PQC GOTOWOŚĆ // CHIMERASCOPE
Kwantyfikowana ocena Twojej infrastruktury kryptograficznej wobec zagrożeń związanych z komputerami kwantowymi — powiązana z obowiązkami zgodności CRA, NIS2 i BSI TR-02102-1.
Ostatnie postępy w badaniach nad komputerami kwantowymi znacząco zmniejszyły szacowane zasoby potrzebne do złamania powszechnie stosowanej kryptografii klucza publicznego. Organizacje przetwarzające wrażliwe dane — rekordy finansowe, informacje medyczne, własność intelektualną, tajemnice handlowe — stoją w obliczu konkretnych presji czasowych, na które regulatorzy już reagują.
Główne zagrożenie jest proste: zaszyfrowany ruch sieciowy przechwycony dziś może być przechowywany i odszyfrowany, gdy komputery kwantowe osiągną wystarczającą moc. Strategia „zbieraj teraz, odszyfruj później” sprawia, że migracja do kryptografii postkwantowej staje się priorytetem zarządzania ryzykiem już dziś, a nie rozważaniem na przyszłość. Obecne szacunki wskazują, że okno pomiędzy przechwyceniem a możliwością odszyfrowania wynosi od trzech do dziesięciu lat.
NIST sfinalizował trzy standardy kryptografii postkwantowej w sierpniu 2024 roku: ML-KEM (FIPS 203) do enkapsulacji klucza, ML-DSA (FIPS 204) do podpisów cyfrowych oraz SLH-DSA (FIPS 205) do podpisów opartych na funkcjach skrótu. Główni dostawcy infrastruktury już rozpoczęli wdrażanie — jednak zdecydowana większość organizacji nie oceniła jeszcze swojej gotowości.
Nasza ocena ocenia gotowość kryptograficzną do kwantów we wszystkich zewnętrznie obserwowalnych punktach końcowych Twojej infrastruktury. Dostęp do systemów wewnętrznych nie jest wymagany.
Ocena konfiguracji wymiany kluczy TLS w oparciu o standardowe hybrydowe i czyste algorytmy post‑kwantowe. Określa, czy Twoje punkty końcowe negocjują wymianę kluczy odporną na kwanty, czy pozostają podatne na przechwycenie. Obejmuje główne domeny, poddomeny oraz dodatkowe porty usług.
Analiza algorytmów certyfikatów, w tym ocena schematu podpisu i ocena gotowości do migracji. Ocena, czy Twoja infrastruktura certyfikatów może przejść na algorytmy odporne na kwanty bez zakłóceń operacyjnych — zależy od organu wystawiającego, poziomu automatyzacji i ograniczeń pinowania.
Weryfikacja możliwości post‑kwantowych protokołu STARTTLS w Twojej infrastrukturze MX. Transport e‑mail jest jednym z najczęściej pomijanych kanałów podatnych na kwanty — aktualne dane wskazują, że mniej niż jeden procent globalnych serwerów pocztowych obsługuje szyfrowanie transportu odporne na kwanty.
Wykrywanie podatności na obniżanie wersji protokołu, które pozwalają atakującym wymusić połączenia z starszymi, podatnymi na kwanty wersjami protokołów, nawet gdy dostępne są nowsze zabezpieczenia. Zawiera ocenę modernizacji wymiany kluczy SSH we wszystkich wystawionych interfejsach zarządzania.
Analiza uwzględniająca CDN, rozróżniająca ochronę kwantową zapewnianą na krawędzi sieci od ochrony natywnej w Twojej infrastrukturze źródłowej — kluczowe rozróżnienie, którego żadne publiczne narzędzie oceniające nie uwzględnia. Organizacje korzystające z sieci dostarczania treści często zakładają pełną ochronę, gdy w rzeczywistości jedynie warstwa krawędziowa jest gotowa na kwanty.
Nasze oceny w europejskich organizacjach przemysłowych, finansowych i technologicznych wykazują spójną tendencję:
Gotowość kryptograficzna post‑kwantowa nie jest kwestią teoretyczną — jest rosnącym wymogiem zgodności w wielu ramach regulacyjnych obowiązujących organizacje europejskie.
CRA wymaga, aby produkty z elementami cyfrowymi wdrażały ochronę kryptograficzną odzwierciedlającą stan techniki. Artykuł 10 nakłada na producentów obowiązek zapewnienia poufności poprzez „odpowiednie mechanizmy i protokoły” — sformułowanie, które coraz częściej obejmuje gotowość post‑kwantową w miarę dojrzewania standardów NIST. Zgłaszanie podatności staje się obowiązkowe od września 2026 r., pełna zgodność wymagana do grudnia 2027 r.
Artykuł 21 wymaga od podmiotów kluczowych i istotnych wdrożenia „najnowocześniejszych” środków bezpieczeństwa proporcjonalnych do ryzyka. W miarę dojrzewania standardów kryptografii post‑kwantowej, brak oceny i planowania migracji tworzy wyraźną lukę w środkach zarządzania ryzykiem, które wymaga NIS2. Oczekuje się, że wytyczne sektorowe będą wyraźnie odwoływać się do harmonogramów migracji PQC.
Federalny Urząd ds. Bezpieczeństwa Informacji (BSI) utrzymuje techniczne wytyczne dotyczące zalecanych algorytmów kryptograficznych. TR-02102-1 klasyfikuje ML‑KEM i ML‑DSA jako algorytmy rekomendowane, dostarczając konkretnych wskazówek dla organizacji działających na rynku niemieckim lub obsługujących go. Wytyczne BSI mają szczególne znaczenie dla dostawców sektora publicznego oraz regulowanych branż w regionie DACH.
Commercial National Security Algorithm Suite 2.0 ustala harmonogram wycofywania algorytmów podatnych na ataki kwantowe w systemach bezpieczeństwa narodowego. Choć koncentruje się na USA, terminy CNSA 2.0 wpływają na globalne wymagania łańcucha dostaw — organizacje obsługujące sektory obrony, lotnictwa lub technologii podwójnego przeznaczenia napotykają kaskadowe obowiązki zgodności, niezależnie od jurysdykcji.
Każda ocena generuje zmierzoną ocenę gotowości odzwierciedlającą rzeczywisty stan wdrożenia we wszystkich zewnętrznie obserwowalnych punktach końcowych kryptograficznych. Ocena uwzględnia konfigurację warstwy transportowej, stan certyfikatów, bezpieczeństwo e‑mail, odporność protokołów oraz architekturę infrastruktury.
Wymiana kluczy post‑quantum wdrożona we wszystkich głównych punktach końcowych. Infrastruktura certyfikatów wspiera migrację algorytmów. Transport e‑mail obejmuje zabezpieczenia quantum‑safe. Nie wykryto istotnych ścieżek degradacji protokołów.
Częściowe wdrożenie post‑quantum — zazwyczaj poprzez ochronę na krawędzi CDN bez implementacji na poziomie źródła, lub z lukami w transporcie e‑mail lub SSH. Ścieżka migracji istnieje, ale wymaga ukierunkowanych działań na konkretnych warstwach infrastruktury.
Ograniczone lub brak wdrożonych zabezpieczeń post‑quantum. Infrastruktura certyfikatów może wspierać migrację, ale nie rozpoczęto aktywnego przejścia. Ścieżki degradacji protokołów prawdopodobnie istnieją. Zalecane: rozpocząć planowanie migracji w ramach bieżącego cyklu budżetowego.
Nie wykryto zabezpieczeń quantum‑safe. Akceptowane są starsze wersje protokołów. Zarządzanie certyfikatami może utrudniać szybką migrację. Zalecane: priorytetowo potraktować inwentaryzację kryptograficzną i plan migracji jako natychmiastowy priorytet operacyjny.
Znaczna ekspozycja kryptograficzna, w tym przestarzałe algorytmy, brak poufności w przód (forward secrecy) oraz strukturalne bariery migracji. Wymagana natychmiastowa ocena i planowanie działań naprawczych.
Teraz. Standardy NIST zostały sfinalizowane, główni dostawcy infrastruktury wdrażają rozwiązania, a ramy regulacyjne wprowadzają wymagania post‑kwantowe. Organizacje, które rozpoczną ocenę już dziś, będą miały gotowe plany migracji przed upływem terminów zgodności.
Częściowo. Główni dostawcy CDN wdrażają wymianę kluczy post‑kwantową na brzegu sieci, ale Twój serwer źródłowy obsługuje rzeczywiste przetwarzanie danych. Jeśli Twój serwer źródłowy nie posiada zabezpieczeń odpornych na kwanty, ruch pomiędzy CDN a serwerem źródłowym pozostaje podatny. Nasza ocena identyfikuje dokładnie tę lukę.
Nie. Ocena analizuje konfigurację kryptograficzną poprzez pasywną obserwację i standardową analizę wymiany TLS. Brak eksploatacji, prób uwierzytelnienia czy zakłóceń usług. Nie wymaga upoważnienia w ramach standardowego zakresu oceny.
Transport poczty e-mail jest oceniany oddzielnie od infrastruktury webowej. Nasza ocena weryfikuje, czy Twoje serwery MX obsługują post‑kwantowy STARTTLS — funkcję, którą obecnie oferuje mniej niż jeden procent globalnych serwerów pocztowych.
Ocena gotowości PQC jest dostępna jako samodzielne zlecenie lub jako zintegrowana warstwa w ramach kompleksowej oceny zewnętrznej powierzchni ataku. Po połączeniu wyniki PQC są włączane do ogólnego mapowania zgodności i oceny zagrożeń.
NIST FIPS 203 (ML‑KEM), FIPS 204 (ML‑DSA), FIPS 205 (SLH‑DSA) do oceny algorytmów. CRA Art. 10, NIS2 Art. 21, BSI TR‑02102‑1 oraz CNSA 2.0 do mapowania zgodności. Wszystkie odniesienia są wymienione w dostarczonym raporcie.
FAQ • pqc readiness
Rzetelne odpowiedzi dotyczące metodyki, zgodności prawnej i rezultatów audytu.
Wrogie grupy i służby specjalne już dziś prowadzą operacje typu 'Harvest Now, Decrypt Later' (HNDL) – przechwytują i archiwizują zaszyfrowaną komunikację, aby odszyfrować ją, gdy pojawią się komputery kwantowe. Dane o długim cyklu życia (tajemnice przedsiębiorstwa, dane medyczne, infrastruktura) muszą być zabezpieczone algorytmami kwantowoodpornymi natychmiast.
CHIMERASCOPE FYI • Industry Intelligence
Sprawdź anonimowe dane telemetryczne i analizy powierzchni ataku z platformy CHIMERASCOPE FYI dla kluczowych sektorów.
Evidence • Case Studies & Research
Szczegółowe analizy techniczne, metodyka rekonesansu i rzeczywiste studia przypadków podatności.
Podaj główną domenę swojej organizacji. Ocena obejmuje wszystkie zewnętrznie obserwowalne punkty końcowe kryptograficzne.