cloudu chráněna, v tomto modelu zůstává výhradně pod kontrolou organizace, uložený v key managementu nebo hardwarovém bezpečnostním modulu na její straně, nikoliv u poskytovatele cloudové služby.
Mechanismus funguje na principu dvou klíčů. Klíč, který šifruje samotná data, zůstává na straně cloudového poskytovatele, ale je zašifrován druhým klíčem uloženým u organizace. Díky tomu se šifruje pouze malý objem dat, tedy samotný klíč, nikoliv terabajty až petabajty dat uložených v cloudu, což zajišťuje vysokou výkonnost řešení a minimální zpomalení pro koncového uživatele.
Velcí poskytovatelé cloudových služeb podle Kunstáta tuto integraci podporují nativně, přičemž spojení mezi key managementem a cloudem se dnes standardně ustanovuje postkvantovou algoritmizací.
Model zároveň řeší riziko lidské chyby. Pokud dojde ke smazání klíče na straně key managementu, lze klíče znovu synchronizovat a obnovit jejich dostupnost u poskytovatele cloudové služby. Smazání klíče přímo na straně cloudového poskytovatele naopak bývá nevratné, pokud nemáme klíč uložen a spravován nezávisle (suverénně) na poskytovateli cloudu.
Computertrends si můžete objednat i jako klasický časopis. Je jediným odborným magazínem na českém a slovenském trhu zaměreným na profesionály v oblasti informačních a komunikačních technologií (ICT). Díky silnému zázemí přináší aktuální zpravodajství, analýzy, komentáře a přehledy nejnovejších technologií dříve a na vyšší odborné úrovni, než ostatní periodika na tuzemském trhu.
Obsah Computertrends je určen odborníkům a manažerům z firem a institucí, kteří se podílejí na rozhodovacím procesu při nákupu ICT technologií. Jednotlivá čísla si můžete objednat i v digitální podobě.
PŘEDPLATNÉ
ČLÁNKY DO MAILU