คู่มือประเมินความพร้อม Post-Quantum จากหน่วยงานความมั่นคง

เมื่อวันที่ 4 พฤศจิกายน หน่วยงานด้านความ Cybersecurity ของรัฐบาล 3 แห่ง ได้แก่ NSA จากสหรัฐอเมริกา, CISA และศูนย์ความมั่นคงทางไซเบอร์ของออสเตรเลีย ASD's ACSC ได้เผยแพร่เอกสารความยาว 19 หน้า ซึ่งไม่ได้เป็นคำสั่งบังคับให้ทำทันที แต่รวบรวมชุดคำถามที่มีเป้าหมายเฉพาะเจาะจงสำหรับการสนทนาระหว่างผู้ซื้อและผู้ขายซอฟต์แวร์ในช่วงต่อสัญญา

เอกสารดังกล่าวมีชื่อว่า "Post-quantum questions to ask your vendors: Evaluating third-party readiness for post-quantum cryptography" โดยออสเตรเลียเคยเผยแพร่เวอร์ชันแรกไปเมื่อเดือนกรกฎาคม และการอัปเดตในเดือนพฤศจิกายนนี้ได้กลายเป็นฉบับร่วมมือระดับนานาชาติ ซึ่งออกมาเพียงหนึ่งสัปดาห์หลังจากที่ NIST เผยแพร่แผนการเปลี่ยนผ่านขั้นสุดท้าย ที่ระบุว่า RSA และ elliptic-curve cryptography จะเริ่มตกรัดหลังปี 2030 และถูกยกเลิกใช้งานในปี 2035

จังหวะเวลาดังกล่าวไม่ใช่เรื่องบังเอิญ เมื่อนโยบายและเส้นตายมีผลบังคับใช้แล้ว คำถามที่ยากขึ้นคือบรรดาผู้พัฒนาซอฟต์แวร์ที่ขายผลิตภัณฑ์ให้กับองค์กรต่างๆ จะมีความพร้อมมากน้อยเพียงใด เนื่องจากองค์กรส่วนใหญ่ไม่ได้สร้างระบบเข้ารหัสขึ้นมาเอง แต่ซื้อผ่านผลิตภัณฑ์ ไลบรารี เฟิร์มแวร์ และบริการคลาวด์ที่มองไม่เห็นซอร์สโค้ด

ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง

หัวใจสำคัญของเอกสารนี้คือแนวคิดที่มีชื่อว่า Cryptographic Bill of Materials หรือ CBOM ซึ่งต่อยอดมาจาก Software Bill of Materials โดยทำหน้าที่แสดงรายการอัลกอริทึม ไลบรารี โปรโตคอล และการกำหนดค่าทั้งหมดที่ผลิตภัณฑ์พึ่งพา รวมถึงส่วนที่รับช่วงมาจากบุคคลที่สาม ผู้ขายที่ไม่สามารถแสดง CBOM ออกมาได้ หมายความว่าพวกเขาอาจยังไม่รู้จักผลิตภัณฑ์ของตนเองดีพอที่จะทำการย้ายระบบ