NSA, CISA ve Avustralya ACSC, post-quantum hazırlığını tedarikçi kontrol listesine dönüştürdü

Yenileme görüşmesine yönelik ortak rehber

4 Kasım'da NSA, CISA ve Avustralya Sinyaller Direktörlüğü'nün Avustralya Siber Güvenlik Merkezi, "Post-quantum questions to ask your vendors: Evaluating third-party readiness for post-quantum cryptography" başlıklı bir belgeyi ortaklaşa yayınladı. dev.to'da yayımlanan bir yazıya göre 19 sayfalık belge hiçbir direktif içermiyor — yalnızca sorulardan oluşuyor ve tek bir anı hedefliyor: bir sözleşmenin yenilenmesi sırasında alıcı ile tedarikçi arasındaki görüşmeyi.

Avustralya ACSC orijinal sürümü Temmuz'da yayınlamıştı; Kasım sürümü belgeyi ortak bir baskıya dönüştürdü. dev.to yazısının da işaret ettiği gibi zamanlama bilinçli. Belge, NIST'in nihai geçiş planını yayınlamasının yaklaşık bir hafta ardından geldi; bu plana göre RSA ve eliptik eğri kriptografisi 2030'dan sonra kullanımdan kaldırılmış, 2035'ten sonra ise tamamen yasaklanmış sayılacak.

Kriptografiyi değiştirmeden önce onu bulun

Rehber boyunca ilerleyen argüman şu: çoğu kurum kendi kriptografisini hiçbir zaman kendisi inşa etmez. Onu, kaynağını hiç incelemediği ürünler, kütüphaneler, firmware'ler ve bulut servisleri içine gömülü olarak satın alır; dolayısıyla şifrelemeleri, birçoğu belgelenmemiş, başkalarının aldığı kararların katman katman üst üste binmesinden ibarettir. Bu okumaya göre göçün ilk aşaması uygulama değil, keşif çalışmasıdır.

Belgenin merkezinde, yazılım ürün bileşen listesinin (SBOM) bir uzantısı olan kriptografik ürün bileşen listesi (CBOM) var. Amacı, bir ürünün bağımlı olduğu her algoritmayı, kütüphaneyi, protokolü, parametre setini ve yapılandırmayı — üçüncü taraflardan devralınan bileşenler dahil — tek tek listelemek. dev.to özetine göre rehber, kimlik doğrulama, imzalama ile aktarım ve bekleyen veri korumasını kapsayan eksiksiz, güncel ve aktif olarak sürdürülen bir envanteri, inandırıcı bir tedarikçi yanıtının temel taşı olarak görüyor.

Ardındaki sorular ise çetin noktaları hedefliyor: herhangi bir kriptografi koda gömülü mü veya donanıma bağlı mı; aygıt değiştirilmeden firmware ve önyükleme süreci bir post-quantum imzasını doğrulayabiliyor mu; hangi ürün sürümleri kapsanıyor; ve post-quantum'a hazır bir sürüm tam olarak ne zaman çıkacak — 2030 sonundan önce test edilip dağıtılmasına yetecek kadar pay bırakılarak.

Firmware ve pazarlamaya hazır bulut

Firmware özel bir ilgi görüyor, çünkü soyut bir riskin tam da orada donanım bütçesinde bir kalem haline geldiği yer orası. Önyükleme zinciri firmware'i bir RSA imzasıyla doğrulayan bir aygıtta bu seçim güven köküne gömülüdür. Donanım bir post-quantum imzasını doğrulayamıyorsa çözüm bir güncelleme değil, yeni ekipmandır; rehber tedarikçilerden mevcut güven mekanizmalarının nasıl bir geçiş yapacağını — ve eski ünitelerin başının ne olacağını da açıklamasını istiyor.

dev.to yazarının belirttiği gibi aynı mantık bulut servislerine de uygulanır; tek farkla, donanım bir başkasına aittir. Yönetilen bir servis, birkaç katman aşağıda hazır olmayan bir bağımlılığa dayanıyor olsa bile post-quantum hazır olarak pazarlanabilir. İşte bu tür devralınmış, denetlenmemiş bağımlılıkları görünür kılmak, CBOM'un tam olarak yapmak için tasarlandığı şeydir.

Bir zorunluluk değil, sorular

Belge, kural kitabı değil tedarikçi-nötr bir rehber: hiçbir son tarih koymuyor, hiçbir algoritma ve hiçbir ürün adı vermiyor. Sorularındaki 2030 tarihi Avustralya'nın ulusal geçiş hedeflerini yansıtıyor, evrensel bir eşik değil. Kurumlar ayrıca bugün kriptografik açıdan anlamlı bir kuantum bilgisayarının var olmadığını ve gelebileceği bir tarih de vermiyorlar. Tanımladıkları risk daha dar ve daha somut: şu anda yakalanan trafik, böyle makineler var olduğunda saklanıp çözülebilir; dolayısıyla uzun yıllar gizli kalması gereken veriler, resmi takvimin öngördüğünden daha erken harekete geçmeyi gerekli kılıyor.

Alıcılara ayrıca her tedarikçiye aynı şekilde soru sormamaları da söyleniyor — küçük bir tedarikçi ile hiperölçekli bir bulut sağlayıcısı farklı görüşmeleri hak eder. Önemli olan, görüşmenin alıcının hâlâ pazarlık gücüne sahip olduğu yenileme zamanında yapılmasıdır.

Neden önemli

Son iki yılda post-quantum geçişi, uzak bir son tarihi olan bir mühendilik çabası olarak çerçevelendi; NIST'in ML-KEM ve ML-DSA için 2024'te yayınladığı standartlar ise algoritma seçimini sorunun görece çözülmüş parçası haline getirdi. Bu belge kalan kısmı, yakın vadili bir son tarihi olan bir satın alma kararı olarak yeniden çerçeveliyor. Tedarikçiler artık müşterilerinin sözleşme yenilemesine gelip kriptografinin nerede yaşadığını, yükseltme yolunu kimin kontrol ettiğini ve post-quantum sürümünün hangi tarihe planlandığını soracağını bilmeli. dev.to yazarının açık sözlü okuması şu: bir CBOM üretemeyen veya bir takvime taahhüt veremeyen bir tedarikçi, fiilen kendi ürününün tam resmine sahip olmadığını itiraf ediyor. Yazılım teslim eden herkes için pratik hamle, bu sorulara önce içeriden yanıt hazırlamak — algoritmalarınızın envanterini çıkarmak, kriptografinin değiştirilmesinin zor olduğu yerleri bulmak ve algoritma çevikliğini bir tasarım özelliği olarak görmek — bir müşteri masanın karşıısında sormadan önce.