Elaborar un plan de ciberseguridad de cara a la era, aparentemente lejana, de la computación cuántica puede que, en estos momentos, ocupe uno de los últimos puestos en la lista de prioridades de muchas empresas; sin embargo, las agencias federales ya están adoptando algunas medidas fundamentales para llevar a cabo la transición y cumplir con los requisitos de información obligatorios.
El problema es que esos primeros pasos hacia una seguridad resistente a los ataques cuánticos han sido, en general, bastante vacilantes, y hay una gran cantidad de datos cifrados en juego —como datos financieros ,, secretos gubernamentales e información personal de los ciudadanos—.
Stephen Harper, responsable de ingeniería en ciencia de la información cuántica de Accenture Federal Services, está preparado para el «Q-Day», un término acuñado por los expertos en cuántica para referirse al momento en que un ordenador cuántico sea capaz de descifrar el cifrado estándar que utilizan actualmente las redes informáticas. Está ayudando a los organismos federales a realizar la transición a la criptografía poscuántica, y está tratando de acelerar ese proceso.
Accenture Federal Services —una división de la consultora global de tecnologías de la información Accenture— colabora con organismos del Gobierno federal de EE. UU. , ayudándoles a adoptar nuevas tecnologías, entre las que se incluyen la nube, la inteligencia artificial y los sistemas de ciberseguridad. Harper, un experto en seguridad con amplia experiencia, cuenta con un máster en ciberseguridad por la Escuela de Ingeniería Whiting de la Universidad Johns Hopkins y es un apasionado de la informática cuántica.
Las agencias federales de EE. UU. tuvieron que empezar a informar de posibles vulnerabilidades del sistema a la Oficina de Gestión y Presupuesto (OMB) en 2023, y hasta ahora lo han estado haciendo en su mayor parte de forma manual, y no con mucha precisión, afirma Harper.
A continuación, le presentamos su opinión sobre cómo podemos agilizar y mejorar ese proceso. Y cuando dice «nosotros», se refiere a todos nosotros. Las empresas del sector público deben prestar atención a las cuestiones relacionadas con el cumplimiento de la ley « » , y él ofrece algunos consejos sobre lo que deberían estar haciendo los organismos en estos momentos. Pero su consejo es igualmente válido para el sector privado. Porque la amenaza cuántica es real y afecta a todas las organizaciones, tanto grandes como pequeñas.
(The following interview is adapted from a conversation with Harper and podcast host Chelsea Nelson on Tanium Podcast, produced by Tanium, which publishes this magazine. (Se ha editado por motivos de espacio y claridad.)
¿Qué repercusiones está teniendo el avance de los ordenadores cuánticos tanto en el sector privado como en el público? ¿Cuál es el peligro en ese caso?
A principios de 1990s, el profesor Peter Shor [un matemático que por entonces trabajaba en los Laboratorios Bell de Nueva Jersey] publicó un artículo en el que se detallaba un algoritmo para un ordenador cuántico que serviría para factorizar… números semiprimos. Y lo que esto significa es que nuestros actuales sistemas de cifrado de clave pública [utilizados para garantizar la confidencialidad de los datos en las redes informáticas] pueden ser descifrados por este algoritmo si se dispone de un ordenador cuántico lo suficientemente potente. Aún no disponemos de ese ordenador cuántico, pero se están desarrollando.
«. Ahora disponemos de tiempo para empezar a migrar a algoritmos que no sean vulnerables, pero debemos ponernos manos a la obra.»
Sabemos que [probablemente] ocurrirá dentro de entre 10 y 20 años… Así que ahora disponemos de tiempo para empezar a migrar los sistemas a algoritmos no vulnerables, pero debemos ponernos manos a la obra. Y ahí es donde la legislación y los memorandos del poder ejecutivo han entrado en vigor para que las agencias federales inicien esta transición. El primero es el Memorándum de Seguridad Nacional (NSM-8) y, a continuación, vino el NSM-10.
Y luego está el Memorándum M-23-02 de la OMB. ¿Qué exigen esos memorandos a los organismos federales?
En resumen, lo que exigen es que las agencias comiencen a registrar el uso que hacen de la criptografía asimétrica vulnerable en sus aplicaciones de máxima importancia y que informen de ello a la OMB cada año, con el fin de empezar a definir el alcance de la transición necesaria. En el memorándum figura una tabla completa en la que se indican los algoritmos que son vulnerables y sobre los que hay que informar, y deben presentar este informe cada año durante los próximos 10 años.
«Tenemos un pequeño problema de denominación cuando hablamos de criptografía poscuántica, ya que suena mucho más complicado de lo que es.»
Y, por lo que hemos podido observar, la mayoría de las agencias, al menos durante el primer o los dos primeros años, han estado realizando todo esto de forma manual, lo cual, para ser sinceros, requiere muchísimo tiempo y resulta bastante impreciso.
La automatización de este tipo de trabajo debería contribuir al cumplimiento normativo. ¿En qué se traduce ese ahorro de tiempo?
La inversión inicial [para poner en marcha herramientas que automaticen y mejoren la recopilación de datos] requiere bastante tiempo. Es difícil hacerse una idea clara de ello, ya que depende del tamaño de los entornos del sistema y del número de entornos de los que dispongan.
Sin embargo, una vez que todo esté configurado, no solo podremos obtener los datos en, quizás, una tarde —si todo está ya listo—, sino que además estos deberían ser considerablemente más precisos, siempre y cuando los informes y los paneles de control se hayan diseñado correctamente.
¿Cuál es una de las ideas erróneas más extendidas sobre la mecánica cuántica?
Tenemos un pequeño problema de imagen de marca cuando hablamos de criptografía poscuántica, ya que suena mucho más complicado de lo que es debido a la palabra «cuántico».
De acuerdo.
En realidad, solo estamos hablando de nuevos algoritmos de cifrado que se ejecutan en ordenadores normales y corrientes. Eso no tiene nada que ver con la mecánica cuántica.
«No estamos obteniendo todos los datos que necesitamos y estos no se están comunicando con precisión, por lo que desconocemos la amenaza real y la superficie de ataque existente.»
Simplemente estamos protegiendo frente a ordenadores cuánticos. Por eso es importante que dejemos esto claro, ya que hemos estado colaborando con organismos en los que empezamos a trabajar con los distintos responsables de los sistemas y con los grupos que los gestionan, y les decimos: «Indíquenos cuáles de los algoritmos vulnerables de esta lista están utilizando». Y recibiremos respuestas del tipo: «Utilizamos Windows; no hacemos nada de eso». Y eso es cierto, técnicamente, supongo, pero en cierto modo no viene al caso.
No estamos obteniendo todos los datos que necesitamos y estos no se están comunicando con precisión, por lo que desconocemos la amenaza real y la superficie de ataque existente.
Además, tampoco disponemos de una visión clara de las futuras operaciones de migración que nos permita saber qué debemos hacer. Por lo tanto, esto va a afectar al alcance presupuestario y al alcance en términos de personal para poder llevar a cabo todo esto.
¿Qué deberían estar haciendo las agencias federales en estos momentos?
Esperemos que todos ellos hayan estado trabajando para mejorar su proceso de recopilación de datos. Lo fundamental para ustedes durante el próximo año o los dos próximos años es asegurarse de que ese proceso sea lo más preciso posible y lo más automatizado posible , de modo que, en el futuro, podamos intervenir y ayudarles a migrar todo a estos nuevos algoritmos de cifrado y asegurarnos de que no se nos escape nada.
¿Cuál es la magnitud de nuestro problema de procrastinación en lo que respecta a la física cuántica?
La gente siempre me pregunta: «Bueno, disponemos de entre 10 y 20 años… para migrar todo a estos nuevos algoritmos». ¿No es eso tiempo más que suficiente?
De hecho, la CISA [la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU.] publicó [el año pasado] un documento en el que instaba a los organismos del sector público, concretamente a los que prestan servicios públicos, a revisar sus dispositivos de comunicación por radio, ya que muchos de ellos siguen utilizando el cifrado DES [el obsoleto «estándar de cifrado de datos»] para esas comunicaciones, y dicho estándar lleva ya casi 20 años en desuso. Pasar del cifrado simétrico DES al AES [el «estándar de cifrado avanzado», actualizado y más seguro] resulta mucho, mucho más sencillo que migrar todos nuestros... sistemas de cifrado asimétrico.
Así que parece que disponemos de mucho tiempo, pero… antes de que nos demos cuenta, nos encontraremos con un montón de sistemas vulnerables y nos preguntaremos qué ha pasado.
PARA OBTENER MÁS INFORMACIÓN:
Consulte la entrevista completa con Harper en el enlace que figura a continuación, en la que aborda las últimas normas del NIST sobre criptografía cuántica y analiza en profundidad las formas en que las agencias pueden recopilar datos de certificados digitales y otros componentes de red de manera más eficiente y precisa para cumplir con los requisitos de conformidad.
