צפייה בתובנות לגבי קריפטוגרפיה פוסט-קוונטית (PQC) אסימטרית

כאן מוסבר איך להשתמש בתרשים Post-quantum cryptography (PQC) insights בדף Key management overview של Cloud KMS במסוףGoogle Cloud כדי להעריך את מלאי המפתחות האסימטריים ולהתכונן למודרניזציה קריפטוגרפית עתידית.

התפתחות המחשוב הקוונטי יוצרת איום פוטנציאלי על אלגוריתמים קריפטוגרפיים של מפתח ציבורי שנמצאים בשימוש נרחב. תרשים PQC insights עוזר לכם לזהות ולרשום מפתחות אסימטריים קלאסיים, ומספק את השקיפות שדרושה כדי לתכנן מודרניזציה עתידית ולהבטיח עמידות לטווח ארוך.

בדרך כלל נחשב שמפתחות סימטריים (כמו אלה שמשמשים ל-ENCRYPT_DECRYPT) עמידים בפני מתקפות של מחשבים קוונטיים, והם לא נכללים בלוח הבקרה הזה. מידע נוסף על האלגוריתמים שנתמכים על ידי Cloud KMS זמין במאמר מטרות ואלגוריתמים של מפתחות.

‫Wiz, שמשולב עכשיו ב- Google Cloud, מציע מלאי קריפטוגרפי והערכת סיכונים שיכולים לעזור לכם להבין את רמת המוכנות הקריפטוגרפית שלכם ולתכנן את המעבר לאלגוריתמים פוסט-קוונטיים. היכולות האלה כלולות בפלטפורמת האבטחה של Wiz בענן וב-AI, והן משלימות את התכונות של ניהול מפתחות ב-Cloud KMS.

לפני שמתחילים

כדי לקבל את ההרשאות שנדרשות לצפייה בתובנות של PQC, צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד צפייה ב-Cloud KMS (roles/cloudkms.viewer) בפרויקט.

• אפשר גם לשלוח שאילתה ישירות לכלי Cloud Asset Viewer. להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

  יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

צפייה בתובנות PQC

בתרשים Asymmetric PQC insights מוצג פירוט חזותי ברמה גבוהה של המפתחות האסימטריים, על סמך סיווג האלגוריתמים שבהם הם משתמשים.

1. נכנסים לדף Key Management במסוף Google Cloud .

   כניסה אל Key Management

2. לוחצים על הכרטיסייה Overview ואז על התרשים Asymmetric PQC insights.

3. אופציונלי: לוחצים על פלח בתרשים כדי לראות את מספר המפתחות שהוא מייצג. אפשר גם ללחוץ על View בפלח מסוים כדי לראות טבלה של Asymmetric PQC insights details.

התרשים הזה מחלק את המפתחות לשתי קבוצות עיקריות:

• פוסט-קוונטי: מפתחות שמשתמשים באלגוריתמים קריפטוגרפיים שתוכננו במיוחד כדי להיות עמידים בפני התקפות ממחשבים קוונטיים עתידיים.
• קלאסיים: מפתחות שמשתמשים באלגוריתמים אסימטריים קלאסיים (כמו RSA או ECC) שעדיין מאובטחים מפני מתקפות קלאסיות, אבל חשופים למתקפות ממחשבים קוונטיים עתידיים.

בתרשים, המפתחות האלה מחולקים לפלחים נוספים לפי המטרה הקריפטוגרפית וסוג הקריפטוגרפיה שלהם.

הסבר על טבלת הפרטים

בטבלה שבדף הזה מפורטים המפתחות האסימטריים בפרויקט הנוכחי, ומוצגים הפרטים הבאים:

• שם המפתח: השם של המפתח. לוחצים על השם כדי לעבור לדף פרטי המפתח של המפתח הספציפי הזה.
• מיקום: המיקום שבו נמצא המפתח.
• רמת הגנה: רמת ההגנה של המפתח.
• מטרה: המטרה הקריפטוגרפית של המפתח, לדוגמה, ASYMMETRIC_SIGN.
• סוג הקריפטוגרפיה: מציין אם המפתח משתמש באלגוריתם PQC או באלגוריתם קלאסי.

אפשר להשתמש בסרגל הסינון שמעל הטבלה כדי לצמצם את רשימת המפתחות לפי כל אחד מהמאפיינים האלה.

הערכת מפתחות קלאסיים לצורך מודרניזציה עתידית

כדאי לבדוק את המפתחות האסימטריים הקיימים של אלגוריתמים אסימטריים קלאסיים שאפשר להעביר לחלופות פוסט-קוונטיות. המפתחות האלה עדיין מספקים הגנה חזקה מפני התקפות קלאסיות. עם זאת, שימוש באלגוריתמים פוסט-קוונטיים עוזר להבטיח עמידות לטווח ארוך בפני איומים קוונטיים פוטנציאליים בעתיד. בטבלה הבאה מפורטים אלגוריתמים ומטרות מרכזיים, ומוסבר אם כל אחד מהם נחשב כמאובטח פוסט-קוונטית.

מטרה	אלגוריתמים	סוג ההצפנה	חלופה פוסט-קוונטית
ASYMMETRIC_SIGN	EC_SIGN_*	קלאסית	ASYMMETRIC_SIGN עם PQ_SIGN_* אלגוריתמים
ASYMMETRIC_SIGN	RSA_SIGN_*	קלאסית	‫ASYMMETRIC_SIGN עם PQ_SIGN_* אלגוריתמים
ASYMMETRIC_SIGN	PQ_SIGN_*	PQC	חסין מפני פיצוח קוונטי
ASYMMETRIC_DECRYPT	RSA_DECRYPT_*	קלאסית	KEY_ENCAPSULATION אלגוריתמים
KEY_ENCAPSULATION	הכול	PQC	חסין מפני פיצוח קוונטי

כדאי לאמץ את תקני ה-PQC בהקדם האפשרי, כי הם מספקים את היתרונות הבאים:

• החלפת מפתחות ASYMMETRIC_DECRYPT במפתחות KEY_ENCAPSULATION עוזרת להגן על הנתונים המוצפנים מפני התקפות מסוג "איסוף מיידי ופענוח בהמשך" (SNDL). בהתקפות כאלה, גורם זדוני מיירט את המידע המוצפן (ciphertext) בלי יכולת לפענח אותו, אבל מאחסן את המידע המוצפן בתקווה שיום אחד הוא יצליח לפצח את ההצפנה.
• החלפת מפתחות ASYMMETRIC_SIGN שמשתמשים באלגוריתמים EC_SIGN_* או RSA_SIGN_* באלגוריתם PQ_SIGN_* מספקת אי-כפירה לטווח ארוך בחתימות שלכם.

זיהוי מפתחות באמצעות מאגר משאבי הענן

אתם יכולים להשתמש במאגר משאבי ענן כדי להציג ולסנן באופן פרוגרמטי את הנכסים שלכם ב-Cloud KMS לפי סוג האלגוריתם.

חיפוש בארגון

1. כדי להציג רשימה של מפתחות שמשתמשים באלגוריתמים פוסט-קוונטיים כמו PQ_SIGN_*,‏ ML_KEM_* או KEM_XWING, מריצים את הפקודה הבאה:

   gcloud asset list \
     --organization=ORGANIZATION_ID \
     --asset-types="cloudkms.googleapis.com/CryptoKey" \
     --content-type=resource \
     --filter='(resource.data.purpose = "ASYMMETRIC_SIGN" OR resource.data.purpose = "ASYMMETRIC_DECRYPT" OR resource.data.purpose = "KEY_ENCAPSULATION") AND (resource.data.versionTemplate.algorithm:PQ_SIGN* OR resource.data.versionTemplate.algorithm:ML_KEM* OR resource.data.versionTemplate.algorithm = "KEM_XWING")' \
     --format='table(name.segment(1):label=PROJECT, name.segment(-3):label=KEY_RING, name.segment(-1):label=CRYPTO_KEY, resource.data.purpose:label=PURPOSE, resource.data.versionTemplate.algorithm:label=ALGORITHM)'
   

2. כדי להציג רשימה של מפתחות אסימטריים שלא משתמשים באלגוריתמים פוסט-קוונטיים (כלומר, מפתחות אסימטריים שמשתמשים באלגוריתמים קלאסיים), מריצים את הפקודה הבאה:

   gcloud asset list \
     --organization=ORGANIZATION_ID \
     --asset-types="cloudkms.googleapis.com/CryptoKey" \
     --content-type=resource \
     --filter='(resource.data.purpose = "ASYMMETRIC_SIGN" OR resource.data.purpose = "ASYMMETRIC_DECRYPT" OR resource.data.purpose = "KEY_ENCAPSULATION") AND NOT (resource.data.versionTemplate.algorithm:PQ_SIGN* OR resource.data.versionTemplate.algorithm:ML_KEM* OR resource.data.versionTemplate.algorithm = "KEM_XWING")' \
     --format='table(name.segment(1):label=PROJECT, name.segment(-3):label=KEY_RING, name.segment(-1):label=CRYPTO_KEY, resource.data.purpose:label=PURPOSE, resource.data.versionTemplate.algorithm:label=ALGORITHM)'
   

חיפוש בפרויקט

1. מוודאים ש-Google Cloud CLI מכוון לפרויקט הנכון:

   gcloud config set project PROJECT_ID
   

2. כדי להציג רשימה של מפתחות שמשתמשים באלגוריתמים פוסט-קוונטיים כמו PQ_SIGN_*,‏ ML_KEM_* או KEM_XWING, מריצים את הפקודה הבאה:

   gcloud asset list \
     --project="$(gcloud config get-value project)" \
     --asset-types="cloudkms.googleapis.com/CryptoKey" \
     --content-type=resource \
     --filter='(resource.data.purpose = "ASYMMETRIC_SIGN" OR resource.data.purpose = "ASYMMETRIC_DECRYPT" OR resource.data.purpose = "KEY_ENCAPSULATION") AND (resource.data.versionTemplate.algorithm:PQ_SIGN* OR resource.data.versionTemplate.algorithm:ML_KEM* OR resource.data.versionTemplate.algorithm = "KEM_XWING")' \
     --format='table(name.segment(-3):label=KEY_RING, name.segment(-1):label=CRYPTO_KEY, resource.data.purpose:label=PURPOSE, resource.data.versionTemplate.algorithm:label=ALGORITHM)'
   

3. כדי להציג רשימה של מפתחות אסימטריים שלא משתמשים באלגוריתמים פוסט-קוונטיים (כלומר, מפתחות אסימטריים שמשתמשים באלגוריתמים קלאסיים), מריצים את הפקודה הבאה:

   gcloud asset list \
     --project="$(gcloud config get-value project)" \
     --asset-types="cloudkms.googleapis.com/CryptoKey" \
     --content-type=resource \
     --filter='(resource.data.purpose = "ASYMMETRIC_SIGN" OR resource.data.purpose = "ASYMMETRIC_DECRYPT" OR resource.data.purpose = "KEY_ENCAPSULATION") AND NOT (resource.data.versionTemplate.algorithm:PQ_SIGN* OR resource.data.versionTemplate.algorithm:ML_KEM* OR resource.data.versionTemplate.algorithm = "KEM_XWING")' \
     --format='table(name.segment(-3):label=KEY_RING, name.segment(-1):label=CRYPTO_KEY, resource.data.purpose:label=PURPOSE, resource.data.versionTemplate.algorithm:label=ALGORITHM)'
   

מסלולים מומלצים למודרניזציה

כדי לצמצם את הסיכונים של התקפות קוונטיות, כדאי להפסיק להשתמש במפתחות אסימטריים שמבוססים על אלגוריתמים קלאסיים.

• למפתחות פענוח אסימטריים: למפתחות שמשמשים לפענוח אסימטרי, אפשר להחליף את ההצפנה האסימטרית בהצפנה היברידית של מפתח ציבורי (HPKE) כדי לעדכן את המלאי. ב-HPKE, משתמשים במפתחות עם המטרה KEY_ENCAPSULATION שמשתמשים באלגוריתם פוסט-קוונטי כמו ML_KEM_768 כדי לשתף סוד. מידע נוסף זמין במאמר מנגנוני אנקפסולציה של מפתחות.
• למפתחות חתימה אסימטריים: כדי לשדרג את החתימות הדיגיטליות, אתם יכולים ליצור מפתחות חדשים עם המטרה ASYMMETRIC_SIGN שמשתמשים באלגוריתם פוסט-קוונטי כמו PQ_SIGN_ML_DSA_65.

הערה: אי אפשר לשנות את הייעוד של מפתח קיים, ולכן תהליך המודרניזציה כולל בדרך כלל יצירה של מפתח חדש או גרסה חדשה של מפתח עם הגדרה פוסט-קוונטית, ועדכון של האפליקציות כך שישתמשו במפתח החדש.

עמידות של מפתחות סימטריים בפני מחשוב קוונטי

בשונה מהמפתחות האסימטריים שמוצגים בתרשים תובנות לגבי PQC אסימטרי, מפתחות סימטריים נחשבים בדרך כלל לעמידים בפני מתקפות של מחשבים קוונטיים. היוצא מן הכלל הבולט הוא מפתחות MAC שמשתמשים באלגוריתם HMAC-SHA1. מידע נוסף על אלגוריתמים שונים זמין במאמר מטרות ואלגוריתמים של מפתחות.

המאמרים הבאים

• מעיינים במטרות ובאלגוריתמים העיקריים שזמינים.
• מידע נוסף על הצפנת מפתח