Inventario crittografico e agilità crittografica: non si migra ciò che non sai di avere

Ogni conversazione sulla migrazione post-quantistica si scontra con una domanda senza risposta: dove, esattamente, l’organizzazione utilizza la crittografia. La maggior parte dei leader non sa come rispondere e coloro che rispondono rapidamente spesso si sbagliano.

Questa mancanza di conoscenza è il più grande ostacolo al progetto. Non è possibile migrare, dare priorità o stimare le scadenze su una mappa vuota. Prima di scegliere ML-KEM, ML-DSA o qualsiasi algoritmo, devi vedere la conformazione del terreno.

Questo articolo affronta le due funzionalità che sono alla base di qualsiasi transizione crittografica seria: l'inventario, che mostra ciò che hai, e l'agilità crittografica, che ti consente di modificare gli algoritmi senza riscrivere l'intero sistema. Senza di loro, la migrazione post-quantistica diventa un progetto eterno e costoso.

Perché l'inventario viene prima di tutto

[La crittografia si diffonde silenziosamente in tutta l'organizzazione. È nel traffico di rete, nei certificati, nelle firme software, nei token, nei database, nelle integrazioni con terze parti, nei dispositivi, nelle librerie che sono state integrate in dipendenze che nessuno ha scelto consapevolmente.

Questa dispersione crea pericolosi punti ciechi. Un certificato dimenticato, una vecchia libreria incorporata tre livelli più in basso nella catena delle dipendenze, un servizio legacy che nessuno vuole toccare: ognuno di questi potrebbe essere esattamente il punto che utilizza RSA o ECC in modo critico. Non trasferisci ciò che non sai di avere, e ciò che non sai di avere è ciò che fa più male.

L’inventario è anche ciò che rende possibile la definizione delle priorità. Senza sapere dove si trova la crittografia e quali dati protegge, non è possibile sapere cosa migrare per primo. Con la mappa, la conversazione cambia da “dobbiamo fare qualcosa riguardo alla quantistica” a “questi venti flussi proteggono i dati a lungo termine e si affidano ad algoritmi vulnerabili, cominciamo con loro”.

E c'è l'angolo di conformità. Dimostrare a un regolatore, un revisore o un cliente che sai dove usi la crittografia e che hai un piano è molto diverso dall'ammettere di non averne idea. Secondo la LGPD, conoscere e proteggere il percorso dei dati personali è parte dell'obbligo, non un extra.

Cosa mappare nello specifico

Un utile inventario crittografico va oltre l'elenco dei certificati. Risponde a domande operative.

Mappa le risorse crittografiche: chiavi, certificati, segreti, loro posizioni, proprietari e date di scadenza. Mappare gli algoritmi in uso, distinguendo ciò che è vulnerabile al calcolo quantistico, come RSA ed ECC, da ciò che è più resiliente, come la crittografia simmetrica forte. Mappa le librerie e le versioni utilizzate da ciascuna applicazione, comprese quelle integrate nelle dipendenze, perché è lì che risiede la maggior parte della crittografia che nessuno ha scelto consapevolmente.

Mappa i protocolli delle tue connessioni, interne ed esterne, perché è nel loro scambio di chiavi che si concentra il rischio di una cattura anticipata. E mappare i dati che ogni utilizzo della crittografia protegge, con particolare attenzione alla validità della riservatezza: i dati che devono rimanere segreti per molti anni sono i più esposti al "raccolto ora, decrittografia dopo", l'acquisizione di dati crittografati oggi per essere decrittografati in futuro con il quantum computing.

Infine, mappa i fornitori. Gran parte della crittografia viene eseguita all'interno di provider cloud, SaaS e partner. Sapere quali di loro hanno un piano di transizione post-quantistica fa parte del tuo inventario, perché il loro rischio è tuo.

Come condurre il sondaggio senza schiantarsi

La reazione di molte squadre a questa lista è di sconforto: sembra troppo grande. La soluzione non è cercare di inventariare tutto perfettamente in una volta.

Combina caratteri. Gli strumenti di rilevamento automatizzato scansionano la rete, il codice e i certificati e trovano gran parte di ciò che è nascosto. Ma non sostituiscono la conoscenza delle persone: architetti e team di prodotto conoscono dipendenze e contesti che nessuna scansione cattura. Usa entrambi i fronti.

Inizia da ciò che conta. Invece di un inventario universale prima di intraprendere qualsiasi azione, dai la priorità ai sistemi che riguardano dati a lunga validità e ad alta esposizione. Inventariali prima, inizia ad agire su di essi ed espandi il sondaggio a ondate. Un inventario parziale e attuabile vale più di uno completo e ritardato.

E tratta l'inventario come se fosse vivo. Non è un documento che si scrive una volta e si archivia. I sistemi cambiano, i certificati nascono e muoiono, le dipendenze aumentano di versione. Un inventario che non viene aggiornato invecchia rapidamente e torna ad essere una mappa vuota. Integra il rilevamento crittografico nei processi di modifica e distribuzione.

Cripto-agilità: scambio senza riscrittura

L'inventario risponde "quello che ho". L’agilità crittografica risponde “quanto velocemente posso fare trading”. I due si completano a vicenda.

La cripto-agilità è la capacità di modificare l'algoritmo crittografico di un sistema senza riscriverlo completamente. È un bene architettonico. I sistemi che hanno legato un algoritmo specifico al codice, diffondendo chiamate dirette a un codice in lungo e in largo, pagano caro il cambiamento: ogni cambiamento diventa un progetto di mesi, con rischi in ogni momento.

La differenza sta nell'accoppiamento. Quando la crittografia è isolata dietro uno strato ben definito, un confine chiaro che il resto del sistema utilizza senza conoscere i dettagli interni, il passaggio dell’algoritmo al di sotto di tale confine rappresenta un cambiamento contenuto. Il resto del sistema non se ne accorge nemmeno.

Ciò è importante soprattutto ora perché la crittografia post-quantistica si evolverà. I parametri verranno adeguati, potrebbero emergere nuovi algoritmi, le raccomandazioni cambieranno. Senza cripto-agilità, ripeti l’intero progetto di migrazione ad ogni mossa. Con esso, lo scambio successivo è incrementale. La migrazione post-quantistica è la prima grande prova di questa capacità, non l’ultima.

Costruire la capacità di scambio

La cripto-agilità non può essere acquistata già pronta, ma è costruita con decisioni di progettazione consapevoli.

Centralizza l'accesso alla crittografia. Invece di fare in modo che ciascuna parte del sistema chiami direttamente un codice specifico, falli passare attraverso un punto comune che decide quale algoritmo utilizzare. Cambiare l’algoritmo significa cambiare questa decisione centrale, non andare a caccia di chiamate sparse nel codice.

Configurazione dell'algoritmo in outsourcing. Quale cifra utilizzare, con quali parametri, deve essere una configurazione, non una costante incorporata nel codice. Ciò consente di apportare modifiche e persino di eseguire il rollback, senza riscrivere e ridistribuire tutto, il che è fondamentale quando un aggiornamento post-quantistico causa problemi nella produzione ed è necessario un modo per tornare indietro.

Progettato per funzionare con più di un algoritmo contemporaneamente. Durante la transizione, client e server si troveranno in fasi diverse e l’approccio ibrido combina algoritmi classici e post-quantistici. Il tuo sistema deve negoziare e supportare più algoritmi in parallelo senza interrompere connessioni legittime. Chiunque abbia assunto un unico algoritmo nella progettazione soffre proprio qui.

E accogliere le nuove dimensioni. Le chiavi e le firme post-quantiche sono più grandi. Strutture, campi e confini che hanno assunto dimensioni ridotte necessitano di sgombero. Costruire questo margine di flessibilità ora evita di rifare il lavoro in seguito.