هشدار مهم مؤسسه گارتنر: تهدید رایانش کوانتومی همین حالا آغاز شده است و سازمان‌ها از زمان عقب مانده‌اند

سال‌ها است که رایانش کوانتومی جایگاه غریبی در گفت‌وگوهای امنیت سایبری دارد؛ موضوعی که آن‌قدر مهم به نظر می‌رسد که باعث نگرانی شود، اما هم‌زمان چنان دوردست به نظر می‌آید که می‌توان حل آن را به آینده موکول کرد. وقتی از مدیران ارشد امنیت اطلاعات (CISO) پرسیده می‌شد چه خطراتی خواب را از چشمانشان می‌گیرد، رایانش کوانتومی به‌ندرت حتی در میان پنج اولویت نخست آن‌ها قرار می‌گرفت. این فناوری همچنان دوردست، صرفاً نظری و مشکلی متعلق به سال‌های پس از ۲۰۳۰ قلمداد می‌شد که گریبان مدیران آینده را خواهد گرفت.

اما اکنون نشانه‌ها حاکی از آن است که این محاسبات و پیش‌فرض‌ها کاملاً اشتباه بوده‌اند.

تحلیلگران ارشد تیم پژوهشی امنیت داده و نرم‌افزار در مؤسسه گارتنر (Gartner) هشدار می‌دهند که این رویکرد انفعالی باید بی‌درنگ متوقف شود.

گارتنر پیش‌بینی می‌کند که تا سال ۲۰۳۰، پیشرفت‌های حاصل‌شده در رایانش کوانتومی، رمزنگاری نامتقارن مرسوم را کاملاً ناامن خواهد ساخت. شاید تصور شود چهار سال فاصله تا این نقطه عطف، فرصت تنفس و زمان کافی در اختیار مدیران می‌گذارد، اما واقعیت فرسنگ‌ها با این دیدگاه فاصله دارد. جایگزینی سامانه‌های رمزنگاریِ تنیده‌شده در کل اکوسیستم فناوری یک سازمان، مانند انتشار یک به‌روزرسانی یا وصله امنیتی ساده دوره‌ای نیست؛ این فرآیند، تحولی چندساله است که نرم‌افزارها، زیرساخت‌ها، سیستم‌های مدیریت هویت، تأمین‌کنندگان و برنامه‌نویسان را هم‌زمان درگیر می‌کند.

شمارش معکوس این بازی از مدتی پیش آغاز شده است؛ مسئله اینجاست که بیشتر سازمان‌ها یا اصلاً متوجه آغاز آن نشده‌اند، یا درک درستی از زمان بسیار اندکی که در اختیار دارند، ندارند.

مسئله‌ای که هرگز صرفاً پیرامون فناوری نبوده است

نوآوری در حوزه کوانتوم با سرعتی سرسام‌آور به پیش می‌رود. غول‌های فناوری مانند IBM، آمازون و گوگل پی‌درپی نقشه‌های راه و دستاوردهای چشمگیری در زمینه تصحیح خطای کوانتومی و پایداری کیوبیت‌ها منتشر می‌کنند. مجموع این گزارش‌ها پیامی یکپارچه را مخابره می‌کند: خط زمانی دستیابی به یک کامپیوتر کوانتومیِ توانمند در شکستن کدهای رمزنگاری، روزبه‌روز در حال کوتاه‌تر شدن است، نه طولانی‌تر شدن.

با این حال، برای بیشتر کسب‌وکارها، این جذاب‌ترین سؤالی نیست که باید در حال حاضر از خود بپرسند. پرسش کاربردی‌تر بسیار معذب‌کننده‌تر و نگران‌کننده‌تر است: سازمان ما در عمل چه میزان رمزنگاری در دل سامانه‌های خود دارد؟ آیا دقیقاً می‌دانیم این الگوریتم‌ها در کجای زیرساخت مستقر شده‌اند؟ و اگر مجبور به تغییر آن‌ها شویم، آیا واقعاً توانایی انجام این کار را داریم؟

رمزنگاری مانند یک محصول مجزا در قفسه نیست که بتوان به‌سادگی به آن اشاره کرد. این مؤلفه در تاروپود همه‌چیز تنیده شده است؛ در نرم‌افزارهای خریداری‌شده از شرکت‌های ثالث پنهان شده، در دست‌دهی‌های پروتکل امنیت لایه انتقال (TLS) ادغام شده و بدون آنکه کسی به آن بیندیشد، بی‌سروصدا در دل سیستم‌های مدیریت هویت و دسترسی فعالیت می‌کند. پژوهش‌های مؤسسه گارتنر این نقطه کور سازمانی را با یک عدد تکان‌دهنده توصیف می‌کند: ۶۱ درصد از سازمان‌ها دید و نظارت کاملی بر سیستم‌های رمزنگاری خود ندارند.

مدیران فناوری اطلاعات و رهبران حوزه IT نمی‌توانند از خطری فرار کنند که حتی قادر به مشاهده آن نیستند. شاید بتوان گفت این آمار به‌تنهایی، نگرانی بسیار بزرگ‌تر و واقعی‌تری در مقایسه با خودِ جهش‌های علمی کوانتومی است.

حملات سایبری از همین حالا آغاز شده‌اند

بخش اضطراب‌آور ماجرا همین‌جا است: برای فعال بودن این تهدید در زمان حال، نیازی نیست که هکرها امروز یک کامپیوتر کوانتومی عملیاتی در اختیار داشته باشند. مهاجمان سایبری و به‌ویژه دولت‌های دارای منابع عظیم، از هم‌اکنون به راهبردی روی آورده‌اند که در صنعت امنیت به «اکنون درو کن، بعداً رمزگشایی کن» (Harvest Now, Decrypt Later) معروف است؛ یعنی آن‌ها حجم عظیمی از داده‌های رمزگذاری‌شده فعلی را می‌بلعند و ذخیره می‌کنند تا روزی فرابرسد که رمزگشایی از آن‌ها به کاری پیش‌پاافتاده تبدیل شود.

برای هر نوع داده‌ای که طول عمر و ارزش بلندمدت دارد — مانند پرونده‌های دولتی، سوابق پزشکی، مالکیت فکری، قراردادهای حقوقی و اسناد هویتی — جهشی که قرار است پنج سال دیگر رخ دهد، مشکلی برای امروز به شمار می‌رود؛ چراکه عملیات سرقت داده‌ها در همین لحظه در جریان است.

اینکه داده‌ها امروز با امنیت رمزگذاری شده‌اند، هرگز به معنای امن ماندن آن‌ها در تمام طول عمر مفیدشان نیست. این همان جمله‌ای است که هر مدیر ارشد امنیت باید استراتژی فعلی سازمان خود را با آن محک بزند و ارزیابی کند.

«چابکی رمزنگاری»؛ پاداش و هدف نهایی واقعی

وسوسه بزرگی میان مدیران ارشد فناوری وجود دارد که با مهاجرت به رمزنگاری پساکوانتومی مانند یک تعویض ساده قطعه برخورد کنند؛ با این تصور که کافی است الگوریتم قدیمی را بیرون بکشند، الگوریتم مقاوم در برابر کوانتوم را جایگزین آن کنند و کار را تمام‌شده بدانند. اما واقعیت به این سادگی نیست؛ الگوریتم‌های جدید به هیچ وجه جانشین‌های بدون دردسر و مستقیمی نیستند.

طول بزرگ‌تر کلیدها فشار مضاعفی بر حافظه سیستم‌های قدیمی وارد می‌کند، عملیات امضای دیجیتال با سرعت متفاوتی اجرا می‌شود و فرضیات عملکردی تعبیه‌شده در نرم‌افزارهای قدیمی ناگهان در هم می‌شکنند. افزون بر این، استانداردهای جدید همچنان در حال تدوین هستند؛ به این معنا که راه‌حل تعویضی امروز ممکن است فردا به بدهی فنی رمزنگاری جدیدی برای سازمان بدل شود.

دقیقاً به همین دلیل است که قابلیت تعیین‌کننده و کلیدی، تسلط بر یک الگوریتم خاص نیست؛ بلکه «چابکی رمزنگاری» (Crypto-agility) است. چابکی رمزنگاری یعنی توانایی تغییر سریع الگوریتم‌ها، کلیدها و پروتکل‌های رمزنگاری، بدون آنکه نیازی به مهندسی مجدد کل فرآیندهای کسب‌وکار باشد. سازمان‌های پیشرو در کنار آزمایش اولیه یا ارزیابی الگوریتم‌های پساکوانتومی، تمرکز خود را بر ایجاد این انعطاف‌پذیری معطوف کرده‌اند.

اگر چابکی رمزنگاری را به‌درستی پیاده‌سازی کنید، نه‌تنها خود را برای عصر کوانتوم آماده ساخته‌اید، بلکه معضلی قدیمی‌تر را ریشه‌کن کرده‌اید: بدهی فنی در حوزه رمزنگاری که در صورت بروز هرگونه نقطه ضعف در الگوریتم‌ها، فارغ از عامل محرک آن، سازمان را به دردسر می‌انداخت. رایانش کوانتومی صرفاً موعد تحویل و ضرب‌الاجل نهایی است؛ بیماری اصلی، همان بدهی فنی تلنبارشده است.

علاوه بر این، رمزنگاری هیبریدی (ترکیبی) که سازوکارهای کلاسیک و پساکوانتومی را در دوره گذار به هم پیوند می‌زند، فرصتی برای تنفس ایجاد می‌کند. با این حال، باید به این راهکار مانند یک داربست موقت نگاه کرد، نه مقصد نهایی؛ زیرا عمر مفید روش‌های کلاسیک به کمتر از یک دهه محدود شده است.

چرا باید همین حالا اقدام کرد، در حالی که هیچ‌کس تاریخ دقیق را نمی‌داند؟

این وسوسه و تمایل طبیعی قابل درک است که سازمان‌ها بخواهند تا زمان رسیدن به قطعیت کامل دست نگه دارند؛ یعنی صبر کنند تا دقیقاً مشخص شود چه زمانی یک کامپیوتر کوانتومی با قابلیت شکستن رمزها ساخته می‌شود و سپس برای آن بودجه اختصاص دهند. اما این رویکرد، استراتژی کاملاً غلطی برای تحولی است که مقیاس زمانی آن با سال‌ها سنجیده می‌شود، نه با چرخه‌های کوتاه‌مدت (اسپرینت‌های) توسعه چابک.

سازمان‌ها نیازی ندارند تاریخ دقیق وقوع این رویداد را بدانند؛ آن‌ها باید از همین حالا دیده‌پذیری و انعطاف‌پذیری لازم را بسازند تا در زمان بحران، توانایی واکنش داشته باشند. گام نخست که شاید چندان هیجان‌انگیز به نظر نرسد، تهیه سیاهه کامل دارایی‌ها (Inventory) است: کل اکوسیستم فناوری را اسکن کنید، تک‌تک اجزای رمزنگاری را فهرست‌بندی کنید و یافته‌ها را در داشبورد بدهی‌های فنی که مورد توجه مدیران ارشد است وارد سازید. این کار الگوریتم‌های منسوخ، نسخه‌های قدیمی پروتکل TLS و وابستگی‌ها به نرم‌افزارهای متفرقه را آشکار می‌کند و به پروژه مهاجرت پایه‌ای مبتنی بر واقعیت می‌بخشد، نه حدس و گمان.

سپس نوبت به اولویت‌بندی می‌رسد. پایگاه داده بازاریابی که اطلاعات آن تا ۱۸ ماه آینده منقضی می‌شود، مشخصات ریسک کاملاً متفاوتی در مقایسه با یک قرارداد دولتی ده‌ساله یا مدارک هویتی دارد که قرار است برای یک نسل معتبر بمانند. باید این پرسش را مطرح کرد: کدام اطلاعات پس از سال ۲۰۳۰ همچنان به محافظت نیاز خواهند داشت؟ این داده‌ها باید به صدر فهرست منتقل شوند. در مرحله بعد، باید سناریوهایی را شناسایی کرد که اختلال در آن‌ها می‌تواند کسب‌وکار را فلج کند و به رفع خطرات آن‌ها پرداخت.

مسئولیتی که نباید صرفاً به تیم امنیت واگذار شود

یکی از خطاهای رایج، تلقی کردن مهاجرت به رمزنگاری پساکوانتومی به‌عنوان یک پروژه صرفاً امنیتی با یک مدیر امنیت است. اما این‌طور نیست. توسعه‌دهندگان باید درک کنند که تغییر الگوریتم‌ها چه ضربه‌ای به کارایی و عملکرد نرم‌افزار وارد می‌سازد؛ تیم‌های شبکه و ابر تغییرات پروتکل‌ها را مدیریت می‌کنند؛ و تیم‌های مدیریت هویت مسئول وابستگی‌های احراز هویت هستند.

تیم‌های تأمین و خرید سازمانی نیز باید فروشندگان و ارائه‌دهندگان خارجی را درباره زمان‌بندی ارتقای محصولاتشان بازخواست کنند؛ چراکه بخش عظیمی از رمزنگاری مورد استفاده در شرکت‌ها، در دل نرم‌افزارهای متفرقه‌ای قرار دارد که هیچ‌کس کنترل مستقیمی بر آن‌ها ندارد.

به همین ترتیب، واگذار کردن این وظیفه به مدیران سامانه‌های مختلف بدون هماهنگی مرکزی، راهکاری تضمین‌شده برای شکست است؛ رویکردی که به تصمیم‌گیری‌های ضدونقیض، فقدان تصویر جامع سازمانی از پیشرفت پروژه، و ایجاد رخنه‌هایی منجر می‌شود که دقیقاً نخستین هدف مهاجمان سایبری خواهند بود.

راه‌اندازی یک «مرکز تعالی رمزنگاری» (Cryptographic Centre of Excellence) بین‌رشته‌ای که بخش‌های فناوری اطلاعات، توسعه نرم‌افزار و امنیت داده را زیر یک سقف گرد هم آورد، یک نمایش اداری و تشریفاتی نیست؛ بلکه عاملی حیاتی است که مانع از تکه‌تکه شدن و بی‌نظمی در واکنش سراسری سازمان می‌شود.

مسئله اصلی اساساً درباره کوانتوم نیست

اگر مخفف‌ها و واژگان پیچیده تخصصی را کنار بگذاریم، دیگر ماجرا درباره کیوبیت‌ها نیست؛ بلکه آزمونی بزرگ برای سنجش میزان تاب‌آوری معماری سازمان است. این آزمون مشخص می‌کند که آیا سازمان می‌داند رمزنگاری در کجای سیستم‌هایش جا خوش کرده است، درک می‌کند چه داده‌هایی به محافظت بلندمدت نیاز دارند، و آیا می‌تواند بدون نیاز به نوسازی همه‌چیز از صفر، مکانیزم‌های رمزنگاری خود را ارتقا دهد یا خیر.

آسیب‌پذیرترین نهادها لزوماً آن‌هایی نخواهند بود که ضعیف‌ترین الگوریتم‌ها را دارند؛ بلکه سازمان‌هایی ضربه خواهند خورد که هنوز با مسئله کوانتوم مانند یک داستان علمی‌تخیلی و دوردست برخورد می‌کنند، نه یک چالش اضطراری تاب‌آوری که در صورت‌حساب‌های مالی امروزشان ریشه دوانده است. زمانی که خطر برای همگان عیان شود، بخش دشوار کار — یعنی باز کردن گره از وابستگی‌های رمزنگاری چند دهه‌ای — از زمان‌بندی تعیین‌شده عقب مانده است.

عصر کوانتوم پیوسته در حال نزدیک‌تر شدن است، اما تلاش‌ها برای مهاجرت ایمن، همگام با آن پیش نمی‌روند.