即刻着手應對量子計算的 5 項準備措施

PKI 主要依賴兩類標準化算法，即Rivest-Shamir-Adleman（RSA）和橢圓曲線密碼（ECC），它們充當「數碼信任戳」，用於驗證每秒海量存取數據的人類身份與機器身份。然而，這些算法很快就會被量子電腦輕易破解。如果用當前的電腦嘗試破解標準加密的訊息，大約需要 300 萬億年；而量子電腦將具備在一周內完成破解的算力。量子計算的潛在影響極為嚴重，這一風險有時被稱為「量子末日」.

針對「量子末日」的準備工作早已啟動。過去六年間，美國國家標準與技術研究院（NIST）一直在透過公開遴選流程徵集後量子加密算法。在一份具有里程碑意義的 7 月公告中，具有里程碑意義的 7 月公告, NIST 公佈了入選算法：CRYSTALS-Kyber 用於通用加密，CRYSTALS-Dilithium、FALCON 和 SPHINCS+ 用於數碼簽署。

這些算法的標準化工作仍有大量內容待完成，預計要到 2024 年才能全部定稿。此外，目前還沒有造出能夠破解當前加密體系的量子電腦。但各類企業——包括政府機構和私營行業——都需要從現在開始規劃，以便快速、高效、無差錯地部署到新的抗量子密碼標準上。事實上，美國網絡安全和基礎設施安全局近期發佈了一份公告，建議 IT 團隊立即着手落實關鍵行動。

IT 團隊現在就可以開展以下 5 項工作，保護企業免受量子相關威脅：

1. 資產盤點

第一步是盤點所有加密系統，制定新密碼體系的部署策略。從底層開始梳理，明確核心系統的位置、存在的風險、適用的場景、參與遷移的人員，以及哪些系統可能受到量子計算的影響。未知項會成為黑客和網絡攻擊可利用的漏洞。

2. 測試新型後量子密碼算法

目前還無法使用這些新算法簽發公開證書，原因是它們尚未完成標準化，且現有軟件不提供支援。各類廠商、軟件開發商、操作系統廠商和服務供應商目前正逐步準備支援這些密碼原語，在相關支援落地前，企業無法在生產環境中使用這些算法。

不過，已經可以在實驗室環境中開始測試這些算法。在標準制定工作推進的同時，電腦科學從業員和 IT 專業人員應當在受控環境中測試新的密碼體系。所有人都需要了解如何使用新型數碼證書，例如混合證書，以及私有證書頒發機構（CA）支援後量子算法的軟件應具備哪些特性。Sectigo Quantum Labs為安全專業人員提供免費的混合證書工具包，供其評估抗量子遷移方案。

3. 制定系統遷移計劃

後量子密碼學的每一類應用場景，通常都涉及大量互相依賴的技術。企業必須摸清現有複雜系統與關鍵基礎設施的狀況，制定將其遷移至後量子密碼體系的方案。

部分系統無法適配新型抗量子證書，這就帶出了一個關鍵問題：這類老舊系統對應的風險有多高？如果答案是「風險過高」，IT負責人就必須評估其是否可以下線停用。除此之外唯一的選擇，就是任由這些系統在易受量子電腦攻擊的狀態下繼續運行。負責人需要結合所涉數據與業務的性質、敏感程度，務實選擇最優的推進路徑。

4. 與供應商開展協作

現在已是與供應商群體緊密協作的時機。對全球幾乎所有企業而言，後量子密碼學的落地工作絕大部分都需要由供應商完成：硬件、軟件及服務提供商將向企業交付相關產品，再由IT負責人落地部署這些新型後量子技術方案並完成合理集成。當前，IT負責人應當主動了解各家技術供應商針對新後量子密碼算法的支持規劃。

5. 開展員工培訓

普通系統管理員目前不會深入思考後量子時代的相關問題，這完全合乎情理——畢竟他們的精力都集中在保障當前系統的日常穩定運行上。兩年看似還有很長時間，但我們強烈建議技術團隊從現在就開始梳理資產清單，了解這一計算技術進展帶來的影響。

除了在沙箱中測試後量子加密算法、與供應商溝通、明確自身後量子生態的建設目標之外，團隊還可以梳理組織內部會受到影響的人員，為其提供新系統操作相關的培訓。

企業不能等待觀望，應當主動作為、從現在就啟動準備工作，因為遷移至抗量子密碼體系需要耗費大量時間。可下載量子公鑰基礎設施（PKI）解決方案的核心參考資料：www.sectigo.com/quantum-labs.