Czym jest Q-Day?
Q-Day (ang. Quantum Day) to umowna nazwa hipotetycznego momentu, w którym komputer kwantowy osiągnie parametry umożliwiające skuteczne przełamanie obecnie stosowanych algorytmów kryptografii asymetrycznej, takich jak RSA czy kryptografia oparta na krzywych eliptycznych (ECC).
Choć dokładna data nadejścia Q-Day pozostaje nieznana, jego potencjalne konsekwencje sąjasno określone. Znaczna część współczesnej infrastruktury cyfrowej - od bankowości elektronicznej i administracji publicznej po systemy ochrony zdrowia, energetykę i telekomunikację - wykorzystuje rozwiązania kryptograficzne, których bezpieczeństwo opiera się na problemach matematycznych trudnych do rozwiązania dla klasycznych komputerów. Komputer kwantowy odpowiedniej skali mógłby znacząco skrócić czas potrzebny do rozwiązania części z tych problemów, podważając bezpieczeństwo obecnie stosowanych mechanizmów kryptografii asymetrycznej.
W ostatnich latach kryptografia postkwantowa przestała być wyłącznie przedmiotem badań naukowych. Stała się elementem strategii bezpieczeństwa cyfrowego państw.Przełomowym wydarzeniem było opublikowanie w sierpniu 2024 r. przez amerykański National Institute of Standards and Technology (NIST) pierwszych standardów kryptografii postkwantowej - FIPS 203, FIPS 204 oraz FIPS 205. Dokumenty te określają algorytmy, które mają zastąpić rozwiązania podatne na ataki z wykorzystaniem komputerów kwantowych¹.
Publikacja standardów zakończyła trwający niemal dekadę proces badań i oceny bezpieczeństwa kandydatów do nowych algorytmów kryptograficznych. Teraz administracja publiczna, producenci sprzętu i oprogramowania oraz operatorzy infrastruktury krytycznej otrzymali podstawę do planowania długofalowej migracji.
Europa przygotowuje wspólną migrację
Równolegle działania prowadzi Unia Europejska.
Jak wskazuje raport Instytutu Łączności - PIB, państwa członkowskie uzgodniły wspólne kierunki przygotowań do migracji na kryptografię postkwantową. Celem jest zapewnienie, aby proces wymiany mechanizmów kryptograficznych przebiegał w sposób skoordynowany, z uwzględnieniem bezpieczeństwa administracji publicznej, usług cyfrowych i infrastruktury krytycznej².
Przyjęta mapa drogowa zakłada rozpoczęcie pierwszych działań przygotowawczych do końca 2026 r., zakończenie migracji systemów wysokiego ryzyka około 2030 r. oraz stopniowe wdrażanie nowych rozwiązań w kolejnych latach. Oznacza to, że większość organizacji będzie musiała rozpocząć przygotowania znacznie wcześniej niż termin wymiany wykorzystywanych obecnie algorytmów.
Komisja Europejska podkreśla również, że pierwszym etapem nie jest wdrażanie nowych rozwiązań kryptograficznych, lecz dokładne rozpoznanie obecnego stanu zabezpieczęń. Organizacje powinny wiedzieć, gdzie wykorzystują kryptografię, jakie algorytmy stosują oraz które systemy będą wymagały modernizacji. Dopiero taka wiedza pozwala przygotować realistyczny plan migracji.
Polska również rozpoczęła przygotowania
Kryptografia postkwantowa znalazła już odzwierciedlenie w krajowych dokumentach strategicznych dotyczących cyberbezpieczeństwa.
Jak wskazuje raport IŁ-PIB, Strategia Cyberbezpieczeństwa Rzeczypospolitej Polskiej przewiduje przygotowanie planu migracji do kryptografii postkwantowej oraz rozwój krajowych kompetencji w tym obszarze. W działania te zaangażowane są instytucje administracji publicznej, jednostki odpowiedzialne za cyberbezpieczeństwo oraz środowisko naukowo-badawcze.
Istotną rolę w tym procesie odgrywa Instytut Łączności - Państwowy Instytut Badawczy, który monitoruje światowe kierunki rozwoju technologii postkwantowych i analizuje ich znaczenie dla krajowego systemu cyberbezpieczeństwa. Raport „Wyścig z Q-Day. Globalny stan przygotowań” stanowi przegląd najważniejszych inicjatyw podejmowanych przez państwa i organizacje międzynarodowe oraz wskazuje wyzwania, z którymi w najbliższych latach będą musiały zmierzyć się również polskie podmioty.
Inwentaryzacja trudniejsza od wymiany (algorytmów) Migracja do kryptografii postkwantowej często kojarzona jest z wymianą jednego algorytmu na drugi. W praktyce będzie to znacznie bardziej złożony proces.
W wielu organizacjach mechanizmy kryptograficzne są wykorzystywane w setkach systemów, aplikacji i urządzeń. Często funkcjonują od wielu lat, a ich dokumentacja jest niepełna lub nieaktualna. Dlatego pierwszym krokiem powinno być ustalenie, gdzie i w jaki sposób wykorzystywana jest kryptografia oraz które systemy wymagają ochrony przez wiele lat.
Autorzy raportu IŁ-PIB zwracają uwagę, że odpowiednie przygotowanie do migracji wymaga przede wszystkim budowania świadomości, planowania oraz rozwijania kompetencji. Sama wymiana algorytmów będzie dopiero jednym z końcowych etapów tego procesu.
Choć nie wiadomo, kiedy nastąpi Q-Day, już dziś wiadomo, że przygotowanie do ery postkwantowej będzie procesem rozłożonym na lata. Dlatego pytaniem nie jest, czy warto przygotowywać się do Q-Day, lecz czy organizacje rozpoczną ten proces odpowiednio wcześnie.
Przypisy
- National Institute of Standards and Technology (NIST), FIPS 203, FIPS 204, FIPS 205, sierpień 2024.
- Instytut Łączności - PIB, Wyścig z Q-Day. Globalny stan przygotowań, maj 2026.