Microsofts Quantum Safe-plan har post-kvantesikkerhet som mål innen 2029

Microsoft har fremskyndet Microsofts Quantum Safe-plan og advarer om at den raske utviklingen innen kvantedatamaskiner gjør overgangen til post-kvantekryptografi mer presserende enn tidligere antatt. Selskapet planlegger nå å flytte kritiske produkter og tjenester til kvantesikker kryptering innen 2029. Samtidig oppfordrer Microsoft organisasjoner til å starte forberedelsene umiddelbart.

Den oppdaterte strategien bygger på en økende bekymring for såkalte «harvest now, decrypt later»-angrep, der angripere stjeler kryptert informasjon i dag for å dekryptere den når fremtidige kvantedatamaskiner blir kraftige nok.

Microsoft fremskynder sin Quantum Safe-plan

Microsoft kunngjør at selskapet akselererer sitt Microsoft Quantum Safe Program (QSP) og samtidig integrerer kvantesikkerhet i sitt bredere sikkerhetsinitiativ Secure Future Initiative.

I flere år beskrev Microsoft post-kvantekryptografi som en langsiktig utfordring. Nå mener selskapet at organisasjoner ikke lenger har råd til å utsette planleggingen.

Ifølge Microsoft har den siste utviklingen innen kvantedatamaskinforskning forkortet tidslinjen for når kvantedatamaskiner kan bli kraftige nok til å true dagens krypteringsmetoder.

Selv om dagens kvantedatamaskiner ennå ikke kan bryte moderne kryptering, understreker Microsoft at overgangen til en ny kryptografisk infrastruktur vil kreve omfattende arbeid. Derfor bør forberedelsene starte allerede nå.

«Harvest now, decrypt later» blir en stadig større trussel

Microsoft trekker særlig frem faren ved «harvest now, decrypt later»-angrep.

Ved denne typen angrep stjeler nettkriminelle krypterte data uten å forsøke å dekryptere dem med en gang. I stedet lagrer de informasjonen til fremtidige kvantedatamaskiner blir i stand til å bryte de offentlige krypteringsalgoritmene som beskytter dataene i dag.

Når den teknologien blir tilgjengelig, kan angripere få tilgang til forretningshemmeligheter, finansielle opplysninger, offentlig kommunikasjon, helsedata, immaterielle verdier og annen sensitiv informasjon som organisasjoner har regnet som sikker.

Denne risikoen har allerede fått flere teknologiselskaper, blant annet Apple, Google og Signal, til å ta i bruk post-kvantekryptografi for å erstatte tradisjonell offentlig nøkkelkryptering med kvantesikre algoritmer.

Microsoft vil fullføre overgangen innen 2029

Microsoft opplyser at den oppdaterte Quantum Safe-planen skal flytte selskapets kritiske produkter og tjenester til post-kvantekryptografi innen 2029.

Selskapet mener imidlertid at organisasjoner først bør modernisere infrastrukturen før de bytter ut dagens krypteringsalgoritmer.

Microsoft peker på tre hovedprioriteringer:

• Oppgradere nettverkskryptering ved å ta i bruk moderne protokoller som TLS 1.3, som støtter fremtidige hybride og post-kvantesikre nøkkelutvekslinger.
• Bygge crypto-agility, slik at kryptografiske algoritmer kan byttes ut uten å redesigne applikasjoner eller infrastruktur.
• Modernisere de kryptografiske tillitskjedene som brukes til kodesignering, sertifikatutstedelse, programvareoppdateringer og maskinvarebasert nøkkelbeskyttelse.

Ifølge Microsoft vil disse tiltakene gjøre overgangen langt enklere når post-kvantekryptografi blir en industristandard.

Microsoft oppfordrer organisasjoner til å starte nå

Microsoft mener at integreringen av Microsofts Quantum Safe-plan i Secure Future Initiative gjør det enklere for organisasjoner å følge utviklingen innen post-kvantesikkerhet sammen med øvrige cybersikkerhetsmål.

Til tross for den fremskyndede tidsplanen har selskapet ikke opplyst hvilke teknologiske gjennombrudd som ligger bak beslutningen. Microsoft har heller ikke forklart hvorfor de nå mener at kvantedatamaskiner med kryptografisk betydning kan bli en realitet tidligere enn tidligere anslag tilsa.

Likevel understreker selskapet at organisasjoner ikke bør vente på endelige tidsprognoser. Det vil sannsynligvis ta flere år å forberede virksomheters infrastruktur på post-kvantekryptografi. Derfor er tidlig planlegging avgjørende for å beskytte langsiktig sensitiv informasjon mot fremtidige kvantebaserte cyberangrep.