Пълноценните квантови компютри се очертават като най-опасната заплаха за сигурността на банковите данни (снимка: CC0 Public Domain)
В юнския си доклад Банката за международни разплащания (BIS) със седалище в Базел определи заплахата от квантовите платформи като основна опасност за следващите години, по-точно след около седем години. Някои финансови институции вече прилагат инструменти за смекчаване на риска от хакване.
Експертите на BIS очакват пълноценни квантови компютри да се появят през следващите 10-15 години. Те ще се превърнат в най-опасната заплаха за сигурността на банковите данни по света. Ще им отнеме часове или дори минути, за да дешифрират традиционно криптирани данни с помощта на RSA и ECC, което на класическите компютри би отнело хиляди години.
Квантовите алгоритми и особено добре известният алгоритъм на Питър Шор лесно разлагат големи числа на прости множители и по този начин дешифрират ключ или съобщение много по-бързо, отколкото класически компютър. Друг е въпросът, че факторизирането на криптографски значими (дълги) ключове изисква квантови системи от стотици хиляди или дори милиони кубити.
Малко вероятно е такива квантови платформи да се появят в обозримо бъдеще. И тук се крие още една опасност. Чувствителните данни могат да бъдат записани сега и разкрити 10 или повече години по-късно. Този метод не е приложим за банкови транзакции, но за цял набор от информация, включително лична и държавна тайна, е напълно работещ вариант.
В края на миналата година се появи тревожно съобщение от китайски изследователи за умножаване на скоростта на алгоритъма на Шор. На експериментална 10-кубитова платформа те успяха да разбият 48-битов RSA ключ и направиха прогноза, че 2048-битовият RSA ключ, който сега се използва широко в банковия и други сектори, може да бъде разбит от система от 372 кубита в много близко бъдеще.
По-късно експертите на Fujitsu опровергаха тези опасения, показвайки, че за бързо хакване на RSA-2048 е необходим квантов компютър с поне 10 хиляди кубита и 2,25 трилиона порта (логически елемента), свързани с тях. Това очевидно няма да се случи в близко бъдеще, но заплахата остава.
За смекчаване на квантовите заплахи експертите на BIS препоръчват преминаване към пост-квантово криптиране (в най-простия случай това е увеличаване на дължината на RSA ключовете) и ново оборудване, по-специално за квантова криптография, което ще премахне опасността от прихващане на чувствителна информация.
BIS твърди, че повечето от световните централни банки вече имат капацитета да въведат пост-квантови алгоритми, въпреки че се нуждаят от повече оценки, за да разберат кои системи може да са най-уязвими към заплахата от хакерски атаки от квантови устройства. Това означава, че до 2025 г. повечето централни банки ще използват активно пост-квантови алгоритми заедно с конвенционалните алгоритми за криптиране.
На една от миналите конференции на RSA за киберсигурност беше направена прогноза, че кракването на конвенционални ключове от квантовите системи ще започне още през 2027 г. Ето защо много международни компании работят активно върху алгоритми за постквантова криптография. Има напълно нова математика и тя е предназначена да противодейства „интелигентно” на алгоритмите за квантово хакване.
В същото време алгоритмите за пренос на данни между операторите и центровете за данни, системите за управление на електронни документи, информационните и аналитични системи, онлайн банкирането и платежните терминали, както и инфраструктурата за електронен подпис остават най-уязвими за квантово хакване.
Според оценка на BCG за 2022 г., една финансова институция е около 300 пъти по-вероятно да бъде хакната от всеки друг тип организация, а данните от S&P Global предполагат, че шансовете за атаки нарастват с размера на финансовата институция. Дори самият факт на хакване без кражба на данни или други щети е съпроводен с преки загуби, което ще подкопае доверието на клиентите в банковите услуги и механизми.
През март тази година S&P проведе симулация на успешна атака срещу голяма европейска банка (с приходи над 1 милиард евро). В най-лошия случай това би довело до директни загуби на около 7% от капитала, извън репутационните щети и пропуснатите ползи в бъдеще. Какво ще се случи при истинска атака, може само да се гадае. Понякога реалността надминава и най-лошите въображаеми кошмари.