تحليل أمني شامل لخوارزميات التشفير لما بعد عصر الكم

تُعد تقنية التشفير بالمفاتيح العامة نسيج الثقة الخفي الذي يؤمن تصفح الويب، واتصالات الشبكات الافتراضية الخاصة (VPN)، والمصادقة السحابية، وتحديثات البرمجيات، والتحقق من الهوية. ولعقود متتالية، اعتمد الاقتصاد العالمي، وأجهزة الأمن القومي، والبنية التحتية الحيوية على التشفير غير المتناظر—وتحديداً خوارزميات RSA وتشفير المنحنيات الإهليلجية (ECC)—لتأمين هذه البيانات. ويعتمد أمن هذه الأنظمة على الصعوبة الرياضية لتحليل الأعداد الصحيحة الكبيرة أو حل مشكلات اللوغاريتمات المنفصلة خلال أي إطار زمني واقعي. إن الحوسبة الكمومية تُغير هذا الافتراض. وتُستخدم الحواسيب الكمومية، التي تتيح بالاقتران مع التشابك الكمومي، تحقيق توازٍ هائل في العمليات الحسابية. وقد طور فريق Tenable Research سلسلة من المكونات الإضافية للمساعدة في تقييم التقدم الذي أحرزته المؤسسة في التخفيف من حدة هذا التهديد المستقبلي.  

على الرغم من أن الأنظمة الكمومية، القادرة على تحطيم معايير التشفير الحالية، قد لا تظهر قبل سنوات، إلا أنه يوجد تهديد كبير قائم اليوم، من خلال مبدأ استراتيجي يُعرف باسم "الحصاد الآن، وفك التشفير لاحقًا" (HNDL).  ويُمكن للجهات المعادية الآن تحديد البيانات التي تم تشفيرها والاستيلاء عليها وتخزينها، في انتظار فك تشفيرها مستقبلاً عندما يُصبح فك التشفير الكمومي متاحًا بسهولة، ويمكن عندئذٍ فك تشفير البيانات بأثر رجعي. ويطرح هذا مشكلة استراتيجية مألوفة بالنسبة لقادة الأمن.  كما إن تقنية التشفير بالمفتاح العام مضمنة في كل مكان: سلطات إصدار الشهادات، ومجموعات بروتوكول TLS، وبوابات الشبكات الافتراضية الخاصة (VPN)، والبريد الإلكتروني الآمن، ومزودو الهوية، وتوقيع البرامج الثابتة، وتدفقات تطوير البرمجيات، وإدارة المفاتيح السحابية.  وتكون الآثار المترتبة على ذلك كارثية بالنسبة للمعايير الحالية:

• RSA-2048 وRSA-4096: متوقفة بشكل كامل.
• ECDH و ECDSA (المنحنى الإهليلجي): متوقفة بشكل كامل.
• Diffie-Hellman: متوقف بشكل كامل.

توفر Tenable عددًا من المكونات الإضافية التي تساعد المؤسسات، ومن بينها: 

• 277650 - الخدمات عن بُعد التي لا تستخدم خوارزميات التشفير لما بعد عصر الكم.
• 277652 - قائمة تشفير الهدف.
• 277653- الخدمات عن بُعد باستخدام خوارزميات التشفير ما بعد الكم. 

إن فهم تأثير الانتقال إلى استخدام خوارزميات التشفير ما بعد الكم هو المجال الذي تحتاج فيه فرق الأمن إلى رؤى قابلة للتطبيق، لفهم الأماكن التي يتم فيها نشر خوارزميات التشفير المُعرضة للخطر عبر بنيتها التحتية. ولدعم هذه الرؤية، توفر شركة Tenable لوحة تحكم لقياس خوازميات التشفير لما بعد الكم.  وقد صُممت لوحة تحكم منصة Tenable Vulnerability Management هذه لمساعدة المؤسسات على تحديد الأنظمة التي تعتمد على خوارزميات تشفير ستصبح عرضة للخطر في عالم ما بعد الحوسبة الكمومية. وتتمثل الميزات الرئيسية في تحديد الأماكن التي يُستخدم فيها حاليًا خوارزميات RSA وECC عبر البنية التحتية لديك، مما يُساعد في تحديد أولويات جهود التحديث. وتساعد المعلومات الواردة في لوحة التحكم المؤسسات على تحديد الخدمات عن بُعد التي تستخدم أو لا تستخدم خوارزميات التشفير ما بعد الكم، بما في ذلك تحديد خوارزميات التشفير في بيئات فحص تطبيق الويب (WAS)، كما تُحدد خوارزميات التشفير والشهادات والأصول التي قد تكون عرضة للخطر.

تحتاج المؤسسات إلى استراتيجية تشغيلية مُتماسكة لإدارة عملية الانتقال. وبناءً على معيار NIST SP 1800-38 وإرشادات وكالة الأمن الإلكتروني والبنية التحتية (CISA)، يُوصى باتباع النهج التدريجي التالي.

المرحلة 1: الاكتشاف الآلي -> المرحلة الثانية: تحديد الأولويات وتقييم المخاطر -> المرحلة 3: الإصلاح والمرونة التشفيرية -> المرحلة 4: التحقق المستمر

يبدأ هذا النهج بتحديد خط الأساس. توسع إضافة Tenable رقم 277652 (سجل خوارزميات التشفير المستهدفة) إمكانيات الاكتشاف لتشمل خوارزميات التشفير المكتشفة أثناء الفحص، وتوفرها كمرفق ملف بتنسيق JSON قابل للمعالجة آليًا. تُساعد إضافة Tenable رقم 277653 (الخدمات عن بُعد التي تستخدم خوارزميات التشفير لمرونة ما بعد الكم) ورقم 277650 (الخدمات عن بُعد التي لا تستخدم خوارزميات التشفير لمرونة ما بعد الكم) في تصفية الإشارات المهمة وتحديد الضوضاء. تحديد الأنظمة الأكثر عرضة للمخاطر وتلك التي تحتوي على البيانات الأكثر أهمية، مما يتيح للمؤسسات الانتقال السريع إلى مرحلة المعالجة. يتم منع التراجع بشكل طبيعي بفضل قدرة Tenable على توفير التحقق المستمر من خلال دمج هذا التقييم في فترات الفحص المنتظمة.

باختصار، تتيح هذه التكتيكات الكشف عن التبعيات التشفيرية في جميع أنحاء البيئة، وتزود فرق الأمن بالمعلومات التشغيلية اللازمة للبدء فوراً في التخطيط المنظم لعملية الترحيل. وستتمكن المؤسسات التي تبدأ الآن في تقييم مدى تعرضها للمخاطر، وتضع خططًا تفصيلية للانتقال، وتدمج الاستعداد لما بعد عصر الكم في استراتيجيتها الأمنية، من اجتياز هذه المرحلة الانتقالية بشكل مدروس وآمن.

تحتوي لوحة التحكم هذه على العناصر التالية:

• ملخص تشفيرات ما بعد الكم (الاستكشاف) - تعرض هذه الأداة إحصائية موجزة لعدد الاستعلامات المتعلقة بتشفيرات ما بعد الكم. ويُمثل كل مؤشر استعلامًا مختلفًا؛ حيث تشمل الاستعلامات، مرتبة من اليسار إلى اليمين: الخدمات عن بُعد التي لا تستخدم خوارزميات التشفير لمرونة ما بعد الكم (معرف الإضافة 277650)، والخدمات عن بُعد التي تستخدم خوارزميات التشفير لمرونة ما بعد الكم (معرف الإضافة 277653)، وسجل خوارزميات التشفير (277652)، وفحص خوارزميات التشفير عبر Nessus (مطابقة بالتعابير النمطية في اسم الإضافة)، وفحص الشهادات الرقمية عبر Nessus (مطابقة بالتعابير النمطية في اسم الإضافة)، وفحص خوارزميات التشفير لتطبيقات الويب (مطابقة باسم الإضافة)، وخوارزميات SSH عبر Nessus (مطابقة بالتعابير النمطية في اسم الإضافة).
• خوارزميات التشفير التي اكتشفها WAS (الاستكشاف)- يعرض الجدول التالي جميع المكونات الإضافية لـ SSL/TLS التي اكتشفها WAS. وتعرض الأداة هذه المعلومات باستخدام التصفية حسب اسم المكون الإضافي للبحث عن أسماء المكونات الإضافية التي تحتوي على "SSL/TLS" في اسمها.
• الخدمات البعيدة التي لا تستخدم خوارزميات التشفير ما بعد الكم (الاستكشاف) - يستخدم هذا المخطط الشريطي المكون الإضافي "الخدمات البعيدة التي لا تستخدم خوارزميات التشفير ما بعد الكم"، الذي يعرض خدمات الشبكة التي لا توفر خوارزميات التشفير ما بعد الكم. ولا تحاول شركة Tenable تحديد ما إذا كانت الخدمة البعيدة ستكون عرضة لهجوم ما بعد الكم.
• قائمة تشفيرات الهدف (الاستكشاف) - يستخدم هذا الجدول المكون الإضافي "قائمة تشفيرات الهدف" الذي يجمع تشفيرات وخوارزميات التشفير التي تم اكتشافها أثناء الفحص في شكل مرفق ملف JSON قابل للتحليل آليًّا. ومن خلال تجميع البيانات حسب اسم الأصل، يوفر هذا العنصر التفاعلي سجلاً لمجموعات خوارزميات التشفير والبروتوكولات الخاصة بكل أصل على حدة.
• الخدمات عن بُعد التي تستخدم خوارزميات التشفير ما بعد الكم (الاستكشاف) - يستخدم هذا المخطط الشريطي المكون الإضافي "الخدمات عن بُعد التي تستخدم خوارزميات التشفير ما بعد الكم"، الذي يعرض خدمات الشبكة التي توفر خوارزميات التشفير ما بعد الكم، ويعدد خوارزميات التشفير ما بعد الكم التي توفرها. ولا تحاول شركة Tenable تحديد ما إذا كانت الخدمة عن بُعد محصّنة فعليًّا ضد هجمات ما بعد العصر الكمومي.
• معلومات الشهادات التي اكتشفها Nessus (الاستكشاف) - تعرض أداة معلومات الشهادات التي اكتشفها Nessus أي مكونات إضافية لشهادات SSL تم اكتشافها من خلال Nessus. وتستخدم الأداة التصفية حسب اسم المكوّن الإضافي لمطابقة أسماء المكوّنات الإضافية التي تحتوي على عبارة "SSL Certificate".
• خوارزميات التشفير التي اكتشفها Nessus (الاستكشاف) - تعرض أداة "خوارزميات التشفير التي اكتشفها Nessus" أي مكونات إضافية خاصة بخوارزميات التشفير تم اكتشافها من خلال Nessus. وتستخدم الأداةالتصفية حسب اسم المكوّن الإضافي مع مطابقة تعبير منتظم لـ «(Cipher Suites)|(SSL Ciphers)|(Weak Kerberos)»، مما يضمن أن أسماء المكوّنات الإضافية المعروضة تُشير إلى خوارزميات التشفير التي تم اكتشافها.
• خوارزميات SSH التي اكتشفها Nessus (الاستكشاف) - تعرض أداة خوارزميات SSH التي اكتشفها Nessus أي مكون إضافي لخوارزميات SSH تم اكتشافه من خلال Nessus. وتستخدم الأداة التصفية حسب اسم المكوّن الإضافي مع مطابقة تعبير منتظم لـ "SSH.*Algorithm"، مما يضمن أن أسماء المكوّنات الإضافية المعروضة تشير إلى خوارزميات SSH التي تم اكتشافها.