وحید خدابخشی، مدیرعامل شرکت مدیریت امن الکترونیکی (کاشف)، شناسایی دارایی‌های رمزنگاری را نخستین گام عملیاتی برای آماده‌سازی شبکه بانکی در برابر تهدیدهای رایانش کوانتومی می‌داند. به گفته او، بانک‌ها پیش از سرمایه‌گذاری در تجهیزات و الگوریتم‌های جدید باید مشخص کنند چه بخش‌هایی از زیرساخت آنها به سازوکارهای رمزنگاری آسیب‌پذیر وابسته است و در صورت شکسته‌شدن این سازوکارها، کدام خدمات و اطلاعات در معرض خطر قرار می‌گیرند.
به گزارش روابط عمومی کاشف، هم‌زمان، متخصصان شرکت ملی انفورماتیک و دانشگاه صنعتی امیرکبیر بر ضرورت حرکت مرحله‌ای به سمت استانداردهای رمزنگاری پساکوانتومی تأکید می‌کنند؛ مسیری که باید با ارزیابی ریسک، آموزش نیروی انسانی و حفظ امنیت فعلی شبکه بانکی همراه باشد.
رایانش کوانتومی چه تهدیدی برای امنیت شبکه بانکی دارد؟
توسعه رایانه‌های کوانتومی می‌تواند در آینده بخشی از سازوکارهای رمزنگاری مورد استفاده در ارتباطات دیجیتال و خدمات بانکی را با چالش مواجه کند. این تهدید به‌ویژه متوجه الگوریتم‌های رمزنگاری نامتقارن است که در تبادل کلید، امضای دیجیتال و احراز اصالت کاربرد دارند.
محمد ذوالفقاری‌پور، محقق رمزنگاری پساکوانتومی در شرکت ملی انفورماتیک، با اشاره به مفهوم «اکنون جمع‌آوری کن، بعداً رمزگشایی کن» توضیح می‌دهد که مهاجمان ممکن است اطلاعات رمزگذاری‌شده را از امروز ذخیره کنند تا در آینده، با دستیابی به رایانه‌های کوانتومی توانمند، امکان رمزگشایی آنها را داشته باشند.
به گفته او، این تهدید برای اطلاعاتی اهمیت بیشتری دارد که باید برای مدت طولانی محرمانه باقی بمانند. در چنین شرایطی، حتی اگر زیرساخت‌های رمزنگاری فعلی در زمان حاضر امنیت لازم را تأمین کنند، ممکن است داده‌های ذخیره‌شده در آینده در معرض افشا قرار گیرند.
ذوالفقاری‌پور با اشاره به الگوریتم شور توضیح می‌دهد که رایانه‌های کوانتومی با توان محاسباتی کافی می‌توانند برخی مسائل ریاضی زیربنای الگوریتم‌های رمزنگاری نامتقارن را سریع‌تر از روش‌های شناخته‌شده کلاسیک حل کنند. به همین دلیل، الگوریتم‌هایی مانند RSA و ECC که در بسیاری از سامانه‌های ارتباطی و مالی استفاده می‌شوند، در برابر این فناوری آسیب‌پذیر خواهند بود.
صادق انصاری، مدیر امنیت اطلاعات و فناوری اطلاعات شرکت ملی انفورماتیک، نیز معتقد است پیامدهای این تحول به یک نرم‌افزار یا سامانه بانکی محدود نمی‌شود و می‌تواند اجزای مهم زیرساخت کلید عمومی (PKI)، گواهی‌های دیجیتال و زنجیره اعتماد در ارتباطات الکترونیکی را تحت تأثیر قرار دهد.
او با اشاره به نقش پروتکل HTTPS در برقراری ارتباط امن میان کاربران و خدماتی مانند همراه‌بانک توضیح می‌دهد که احراز هویت، تبادل امن اطلاعات و محافظت از داده‌ها به مجموعه‌ای از الگوریتم‌های رمزنگاری وابسته است. بنابراین، آسیب‌پذیر شدن بخشی از این الگوریتم‌ها می‌تواند بازنگری در معماری امنیتی سامانه‌های بانکی را ضروری کند.
استانداردهای جدید رمزنگاری پساکوانتومی چه کاربردی دارند؟
یکی از مسیرهای مطرح برای مقابله با تهدیدهای آینده، استفاده از الگوریتم‌های رمزنگاری پساکوانتومی است؛ الگوریتم‌هایی که برای مقاومت در برابر حملات شناخته‌شده رایانه‌های کوانتومی طراحی شده‌اند و امکان اجرای آنها روی سامانه‌های محاسباتی متداول نیز وجود دارد.
ذوالفقاری‌پور با اشاره به فرایند استانداردسازی این الگوریتم‌ها از سوی مؤسسه ملی استاندارد و فناوری آمریکا (NIST)، استانداردهای FIPS 203 و FIPS 204 را از مهم‌ترین گزینه‌های مرتبط با نیازهای امنیتی زیرساخت بانکی معرفی می‌کند.
استاندارد FIPS 203 با نام ML-KEM، مبتنی بر طرح CRYSTALS-Kyber است و برای کپسوله‌سازی کلید کاربرد دارد. استاندارد FIPS 204 نیز با نام ML-DSA، از طرح CRYSTALS-Dilithium توسعه یافته و برای ایجاد و اعتبارسنجی امضای دیجیتال طراحی شده است. استاندارد FIPS 205 نیز یکی دیگر از استانداردهای امضای دیجیتال پساکوانتومی است.
به گفته ذوالفقاری‌پور، آغاز پیاده‌سازی و آزمایش این الگوریتم‌ها در شرکت‌های فناوری مانند گوگل و کلادفلر نشان می‌دهد که حرکت به سمت سازوکارهای رمزنگاری جدید وارد مراحل عملی شده است. بااین‌حال، استفاده از این استانداردها در زیرساخت‌های بانکی نیازمند شناخت معماری موجود، بررسی سازگاری سامانه‌ها و ارزیابی عملکرد الگوریتم‌هاست.
انصاری نیز دو رویکرد توزیع کلید کوانتومی (QKD) و رمزنگاری پساکوانتومی (PQC) را از راهکارهای مطرح برای مقابله با تهدیدهای آینده می‌داند.
به گفته او، توزیع کلید کوانتومی از ویژگی‌های فیزیک کوانتومی برای انتقال امن کلید استفاده می‌کند و به زیرساخت‌های تخصصی و سرمایه‌گذاری قابل‌توجه نیاز دارد. در مقابل، رمزنگاری پساکوانتومی مبتنی بر الگوریتم‌های ریاضی است و می‌توان آن را در بسیاری از زیرساخت‌های محاسباتی متداول پیاده‌سازی کرد.
شناسایی دارایی‌های رمزنگاری؛ نقطه شروع مهاجرت بانک‌ها
وحید خدابخشی، مدیرعامل شرکت کاشف، معتقد است مهاجرت به رمزنگاری پساکوانتومی نباید با خرید تجهیزات جدید یا جایگزینی شتاب‌زده الگوریتم‌ها آغاز شود. به گفته او، نخستین اقدام عملی بانک‌ها باید تهیه فهرستی جامع از دارایی‌های رمزنگاری و شناسایی وابستگی سامانه‌ها به الگوریتم‌های فعلی باشد.
او چهار حوزه اصلی را برای ارزیابی آثار تهدیدهای کوانتومی معرفی می‌کند: داده‌های ذخیره‌شده، ارتباطات رمزگذاری‌شده، تجهیزات امنیتی و زیرساخت کلید عمومی.
در حوزه داده‌های ذخیره‌شده، بانک‌ها باید مشخص کنند اطلاعات حساس و کلیدهای رمزنگاری در کدام بخش‌های زیرساخت نگهداری می‌شوند و محرمانگی آنها تا چه زمانی اهمیت دارد.
در بخش ارتباطات نیز بررسی تونل‌های امن، سازوکارهای تبادل کلید، امضای دیجیتال و ارتباطات میان سامانه‌های داخلی و بیرونی ضروری است.
تجهیزات تخصصی، از جمله ماژول‌های امنیتی سخت‌افزاری (HSM)، و همچنین گواهی‌های دیجیتال و زنجیره اعتماد از دیگر اجزایی هستند که به گفته خدابخشی باید در ارزیابی‌ها مورد توجه قرار گیرند.
مدیرعامل کاشف با اشاره به تفاوت تأثیر رایانش کوانتومی بر الگوریتم‌های متقارن و نامتقارن توضیح می‌دهد که الگوریتم شور می‌تواند امنیت RSA و ECC را تهدید کند، در حالی که الگوریتم گروور بر پیچیدگی جست‌وجوی فراگیر کلید در رمزنگاری متقارن تأثیر می‌گذارد.
از نگاه او، این تفاوت‌ها نشان می‌دهد که همه سامانه‌ها و اطلاعات رمزگذاری‌شده نباید با یک سطح از حساسیت بررسی شوند و اولویت مهاجرت باید بر اساس میزان ریسک تعیین شود.
خدابخشی پیشنهاد می‌کند بانک‌ها با در نظر گرفتن افق‌های زمانی چهار، هفت و ۱۰ سال آینده، حساسیت دارایی‌های اطلاعاتی و مدت‌زمان موردنیاز برای حفاظت از آنها را ارزیابی کنند. چنین رویکردی می‌تواند به تخصیص منابع به سامانه‌هایی کمک کند که در برابر تهدیدهای آینده آسیب‌پذیری بیشتری دارند.
اجرای آزمایشی الگوریتم‌های جدید باید از سامانه‌های کم‌حساسیت آغاز شود
مدیرعامل کاشف ایجاد محیط‌های آزمایشگاهی و اجرای طرح‌های پایلوت را یکی از پیش‌نیازهای مهاجرت پساکوانتومی در شبکه بانکی می‌داند.
به گفته خدابخشی، الگوریتم‌های جدید باید پیش از استفاده در سامانه‌های حساس، از نظر امنیت، کارایی، قابلیت اطمینان و سازگاری با زیرساخت‌های موجود آزمایش شوند.
او پیشنهاد می‌کند آزمایش‌های اولیه در بخش‌هایی با حساسیت کمتر، مانند ارتباطات رمزگذاری‌شده میان دو سامانه داخلی، دو رابط برنامه‌نویسی یا دو ماشین انجام شود. این روش امکان بررسی محدودیت‌های فنی و عملیاتی الگوریتم‌های جدید را بدون ایجاد ریسک گسترده برای خدمات حیاتی بانک‌ها فراهم می‌کند.
خدابخشی همچنین از برنامه شرکت کاشف برای نقش‌آفرینی در ایجاد یک محیط آزمایشگاهی یا سندباکس مهاجرت پساکوانتومی در حوزه بانکی خبر داده است.
این محیط قرار است با شبیه‌سازی بخش‌هایی از معماری واقعی شبکه بانکی، امکان بررسی راهکارهای جایگزین و ارزیابی عملکرد آنها را پیش از استقرار گسترده فراهم کند.
بااین‌حال، او تأکید می‌کند که ظرفیت‌های داخلی هنوز به سطح آمادگی عملیاتی کامل نرسیده‌اند و توسعه دانش فنی، ایجاد زیرساخت‌های آزمایشگاهی و تربیت نیروی انسانی متخصص باید به‌صورت هم‌زمان دنبال شود.
مهاجرت پساکوانتومی فرصتی برای بازنگری در معماری امنیتی بانک‌هاست
محمد ذوالفقاری‌پور، محقق رمزنگاری پساکوانتومی در شرکت ملی انفورماتیک، معتقد است حرکت به سمت استانداردهای جدید می‌تواند فرصتی برای شناسایی مشکلات قدیمی و نوسازی زیرساخت‌های امنیتی شبکه بانکی باشد.
او با اشاره به استفاده از برخی الگوریتم‌های قدیمی مانند Triple DES در بخش‌هایی از زیرساخت‌ها توضیح می‌دهد که بررسی وضعیت فعلی رمزنگاری می‌تواند علاوه بر آماده‌سازی برای تهدیدهای آینده، ضعف‌های انباشته سامانه‌های بانکی را نیز آشکار کند.
به گفته ذوالفقاری‌پور، برخی بانک‌ها هنوز تصویر یکپارچه‌ای از دارایی‌های رمزنگاری خود ندارند و این مسئله به‌ویژه در مجموعه‌هایی که ادغام سازمانی را تجربه کرده‌اند، می‌تواند پیچیدگی بیشتری داشته باشد.
او تأکید می‌کند که مهاجرت به رمزنگاری پساکوانتومی الزاماً به معنای تعویض تمام تجهیزات موجود نیست. بخشی از تغییرات ممکن است با به‌روزرسانی نرم‌افزارها و پیاده‌سازی الگوریتم‌های جدید در سامانه‌های فعلی، از جمله سامانه‌های بانکداری متمرکز، انجام شود.
از این منظر، شناسایی دارایی‌ها، آموزش مدیران و شناخت معماری امنیتی باید پیش از تصمیم‌گیری برای خرید تجهیزات جدید در اولویت قرار گیرند.
ضرورت تدوین نقشه راه ملی برای مهاجرت رمزنگاری شبکه بانکی
صادق انصاری، مدیر امنیت اطلاعات و فناوری اطلاعات شرکت ملی انفورماتیک، تدوین نقشه راه ملی، تعیین مسئولیت نهادهای متولی و شناسایی سامانه‌های آسیب‌پذیر را از اقدامات ضروری برای آماده‌سازی زیرساخت‌های مالی کشور می‌داند.
او با اشاره به تجربه کشورهایی مانند فرانسه، بریتانیا و آمریکا توضیح می‌دهد که مهاجرت به رمزنگاری پساکوانتومی نیازمند هماهنگی میان نهادهای سیاست‌گذار، دستگاه‌های نظارتی و سازمان‌های بهره‌بردار است.
انصاری همچنین از اقداماتی در داخل کشور برای توسعه ظرفیت‌های مرتبط با فناوری کوانتومی خبر داده است.
به گفته او، همکاری بانک مرکزی و معاونت علمی، فناوری و اقتصاد دانش‌بنیان ریاست‌جمهوری، برنامه ایجاد شرکت توسعه ملی کوانتومی، راه‌اندازی آزمایشگاه‌های تخصصی و گسترش همکاری با دانشگاه‌ها از جمله موضوعاتی است که در این زمینه مطرح شده‌اند.
سجاد طرهانی، مدیر ماهر شرکت کاشف، نیز با اشاره به برآوردهایی درباره جدی‌تر شدن تهدیدهای کوانتومی در افق هفت تا هشت سال آینده، تعیین اولویت اقدامات اجرایی را یکی از مسائل اصلی آمادگی شبکه بانکی می‌داند.
در این زمینه، شناسایی دارایی‌های حساس، ارزیابی بلوغ سازمانی، آموزش نیروی انسانی و تعیین مسئولیت نهادهای مرتبط از جمله اقداماتی هستند که باید پیش از اجرای تغییرات گسترده مورد توجه قرار گیرند.
در مجموع، دیدگاه‌های مطرح‌شده از سوی متخصصان امنیت بانکی نشان می‌دهد که مهاجرت به رمزنگاری پساکوانتومی یک پروژه صرفاً فناورانه نیست، بلکه فرایندی تدریجی در حوزه مدیریت ریسک و نوسازی زیرساخت‌های امنیتی است.
این فرایند از شناسایی دارایی‌های رمزنگاری و ارزیابی آسیب‌پذیری‌ها آغاز می‌شود و با تدوین نقشه راه، آزمایش الگوریتم‌های جایگزین، توسعه توان فنی و اجرای مرحله‌ای تغییرات ادامه پیدا می‌کند. در این میان، حفظ تعادل میان مقابله با تهدیدهای فعلی و آمادگی برای مخاطرات آینده، یکی از ملاحظات اصلی شبکه بانکی خواهد بود.
