Elaborare un piano per la sicurezza informatica in vista dell’era, apparentemente ancora lontana, dell’informatica quantistica potrebbe attualmente trovarsi in fondo alla lista delle priorità di molte aziende, ma le agenzie federali stanno già adottando alcune misure fondamentali per affrontare la transizione e ottemperare agli obblighi di segnalazione previsti dalla normativa.
Il problema è che quei primi passi verso una sicurezza resistente alla crittografia quantistica sono stati, in generale, piuttosto incerti, e sono in gioco grandi quantità di dati crittografati – come i dati finanziari , i segreti di Stato, le informazioni riservate e i dati personali dei cittadini.
Stephen Harper, responsabile dell’ingegneria dell’informazione quantistica presso Accenture Federal Services, è pronto per il “Q-Day”, termine coniato dagli esperti del settore quantistico per indicare il momento in cui un computer quantistico sarà in grado di violare gli attuali standard di crittografia utilizzati dalle reti informatiche. Sta aiutando le agenzie federali a passare alla crittografia post-quantistica e sta cercando di accelerare tale processo.
Accenture Federal Services – una divisione della società globale di consulenza informatica Accenture – collabora con le agenzie del governo federale statunitense nell’ambito dell’ , assistendole nell’adozione di nuove tecnologie, tra cui l’ , il cloud, l’intelligenza artificiale (AI) e i sistemi di sicurezza informatica. Harper, esperto di sicurezza di lunga data, ha conseguito un master in sicurezza informatica presso la Whiting School of Engineering della Johns Hopkins ed è un appassionato di informatica quantistica.
Le agenzie federali statunitensi hanno dovuto iniziare a segnalare le potenziali vulnerabilità dei sistemi all’Ufficio di gestione e bilancio (OMB) nel 2023 e, finora, lo hanno fatto per lo più manualmente e non con grande precisione, afferma Harper.
Ecco il suo punto di vista su come possiamo accelerare e migliorare tale processo. E con “noi” intende proprio tutti noi. Le imprese del settore pubblico devono prestare attenzione alle questioni relative alla conformità al “ ” – e l’autore offre alcuni consigli su ciò che gli enti dovrebbero fare in questo momento. Ma il suo consiglio vale altrettanto per il settore privato. Poiché la minaccia quantistica è reale e riguarda tutte le organizzazioni, grandi e piccole.
(La seguente intervista è tratta da una conversazione tra Harper e la conduttrice del podcast Chelsea Nelson su Tanium Podcast, , prodotto da Tanium, che pubblica questa rivista.) (Il testo è stato modificato per ragioni di spazio e chiarezza.)
Quale impatto sta avendo il progresso dei computer quantistici sia sul settore privato che su quello pubblico? Qual è la minaccia in quel caso?
All’inizio del 1990s, il professor Peter Shor [un matematico che all’epoca lavorava presso i Bell Labs nel New Jersey] pubblicò un articolo in cui descriveva in dettaglio un algoritmo per un computer quantistico in grado di scomporre in fattori primi i numeri semi-primi. Ciò significa che i nostri attuali sistemi crittografici a chiave pubblica [utilizzati per garantire la riservatezza dei dati nelle reti informatiche] possono essere violati da questo algoritmo, qualora si disponga di un computer quantistico sufficientemente potente. Non disponiamo ancora di quel computer quantistico, ma ne sono in fase di sviluppo.
«Abbiamo ora il tempo di iniziare a trasferire il tutto su algoritmi non vulnerabili, ma dobbiamo darci da fare.”»
Sappiamo che ciò avverrà [probabilmente] tra 10 e 20 anni… Abbiamo quindi tempo ora per iniziare a passare ad algoritmi non vulnerabili, ma dobbiamo darci da fare. Ed è proprio in questo contesto che sono state emanate le disposizioni legislative e le circolari da parte del ramo esecutivo , affinché le agenzie federali avviino tale transizione. Il primo è il Memorandum sulla sicurezza nazionale (NSM-8), seguito poi dall’NSM-10.
E poi c’è il Memorandum n. M-23-02 dell’OMB. Cosa richiedono tali circolari alle agenzie federali?
Per farla breve, ciò che viene richiesto è che le agenzie inizino a monitorare l’utilizzo di sistemi di crittografia asimmetrica vulnerabili nelle loro applicazioni altamente critiche e ne rendano conto ogni anno all’OMB, al fine di definire l’ambito della transizione necessaria. Nella nota è riportata un'intera tabella che elenca gli algoritmi vulnerabili e che devono essere segnalati; tale tabella dovrà essere presentata ogni anno per i prossimi 10 anni.
«Quando si parla di crittografia post-quantistica, si presenta un piccolo problema di immagine, poiché il termine suona molto più complicato di quanto non sia in realtà.”
E da quanto abbiamo potuto constatare, la maggior parte delle agenzie, almeno per il primo anno o due, ha svolto tutte queste operazioni manualmente: si tratta di un’attività che richiede moltissimo tempo e, ad essere sinceri, è piuttosto imprecisa.
L'automazione di questo tipo di attività dovrebbe favorire il rispetto delle norme. In che misura si traduce questo risparmio di tempo?
L'investimento iniziale [nello sviluppo di strumenti volti ad automatizzare e migliorare la raccolta dei dati] richiede un po' di tempo. È difficile farsi un’idea chiara al riguardo, poiché dipende dalle dimensioni degli ambienti di sistema e dal numero di essi.
Tuttavia, una volta che tutto sarà stato implementato, non solo saremo in grado di ottenere i dati magari nel giro di un pomeriggio, se tutto è già pronto, ma tali dati dovrebbero risultare notevolmente più accurati, a condizione che i report e i dashboard siano stati progettati correttamente.
Qual è uno dei principali malintesi riguardo alla meccanica quantistica?
Quando si parla di crittografia post-quantistica, si presenta un piccolo problema di immagine, poiché il termine “quantistica” fa sembrare il concetto molto più complicato di quanto non sia in realtà.
Esatto.
In realtà stiamo semplicemente parlando di nuovi algoritmi di crittografia che funzionano su computer standard. Non c’è nulla di quantistico in questo.
«Non stiamo ricevendo tutti i dati di cui abbiamo bisogno e questi non vengono riportati in modo accurato, pertanto non conosciamo la reale entità della minaccia né l’estensione della superficie di attacco esistente.”
Stiamo semplicemente proteggendo dai computer quantistici . È quindi importante che riusciamo a trasmettere questo messaggio, poiché abbiamo collaborato con agenzie con cui inizieremo a lavorare con i vari responsabili dei sistemi e i gruppi che li gestiscono, chiedendo loro: «Ci indichino quali algoritmi presenti in questo elenco di algoritmi vulnerabili stanno utilizzando». E riceveremo risposte del tipo: «Utilizziamo Windows; non facciamo nulla di tutto ciò». E questo, tecnicamente, è vero, immagino, ma in un certo senso non coglie il punto.
Non stiamo ricevendo tutti i dati di cui abbiamo bisogno e questi non vengono riportati in modo accurato, pertanto non conosciamo la reale entità della minaccia né l’estensione della superficie di attacco esistente.
Inoltre, non disponiamo di un quadro preciso in vista delle future operazioni di migrazione per sapere cosa dovremo fare. Pertanto, ciò influirà sull’ambito di bilancio e sull’ ambito del personale al fine di portare a termine tutto ciò.
Cosa dovrebbero fare in questo momento le agenzie federali?
Si spera che tutti abbiano lavorato per migliorare il proprio processo di raccolta dei dati. L’aspetto fondamentale per loro nei prossimi uno o due anni è garantire che tale processo sia il più accurato possibile e il più automatizzato possibile , in modo che, in futuro, possiamo intervenire per aiutarli a trasferire tutto a questi nuovi algoritmi di crittografia e assicurarci che non ci sfugga nulla.
Quanto è grave il nostro problema di procrastinazione quando si tratta di fisica quantistica?
La gente mi chiede sempre: «Beh, abbiamo dai 10 ai 20 anni… per trasferire tutto su questi nuovi algoritmi». Non è forse tempo più che sufficiente?
[Leggi anche: La guida essenziale alla “slow patching”: motivi, rischi e soluzioni]
La CISA [l’Agenzia statunitense per la sicurezza informatica e delle infrastrutture] ha infatti pubblicato [lo scorso anno] un documento in cui esorta le agenzie del settore pubblico, in particolare quelle che operano nei servizi pubblici, a rivedere i propri dispositivi di comunicazione radio: molte di esse utilizzano ancora la crittografia DES [il “Data Encryption Standard”, ormai obsoleto] per tali comunicazioni, e tale standard è ormai superato da quasi 20 anni. Passare dalla crittografia simmetrica DES a quella AES [lo “standard di crittografia avanzato”, aggiornato e più sicuro] è un’operazione molto, molto più semplice rispetto al passaggio di tutti i nostri... sistemi di crittografia asimmetrica.
Sembra quindi che abbiamo molto tempo a disposizione, ma… prima ancora di rendercene conto, ci ritroveremo con una serie di sistemi vulnerabili e ci chiederemo cosa sia successo.
PER SAPERNE DI PIÙ:
Legga l’intervista completa a Harper al link riportato di seguito, in cui illustra gli ultimi standard dell’ NIST in materia di crittografia quantistica e approfondisce le modalità con cui le agenzie possono acquisire dati dai certificati digitali e da altri componenti di rete in modo più efficiente e accurato, al fine di soddisfare i requisiti di conformità.
