CISA ve G7'den kuantum uyarısı: post-kuantum geçişe bugün başlayın

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ve G7 Siber Güvenlik Çalışma Grubu, kuruluşları açık anahtarlı şifrelemeden post-kuantum kriptografiye (PQC) geçişe bugün başlamaya çağırdı. CISA'ya göre kuantum bilişimindeki ilerleme, açık anahtarlı şifrelemeye, yani TLS, VPN, dijital imza ve akıllı kartların dayandığı yönteme, gerçek bir tehdit oluşturuyor.

Ortak belgeye göre kesin takvim belirsiz, ancak son gelişmeler yaygın kullanılan açık anahtarlı şifrelemeyi kırabilecek kuantum bilgisayarların gelişini öngörüyor. Belge, post-kuantum kriptografiyi (PQC) hem klasik hem kuantum saldırılara dayanıklı olacak şekilde tasarlanan yeni bir kriptografi alanı olarak tanımlıyor ve bu nedenle kurumların geçişe mümkün olan en kısa sürede başlaması gerektiğini, hem kuantum riskinden korunmak hem de gizli verinin uzun vadeli korunmasını sağlamak için, söylüyor.

Asıl risk: bugün topla, sonra çöz

Uyarının çekirdeği, kuantum bilgisayarın bugün şifreyi kırması değil. Risk, güvenlik literatüründe "harvest now, decrypt later" (bugün topla, sonra çöz) diye bilinen yöntem: saldırgan, açık anahtarlı şifreyle korunan veriyi bugün kopyalayıp saklıyor; ileride yeterince güçlü bir kuantum bilgisayar çıktığında bu birikmiş veriyi geriye dönük çözüyor. Bu nedenle sırrı uzun ömürlü olan veri, yani devlet sırları, sağlık ve biyometrik kayıtlar, fikri mülkiyet ve uzun süreli sözleşmeler, kuantum bilgisayar yıllar sonra gelse bile bugünden risk altında. Envanteri şimdi çıkarmanın gerekçesi de bu: geçiş yıllar sürüyor, veri ise şimdiden çalınabiliyor.

Çağrının dört somut adımı

CISA ve G7'ye göre kuruluşların atması gereken dört adım şu:

• Envanterle: kriptografik varlıklarınızı çıkarın.
• Haritala: bu varlıkların sistemlere ve birbirine bağımlılıklarını belirleyin.
• Aşamalı planla: kademeli bir geçiş planı geliştirin.
• Satın almaya entegre et: PQC'yi tedarik ve satın alma süreçlerine dahil edin.

G7 Çalışma Grubu'nun beş önceliği

CISA'nın resmi kaynak sayfasına göre başarılı bir PQC geçişi için beş öncelik sıralanıyor:

• Kuantum risklerine ve PQC'nin önemine dair farkındalığı artırmak;
• PQC benimsemesini ve entegrasyonunu destekleyen ulusal stratejiler geliştirmek;
• Kuantuma dayanıklı teknolojiler için araştırma geliştirmeyi ilerletmek;
• Uzmanlık ve kaynak paylaşımı için kamu-özel ortaklıkları teşvik etmek;
• PQC'yi siber güvenlik gereksinimlerine ve satın alma süreçlerine entegre etmek.

Çağrıya, Fransa (ANSSI), Almanya (BSI) ve Birleşik Krallık (NCSC) gibi G7 siber güvenlik kurumlarının yanı sıra Avrupa Komisyonu ve ENISA (Avrupa Birliği Siber Güvenlik Ajansı) da katılıyor.

Teknoloji ortak, adımlar da geçerli

Bu bir ABD ve G7 çağrısı; Türkiye belgenin tarafı değil. Ancak tehdit küresel ve altyapı ortak: açık anahtarlı şifreleme her yerde aynı temele dayanıyor. Uzun ömürlü veri tutan kamu ve finans kurumları için de aynı envanterle, haritala, planla ve satın almaya entegre et adımları uygulanabilir.

Ayrıntılar için CISA duyurusu ve CISA eylem çağrısı.