量子解密意味着现在的加密数据十年之内面临裸奔

加密专家警告，5至10年之内，可行解密算法将成现实威胁。

很少有企业会做5或10年的战略规划，但事关加密，CISO却必须扩展自己的视野。这是因为，虽然今天的加密算法能够抵挡现代计算机的攻击，但当加密计算机变得足以稳定执行解密任务时，这些方法就毫无用处了。

而且，等到量子计算机成为现实的时候才采取行动是毫无意义的，因为一旦可用，公司今天产生的所有加密数据都将无所遁形。

量子解密系统投入实用的时间表可能比你想象的更短，足够稳定的量子计算机将在5到10年之内出现。

量子计算的成功是CISO的梦魇

最近几年，量子计算机以极快的速度从研究阶段迈向商业实用。量子计算机引入了全新的计算架构，能够在几毫秒或数分钟之内就破解掉当今最健壮的非对称密钥加密。

IBM已通过其 IBM Q 服务提供量子计算机即服务访问业务。澳大利亚政府将南威尔士大学量子技术研究员 Michelle Simmons 教授评为2018澳大利亚年度人物，彰显澳大利亚研究人员在商业化量子计算机方面的全球领先水平。

量子计算提供的强大算力，是复杂数据集快速建模、分子间相互作用探索、新药研发和复杂工程问题毫秒级解决的重要支撑。

但其强大能力伴随着信息安全代价。信息安全如今很大程度上基于大数因数分解的复杂性——此处的大数是加密时通过两个大素数相乘而产生的。

传统电子计算机需要几百万年的时间才能从数万万亿可能组合中暴力猜解出正确的那对因数，而量子计算机的迥异设计——如数学家 Peter Shor 于1994年时证明的那样，在眨眼间就能完成因数分解问题，突破复杂RSA加密。

我们甚至无需用到量子计算机就能证明量子计算能够突破RSA加密。秀尔算法(Shor)已经证明了只要拥有足够稳定的量子计算机，就能破解RSA加密。

数据比加密方法更长寿

对大多数人来说，量子计算机制或许遥不可及。但安全人员却能切身体会到敏感数据可被恶意黑客解密的深远后果。

量子计算猛然突破我们的大量防御措施，就好像这世上的罪犯突然间手握每个保险箱的钥匙一样。

量子计算对安全的影响非常巨大，而大型公司企业做出改变需要时间，所以安全团队必须尽快着手能做的预防工作。

量子解密攻击不太可能是普通黑客能做的事儿，攻击者极有可能是国家支持的黑客团队，他们的目标明确指向敏感国家安全、金融或基础设施资产。

CISO面临特别严重的威胁，因为个人可识别信息(PII)的保护是伴随信息所有者终生的。

信用卡如果被黑还可以换个卡号，但仅仅因为担心量子计算机就让人修改他们的生日和性别却是不现实的。

个人数据伴随终生，平均大约还有60年寿命。只要能在这有生之年解密这些数据，量子计算机的威胁对人来说就是永恒的。

如果能在未来5至10年内访问这些加密数据，黑客就能连点成线，造成比现今的攻击者更加严重的危害。

备战后量子时代

DigiCert是推动建立抗量子加密标准的先行者。互联网信任完全基于加密数字证书，出于对即将到来的量子时代可能摧毁该互联网信任生态系统的考虑，该公司在2017年年中买下了赛门铁克的网站安全与公钥基础设施业务。

该公司最近与加密巨头Gemalto和量子安全公司 ISARA Corp 合作开发抗量子数字证书，并积极参与美国国家标准与技术局(NIST)主导的后量子加密(PQC)标准化工作。

PQC项目最近提名了26个备选算法作为今年晚些时候将公布的正式标准的 “半决赛入围选手”。

不过，DigiCert已经推出了PQC合规算法，并且开发了能够配合传统加密算法使用的混合加密方法。该技术为现有数据资产提供了适应未来的一种方式，并且现在就可供客户部署。

面对迁移挑战

即便PQC标准即将最终敲定，CISO仍面临着一个更大的问题：如何让公司高层支持对当今数据保护中位于核心地位的现有加密生态系统的完全颠覆？

如果解决方案可用且已经通过了测试，为什么不现在就部署呢？这是因为，由于软件开发上的延迟，即便MD5散列算法早已告破且被宣告不适用于加密，业界仍然难以停止使用该老旧算法。

尽管PQC实现从技术上看早已万事俱备，但很多CISO仍缺公司管理层的支持这一东风——有些公司高层只愿拿出仅够应付当前安全需求的资源，对可支持未来景气周期的投入严重不足。

有些高管甚至认为量子计算根本不能成真。让这些高管了解量子计算技术相关风险，争取他们的支持，是CISO面临的一大挑战。

另外还有来自第三方的风险——很多公司如今在业务职能和技术服务交付上都依赖第三方。与其他安全风险类似，后量子时代的真正弹性，需要供应链每个成员都做出同样的迁移，而这需要时间。

需对即将到来的风险做好规划，公司董事会和员工都需要安全团队知会量子计算即将带来的风险。

公司企业应先用混合数字证书进行概念验证，在传统设备和物联网设备等新型装置上探索它们的使用。

从攻击者的角度出发，已经在尝试PQC解决方案的银行、保险公司或IT公司就可以从目标列表中划去了，因为攻击者知道这类公司的CISO早已将量子计算机视作重大安全威胁了。