Le identit\u00e0 macchina sono in rapida crescita e la gestione delle chiavi crittografiche sta diventando sempre pi\u00f9 complessa. Per le aziende che si preparano al mondo post-quantistico, \u00e8 il momento di ripensare il modo in cui gestiscono queste identit\u00e0 e le loro chiavi crittografiche. Si pensa di conoscere sempre esattamente ci\u00f2 che si possiede nei propri archivi: alcune chiavi SSH, numerosissimi certificati TLS e alcuni secret, come le chiavi API custodite in quello che si ritiene un posto sicuro. Ma quando si analizza la situazione con attenzione, si trovano pile di cifrari dimenticati, certificati scaduti e algoritmi in uso che si ritenevano abbandonati nel 2011. E questo \u00e8 solo per una singola applicazione. Probabilmente, non ci si ricordava nemmeno di possedere la met\u00e0 di queste credenziali. Alcune sono obsolete, altre dovevano essere temporanee, ma in qualche modo sono diventate permanenti.<\/p>\n
\u00c8 un vero e proprio disordine crittografico \u2014 che equivale a rischio. Ed \u00e8 realt\u00e0, poich\u00e9 il quantum computing presto far\u00e0 sembrare il caos un incubo a occhi aperti.<\/p>\n
Quando i computer quantistici saranno finalmente maturi, gli algoritmi alla base della nostra economia digitale \u2014 RSA, ECC, la PKI aziendale, potrebbero crollare, praticamente da un giorno all\u2019altro. Con il rischio di scoprire cosa si possiede solo quando gli attaccanti lo stanno gi\u00e0 sfruttando.<\/p>\n
\u00c8 tempo di riordinare la crittografia – e mettere in ordine le identit\u00e0 macchina.<\/p>\n
Molte organizzazioni potrebbero pensare che la loro preparazione alla crittografia post-quantistica (PQC) inizi con gli algoritmi: quali saranno quelli vincenti? Come facciamo a sapere che sono sicuri? Cosa ha gi\u00e0 standardizzato il NIST?<\/p>\n
Possiamo confermare che la preparazione alla crittografia quantistica inizia con la consapevolezza, non con la matematica. Nello specifico, con quella delle identit\u00e0 macchina.<\/p>\n
Non si pu\u00f2 migrare ci\u00f2 che non si trova. Non si pu\u00f2 proteggere ci\u00f2 che non si vede. E non ci si pu\u00f2 preparare a una minaccia futura se si \u00e8 ancora alle prese con il debito crittografico di ieri. Il punto migliore da cui iniziare \u00e8 dove si pu\u00f2 costruire un business case immediato, come con i certificati TLS.<\/p>\n
Gli attaccanti sponsorizzati da stati ne comprendono gi\u00e0 i rischi e probabilmente stanno realizzando attivamente attacchi di tipo \u201charvest now, decrypt later\u201d, raccogliendo il traffico crittografato oggi, archiviandolo e aspettando che sistemi quantistici sufficientemente potenti siano in grado di decifrarlo domani. Le community di intelligence come CISA, NSA e NIST diffondono avvisi sugli attacchi HNDL perch\u00e9 vedono il problema prima di noi. Il messaggio \u00e8 chiaro: il tempo per la tecnologia quantistica \u00e8 gi\u00e0 scaduto.<\/p>\n
Questo \u00e8 solo uno dei motivi per cui queste stesse agenzie stanno gi\u00e0 esortando i team di procurement a considerare la preparazione quantistica nelle decisioni di acquisto. Il messaggio \u00e8 chiaro: il tempo stringe.<\/p>\n
Sebbene molte preoccupazioni, giustamente fondate, siano concentrate sulla decrittografia dei dati sensibili da parte dei computer quantistici, il rischio maggiore \u00e8 la dissoluzione dell\u2019identit\u00e0. Cosa potrebbe succedere se un attaccante potesse assumere la nostra identit\u00e0? Potrebbe falsificare il nostro cloud o le transazioni, inviare commit di codice falsi, dirottare i terminali di pagamento e persino impersonare i nostri carichi di lavoro in produzione.<\/p>\n
Non si tratta solo di una violazione. Il disordine rende il loro lavoro ancora pi\u00f9 facile, con ogni certificato non gestito, secret trascurato e PKI obsoleta che rappresenta una porta aperta.<\/p>\n
Proprio come una casa disordinata facilita la perdita di oggetti di valore, il disordine crittografico fa s\u00ec che sia facile perdere di vista ci\u00f2 che \u00e8 positivo o negativo. Una volta che l\u2019autenticazione fallisce, tutto crolla, inclusa la disponibilit\u00e0 aziendale.<\/p>\n
Non dovr\u00e0 accadere per forza, finch\u00e9 prendiamo sul serio le attivit\u00e0 di PQC.<\/p>\n
Ho imparato che un framework organizzativo \u201csemplice ma efficace\u201d, reso popolare da Marie Kondo, pu\u00f2 essere utilizzato per ripulire la sicurezza delle identit\u00e0 macchina prima che i computer quantistici possano decifrare la crittografia a chiave pubblica. Qui di seguito tre passaggi fondamentali:<\/p>\n
1. Scoprire tutte le identit\u00e0 macchina:<\/strong> il primo passo \u00e8 identificare e catalogare tutte le identit\u00e0 macchina presenti in azienda (certificati, chiavi, token, ecc.), sapere dove si trovano, chi le possiede, quando scadono e a quali sistemi sono collegate. \u00c8 importante non trascurare la Public Key Infrastructure (PKI), spesso vista solo come un problema crittografico, ma che \u00e8 in realt\u00e0 un problema di identit\u00e0 fondamentale per la preparazione quantistica. La visibilit\u00e0 \u00e8 il primo pilastro.<\/p>\n 2. Ordinare le identit\u00e0 macchina secondo sicurezza e compatibilit\u00e0 PQC:<\/strong> il secondo passo consiste nel valutare ogni identit\u00e0 macchina. Tramite il metodo Kondo ci si chiederebbe \u201cmi d\u00e0 gioia?\u201d In termini di sicurezza, ci chiediamo invece: ispira fiducia rischio? Si devono valutare se le identit\u00e0 sono pronte o possono essere preparate per la migrazione alla crittografia post-quantistica (PQC), chi \u00e8 responsabile delle modifiche e se le applicazioni saranno compatibili. Le identit\u00e0 che non \u201cdanno fiducia\u201d devono essere rimosse. L\u2019intelligence sulle identit\u00e0 macchina \u00e8 il secondo pilastro, perch\u00e9 non basta sapere che esistono, bisogna sapere come agisce, come si comporta e se pu\u00f2 resistere a un mondo post-quantistico.<\/p>\n