Kevin Kane, American Binary: Brez nadgradenj bo bitcoina konec leta 2029

Kako daleč smo od trenutka, ko bodo kvantni računalniki brez težav zlomili današnjo kibernetsko zaščito, in zakaj se napadi tipa "požanji zdaj, dešifriraj pozneje" dogajajo, ne da bi žrtve za to sploh vedele? Verjetno bomo v obdobje, ko bodo zmogljivejši računalniki zlomili današnjo zaščito, vstopili že čez nekaj let.

Ni nujno, da bo zaradi kvantnih računalnikov internet manj varen. Paradoks je, da bo moral postati varnejši. Kaj morajo podjetja storiti, da bi se izognila grožnjam v prihodnosti in kakšna je vloga umetne inteligence pri iskanju varnostnih vrzeli? O tem smo se pogovarjali s Kevinom Kaneom iz podjetja American Binary.

Lahko pojasnite, kaj je kvantna grožnja in zakaj trenutna kibernetska varnost potrebuje nadgradnjo?

Seveda. Kvantni računalniki bodo lahko razbili šifriranje, ki se uporablja za varovanje svetovnih finančnih sistemov, zdravstvenih sistemov, nacionalne varnosti ter vojaških in obrambnih sistemov, opreme in komunikacij.

Google in podjetje Oratomics, ki se ukvarja s kvantnim računalništvom z nevtralnimi atomi, sta pred nekaj meseci objavila dokumenta, ki nakazujeta, da bi se časovni okvir lahko skrajšal že do leta 2029.

Pravzaprav sta v enem od skupnih dokumentov nakazala, da ne bi smeli pričakovati, da bodo v prihodnje objavljali svoje ugotovitve in nove raziskave, kar pomeni, da bi bilo lahko moralno nepremišljeno razkriti svetu, kako blizu so in kako jim je to uspelo.

Kdo bo uporabljal te sisteme – vlade ali kibernetski kriminalci?

Razvoj takega računalnika zahteva desetletja raziskav in tehničnih zmožnosti. Na začetku bodo to vlade, podobno kot se je internet v ZDA najprej uporabljal v vojaške namene ali kot jedrsko orožje še vedno ni v rokah običajnih ljudi. Te vrste zgodnjih računalnikov bodo iz varnostnih razlogov verjetno monopolizirale vlade.

Ali moramo biti zaskrbljeni, katere vlade bodo prve uporabljale te sisteme?

Prve bodo vlade s tehnološko infrastrukturo, potrebno za njihov razvoj, ter s strokovnim znanjem in izkušnjami. Kvantni računalniki se širijo po zelo podobnem vzorcu kot jedrsko orožje: Francija, Nemčija, Združeno kraljestvo, Izrael, Združene države Amerike, Kitajska, Južna Koreja in Japonska.

S hitrim sledenjem, morda s prispevki delov in komponent, pa imajo raziskovalce kvantnih algoritmov tudi Iran, Singapur in nekatere druge države.

Ste lahko konkretni, kaj to pomeni na primer za kriptovalute in podobne tehnologije?

V dokumentih, ki sta jih objavila Google in Oratomics, je bil Google tisti, ki je nakazal, da obstaja možnost, da bitcoin ne bo preživel po letu 2029.

Razen če naredimo kaj?

Preiti moramo na nove postkvantne algoritme, ki jih kvantni računalnik ne more razbiti. V tem primeru je postkvantni algoritem matematično veliko bolj kompleksen od tistih, ki trenutno varujejo svetovno infrastrukturo in bitcoin.

Podjetje American Binary, ki ste ga soustanovili, je nedavno uvedlo nove metode za preverjanje varnosti in pristnosti prijav v postkvantne VPN-je. Kaj to pomeni v praksi, zakaj je to tako pomemben mejnik?

Šifriranje ima štiri dele. Prvi je avtentikacija. Potrditi je treba, da sem jaz jaz in da ste vi vi ter da nisva prevaranta. Tega se ne bo preverjalo preko videa, ker lahko opravimo na tisoče transakcij na uro.

Če smo v financah, trgovanju, obrambi ali pri pošiljanju informacij senzorjem, mora biti avtentikacija avtomatizirana vsakič, ko pošljete majhen paket ali košček informacije. Torej potrdimo vašo in mojo identiteto.

Drugi del je izmenjava ključev. Poslati vam moram ključ, vi pa boste ta ključ uporabili za odklepanje pomembne stvari, ki sledi. Ta pomembna stvar se imenuje množično šifriranje. To je bistvo, to je pomemben del. In četrti del je zgoščevanje (hashing), torej preverjanje, da celoten sistem ni bil pokvarjen. 

Imamo torej avtentikacijo, izmenjavo ključev, množično šifriranje in zgoščevanje. Avtentikacija mora biti postkvantna. Izmenjava ključev mora biti postkvantna. Uporaba klasične stare izmenjave ključev ne zadošča.

Vsa podjetja na svetu, ki jih poznam, še vedno uporabljajo klasično izmenjavo ključev. Izvajajo torej postkvantno avtentikacijo, klasično izmenjavo ključev ter nato pravilno množično šifriranje in zgoščevanje.

Narobe pri tem je, da to mešajo s staro izmenjavo ključev, ki sta jo pred 60 leti ustvarila Whitfield Diffie in Martin Hellman. Whitfield Diffie se je našemu svetovalnemu odboru pridružil zato, ker zamenjujemo njegovo izmenjavo ključev.

Imamo prvo strokovno pregledano postkvantno izmenjavo ključev z uporabo najvišjega standarda varnosti za postkvantno šifriranje s strani standardizacijskega organa, ki je v ZDA Nacionalni inštitut za standarde in tehnologijo (NIST).

Standardizirali so štiri postkvantne algoritme, ki imajo različne ravni varnosti. Naša izmenjava ključev uporablja najvišjo raven varnosti. Za tehnične ljudi je to specifično ML-KEM-1024.

Imamo edino delujočo in strokovno pregledano izmenjavo ključev za postkvantno šifriranje. In to smo vgradili v omrežni protokol, ki je nov in bi lahko zamenjal starega, ki se uporablja po svetu.

Vgradili smo ga tudi v VPN, pozneje pa je v našem načrtu tudi rešitev nultega zaupanja (Zero Trust), ki bi organizacijam omogočila tako upravljanje notranjih groženj kot varovanje komunikacije po vsem svetu.

Pravite, da tradicionalna kibernetska varnost ni več dovolj za zaščito pred napadi v smislu "požanješ zdaj, dešifriraš pozneje". Se takšni napadi zdaj dogajajo, ne da bi žrtve, podjetja in organizacije, sploh vedeli zanje?

Da, trenutno veliko držav snema promet preko interneta in mobilnih omrežij ter ga shranjuje za poznejše dešifriranje. Eden največjih kršiteljev je Kitajska, ki že približno 15 let v realnem času snema vsak podatek z vsake naprave in vsakega telefona po vsej celini.

Snemajo tudi zunaj svojih omrežij in pri tem jih vedno ujamejo. Razlika med njihovim početjem in početjem na primer Evrope ali ZDA je v tem, da so Evropa, ZDA in večina sveta zadovoljni s statusom quo.

Kitajci pa niso zadovoljni s statusom quo. Njihovo snemanje se zato razume kot potencialno sovražno z namenom spremembe statusa quo, kar bi lahko imelo neželene posledice za vse preostale, ki jim je všeč obstoječe stanje.

Gre za namen spremeniti politične sisteme in finančne sisteme?

No, če lahko dešifrirate informacije v finančnem sistemu ... ne morete poslati vojakov v vojno, če jih ne morete plačati. In če bi na primer dešifrirali izmenjavo ključev iz banke ali centra za upravljanje premoženja v Singapurju ali Savdski Arabiji, jo objavili na Redditu in bi prišla do Wall Streeta, bi lahko prišlo do navala na banko, kajne?

Ker ljudje ne bodo čakali dva tedna, da bo neki strokovnjak rekel: "No, pravzaprav je bil ta del še vedno varen." Nikogar to ne bo brigalo, zelo verjetno bodo preprosto zapustili banko. In če prizadenete pet bank hkrati, bodo morda zapustili kar državo, kar pomeni beg kapitala.

Zadnjič se je to zgodilo leta 1997 med azijsko finančno krizo. V Aziji temu pravijo kriza Mednarodnega denarnega sklada (MDS). Razlog za to poimenovanje je, da je edini način za odpravljanje bega kapitala, da nekdo, kot je MDS, podpre vašo valuto, tako da je za vlagatelje varno, da se vrnejo ob izjemno visoki obrestni meri. Južna Koreja si še danes ni popolnoma opomogla od tiste finančne krize.

Kvantni računalniki, uporabljeni v takšnem scenariju, bi državi, kot je Kitajska, lahko omogočili, da zaklene finančni sistem in napade sosednjo državo, vi pa niste sposobni organizirati odziva, ker ne morete plačati ljudem, da bi se bojevali.

Kdaj in kako bi se morala podjetja začeti pripravljati na to novo dobo?

V nasprotju s preteklimi vojnami je komercialni sektor v sami sredini tarč naslednje vojne v kibernetskem prostoru.

V tem primeru je kitajska vlada obtožena, da iz ZDA letno odtuji za približno 600 milijard intelektualne lastnine, verjetno nekaj primerljivega iz evropskih držav in večine preostalega sveta. Mislim, da je približno 30 odstotkov tega iz kibernetskega prostora, če se ne motim. Lahko da se glede odstotka motim.

 

Podjetja so torej v središču uporabe kvantnega računalnika za krajo njihove intelektualne lastnine in zaklepanja njihovih sistemov, tako da v primeru konflikta ne morejo podpreti svojih vlad.

Podjetja se morajo pripraviti takoj, ker so v središču konflikta, ne glede na to, ali se tega zavedajo ali ne.

Umetna inteligenca ima vse pomembnejšo vlogo v družbi. Vemo, da je z nami že desetletja, toda kakšno vlogo ima pri pospeševanju teh groženj? Na primer pri avtomatiziranem zbiranju podatkov ali iskanju ranljivosti šifriranja, kako to na drugi strani zaplete kvantno obrambo?

Ena od uporab umetne inteligence je v razvrščanju zbranih podatkov. Še posebno tam, kjer se, recimo, išče določeno besedilo, za kar so veliki jezikovni modeli res dobri. Kvantni računalniki bi lahko pospešili sposobnost iskanja po podatkih.

Eden od blagoslovov in izzivov v primeru Kitajske je, da so zbrali toliko podatkov, da jih ne morejo vseh prebrati. Vendar bi zelo učinkovit sistem umetne inteligence ali kvantni sistem umetne inteligence lahko hitreje našel tisto, kar iščejo. Torej je tudi umetna inteligenca vsekakor vpletena.

Kaj pa obrambna stran?

Pred 10 ali morda že 15 leti je Nacionalni inštitut za standarde in tehnologijo videl, da ta težava prihaja. Organizirali so mednarodni izziv za iskanje novih algoritmov, ki jih kvantni računalnik ne bi mogel razbiti.

Standardizirali so štiri od njih, mislim da okoli leta 2022. Moje podjetje je bilo ves ta čas v raziskavah in razvoju.

Na podlagi teh algoritmov smo zgradili postkvantno avtentikacijo in postkvantno izmenjavo ključev. Izmenjava ključev je pri nas lastniška. Na internetu torej ni odprtokodnih izmenjav ključev, ki bi bile postkvantne, ki bi jih lahko uporabljali danes in bi delovale tako na mobilnih omrežjih kot, recimo, med podatkovnimi centri.

Kar je res posebno pri naši izmenjavi ključev in našem protokolu, je, da deluje na občasno poslabšanih omrežjih. Lahko ga uporabljate v puščavi, na tovorni ladji sredi oceana, preko Starlinka ali za pošiljanje podatkov med podatkovnimi centri po državah s hitrostjo optičnih vlaken brez poslabšanja.

Tudi če bi kdo razvil izmenjavo ključev, so potrebna leta raziskav in razvoja, da ta deluje v resničnem svetu.

Kako tehnologija, ki ste jo razvili, pomaga organizacijam pri izpolnjevanju novih standardov? Ali je zavedanje o takšnih napadih sploh prisotno, kaj vidite, ko delate s podjetji?

Na to vprašanje lahko odgovorim na dva načina. Prvi je, da podjetja tega ne bi smela početi zato, da bi ustrezala standardom, ampak zato, da bi preprečila svoj propad v prihodnje in zaščitila podatke svojih strank.

V trenutku, ko so podatki o strankah dešifrirani in objavljeni na internetu … Recimo, da želim, da kitajsko podjetje, kot je Alibaba Cloud, postane vodilno na področju računalništva v oblaku ... Ena od strategij bi lahko bila, da razbijem podatke AWS in jih objavim na Redditu.

In potem vsi zapustijo AWS ali pa vsi zapustijo drugega ponudnika storitev v oblaku. Lahko torej pogledate, kako si podjetja pridobivajo tržni delež s pristopom korenčka in palice. Udarili bodo, zagrabili in vas ujeli nepripravljene, kajne? Na to se morate pripraviti že zdaj.

Predstavljati si morate, da so, kot sem rekel, njihove spodbude usmerjene v spremembo statusa quo. Niso usmerjene v ohranjanje stvari takšnih, kot so. In to je prvi del: to bi morali storiti s standardom ali brez njega.

Drugi del je, da so vlade tiste, ki vedno spodbujajo zgodnjo posvojitev.

V ZDA obstaja standard, ki ga je Nacionalna varnostna agencija (NSA) izdala za svoje lastne sisteme in opredeljuje, kaj šteje za varno. NSA ne pritiska na Evropo ali koga drugega, naj uporablja njihov standard.

Gre za njihovo varnost, njihovega predsednika, vojne ladje ter vojaške komunikacije. Standard se imenuje CNSA 2.0, ki je že v veljavi in zahteva postkvantno avtentikacijo, postkvantno izmenjavo ključev, postkvantno množično šifriranje in postkvantno zgoščevanje.

Imajo torej res visok standard. In v ZDA ne poznam niti enega tehnološkega podjetja, ki bi izpolnjevalo ta standard. Vsi uporabljajo staro izmenjavo ključev, kajti nimajo nove, mi pa imamo našo rešitev, ki bi jo rad delil z vami in je trenutno edina delujoča v Evropi. Trenutno je to edini postkvantno šifriran predor ML-KEM-1024 v celotni Evropi, ki deluje v Sloveniji. V državi je trenutno samo en telefon, ki je združljiv z njim.

To je prihodnost za Evropo. In tudi če Evropa sprejme začasni standard, bo na koncu pristala tukaj.

Dobra novica je, da gre za komercialni izdelek in nismo omejeni z izvoznimi kontrolami. Tako ga lahko prodajam tudi v drugih državah, ki podpirajo naše cilje glede ohranjanja statusa quo.

Želite reči, da se s pravimi rešitvami ni treba bati jutrišnjega dne?

Podatki, ki so posneti do trenutka, ko začnete uporabljati naš izdelek, so izgubljeni. Podatki od tu naprej z uporabo našega izdelka pa so varni.

Pogovor si lahko ogledate v priloženem videu.