O parte dintre informațiile criptate care sunt interceptate sau furate astăzi poate rămâne valoroasă suficient de mult timp pentru ca atacatorii să aștepte o nouă generație de calculatoare capabilă să le decripteze. Joint Research Centre și Europol tratează această strategie, cunoscută drept „harvest now, decrypt later”, ca pe unul dintre motivele pentru care instituțiile europene și organizațiile care gestionează date sensibile trebuie să înceapă din timp pregătirea pentru criptografia post-cuantică. Raportul lor de foresight avertizează că unele dintre sistemele de protecție folosite astăzi ar putea deveni vulnerabile în fața unor calculatoare cuantice suficient de performante, în timp ce trecerea la noi algoritmi va necesita ani de inventariere, testare, standardizare și înlocuire a infrastructurii.
Pe scurt
-
„Harvest now, decrypt later” descrie strategia prin care datele criptate sunt colectate acum și păstrate pentru o eventuală decriptare viitoare cu tehnologii mai puternice.
-
Raportul arată că RSA și criptografia bazată pe curbe eliptice se numără printre sistemele care ar putea deveni vulnerabile în fața unor calculatoare cuantice suficient de dezvoltate.
-
JRC și Europol consideră necesară pregătirea înainte de apariția acestei capacități, deoarece schimbarea algoritmilor folosiți în comunicații și infrastructuri este un proces de lungă durată.
-
Criptografia post-cuantică este concepută pentru calculatoarele clasice și folosește noi probleme matematice pentru a rezista atacurilor cuantice.
-
Adaptarea va afecta și poliția, care trebuie să își protejeze propriile informații și să își actualizeze metodele de criminalistică digitală pentru un mediu în care criptarea devine mai puternică.
Riscul analizat în raport pornește de la infrastructura pe care se bazează astăzi o mare parte a securității digitale. Algoritmi de criptografie cu cheie publică sunt folosiți pentru conexiuni securizate, autentificare, schimburi de date și protejarea comunicațiilor, iar unele dintre cele mai răspândite familii de algoritmi se bazează pe probleme matematice pe care calculatoarele clasice nu le pot rezolva într-un interval practic.
Calculul cuantic poate modifica această ecuație. Un calculator suficient de performant ar putea executa anumite operațiuni într-un mod care pune sub presiune algoritmi precum RSA sau sistemele bazate pe curbe eliptice. Raportul vorbește despre o amenințare viitoare, iar momentul în care astfel de calculatoare vor deveni disponibile rămâne incert.
Pentru securitate, incertitudinea nu elimină nevoia de acțiune. Dacă o bază de date sau o comunicație trebuie să rămână secretă timp de zece sau douăzeci de ani, protecția ei trebuie evaluată și în funcție de tehnologiile care pot apărea în acest interval. De aici vine logica „harvest now, decrypt later”: informația poate fi copiată astăzi și păstrată până când o tehnologie nouă face posibil accesul la conținut.
Riscul este relevant în special pentru datele cu o durată mare de sensibilitate. Informațiile guvernamentale, anumite date operaționale, proprietatea intelectuală, documentele financiare și medicale pot păstra valoare mult după momentul în care au fost create sau interceptate, ceea ce transformă securitatea lor pe termen lung într-o problemă prezentă.
Răspunsul tehnologic este post-quantum cryptography. Acești algoritmi rulează pe calculatoare clasice, dar sunt construiți în jurul unor probleme matematice considerate mai rezistente la atacurile pe care viitoarele sisteme cuantice le-ar putea executa. Raportul menționează în special abordările bazate pe rețele matematice și coduri.
Trecerea nu constă într-o simplă actualizare instalată simultan peste tot. Organizațiile trebuie să știe ce algoritmi folosesc în prezent, unde sunt integrați, ce sisteme depind de ei și cât timp vor rămâne active acele sisteme. Urmează apoi schimbarea software-ului și uneori a hardware-ului, testarea compatibilității cu infrastructurile existente și coordonarea cu furnizorii și partenerii externi.
Din acest motiv, raportul descrie înlocuirea criptografiei cu cheie publică drept una dintre marile provocări tehnologice ale următorului deceniu. Standardizarea noilor algoritmi a început deja, iar migrarea poate continua în paralel cu maturizarea calculului cuantic.
Interviurile realizate pentru exercițiul de foresight indică un posibil orizont de aproximativ 10-15 ani pentru calculatoare cuantice relevante în această discuție, în timp ce criptografia post-cuantică ar putea fi rafinată într-un interval mai scurt. Aceste estimări provin din opiniile experților consultați și nu reprezintă un calendar oficial al Uniunii Europene.
Europa trebuie să urmărească și modul în care standardele se dezvoltă în alte regiuni. Raportul avertizează că politicile criptografice pot evolua diferit în Europa, Statele Unite și Asia, iar o fragmentare a standardelor ar putea complica interoperabilitatea sistemelor și cooperarea transfrontalieră.
Pentru autoritățile de aplicare a legii, tranziția are o dublă miză practică. Polițiile și agențiile europene trebuie să își protejeze propriile comunicații, informațiile despre anchete, datele privind personalul și probele digitale. În același timp, noile tehnologii de criptare pot schimba modul în care investigatorii obțin și analizează legal probele electronice.
Raportul tratează această tensiune ca pe o problemă de adaptare tehnică și juridică. Accesul legal la probe trebuie să funcționeze într-un mediu în care securitatea comunicațiilor devine mai puternică, iar autoritățile trebuie să dezvolte metode de investigație care nu depind exclusiv de spargerea sau eliminarea criptării.
Printre aceste metode se află analiza metadatelor, a rețelelor și a informațiilor stocate local. Chiar atunci când conținutul unei conversații este protejat, tiparele de comunicare, dispozitivele implicate, momentele conexiunilor și alte date asociate pot contribui la construirea unei anchete, în limitele stabilite de legislația privind accesul și protecția datelor.
Criminalistica digitală trebuie să evolueze în același timp. Instrumentele dezvoltate pentru sistemele actuale nu vor rămâne automat eficiente într-un ecosistem bazat pe noi algoritmi, iar autoritățile vor avea nevoie de competențe în criptografie, analiză tehnică și metode alternative de obținere a probelor.
Raportul identifică lipsa de personal calificat și dificultatea recrutării specialiștilor drept unele dintre barierele importante pentru adaptarea la tehnologiile emergente. Din acest motiv, prioritățile propuse pentru finanțare includ cercetarea în cybersecurity, criptografie, threat intelligence, incident response, digital forensics și pregătirea personalului.
O altă tehnologie analizată este quantum key distribution, care folosește proprietăți ale fizicii cuantice pentru schimbarea securizată a cheilor. Aceasta are o logică diferită față de criptografia post-cuantică și necesită infrastructuri specializate, ceea ce face ca cele două abordări să evolueze pe trasee diferite.
Pentru majoritatea infrastructurii existente, post-quantum cryptography oferă avantajul că poate fi introdusă în sisteme clasice fără construirea mai întâi a unei rețele cuantice complete. Complexitatea migrației rămâne însă suficient de mare pentru ca pregătirea să trebuiască începută înainte de apariția amenințării.
Raportul nu identifică un atac concret asupra unei instituții europene în care „harvest now, decrypt later” să fi fost demonstrat și nici nu estimează volumul de date colectate în prezent în acest scop. Conceptul descrie un risc recunoscut în pregătirea pentru era cuantică și explică de ce informațiile cu valoare pe termen lung trebuie protejate anticipat.
Recomandările privind finanțarea și pregătirea instituțională au același statut prospectiv. JRC și Europol nu anunță prin acest raport noi obligații sau alocări bugetare, iar concluziile sunt destinate orientării cercetării, dezvoltării competențelor și planificării tehnologice.
Raportul comun JRC-Europol analizează tehnologii care pot proteja datele și, în același timp, modifica accesul autorităților la probe electronice. Criptografia post-cuantică este una dintre tehnologiile considerate promițătoare pentru securitatea informațiilor sensibile și una dintre zonele în care pregătirea trebuie făcută înainte de maturizarea amenințării.
Studiul se bazează pe horizon scanning, un workshop cu specialiști și interviuri destinate explorării unui orizont mai îndepărtat. Autorii avertizează că aceste rezultate sunt puncte de reflecție pentru pregătirea politicilor și capacităților europene, nu predicții certe privind calendarul tehnologiilor cuantice.