การวางแผนย้ายไปใช้มาตรฐานหลังยุคควอนตัม

การย้ายโครงสร้างพื้นฐานด้านการเข้ารหัสไม่ใช่โครงการระยะสั้น องค์กรขนาดใหญ่ใช้เวลา 10-15 ปีในการอัปเดตระบบทั้งหมดอย่างครบถ้วน NIST ประเมินว่าคอมพิวเตอร์ควอนตัมที่สามารถทำลาย RSA-2048 อาจมีอยู่ภายใน 10-30 ปี เมื่อพิจารณาภัยคุกคามแบบเก็บข้อมูลวันนี้แล้วถอดรหัสภายหลัง รวมถึงระยะเวลาการย้ายระบบที่ยาวนาน องค์กรจึงต้องเริ่มวางแผนตั้งแต่วันนี้ แม้ภัยคุกคามจากควอนตัมในทันทีจะดูห่างไกลก็ตาม

ความคล่องตัวด้านการเข้ารหัสหมายถึงการออกแบบระบบให้สามารถเปลี่ยนอัลกอริทึมการเข้ารหัสได้โดยไม่ต้องออกแบบสถาปัตยกรรมทั้งหมดใหม่ ระบบที่มีความคล่องตัวจะรวมศูนย์การเลือกอัลกอริทึมไว้ในการกำหนดค่า ใช้ชนิดกุญแจแบบนามธรรม และแยกตรรกะของโพรโทคอลออกจากการใช้งานการเข้ารหัสแบบใดแบบหนึ่ง ระบบที่ฝัง RSA หรือ ECDH ไว้ตายตัวในตรรกะของโพรโทคอลจะต้องใช้การย้ายระบบที่มีค่าใช้จ่ายสูงกว่าระบบที่มีความคล่องตัวอย่างมาก

ขั้นตอนแรกของการย้ายระบบคือการจัดทำรายการองค์ประกอบพื้นฐานด้านการเข้ารหัสทุกชนิดในระบบของคุณ ได้แก่ มีการใช้ RSA, ECDH, ECDSA และอัลกอริทึมแบบสมมาตรที่ใด ในบริบทใดบ้าง เช่น TLS การลงนามโค้ด การเข้ารหัสข้อมูลขณะจัดเก็บ และโทเค็นยืนยันตัวตน รวมถึงข้อมูลเหล่านั้นมีอายุการใช้งานเท่าใด NIST IR 8547 และคำแนะนำของ CISA แนะนำให้ใช้เครื่องมือค้นหาอัตโนมัติเพื่อค้นหากุญแจที่ฝังตายตัวและตัวระบุอัลกอริทึมในฐานโค้ดและการกำหนดค่า

TLS 1.3 รองรับการแลกเปลี่ยนกุญแจแบบผสมที่รวม X25519 และ ML-KEM-768 ซึ่งระบุไว้ในร่าง draft-ietf-tls-hybrid-design ของ IETF กลุ่ม NamedGroup แบบผสม X25519MLKEM768 จะส่งส่วนแบ่งกุญแจทั้งแบบดั้งเดิมและแบบ PQC ใน ClientHello ความลับร่วมคือค่าแฮชของผลลัพธ์ทั้งสอง ระบบนี้ไม่ต้องเปลี่ยนแปลงโพรโทคอลเลยสำหรับเซิร์ฟเวอร์ที่รองรับ NamedGroup ใหม่ และยังเข้ากันได้กับไคลเอ็นต์รุ่นเดิมที่ไม่รองรับ NamedGroup ดังกล่าว

NIST IR 8413 (2022) ให้คำแนะนำเกี่ยวกับการย้ายไปใช้การเข้ารหัสหลังยุคควอนตัม โดยแบ่งระบบออกเป็นสามระดับ ได้แก่ ระดับวิกฤตทันที ซึ่งเป็นความลับที่มีอายุยาวนานและเผชิญความเสี่ยงจากการเก็บข้อมูลวันนี้แล้วถอดรหัสภายหลัง ระดับระยะกลาง ซึ่งเป็นข้อมูลที่ต้องรักษาความลับเป็นเวลา 5-10 ปี และระดับความสำคัญต่ำ ซึ่งเป็นข้อมูลชั่วคราวหรือมีอายุสั้น NIST แนะนำให้จัดลำดับความสำคัญกับ PKI และโครงสร้างพื้นฐานใบรับรอง เนื่องจากการเปลี่ยนใบรับรองรากส่งผลต่อสายโซ่ความน่าเชื่อถือทั้งหมด

ภัยคุกคามแบบเก็บข้อมูลวันนี้แล้วถอดรหัสภายหลัง (HNDL) เป็นเหตุผลเร่งด่วนที่สุดที่ควรนำการเข้ารหัสหลังยุคควอนตัมมาใช้งานทันที แม้คอมพิวเตอร์ควอนตัมจะยังไม่มีอยู่ก็ตาม ฝ่ายตรงข้าม (รัฐชาติ) บันทึกการรับส่งข้อมูลที่เข้ารหัสไว้ในวันนี้ โดยคาดหวังว่าจะถอดรหัสได้เมื่อมีคอมพิวเตอร์ควอนตัม ข้อมูลที่ต้องรักษาความลับในระยะยาว เช่น เวชระเบียน ความลับของรัฐ และข้อมูลทางการเงินที่มีความสำคัญต่อเนื่องหลายทศวรรษ กำลังเผชิญความเสี่ยงจากการโจมตีนี้ทันที

จากภัยคุกคาม HNDL ลำดับความสำคัญสูงสุดของการย้ายไปใช้การเข้ารหัสหลังยุคควอนตัมคือการปกป้องข้อมูลที่ต้องรักษาความลับเป็นเวลานาน ควรอัปเกรดการแลกเปลี่ยนกุญแจชั่วคราวของ TLS (ECDHE) เป็น X25519+ML-KEM แบบผสมทันที กุญแจส่วนตัว RSA ที่มีอายุยาวนาน ซึ่งใช้ลงนามใบรับรองหรือใช้กับข้อมูลที่จัดเก็บแบบเข้ารหัส จำเป็นต้องเข้ารหัสใหม่ด้วยโครงร่างหลังยุคควอนตัม ส่วนกุญแจเซสชันชั่วคราวสำหรับวิดีโอสตรีมมิงมีความสำคัญต่ำ เนื่องจากไม่มีคุณค่าในระยะยาว

ก่อนนำ PQC ไปใช้งาน องค์กรควรทดสอบประสิทธิภาพเพื่อวัดผลกระทบต่อภาระงานเฉพาะของตน ML-KEM ทำงานได้รวดเร็ว โดยการสร้างกุญแจและการห่อหุ้มใช้เวลาน้อยกว่า 20 ไมโครวินาทีบนฮาร์ดแวร์สมัยใหม่ อย่างไรก็ตาม ขนาดกุญแจและข้อความเข้ารหัสที่เพิ่มขึ้น (ML-KEM-768: 1184 + 1088 ไบต์ เทียบกับ X25519: 32 + 32 ไบต์) ทำให้ขนาดการจับมือของ TLS เพิ่มขึ้น สำหรับเซิร์ฟเวอร์ TLS ที่มีการรับส่งข้อมูลปริมาณสูงและจัดการการเชื่อมต่อนับล้านรายการต่อวินาที จะต้องวัดภาระแบนด์วิดท์ที่เพิ่มขึ้นนี้

โครงการความปลอดภัยควอนตัมแบบเปิด (OQS) จัดทำ liboqs ซึ่งเป็นไลบรารีโอเพนซอร์สที่ใช้งานอัลกอริทึม PQC รวมถึงมาตรฐานทั้งหมดของ NIST นอกจากนี้ OQS ยังจัดทำสาขาแยกของ OpenSSL และ BoringSSL ที่เพิ่มการรองรับ PQC รวมถึงเซิร์ฟเวอร์ทดสอบที่ test.openquantumsafe องค์กรสามารถใช้ liboqs เพื่อสร้างต้นแบบและทดสอบการผสานรวม PQC ก่อนนำไปใช้งานจริง โดยไม่ต้องรอการรองรับจากไลบรารีสายหลัก

หน่วยงานรัฐบาลกลางของ US และอุตสาหกรรมที่อยู่ภายใต้การกำกับดูแลต้องใช้โมดูลการเข้ารหัสที่ผ่านการตรวจสอบตาม FIPS มาตรฐาน NIST FIPS 203, 204 และ 205 ได้รับการเผยแพร่แล้ว แต่การใช้งานที่ผ่านการตรวจสอบและมีใบรับรอง CMVP ต้องใช้เวลาเพิ่มเติมจึงจะมีพร้อมให้ใช้งาน NIST กำลังดำเนินโครงการตรวจรับรอง PQC แบบเร่งรัด องค์กรในสภาพแวดล้อมที่อยู่ภายใต้การกำกับดูแลควรติดตามสถานะการตรวจรับรองของ CMVP และวางแผนสำหรับช่วงเวลาที่การนำระบบแบบผสมระหว่างแบบดั้งเดิมกับ PQC มาใช้งานจะใช้อัลกอริทึมแบบดั้งเดิมที่ผ่านการตรวจสอบตาม FIPS ควบคู่กับการใช้งาน PQC ที่ผ่านการตรวจรับรองแล้ว

การย้ายระบบ PKI มีความซับซ้อนเป็นพิเศษ ใบรับรองรากและผู้ออกใบรับรองระดับกลางต้องออกใหม่โดยใช้ ML-DSA หรือกุญแจแบบผสม สายโซ่ใบรับรองมีขนาดใหญ่ขึ้น โดยใบรับรอง ML-DSA-65 มีขนาดประมาณ 4 KB เทียบกับ 1 KB สำหรับ RSA-2048 ที่เก็บใบรับรองที่เชื่อถือได้ของเบราว์เซอร์ ระบบปฏิบัติการบนอุปกรณ์เคลื่อนที่ และอุปกรณ์ฝังตัว ล้วนต้องได้รับการอัปเดต องค์กรบางแห่งกำลังสำรวจใบรับรองที่ใช้อัลกอริทึมคู่ หรือ PKI แบบผสม เพื่อรักษาความเข้ากันได้กับระบบเดิมระหว่างการเปลี่ยนผ่าน

ข้อมูลประเภทใดมีลำดับความสำคัญสูงสุดสำหรับการย้ายไปใช้การเข้ารหัสหลังยุคควอนตัม เนื่องจากภัยคุกคามแบบเก็บข้อมูลวันนี้แล้วถอดรหัสภายหลัง

การย้ายระบบ PQC ต้องอาศัยความคล่องตัวด้านการเข้ารหัส บัญชีรายการการเข้ารหัสที่ครบถ้วน และการจัดลำดับความสำคัญตามอายุการใช้งานของข้อมูล ภัยคุกคามแบบเก็บข้อมูลวันนี้แล้วถอดรหัสภายหลังทำให้การนำ TLS แบบผสม (X25519+ML-KEM-768) มาใช้งานกับความลับที่มีอายุยาวนานเป็นเรื่องเร่งด่วน ภาระด้านประสิทธิภาพที่เพิ่มขึ้นสามารถจัดการได้สำหรับภาระงานส่วนใหญ่ liboqs ช่วยให้ทดสอบได้ก่อนที่ไลบรารีสายหลักจะรองรับ การปฏิบัติตาม FIPS จำเป็นต้องติดตามสถานะการตรวจรับรองของ CMVP สำหรับการใช้งาน PQC